Syniverse, een bedrijf dat naar eigen zeggen 740 miljard sms-berichten per jaar verwerkt en nagenoeg alle grote telecomproviders ter wereld als klant heeft, heeft in een document aan de Amerikaanse beurswaakhond SEC een omvangrijk en jarenlang datalek gemeld dat mogelijk miljoenen of miljarden mensen raakt.

In een document dat op 27 september bij de SEC werd ingediend stelt Syniverse dat het in mei van dit jaar ongeautoriseerde toegang tot operationele en it-systemen ontdekte. Verder onderzoek wees uit dat de aanvaller of aanvallers al sinds mei 2016 toegang tot de systemen en databases van Syniverse hadden. Daarbij zijn de inloggegevens van 235 klanten gecompromitteerd.

Het bedrijf heeft naar eigen zeggen directe verbindingen met meer dan driehonderd telecomproviders wereldwijd. Daarnaast zijn 95 van de honderd grootste telecomproviders ter wereld klant van het bedrijf, waaronder AT&T en Verizon. Alle getroffen klanten zijn volgens Syniverse inmiddels ingelicht. Hoe de aanvaller toegang tot de systemen wist te krijgen is niet bekendgemaakt. Wel laat het bedrijf weten dat "alle kwetsbaarheden" die het datalek mogelijk maakten inmiddels zijn verholpen.

Met de gecompromitteerde inloggegevens had de aanvaller mogelijk toegang tot de sms-berichten van miljoenen of miljarden mensen kunnen krijgen, afhankelijk van de getroffen telecomprovider, zo laat een bron tegenover Vice Magazine weten.

"Syniverse heeft toegang tot de communicatie van honderden miljoenen, zo niet miljarden, mensen wereldwijd. Een vijfjarig datalek in één van de primaire systemen van Syniverse is een wereldwijde privacyramp", zegt beveiligingsonderzoeker Karsten Nohl. Volgens Nohl hebben de systemen van Syniverse directe toegang tot gespreksgegevens en sms-berichten, en indirecte toegang tot een groot aantal online accounts die door middel van tweefactorfactorauthenticatie via sms worden beveiligd.

De Amerikaanse senator Ron Wyden laat tegenover Vice Magazine weten dat de Amerikaanse toezichthouder FCC een onderzoek moet instellen naar het datalek. "Dat dit datalek vijf jaar lang onopgemerkt bleef roept serieuze vragen op over de cybersecurity practices van Syniverse." Wyden wil van de FCC weten of het bedrijf nalatig is geweest en of er soortgelijke datalekken zich bij concurrenten van Syniverse hebben voorgedaan.