미국 통신사들의 문자를 라우팅하는 Syniverse, 5년간 발각되지 않고 해킹당해

Syniverse는 Verizon, T-Mobile, AT&T를 포함한 300개 이상의 이동통신사업자를 위해 연간 740억 건 이상의 메시지를 라우팅한다. 2021년 10월 5일 Ars Technica는 백지수표회사(SPAC)와의 합병 계획을 위해 9월 27일 SEC에 제출된 예비 위임장 진술서에서 자사의 운영 및 IT 시스템에 대한 무단 접근이 공개되었다고 보도했다.

해당 서류는 Syniverse가 2021년 5월에 이 접근을 인지했으며 그것이 2016년 5월에 시작되었다고 밝혔다. 침입자는 여러 차례에 걸쳐 네트워크 내 데이터베이스에 접근했고, 전자 데이터 전송(EDT) 환경의 로그인 정보가 약 235개 고객사에 대해 손상되었다. Syniverse는 계약상 요구되는 경우 법 집행 기관과 영향을 받은 고객사에 통보했고, 모든 EDT 고객 자격 증명을 재설정하거나 비활성화했으며, 방해하거나 수익화하려는 의도의 증거는 발견하지 못했다고 밝혔다.

Syniverse는 기밀 유지와 진행 중인 법 집행 수사를 이유로 문자 메시지가 노출되었는지는 밝히지 않았다. T-Mobile은 개인 정보, 통화 기록 또는 메시지 내용이 영향을 받았다는 징후가 없다고 밝혔다. Vice는 전 직원과 통신사 직원을 인용해 EDT 시스템이 통화 기록과 아마도 메시지 내용을 보관할 수 있다고 보도했으나, Syniverse는 이를 확인하지 않았다.

약 235개 고객사의 EDT 환경 로그인 자격 증명이 손상되었고 모든 EDT 자격 증명이 재설정되었다. Syniverse는 문자가 노출되었는지는 밝히지 않았다.

침입자는 약 5년 동안 내부에 머물렀으므로, Syniverse의 탐지는 2016년의 침입을 2021년 5월까지 잡아내지 못했다.

통신사들이 청구 및 기록 데이터를 교환하는 데 사용하는 EDT 환경의 자격 증명이 약 235개 고객사에 대해 손상되었다.

Syniverse는 많은 통신사의 허브이므로, T-Mobile이 확인했듯이 한 번의 침해가 동시에 수많은 사업자에게 영향을 미쳤다.

수백 개의 통신사가 의존하는 인프라 공급업체는 단일 장애점이 된다. 5년간 발각되지 않은 접근은 모니터링이 자사가 처리하는 것의 민감도에 걸맞지 않았음을 보여준다.

Syniverse는 추가 보호 조치를 시행했다고 밝혔으나 그 내용을 설명하지 않았고, 나중에 데이터 유출 증거를 발견하지 않으리라고 보장할 수 없다고 SEC에 밝혔다. 이 공개는 SPAC 합병 문서의 위험 요인 항목에서 이루어졌다. Ars는 또한 이전의 사고도 상기했다. 2019년 2월 14일의 서버 장애로 168,000건 이상의 메시지가 2019년 11월까지 전달되지 않았다. 이 기사는 벌금이나 소송에 대해서는 보도하지 않는다.