I routern borde finnas trafik-logg som visar externa ip-adresser, vilket borde ge ledtråd vem/vad som orsakar trafiken.
Routern har ibland möjlighet att ställa in så att endast utvalda IP-adresser både internt och extern kan nås.
Byt annars tillfälligt router till en som har bättre trafik-logg eller som man kan köra nmap på.
Bytet ger även info om det är själva routern som orsakar trafiken.
Uppdatera firmwaren i routern, då något kan fått spel i nuvarande firmware.
De flesta routrar som kan köra DD-WRT eller t.ex. ASUS Merlin m.fl. är det rätt lätt att sätta upp detaljerade loggar och trafik-regler eller installera andra programvaror som loggar och som även skickar loggarna vidare.
Man kan även spegla LAN-trafiken till en en av router-portarna där man kopplar upp dator med wireshark. Då kan man även se exakta innehållet i de paket som skickas.
Lite väl avancerat men värt och nämna som möjlighet är att sätta upp en egen calltester som mellanhand mellan router och Telias basstation och logga trafiken.
Det är dock dyrt instrument som sällan lämnar mät-labbet.
Enklare och billigare med IMSI-catchers men det är få privatpersoner som har sådana.
En IMSI-catcher kan man göra själv. Det finns fri programvara, t.ex. openLTE och hårdvaran kan vara en sådan här: https://www.ettus.com/product/category/USRP-X-Series
Slutligen, förmodligen svårt men kan var värt försök, är att begära ut trafik-loggar med IP-adresser från Telia.
Den ASUS router jag har i sommarstugan är uppkopplad till Telenor via USB-sticka och där loggar jag trafiken och skickar hem den regelbundet. Blev lite förvånad när loggen plötsligt visade att enheter på min nätverk kontaktat både ryska servrar och döda websidor på Geocities.
Det visade sej vara en nyinstallerad 10 år gammal D-link webkameran som hade programdelar där ursprunglig författare antagligen velat få överblick över omfattningen av användandet och därför lagt in anrop hem vid uppstart av kameran. Orsakade obetydliga trafik-mängder men har nu blockerat kameran från all yttre trafik utom till ett fåtal svenska IP-adresser. Blockeringen har jag gjort i routern.
Det borde gå blockera kort-läsaren på samma sätt. Den har antagligen bara har anledning att kontakta ett fåtal IP-adresser.
Kan även vara kortläsaren som avsiktligt håller konstant trafik så länge den är uppkopplad men det syns då i loggarna.
Värsta scenariot är om kortläsaren råkat ut för något i denna stilen: https://www.engadget.com/2016/11/23/mad … card-hack/
Har en NanoBTS som kör OpenBSC som är open source. Den klarar av att intercepta samtal, SMS och även datatrafik.