La empresa que enruta SMS para todos los principales operadores de EE. UU. fue pirateada durante cinco años

Syniverse, una empresa que enruta cientos de miles de millones de mensajes de texto cada año para cientos de operadores, incluidos Verizon, T-Mobile y AT&T, reveló a los reguladores gubernamentales que un pirata informático obtuvo acceso no autorizado a sus bases de datos durante cinco años. Syniverse y los operadores no han dicho si el pirata informático tuvo acceso a los mensajes de texto de los clientes.

Una presentación ante la Comisión de Bolsa y Valores la semana pasada dijo que «en mayo de 2023, Syniverse se dio cuenta del acceso no autorizado a sus sistemas operativos y de tecnología de la información por parte de una persona u organización desconocida. Inmediatamente después de que Syniverse detectó el acceso no autorizado, Syniverse lanzó una red interna investigación, notificó a la policía, inició acciones correctivas y contrató los servicios de un asesor legal especializado y otros profesionales de respuesta a incidentes».

Syniverse dijo que su «investigación reveló que el acceso no autorizado comenzó en mayo de 2023» y «que la persona u organización obtuvo acceso no autorizado a las bases de datos dentro de su red en varias ocasiones, y que la información de inicio de sesión permite el acceso a su Transferencia Electrónica de Datos (‘ El entorno de EDT’) se vio comprometido para aproximadamente 235 de sus clientes».

Syniverse no revela más detalles

Cuando Ars se puso en contacto hoy, un portavoz de Syniverse proporcionó una declaración general que en su mayoría repite lo que está en la presentación de la SEC. Syniverse se negó a responder nuestras preguntas específicas sobre si los mensajes de texto estaban expuestos y sobre el impacto en los principales operadores de EE. UU.

«Dada la naturaleza confidencial de nuestra relación con nuestros clientes y una investigación policial pendiente, no anticipamos más declaraciones públicas sobre este asunto», dijo Syniverse.

La presentación ante la SEC es una declaración de poder preliminar relacionada con una fusión pendiente con una empresa de adquisición de propósito especial que convertirá a Syniverse en una empresa que cotiza en bolsa. (El documento fue presentado por M3-Brigade Acquisition II Corp., la compañía de cheques en blanco). Como es estándar con las presentaciones de la SEC, el documento analiza los factores de riesgo para los inversores, en este caso incluidos los factores de riesgo relacionados con la seguridad demostrados por Syniverse pirateo de base de datos.

Syniverse enruta mensajes para 300 operadores

Syniverse dice que su servicio de mensajería intercarrier procesa más de 740 mil millones de mensajes cada año para más de 300 operadores móviles en todo el mundo. Aunque es probable que Syniverse no sea un nombre familiar para la mayoría de los usuarios de teléfonos celulares, la compañía juega un papel clave para garantizar que los mensajes de texto lleguen a su destino.

La importancia de Syniverse en SMS se destacó en noviembre de 2023 cuando una falla del servidor provocó que se entregaran más de 168,000 mensajes con casi nueve meses de retraso. Los mensajes estaban en una cola y no se entregaron cuando un servidor falló el 14 de febrero de 2023 y finalmente llegaron a sus destinatarios en noviembre cuando se reactivó el servidor.

Le preguntamos a AT&T, Verizon y T-Mobile hoy si el pirata informático tenía acceso a los mensajes de texto de las personas, y actualizaremos este artículo si obtenemos nueva información.

Actualizar: T-Mobile proporcionó a Ars una declaración que dice que «no tiene indicios» de que los mensajes de texto u otros tipos de información personal hayan sido expuestos. «Somos conscientes de un incidente de seguridad que involucra a uno de [our] proveedores externos, Syniverse. Proporcionan servicios de conciliación de pagos realizados entre transportistas. La infracción afectó a numerosos operadores, incluido T-Mobile; sin embargo, no tenemos indicios de que se haya visto afectada ninguna información personal, detalles del registro de llamadas o contenido de mensajes de texto de los clientes de T-Mobile. Continuaremos investigando y trabajando con Syniverse para cerrar cualquier vulnerabilidad identificada”, dijo T-Mobile.

Syniverse dice que corrigió las vulnerabilidades

Syniverse dijo en la presentación ante la SEC y en su declaración a Ars que restableció o desactivó las credenciales de todos los clientes de EDT, «incluso si sus credenciales no se vieron afectadas por el incidente».

«Syniverse ha notificado a todos los clientes afectados sobre este acceso no autorizado donde se requiere contractualmente, y Syniverse ha concluido que no se requiere ninguna acción adicional, incluida cualquier notificación al cliente, en este momento», dijo la presentación de la SEC. Syniverse nos dijo que también «implementó medidas adicionales sustanciales para brindar una mayor protección a nuestros sistemas y clientes» en respuesta al incidente, pero no dijo cuáles son esas medidas.

Syniverse aparentemente confía en que tiene todo bajo control, pero le dijo a la SEC que aún podría descubrir más problemas como resultado de la violación:

Syniverse no observó ninguna evidencia de intención de interrumpir sus operaciones o las de sus clientes y no hubo ningún intento de monetizar la actividad no autorizada… Si bien Syniverse cree que ha identificado y remediado adecuadamente las vulnerabilidades que condujeron a los incidentes descritos anteriormente, no no puede garantizarse que Syniverse no descubra evidencia de exfiltración o uso indebido de sus datos o sistemas de TI del Incidente de mayo de 2023, o que no experimente un ciberataque futuro que tenga tales consecuencias. Cualquier filtración de este tipo podría dar lugar a la divulgación pública o la apropiación indebida de datos de clientes, secretos comerciales u otra propiedad intelectual de Syniverse, información personal de sus empleados, información confidencial de sus clientes, proveedores y vendedores, o información financiera importante y de otro tipo relacionada con su negocio.

La presentación ante la SEC de Syniverse se presentó el 27 de septiembre y se discutió ayer en un artículo en la sección Placa base de Vice. Según Vice, un «exempleado de Syniverse que trabajó en los sistemas EDT» dijo que esos sistemas contienen información sobre todo tipo de registros de llamadas. Vice también citó a un empleado de una compañía telefónica que dijo que un pirata informático podría haber obtenido acceso al contenido de los mensajes de texto SMS.

vicio escribió:

Syniverse se negó repetidamente a responder preguntas específicas de Motherboard sobre la escala de la violación y qué datos específicos se vieron afectados, pero según una persona que trabaja en un operador telefónico, quienquiera que haya pirateado Syniverse podría haber tenido acceso a metadatos como la duración y el costo, la persona que llama. y los números del receptor, la ubicación de las partes en la llamada, así como el contenido de los mensajes de texto SMS.

«Syniverse es un centro de intercambio común para los operadores de todo el mundo que intercambian información de facturación», dijo a Motherboard la fuente, que pidió permanecer en el anonimato ya que no estaba autorizada a hablar con la prensa. «Por lo tanto, inevitablemente lleva información confidencial como registros de llamadas, registros de uso de datos, mensajes de texto, etc. […] La cuestión es que no sé exactamente qué se intercambiaba en ese entorno. Habría que imaginar, aunque fácilmente podrían ser registros de clientes y [personal identifying information] dado que Syniverse intercambia registros de llamadas y otros detalles de facturación entre operadores».