Syniverse, das für US-Mobilfunkanbieter SMS weiterleitet, wurde fünf Jahre lang unbemerkt gehackt

Syniverse leitet jährlich mehr als 740 Milliarden Nachrichten für über 300 Mobilfunkbetreiber weiter, darunter Verizon, T-Mobile und AT&T. Am 5. Oktober 2021 berichtete Ars Technica, dass in einem vorläufigen Proxy Statement, das am 27. September bei der SEC für die geplante Fusion mit einer Blank-Check-Gesellschaft eingereicht wurde, ein unbefugter Zugriff auf seine operativen und IT-Systeme offengelegt worden sei.

In dem Dokument hieß es, Syniverse habe den Zugriff im Mai 2021 bemerkt und dieser habe im Mai 2016 begonnen. Der Eindringling gelangte mehrfach in Datenbanken innerhalb seines Netzwerks, und Anmeldeinformationen für seine Electronic-Data-Transfer-Umgebung wurden für etwa 235 Kunden kompromittiert. Syniverse informierte die Strafverfolgungsbehörden und die betroffenen Kunden, soweit dies vertraglich erforderlich war, setzte alle EDT-Kundenanmeldedaten zurück oder deaktivierte sie und erklärte, es gebe keine Hinweise auf eine Absicht, den Betrieb zu stören oder Gewinn daraus zu ziehen.

Syniverse wollte nicht sagen, ob Textnachrichten offengelegt wurden, und berief sich auf Vertraulichkeit und eine laufende strafrechtliche Untersuchung. T-Mobile erklärte, es gebe keine Hinweise darauf, dass personenbezogene Daten, Anrufaufzeichnungen oder Nachrichteninhalte betroffen seien. Vice berichtete unter Berufung auf einen ehemaligen Mitarbeiter und einen Mitarbeiter eines Mobilfunkbetreibers, dass die EDT-Systeme Anrufaufzeichnungen und möglicherweise Nachrichteninhalte enthalten könnten, was Syniverse nicht bestätigte.

Anmeldeinformationen für die EDT-Umgebung von etwa 235 Kunden wurden kompromittiert und alle EDT-Anmeldedaten zurückgesetzt; Syniverse wollte nicht sagen, ob Textnachrichten offengelegt wurden.

Der Eindringling blieb etwa fünf Jahre lang im System, sodass Syniverse den Eindringversuch von 2016 erst im Mai 2021 entdeckte.

Anmeldedaten für die EDT-Umgebung, die Mobilfunkbetreiber zum Austausch von Abrechnungs- und Datensätzen nutzen, wurden für rund 235 Kunden kompromittiert.

Syniverse ist ein Knotenpunkt für viele Mobilfunkbetreiber, sodass eine einzige Sicherheitsverletzung zahlreiche Betreiber gleichzeitig traf, wie T-Mobile bestätigte.

Ein Infrastrukturanbieter, auf den Hunderte Mobilfunkbetreiber angewiesen sind, wird zu einem Single Point of Failure. Fünf Jahre unbemerkten Zugriffs zeigen, dass die Überwachung nicht der Sensibilität dessen entsprach, was er weiterleitete.

Syniverse erklärte, es habe zusätzliche Schutzmaßnahmen umgesetzt, beschrieb diese jedoch nicht, und teilte der SEC mit, es könne nicht garantieren, später keine Hinweise auf eine Datenexfiltration zu entdecken. Die Offenlegung erfolgte in einem Risikofaktorenabschnitt eines SPAC-Fusionsdokuments. Ars erinnerte auch an einen früheren Vorfall: Ein Serverausfall am 14. Februar 2019 führte dazu, dass mehr als 168.000 Nachrichten bis November 2019 nicht zugestellt wurden. Der Artikel berichtet über keine Geldstrafe und keine Klage.