米国の通信事業者向けにテキストをルーティングするSyniverse、5年間気付かれずにハッキングされていた

Syniverseは、Verizon、T-Mobile、AT&Tを含む300以上の移動体通信事業者のために年間7400億通以上のメッセージをルーティングしている。2021年10月5日、Ars Technicaは、空白小切手会社との合併計画のために9月27日にSECへ提出された予備委任状において、同社の運用システムおよびITシステムへの不正アクセスが開示されたと報じた。

提出書類によると、Syniverseは2021年5月にこのアクセスを認識し、それは2016年5月に始まっていた。侵入者は複数回にわたり同社ネットワーク内のデータベースに到達し、Electronic Data Transfer環境のログイン情報が約235社の顧客について侵害された。Syniverseは法執行機関および契約上必要な顧客に通知し、EDT顧客の認証情報をすべてリセットまたは無効化し、妨害や収益化を意図した証拠は見られないと述べた。

Syniverseは、機密性および進行中の法執行機関の調査を理由に、テキストメッセージが露出したかどうかについては明言を避けた。T-Mobileは、個人情報、通話記録、メッセージ内容が影響を受けた兆候はないと述べた。Viceは、元従業員および通信事業者の従業員の話として、EDTシステムが通話記録や場合によってはメッセージ内容を保持し得ると報じたが、Syniverseはこれを確認しなかった。

約235社の顧客のEDT環境のログイン認証情報が侵害され、すべてのEDT認証情報がリセットされた。Syniverseはテキストが露出したかどうかについては明言しなかった。

侵入者は約5年間内部に留まったため、Syniverseの検知は2016年の侵入を2021年5月まで捉えられなかった。

通信事業者が請求および記録データを交換するために使用するEDT環境の認証情報が、約235社の顧客について侵害された。

Syniverseは多くの通信事業者にとってのハブであるため、T-Mobileが確認したように、1件の侵害が多数の事業者に同時に影響を及ぼした。

数百の通信事業者が依存するインフラベンダーは単一障害点となる。5年間にわたり検知されなかったアクセスは、監視が同社の運ぶ情報の機微性に見合っていなかったことを示している。

Syniverseは追加の保護措置を実施したと述べたが、その内容は説明せず、後日データ流出の証拠を発見しないことを保証できないとSECに伝えた。この開示はSPAC合併文書のリスク要因のセクションでなされた。Arsはまた、以前の不具合も想起した。2019年2月14日のサーバー障害により、168,000通以上のメッセージが2019年11月まで配信されずに残った。記事は罰金や訴訟については報じていない。