Syniverse, qui achemine les textos pour les opérateurs américains, a été piraté pendant cinq ans sans que personne ne s'en aperçoive

Syniverse achemine plus de 740 milliards de messages par an pour plus de 300 opérateurs mobiles, dont Verizon, T-Mobile et AT&T. Le 5 octobre 2021, Ars Technica a rapporté qu'une déclaration préliminaire de procuration, déposée auprès de la SEC le 27 septembre en vue de sa fusion prévue avec une société à chèque en blanc, divulguait un accès non autorisé à ses systèmes opérationnels et informatiques.

Le document indiquait que Syniverse avait eu connaissance de cet accès en mai 2021 et que celui-ci avait commencé en mai 2016. L'intrus a atteint des bases de données au sein de son réseau à plusieurs reprises, et les informations de connexion à son environnement Electronic Data Transfer ont été compromises pour environ 235 clients. Syniverse a informé les forces de l'ordre et les clients concernés lorsque les contrats l'exigeaient, a réinitialisé ou désactivé tous les identifiants EDT des clients, et a déclaré n'avoir vu aucune preuve d'une intention de perturber ou de monétiser.

Syniverse a refusé de dire si des messages texte avaient été exposés, invoquant la confidentialité et une enquête des forces de l'ordre en cours. T-Mobile a déclaré n'avoir aucune indication que des informations personnelles, des relevés d'appels ou le contenu de messages aient été affectés. Vice, citant un ancien employé et un employé d'un opérateur, a rapporté que les systèmes EDT pouvaient contenir des relevés d'appels et éventuellement le contenu de messages, ce que Syniverse n'a pas confirmé.

Les identifiants de connexion à l'environnement EDT d'environ 235 clients ont été compromis et tous les identifiants EDT ont été réinitialisés ; Syniverse n'a pas voulu dire si des textos avaient été exposés.

L'intrus est resté à l'intérieur pendant environ cinq ans, de sorte que la détection de Syniverse n'a pas repéré l'intrusion de 2016 avant mai 2021.

Les identifiants de l'environnement EDT, que les opérateurs utilisent pour échanger des données de facturation et de relevés, ont été compromis pour environ 235 clients.

Syniverse est un hub pour de nombreux opérateurs, de sorte qu'une seule violation a touché simultanément de nombreux opérateurs, comme T-Mobile l'a confirmé.

Un fournisseur d'infrastructure dont dépendent des centaines d'opérateurs devient un point de défaillance unique. Cinq années d'accès non détecté montrent que la surveillance n'était pas à la hauteur de la sensibilité de ce qu'elle transportait.

Syniverse a déclaré avoir mis en œuvre des mesures de protection supplémentaires sans les décrire, et a indiqué à la SEC qu'elle ne pouvait pas garantir qu'elle ne découvrirait pas ultérieurement des preuves d'exfiltration de données. La divulgation figurait dans une section sur les facteurs de risque d'un document de fusion SPAC. Ars a également rappelé un incident antérieur : une défaillance de serveur le 14 février 2019 a laissé plus de 168 000 messages non distribués jusqu'en novembre 2019. L'article ne rapporte ni amende ni poursuite.