Оператори можуть роками зберігати метадані дзвінків і повідомлень
AT&T повідомляла про витік журналів комунікацій 109 млн клієнтів, а матеріал описує ризики тривалого зберігання метаданих операторами.
Американський оператор AT&T у 2024 році повідомив про витік журналів комунікацій 109 мільйонів клієнтів, що містили номери телефонів, кількість і тривалість дзвінків та повідомлень, а також дані про місцезнаходження. Як пише BleepingComputer, ці відомості охоплювали періоди від травня до жовтня 2022 року та січень 2023 року й на час інциденту були приблизно дворічної давнини.
AT&T заявляла, що записи не містили змісту розмов, імен клієнтів або номерів соціального страхування. Водночас метадані комунікацій можуть розкривати близькі контакти людини, її ймовірні місце проживання та роботи, а також щоденний розпорядок.
Які дані фіксують оператори
Кожен дзвінок, текстове повідомлення чи сеанс передавання даних створює записи в мережі оператора. Зокрема, SIP-повідомлення використовують для встановлення та завершення сеансів зв’язку, а Call Detail Records, або CDR, узагальнюють дані про учасників комунікації, час, тривалість та часто базову станцію, через яку працював телефон.
Такі журнали потрібні операторам для усунення технічних несправностей, виставлення рахунків і розрахунків із партнерами в роумінгу. У 2022 році оператори у відповідь на запит голови Федеральної комісії зі зв’язку США повідомили, що зберігають геолокаційні дані до п’яти років.
Заяви Cape про коротше зберігання
Матеріал має позначку спонсорованого та написаного американським мобільним оператором Cape. Компанія заявляє, що видаляє внутрішні CDR через один день, SIP-повідомлення зберігає 14 днів, платіжні CDR — до 30 днів, а добові підсумки використання послуг — до 60 днів. За твердженням Cape, вона також змінює мережевий ідентифікатор абонента, щоб ускладнити прив’язку журналів операторів веж зв’язку до конкретної людини.
Компанія повідомила, що Trail of Bits провела аудит цієї функції у травні та липні 2026 року. За даними Cape, аудитори не виявили доказів порушення заявлених строків видалення CDR і не встановили збереження індивідуальних даних із цих записів, окрім добових підсумків кількості дзвінків, SMS, MMS та обсягу використаних даних.
