SMS Routing Company gibt eine fünfjährige Datenschutzverletzung bekannt
Ein beliebtes Telekommunikationsunternehmen, Syniverse, gab der Securities and Exchange Commission bekannt, dass Hacker über fünf Jahre lang Zugriff auf ihre Systeme hatten, was zur Kompromittierung von Millionen von Anmeldeinformationen, Daten und Textnachrichten ihrer Kunden führte.
Wohlgemerkt, Syniverse bietet SMS-Routing-Dienste für namhafte Netzbetreiber wie Verizon, AT&T, Vodafone, T-Mobile, China Mobile und mehr. Laut der offiziellen Website des Unternehmens verarbeitet es jährlich über 740 Milliarden Nachrichten.
Bildnachweis: Syniverse
Laut der letzte Woche veröffentlichten Einreichung der Securities and Exchange Commission entdeckte Syniverse unbefugten Zugriff auf seine „Betriebs- und Informationstechnologiesysteme durch eine unbekannte Person oder Organisation…. Zugriff auf oder von seiner Electronic Data Transfer (EDT)-Umgebung zu ermöglichen."
Der Telekom-Riese wurde im Mai 2021 auf die Situation aufmerksam und leitete eine interne Untersuchung ein. „Die Ergebnisse der Untersuchung ergaben, dass der unbefugte Zugriff im Mai 2016 begann”, gab das Unternehmen in der Akte bekannt.
AT&T und Verizon reagierten nicht sofort auf die Bitte um Stellungnahme. T-Mobile erklärte jedoch in seiner Erklärung gegenüber Ars Technica, dass es „keine Hinweise darauf gibt, dass persönliche Daten, Anrufaufzeichnungsdetails oder Textnachrichteninhalte von T-Mobile-Kunden betroffen waren”. Gleichzeitig war ihnen ein Sicherheitsmissgeschick beim Telekom-Riesen bekannt.
Karsten Nohl, ein Sicherheitsforscher, kommentierte die Offenlegung der Datenschutzverletzung, dass Syniverse aus erster Hand Zugriff auf die Telefongesprächsaufzeichnungen und Textnachrichten aller seiner Benutzer und Kunden sowie indirekten Zugriff auf eine breite Palette von SMS 2FA-geschützten Internetkonten hat.
Senator Ron Wyden sagte in seiner E-Mail-Erklärung:
„Die Informationen, die durch die Systeme von Syniverse fließen, sind Spionagegold”,
Er erwähnte weiter:
„Dass dieser Verstoß fünf Jahre lang unentdeckt blieb, wirft ernsthafte Fragen zu den Cybersicherheitspraktiken von Syniverse auf. Die FCC muss dem Geschehen auf den Grund gehen, feststellen, ob die Cybersicherheitspraktiken von Syniverse fahrlässig waren, feststellen, ob die Konkurrenten von Syniverse ähnliche Verstöße erlebt haben, und dann verbindliche Cybersicherheitsstandards für diese Branche festlegen.”
Darüber hinaus reagierten das FBI und die FCC nicht sofort, als sie um eine Stellungnahme gebeten wurden, während CISA die Anfrage ablehnte.
Nun, dies ist nicht das erste Mal, dass Mobilfunknetzbetreiber Opfer einer Datenschutzverletzung wurden. Vor etwa zwei Monaten wurde die Datenbank von AT&T verletzt, was zu einem Datenleck von 70 Millionen Kunden führte, die zu einem Mindestpreis von 200.000 US-Dollar verkauft wurden.
Im selben Monat stahlen Hacker Daten von über 100 Millionen Nutzern von T-Mobile, übernahmen später die Verantwortung für den Angriff und erwähnten, dass der Netzbetreiber über schreckliche Sicherheitsvorkehrungen verfüge.