Medewerkers van telecomgigant AT&T zijn door een Pakistaanse man omgekocht om malware op de systemen van het bedrijf te installeren en ongeautoriseerde hardware aan te sluiten, om zo 2 miljoen telefoons te unlocken. Dat stelt het Amerikaanse openbaar ministerie. De 34-jarige Pakistaan in kwestie is door Hong Kong aan de Verenigde Staten uitgeleverd.

AT&T biedt abonnementen met gelockte telefoons aan die alleen op het netwerk van de telecomprovider zijn te gebruiken. Door de telefoons te unlocken werken die ook met andere providers. Wanneer klanten aan de voorwaarden van hun abonnement of afgesproken betalingstermijnen hebben voldaan worden de telefoons door AT&T unlockt. Medewerkers van AT&T kunnen dit via de software van de provider regelen.

De verdachte bood AT&T-klanten een dienst aan waarbij hij hun toestel tegen betaling kon unlocken. Op deze manier konden klanten onder het contract met AT&T uitkomen en de telefoon die bij het abonnement zat ook bij andere providers gebruiken. Om dit voor elkaar te krijgen wist de verdachte van april 2012 tot september 2017 meerdere medewerkers van AT&T te rekruteren, die gedurende deze periode 2 miljoen telefoons unlockten.

Hiervoor maakten deze medewerkers onder andere gebruik van malware. Volgens de aanklacht stuurde de verdachte in april 2013 malware naar de medewerkers die ze op het netwerk van AT&T moesten installeren. De malware verzamelde allerlei vertrouwelijke informatie over de structuur en werking van AT&T's interne systemen en applicaties. Met deze informatie ontwikkelde de verdachte aanvullende malware die het mogelijk maakte om op afstand ongeautoriseerde unlockverzoeken in te dienen. De malware gebruikte hiervoor de inloggegevens van de AT&T-medewerkers die aan de fraude meewerkten.

Eind 2013 ontdekte AT&T de malware en frauderende medewerkers die vervolgens het bedrijf verlieten. Het volgende jaar wist de verdachte opnieuw medewerkers om te kopen en ontwikkelde hij apparaten waarmee er toegang tot het AT&T-netwerk kon worden verkregen om zo de ongeautoriseerde unlockverzoeken uit te voeren. De verdachte gaf deze apparaten aan de omgekochte medewerkers die ze op het netwerk aansloten. De fraude ging door tot september 2017.

De Pakistaanse man is in totaal voor vijftien vergrijpen aangeklaagd, zo laat het Amerikaanse openbaar ministerie weten (pdf). Op elk vergrijp staat een maximale gevangenisstraf van 20 jaar. Wanneer de zaak voor de rechter komt is nog onbekend.