Колко струва измама с централата
Злоупотребата с телефонна централа не е ново явление; говори се и за phreaking. Практически лист, публикуван в рамките на срещите с бизнеса на Arcep, описва най-честата форма: насочване на линиите към дестинации извън страната, към номера с добавена стойност, чрез автоматично стартирани обаждания. Измамникът печели от тези номера.
Същият лист посочва случая с един областен съвет, който през ноември 2015 г. получава сметка от 43 000 € за измамни обаждания към Африка. Размерът е достатъчен, за да се разбере залогът: сметката стига до дружеството, чиято линия е използвана, понякога седмици след събитията.
Листът отбелязва също, че централите, PABX или IPBX, са предпочитани мишени, защото защитата им често се следи по-малко от тази на ИТ сървърите. Централа, инсталирана преди години, чиито пароли никой не е сменил, е точно това, което търси измамникът.
Какво е изложено
IP телефонията трябва да приема връзки от интернет: това позволява на служител в командировка да се обажда през приложението на телефона си. Три входни точки концентрират риска.
- Акаунтите, които се регистрират от интернет. Всеки апарат, софтфон или приложение се свързва с централата с идентификатор и тайна парола. Ако тя е кратка, фабрична или използвана повторно, може да бъде предугадана или пробвана масово.
- Паролите за администриране и гласова поща. Оставени с фабричните си стойности, те дават достъп до настройките, включително пренасочванията навън. Листът на Arcep изисква всички пароли да се сменят още при инсталацията, а след това – редовно.
- Твърде свободните правила за обаждане. Апарат на рецепцията, който може да се обажда във всяка страна, по всяко време, превръща откраднат акаунт в отворена линия към целия свят.
Връзката с оператора, SIP trunk, е четвърта точка. Нейните данни за вход дават достъп до изхода към публичната мрежа. Те никога не бива да се използват другаде, освен в централата.
Намаляване на риска
Ефективните проверки са малко. Листът на Arcep набляга на паролите, политиката за употреба, актуализациите и наблюдението. Приложени към IP телефония, те изглеждат така.
- Дълги и уникални пароли за всеки акаунт на апарат, сменени при инсталацията, а след това при всяко напускане или съмнение. Кодовете за гласова поща не остават с фабричните си стойности.
- Права за обаждане по профил. Апарат, който няма нужда от международни обаждания, няма достъп до тях. Номерата с добавена стойност са блокирани по подразбиране. Пренасочванията навън са разрешени само за хората, които се нуждаят от тях.
- Времеви интервали. Обажданията към скъпи дестинации могат да бъдат ограничени до работното време, когато някой може да забележи аномалия.
- Криптиране от апаратите до платформата, TLS за сигнализацията и SRTP за гласа. То предотвратява прочитането на данните за вход и на разговорите по пътя, например в публична Wi-Fi мрежа.
- Актуализациите на централата, апаратите и приложенията, проследявани в договора за експлоатация.
- Непубличен административен интерфейс, достъпен само от определени адреси или акаунти, с двуфакторна автентикация, ако е налична.
Тези мерки се решават на ниво организация, заедно с експлоатационника на централата. Те не изискват особени технически умения от потребителите.
Признаци на откраднат акаунт
Откраднатият акаунт се вижда първо в употребата, рядко в журналите за сигурност. Сигнали, които трябва да се наблюдават:
- аномален обем изходящи обаждания за един апарат или за цялата централа;
- дестинации, които никога преди не са били търсени, особено в чужбина или номера с добавена стойност;
- поредици от кратки повтарящи се обаждания;
- активност в часове, когато офисът е затворен, през нощта или в почивните дни;
- апарат, който се свързва от необичайна страна или мрежа;
- пренасочване навън, което никой не е поискал.
Тези признаци се виждат в историята на обажданията, стига някой да я гледа. Затова листът на Arcep препоръчва също да се попита операторът дали анализира потоците и прекъсва комуникациите към аномални дестинации, особено извън работно време. Автоматичното разпознаване на аномална употреба, от страна на експлоатационника или оператора, е по-надеждно от ръчния преглед.
Какво да направите при първия сигнал
Приоритетът е да се спрат разходите, а след това да се разбере какво е станало.
- Изключете съответния акаунт или засегнатите дестинации, без да чакате края на анализа.
- Сменете паролите на акаунта и на всички акаунти със същата парола.
- Прегледайте историята, за да определите кога е започнала злоупотребата, и списък на набраните номера.
- Уведомете оператора, който свързва централата, за да блокира дестинациите и да документира таксуваните обаждания.
- Проверете пренасочванията и променените настройки, след това постепенно възстановете необходимите права.
Подаването на сигнал до полицията може да е полезно, особено за последващо обсъждане на сметката. Вашият юридически консултант ще ви каже дали е целесъобразно във вашия случай.
Това ръководство описва проверки, а не техники за атака. Детайлните експлоатационни параметри се настройват с експлоатационника на вашата централа.
Пример: кантора, затворена в почивните дни
Хипотетичен случай. В понеделник сутринта управителката на кантора с осем души получава известие от доставчика си: апаратът в залата за срещи е направил десетки кратки обаждания към една и съща страна в неделя между 2 и 5 часа сутринта. Акаунтът е бил деактивиран автоматично след няколко минути.
Кантората сменя паролата на апарата, установява, че той никога не е имал нужда от международни обаждания, и премахва това право. Измамата е струвала няколко минути разговори, а не цели почивни дни.
Често задавани въпроси
По-малко изложена ли е хостваната централа от локалната IPBX?
Тя се наблюдава и актуализира от експлоатационника, което изключва забравената централа. Акаунтите и правилата за обаждане обаче пак трябва да се настроят. Вижте VoIP, SIP, IPBX и UCaaS: каква архитектура да изберете.
Кой плаща измамните обаждания?
Сметката се изпраща до титуляра на линията. Евентуалното разпределение зависи от договорите с оператора и експлоатационника: пречетете ги преди инцидента.
Достатъчно ли е криптирането срещу измами?
Не. То защитава пътя. Акаунт със слаба парола остава използваем от трети лица, дори при криптирана връзка.
Риск ли са и записите?
Да, ако са достъпни за твърде много хора. Вижте Кой може да слуша записите в Klytic Tel.
Къде е Klytic
С Klytic Tel всяка организация има собствен телефонен сървър: откраднат акаунт при друг клиент не дава достъп до вашия. Klytic експлоатира този сървър, следи актуализациите му и го наблюдава, независимо дали е хостван в облака на Klytic или е инсталиран при вас.
Комуникацията между апаратите или приложенията и платформата е криптирана със SRTP и TLS. Пакетите за разговори към фиксирани номера, предлагани от Klytic, включват защита срещу измами чрез разпознаване на аномална употреба. Това е проверка от страна на експлоатационника, а не табло, което да изграждате сами.
Точната изложеност зависи от свързването. Ако запазите оператора си, част от наблюдението на изхода към публичната мрежа е и негова задача: попитайте го какво предвижда. Правата за обаждане по профил и времевите интервали се определят с Klytic при пускането в действие. Поддръжката отговаря на френски по телефона и на всички езици по имейл чрез система за тикети.
Klytic не е услуга с квалификация SecNumCloud и нито една услуга не премахва изцяло риска от измами.
Източници
Консултирани през октомври 2026 г.
- Arcep, практически лист „La fraude téléphonique : une menace pour les entreprises“, от срещите с бизнеса (актуализиран на 2 май 2016 г.): насочване на линии към номера с добавена стойност в чужбина, пример със сметка от 43 000 €, препоръки за паролите, политиката за употреба, актуализациите и анализа на потоците от оператора. arcep.fr
- IETF, RFC 3261, „SIP: Session Initiation Protocol“: SIP е сигнализационният протокол на приложно ниво, който установява, променя и прекратява сесии, включително разговори. rfc-editor.org
- Klytic, страница Klytic Tel: отделен сървър, криптиране със SRTP и TLS, защита срещу измами чрез разпознаване на аномална употреба в пакетите за фиксирани номера. klytic.com
- Klytic, „Сигурност и резервни копия“: постоянно наблюдение, актуализации за сигурност, проследявани от екипа на Klytic. klytic.com
