Quanto costa una frode al centralino
La manomissione di un centralino telefonico è un fenomeno vecchio; si parla anche di phreaking. Una scheda pratica pubblicata nell’ambito degli incontri con le imprese dell’Arcep, l’autorità francese di regolamentazione delle comunicazioni elettroniche, ne descrive la forma più comune: la deviazione delle linee verso destinazioni fuori dal territorio nazionale, su numeri a tariffa maggiorata, tramite chiamate avviate automaticamente. Il truffatore guadagna su questi numeri.
La stessa scheda cita il caso di un ente territoriale francese (conseil départemental) che ha ricevuto, nel novembre 2015, una fattura di 43.000 € per chiamate fraudolente verso l’Africa. L’ordine di grandezza basta a capire la posta in gioco: la fattura arriva all’azienda la cui linea è stata utilizzata, talvolta diverse settimane dopo i fatti.
La scheda osserva anche che i centralini, PABX o IP-PBX, sono bersagli privilegiati perché la loro sicurezza è spesso seguita meno di quella dei server informatici. Un centralino installato anni fa, di cui nessuno ha cambiato le password, è esattamente ciò che cerca un truffatore.
Che cosa è esposto
Una telefonia IP deve accettare connessioni provenienti da Internet: è ciò che consente a un dipendente in trasferta di chiamare con l’applicazione del suo telefono. Tre punti di ingresso concentrano il rischio.
- Gli account che si registrano da Internet. Ogni telefono, softphone o applicazione si collega al centralino con un identificativo e una chiave segreta. Se questa chiave è corta, predefinita o riutilizzata, può essere indovinata o provata in massa.
- Le password di amministrazione e della segreteria telefonica. Lasciate al loro valore di installazione, aprono l’accesso alle impostazioni, tra cui gli inoltri verso l’esterno. La scheda dell’Arcep chiede di modificare tutte le password fin dall’installazione, poi regolarmente.
- Le regole di chiamata troppo permissive. Un telefono di reception che può chiamare qualsiasi paese, a qualsiasi ora, trasforma un account rubato in una linea aperta verso il mondo intero.
Il collegamento all’operatore, il trunk SIP, è un quarto punto. Le sue credenziali danno accesso all’uscita verso la rete pubblica. Non devono mai essere usate altrove che sul centralino.
Ridurre il rischio
I controlli efficaci sono pochi. La scheda dell’Arcep insiste sulle password, sulla politica d’uso, sugli aggiornamenti e sul monitoraggio. Applicati a una telefonia IP, si traducono così.
- Chiavi segrete lunghe e uniche per ogni account di telefono, cambiate all’installazione, poi a ogni uscita di personale o sospetto. I codici della segreteria telefonica non restano al loro valore predefinito.
- Diritti di chiamata per profilo. Un telefono che non ha bisogno di chiamare l’estero non vi ha accesso. I numeri a tariffa maggiorata sono bloccati per impostazione predefinita. Gli inoltri verso l’esterno sono aperti solo alle persone che ne hanno bisogno.
- Fasce orarie. Le chiamate verso le destinazioni costose possono essere limitate all’orario di lavoro, quando qualcuno può notare un’anomalia.
- La cifratura dai telefoni verso la piattaforma, TLS per la segnalazione e SRTP per la voce. Impedisce la lettura delle credenziali e delle conversazioni lungo il percorso, per esempio su una rete Wi-Fi pubblica.
- Gli aggiornamenti del centralino, dei telefoni e delle applicazioni, seguiti nel contratto di gestione.
- Un’interfaccia di amministrazione non pubblica, accessibile solo da indirizzi o account identificati, con autenticazione a due fattori se disponibile.
Queste misure si decidono a livello dell’organizzazione, con il gestore del centralino. Non richiedono competenze tecniche particolari da parte degli utenti.
I segnali di un account compromesso
Un account compromesso si vede anzitutto nell’utilizzo, raramente nei log di sicurezza. I segnali da monitorare:
- un volume di chiamate in uscita anomalo per un telefono o per l’intero centralino;
- destinazioni mai chiamate prima, in particolare internazionali o verso numeri a tariffa maggiorata;
- chiamate a raffica, brevi e ripetute;
- attività in orari in cui l’ufficio è chiuso, di notte o nel fine settimana;
- un telefono che si collega da un paese o da una rete insoliti;
- un inoltro di chiamata verso l’esterno che nessuno ha richiesto.
Questi segnali si leggono nella cronologia delle chiamate, a condizione che qualcuno la guardi. È per questo che la scheda dell’Arcep raccomanda anche di chiedere all’operatore se analizza i flussi e interrompe le comunicazioni verso destinazioni anomale, in particolare al di fuori dell’orario di lavoro. Un rilevamento automatico degli utilizzi anomali, da parte del gestore o dell’operatore, è più affidabile di una rilettura manuale.
Che cosa fare al primo segnale
La priorità è fermare la spesa, poi capire.
- Disattivare l’account interessato, o le destinazioni in questione, senza attendere la fine dell’analisi.
- Cambiare le chiavi segrete dell’account, e di tutti gli account che condividevano la stessa password.
- Rileggere la cronologia per datare l’inizio dell’abuso ed elencare i numeri chiamati.
- Avvisare l’operatore che collega il centralino, per bloccare le destinazioni e documentare le chiamate fatturate.
- Verificare gli inoltri e le impostazioni modificate, poi riaprire progressivamente i diritti necessari.
Presentare una denuncia può essere utile, in particolare per discutere poi della fattura. Il suo consulente le dirà se è opportuno nel suo caso.
Questa guida descrive controlli, non tecniche di attacco. I parametri di gestione di dettaglio si configurano con il gestore del suo centralino.
Esempio: uno studio chiuso nel fine settimana
Caso ipotetico. Il lunedì mattina, la responsabile di uno studio di otto persone riceve un avviso dal suo fornitore: il telefono della sala riunioni ha effettuato decine di chiamate brevi verso uno stesso paese, tra le 2 e le 5 del mattino di domenica. L’account era stato disattivato automaticamente dopo pochi minuti.
Lo studio cambia la chiave segreta del telefono, constata che non ha mai avuto bisogno di chiamare l’estero e revoca questo diritto. La frode è costata qualche minuto di comunicazioni, invece di un intero fine settimana.
Domande frequenti
Un centralino in hosting è meno esposto di un IP-PBX in sede?
È monitorato e aggiornato dal gestore, il che elimina il centralino dimenticato. Gli account e le regole di chiamata restano da configurare. Veda VoIP, SIP, IP-PBX e UCaaS.
Chi paga le chiamate fraudolente?
La fattura è intestata al titolare della linea. L’eventuale ripartizione dipende dai contratti con l’operatore e con il gestore: li rilegga prima dell’incidente.
La cifratura basta contro le frodi?
No. Protegge il percorso. Un account con una password debole resta utilizzabile da un terzo, anche su un collegamento cifrato.
Anche le registrazioni sono un rischio?
Sì, se sono accessibili a troppe persone. Veda Chi può ascoltare le registrazioni in Klytic Tel.
Dove si colloca Klytic
Con Klytic Tel, ogni organizzazione ha il proprio server telefonico: un account compromesso presso un altro cliente non dà accesso al suo. Klytic gestisce questo server, ne segue gli aggiornamenti e lo monitora, che sia ospitato nel cloud Klytic o installato presso di lei.
Le comunicazioni tra i telefoni o le applicazioni e la piattaforma sono cifrate in SRTP e TLS. I piani di chiamata fissi proposti da Klytic comprendono una protezione dalle frodi mediante rilevamento degli utilizzi anomali. È un controllo del gestore, non un pannello da costruire da sé.
L’esposizione esatta dipende dal collegamento. Se mantiene il suo operatore, una parte del monitoraggio dell’uscita verso la rete pubblica spetta anche a lui: gli chieda che cosa prevede. I diritti di chiamata per profilo e le fasce orarie si definiscono con Klytic al momento dell’attivazione. Il supporto risponde in francese per telefono, e in tutte le lingue via e-mail tramite uno strumento di ticketing.
Klytic non è un’offerta qualificata SecNumCloud, e nessun servizio elimina totalmente il rischio di frode.
Fonti
Consultate a ottobre 2026.
- Arcep, scheda pratica «La fraude téléphonique : une menace pour les entreprises» (La frode telefonica: una minaccia per le imprese), tratta dagli incontri con le imprese (aggiornamento del 2 maggio 2016): deviazione di linee verso numeri a tariffa maggiorata all’estero, esempio di una fattura di 43.000 €, raccomandazioni su password, politica d’uso, aggiornamenti e analisi dei flussi da parte dell’operatore. arcep.fr
- IETF, RFC 3261, «SIP: Session Initiation Protocol»: SIP è il protocollo di segnalazione a livello applicativo che stabilisce, modifica e termina le sessioni, tra cui le chiamate. rfc-editor.org
- Klytic, pagina Klytic Tel: server dedicato, cifratura SRTP e TLS, protezione dalle frodi mediante rilevamento degli utilizzi anomali sui piani fissi. klytic.com
- Klytic, Sicurezza & backup: monitoraggio permanente, aggiornamenti di sicurezza seguiti dal team Klytic. klytic.com
