In 2024 lekte AT&T de communicatiegegevens van 109 miljoen klanten, waaronder bel- en locatiegegevens die tot twee jaar oud waren.
In 2024 raakte AT&T de gevoelige communicatiegegevens van 109 miljoen klanten kwijt door een omvangrijk datalek. Deze belgegevens bevatten informatie zoals telefoonnummers, aantal gesprekken en sms'jes, gespreksduur en locatiegegevens, die tussen mei 2022 en januari 2023 waren verzameld. Dit betekent dat de data bij het lek ongeveer twee jaar oud was en zowel huidige als voormalige klanten trof.
Hoewel AT&T aangaf dat de inhoud van gesprekken, klantnamen en burgerservicenummers niet waren gelekt, zijn belgegevens op zichzelf al zeer privacygevoelig. Ze kunnen inzicht geven in iemands naaste relaties, woon- en werkplek en dagelijkse routines. Elke oproep, sms en datasessie genereert binnen het netwerk van een provider zogenaamde SIP-berichten en Call Detail Records (CDR's). SIP-berichten regelen het opzetten en beëindigen van sessies, terwijl CDR's een samenvatting geven van wie, wanneer, hoe lang en via welke zendmast contact had. Deze metadata kan worden gecombineerd met openbare informatie om identiteiten te achterhalen, zoals aangetoond door Malte Spitz, die met 35.000 records zijn activiteiten over meerdere jaren reconstrueerde.
Belgegevens zijn een aantrekkelijk doelwit omdat ze vaak jarenlang worden bewaard. Providers geven meestal niet precies aan hoe lang, maar in 2022 bleek uit een FCC-verzoek dat locatiegegevens tot vijf jaar worden opgeslagen, veel langer dan strikt noodzakelijk voor telefoniediensten. Een reden hiervoor is dat deze data wordt gemonetariseerd. Daarnaast vormen providers grote doelwitten voor aanvallen en zijn hun systemen regelmatig gehackt, zoals bij AT&T en andere grote Amerikaanse telecombedrijven. Hierdoor kunnen belmetadata van vrijwel elke Amerikaan toegankelijk worden voor kwaadwillenden. Ook worden deze gegevens gebruikt om uitgebreide gedragsprofielen op te bouwen die verkocht worden aan advertentienetwerken, datahandelaren en soms overheden.
