Syniverse, que encamina los mensajes de texto de las operadoras estadounidenses, estuvo cinco años pirateada sin que se detectara

Syniverse encamina más de 740.000 millones de mensajes al año para más de 300 operadores móviles, entre ellos Verizon, T-Mobile y AT&T. El 5 de octubre de 2021, Ars Technica informó de que una declaración preliminar de representación (proxy statement), presentada ante la SEC el 27 de septiembre para su fusión prevista con una sociedad de adquisición con fines especiales (SPAC), revelaba un acceso no autorizado a sus sistemas operativos y de TI.

La presentación indicaba que Syniverse tuvo conocimiento del acceso en mayo de 2021 y que este había comenzado en mayo de 2016. El intruso accedió a bases de datos dentro de su red en varias ocasiones, y la información de inicio de sesión de su entorno de Transferencia Electrónica de Datos (EDT) quedó comprometida para unos 235 clientes. Syniverse notificó a las autoridades policiales y a los clientes afectados cuando así lo exigían los contratos, restableció o desactivó todas las credenciales EDT de los clientes y afirmó que no había visto indicios de intención de interrumpir el servicio ni de monetizar el acceso.

Syniverse se negó a decir si se habían expuesto mensajes de texto, alegando confidencialidad y una investigación policial en curso. T-Mobile dijo que no tenía indicios de que se hubieran visto afectados datos personales, registros de llamadas ni el contenido de los mensajes. Vice, citando a un antiguo empleado y a un empleado de una operadora, informó de que los sistemas EDT podían contener registros de llamadas y posiblemente el contenido de los mensajes, lo que Syniverse no confirmó.

Quedaron comprometidas las credenciales de inicio de sesión del entorno EDT de unos 235 clientes y se restablecieron todas las credenciales EDT; Syniverse no quiso decir si se habían expuesto los mensajes de texto.

El intruso permaneció dentro durante unos cinco años, por lo que la detección de Syniverse no detectó la intrusión de 2016 hasta mayo de 2021.

Las credenciales del entorno EDT, que las operadoras utilizan para intercambiar datos de facturación y registros, quedaron comprometidas para alrededor de 235 clientes.

Syniverse es un nodo central para muchas operadoras, por lo que una sola brecha afectó a numerosos operadores a la vez, como confirmó T-Mobile.

Un proveedor de infraestructura del que dependen cientos de operadoras se convierte en un punto único de fallo. Cinco años de acceso no detectado demuestran que la monitorización no estaba a la altura de la sensibilidad de lo que transportaba.

Syniverse afirmó que había implantado medidas de protección adicionales, pero no las describió, y comunicó a la SEC que no podía garantizar que no descubriera más adelante pruebas de exfiltración de datos. La revelación se produjo en una sección de factores de riesgo de un documento de fusión con una SPAC. Ars recordó también un fallo anterior: un fallo de un servidor el 14 de febrero de 2019 dejó más de 168.000 mensajes sin entregar hasta noviembre de 2019. El artículo no informa de ninguna multa ni demanda.