Syniverse, que encaminha mensagens de texto para operadoras dos EUA, foi invadida por cinco anos sem ser detectada

A Syniverse encaminha mais de 740 bilhões de mensagens por ano para mais de 300 operadoras móveis, incluindo Verizon, T-Mobile e AT&T. Em 5 de outubro de 2021, o Ars Technica noticiou que uma declaração preliminar de procuração, protocolada na SEC em 27 de setembro para sua fusão planejada com uma empresa de cheque em branco, revelou acesso não autorizado a seus sistemas operacionais e de TI.

O documento dizia que a Syniverse tomou conhecimento do acesso em maio de 2021 e que ele havia começado em maio de 2016. O invasor acessou bancos de dados dentro de sua rede em várias ocasiões, e informações de login de seu ambiente de Transferência Eletrônica de Dados foram comprometidas para cerca de 235 clientes. A Syniverse notificou as autoridades policiais e os clientes afetados onde exigido contratualmente, redefiniu ou desativou todas as credenciais de EDT dos clientes e disse não ter visto evidências de intenção de interromper ou monetizar.

A Syniverse se recusou a dizer se mensagens de texto foram expostas, citando confidencialidade e uma investigação policial em andamento. A T-Mobile disse não ter indicação de que informações pessoais, registros de chamadas ou conteúdo de mensagens tenham sido afetados. A Vice, citando um ex-funcionário e um funcionário de operadora, relatou que os sistemas EDT podiam conter registros de chamadas e possivelmente conteúdo de mensagens, o que a Syniverse não confirmou.

Credenciais de login do ambiente EDT de cerca de 235 clientes foram comprometidas e todas as credenciais de EDT foram redefinidas; a Syniverse não quis dizer se mensagens de texto foram expostas.

O invasor permaneceu dentro por cerca de cinco anos, de modo que a detecção da Syniverse não captou a invasão de 2016 até maio de 2021.

Credenciais do ambiente EDT, que as operadoras usam para trocar dados de cobrança e registros, foram comprometidas para cerca de 235 clientes.

A Syniverse é um hub para muitas operadoras, então uma única violação atingiu diversas operadoras ao mesmo tempo, como a T-Mobile confirmou.

Um fornecedor de infraestrutura do qual centenas de operadoras dependem se torna um ponto único de falha. Cinco anos de acesso não detectado mostram que o monitoramento não correspondia à sensibilidade do que era transportado.

A Syniverse disse ter implementado medidas de proteção adicionais, mas não as descreveu, e informou à SEC que não podia garantir que não descobriria evidências de exfiltração de dados mais tarde. A divulgação veio em uma seção de fatores de risco de um documento de fusão com uma SPAC. O Ars também recordou uma falha anterior: uma falha de servidor em 14 de fevereiro de 2019 deixou mais de 168.000 mensagens não entregues até novembro de 2019. O artigo não relata multa nem processo judicial.