Salt Typhoon : Comment la Chine a piraté les réseaux de télécommunications américains sans être détectée pendant 18 mois

Fin 2024, les autorités américaines ont confirmé l'une des plus importantes violations de sécurité liées au renseignement de l'histoire des États-Unis. Un groupe de pirates informatiques parrainé par l'État chinois, baptisé « Salt Typhoon », avait infiltré les réseaux d'au moins neuf grands opérateurs de télécommunications américains — dont AT&T, Verizon et Lumen Technologies — et y avait maintenu un accès persistant pendant une période pouvant aller jusqu'à 18 mois.

Qu'a fait Salt Typhoon ?

L'intrusion était d'une sophistication extraordinaire. Salt Typhoon a pris pour cible les systèmes d'interception légale — l'infrastructure que les opérateurs de télécommunications américains sont légalement tenus de maintenir pour permettre les écoutes gouvernementales ordonnées par la justice. En compromettant ces systèmes, les attaquants ont obtenu l'accès à :

• Métadonnées d'appels téléphoniques pour des millions d'Américains

• Interceptions d'appels en temps réel de hauts responsables du gouvernement américain et de personnalités politiques

• Messages texte d'individus sous surveillance active du FBI

• Renseignements sur les cibles des écoutes téléphoniques américaines – révélant potentiellement les opérations d'espionnage en cours

On pense que cette intrusion a fourni à Pékin une cartographie complète des activités de contre-espionnage américaines.

Comment sont-ils entrés ?

Les enquêteurs ont établi que l'accès initial provenait de failles de sécurité non corrigées dans les équipements réseau Cisco, combinées à l'exploitation d'identifiants d'administrateur légitimes obtenus lors de précédentes compromissions de la chaîne d'approvisionnement. Une fois à l'intérieur du système, les attaquants ont utilisé des techniques d'infiltration, opérant exclusivement via des outils système légitimes afin d'éviter de déclencher des alertes de sécurité.

Les retombées géopolitiques

Cette intrusion a entraîné la convocation d'une réunion d'urgence de la commission du renseignement du Sénat américain et un examen urgent des normes de sécurité des télécommunications par la FCC. La CISA et le FBI ont publié un avis conjoint exhortant les opérateurs de télécommunications à :

• Auditer immédiatement tous les identifiants d'accès à privilèges

• Examiner et renforcer les contrôles d'accès aux systèmes d'interception légale

• Déployer une surveillance renforcée du trafic réseau

• Appliquer sans délai tous les correctifs Cisco IOS en attente

L'incident a également relancé le débat sur les risques de sécurité liés au maintien de portes dérobées gouvernementales obligatoires dans les infrastructures de communication — une problématique sur laquelle les experts en sécurité alertent depuis des décennies.

Ce que les entreprises devraient apprendre

• Partez du principe que des États-nations prennent pour cible votre chaîne d'approvisionnement, et pas seulement votre périmètre.

• La gestion des accès à privilèges (PAM) est indispensable.

• La segmentation du réseau limite l'étendue des dégâts en cas d'intrusion.

• La traque proactive des menaces — et non la simple surveillance passive — est essentielle pour détecter les menaces persistantes.

Salt Typhoon ne constitue pas un incident isolé. Cette opération s'inscrit dans une tendance plus large de cyberespionnage chinois, qui englobe également le prépositionnement de Volt Typhoon au sein des infrastructures critiques américaines. La question n'est plus de savoir si des acteurs sophistiqués ont pénétré les réseaux d'entreprise, mais si les organisations disposent de la visibilité nécessaire pour les détecter.