T-Mobile acaba de publicar Advancing Cybersecurity at T-Mobile, un informe que detalla las inversiones, tecnologías y procedimientos desplegados para reforzar la seguridad de su infraestructura y proteger a sus clientes. El documento presenta la evolución de su estrategia de ciberseguridad en un escenario marcado por el aumento de las amenazas, la creciente sofisticación de los ataques y la utilización de inteligencia artificial (IA) por parte de los ciberdelincuentes. La compañía también aborda el papel de la arquitectura de red, los sistemas de autenticación y las herramientas de detección automatizada.
La dimensión del problema queda reflejada en las cifras del operador. Durante un período reciente de doce meses, T-Mobile observó un incremento interanual del 37 por ciento en los intentos de intrusión, mientras que los ataques basados en credenciales disminuyeron un 35 por ciento. La compañía interpreta esta evolución como una muestra de la capacidad de los atacantes para modificar sus tácticas y buscar nuevas vías de acceso. En paralelo, durante 2025 registró un aumento cercano al 50 por ciento en los mensajes fraudulentos y no deseados respecto de 2024, mientras que sus sistemas continúan identificando cientos de millones de llamadas sospechosas cada semana.
Uno de los episodios más relevantes que recoge el documento es el intento de intrusión atribuido a Salt Typhoon, un grupo de amenazas que T-Mobile describe como patrocinado por un Estado, altamente sofisticado y dotado de importantes recursos. El operador sitúa los ataques contra distintos proveedores estadounidenses de telecomunicaciones entre finales de 2024 y principios de 2025. Según su versión, la operación contra su infraestructura se desarrolló a través de la conexión de un proveedor externo de comunicaciones fijas, desde donde los atacantes suplantaron la identidad de un router de confianza situado en el extremo de su red. La compañía asegura que sus defensas consiguieron contener la intrusión en la capa de dispositivos de red, impidiendo que alcanzara información sensible de sus clientes, incluidas llamadas, mensajes de voz y textos. El informe no proporciona detalles técnicos suficientes para reconstruir completamente el ataque o verificar de manera independiente su alcance.
T-Mobile atribuye este resultado a una arquitectura de seguridad construida durante años sobre diferentes capas de protección, vigilancia continua y capacidad de respuesta. Su red nacional 5G standalone (SA) constituye uno de los componentes de esta estrategia, al incorporar mecanismos de autenticación, cifrado de identidades y tráfico, así como separación entre flujos de comunicaciones y funciones centrales. A ello se añaden las posibilidades de aislamiento lógico mediante network slicing y las capacidades adicionales de 5G Advanced. El operador sostiene que esta combinación permite reducir la superficie de ataque y limitar la exposición de los sistemas críticos, aunque presenta la protección como el resultado de controles complementarios y no como una garantía absoluta de la arquitectura 5G.
El episodio de Salt Typhoon también sirve para destacar la importancia de la seguridad más allá de los sistemas propios. T-Mobile compartió información sobre la técnica utilizada con organismos federales, otros operadores y organizaciones especializadas. La compañía señala su colaboración con la Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos (CISA, por sus siglas en inglés), así como su participación como miembro fundador del C2 ISAC, dedicado al intercambio de información sobre amenazas, y del CTIA 5G Security Test Bed, una iniciativa que reúne a operadores, fabricantes e instituciones de investigación para validar estándares de seguridad 5G.
Más allá de la infraestructura, el informe aborda los cambios introducidos en los mecanismos de identificación corporativa. T-Mobile implantó un procedimiento de verificación biométrica desarrollado con CLEAR y extendió a empleados, contratistas y socios el uso de llaves de seguridad YubiKey compatibles con FIDO2 para sustituir las contraseñas tradicionales. Según el operador, desde que completó ambos despliegues, los incidentes de compromiso de credenciales de empleados relacionados con phishing se han reducido un 99 por ciento. Esta transformación se complementa con un modelo de confianza cero o *zero trust* mediante Zscaler Zero Trust Exchange, una plataforma que inspecciona más de 160 millones de transacciones por trimestre y ha bloqueado más de seis millones de amenazas desde su implantación.
La compañía también destaca la apertura, en 2025, de un nuevo Cyber Defense Center, que funciona permanentemente e integra espacios dedicados a vigilancia, respuesta ante incidentes, investigación y análisis forense. Durante ese mismo año, su plantilla completó más de 200.000 actividades formativas sobre ciberseguridad, como parte de una estrategia que combina tecnología, procedimientos y capacitación del personal.
La protección de los usuarios constituye otro de los grandes bloques del documento. T-Mobile asegura que todos sus clientes reciben protecciones básicas incorporadas directamente a la red. En el ámbito de las llamadas, sus herramientas Scam ID y Scam Block, introducidas en marzo de 2017, han permitido identificar o bloquear más de 160.000 millones de llamadas no deseadas desde su lanzamiento. Actualmente, la compañía identifica o bloquea una media superior a 800 llamadas fraudulentas por segundo. Solo durante 2025, clasificó cerca de 29.000 millones de llamadas entrantes como posibles intentos de estafa o spam, de las cuales más de 428 millones fueron identificadas y etiquetadas mediante sus nuevos sistemas de IA y aprendizaje automático, una cifra diez veces superior a la registrada en 2024 con estos mecanismos.
T-Mobile también incorporó Scam Callback Protection, una funcionalidad que advierte a los usuarios cuando intentan llamar a números asociados con fraudes. Desde su lanzamiento, el sistema ha emitido más de 67 millones de avisos y, según la compañía, la mayoría de los destinatarios decidió finalizar la llamada antes de establecer la conexión. La protección se extiende a los mensajes, con cerca de 3.000 millones de SMS y MMS fraudulentos o no deseados bloqueados durante 2025. En materia de navegación, Safe Web Browsing, introducido ese mismo año, ha bloqueado más de 100.000 millones de solicitudes a dominios maliciosos mediante controles aplicados en el sistema de nombres de dominio (DNS, por sus siglas en inglés). Estas cifras corresponden a comunicaciones o solicitudes identificadas y bloqueadas, no necesariamente a ataques individuales o usuarios afectados.
La protección de las cuentas telefónicas también ocupa un lugar destacado. Para reducir los riesgos de portabilidad fraudulenta y sustitución no autorizada de tarjetas SIM, T-Mobile ofrece mecanismos adicionales de autenticación, verificaciones biométricas y advertencias durante operaciones sensibles. Según el informe, estas medidas han permitido reducir un 99 por ciento los ataques de SIM swap exitosos desde 2022, aunque reconoce que persisten incidentes asociados con ataques dirigidos e ingeniería social. La compañía también utiliza modelos de aprendizaje automático y análisis de comportamiento para detectar dispositivos que concentran múltiples tarjetas SIM y generan tráfico fraudulento a gran escala.
Otro de los frentes abordados es la seguridad de la cadena de suministro, debido a la dependencia de fabricantes, proveedores de software y servicios externos. T-Mobile realiza evaluaciones de seguridad, utiliza inventarios de componentes de software y supervisa sus aplicaciones en la nube. Su programa de recompensas por identificación de vulnerabilidades, gestionado con Bugcrowd, ha recibido más de 1.400 comunicaciones válidas, de las cuales asegura haber resuelto todas salvo las más recientes. El informe también recoge certificaciones ISO/IEC 27001:2022 e ISO/IEC 42001:2023, informes SOC 2 Type 2 y SOC 3 para ámbitos definidos, cumplimiento de PCI DSS v4.0.1 y el proceso para obtener CMMC Level 2.
La compañía dedica asimismo un apartado a sus soluciones empresariales de ciberseguridad, que incluyen gestión de vulnerabilidades, protección de dispositivos, acceso seguro a aplicaciones y autenticación mediante SIM o eSIM. Su cartera incorpora soluciones SASE, T-SIMsecure, Security Slice, Mobile Threat Defense y SmartVPN, destinadas a organizaciones con infraestructuras distribuidas, operaciones móviles y servicios en la nube.
Finalmente, T-Mobile identifica entre sus prioridades las pruebas adversariales de sistemas de IA, la protección de identidades no humanas, como agentes de IA, bots y servicios automatizados, y la preparación para estándares de cifrado poscuántico. También utiliza entornos controlados que atraen actividad maliciosa para estudiar técnicas de ataque y alimentar sus sistemas de detección. Jeff Simon, vicepresidente ejecutivo y director de Información de T-Mobile, reconoce que ninguna organización puede garantizar que detendrá todas las amenazas. El informe presenta así la ciberseguridad como un proceso continuo de inversión, adaptación y colaboración que debe extenderse más allá de la infraestructura del propio operador.
