Wat fraude met een telefooncentrale kost
Het kapen van een telefooncentrale is niet nieuw; men spreekt ook van phreaking. Een praktische fiche, gepubliceerd in het kader van de bedrijfsworkshops van de Arcep, de Franse toezichthouder voor elektronische communicatie, beschrijft de meest voorkomende vorm: het omleiden van lijnen naar bestemmingen buiten het grondgebied, naar betaalnummers, via automatisch opgezette gesprekken. De fraudeur verdient aan die nummers.
Dezelfde fiche noemt het geval van een Frans departement dat in november 2015 een factuur van € 43.000 kreeg voor frauduleuze gesprekken naar Afrika. De grootteorde volstaat om te begrijpen wat er op het spel staat: de factuur gaat naar het bedrijf waarvan de lijn is gebruikt, soms weken na de feiten.
De fiche merkt ook op dat telefooncentrales, PABX of IP-PBX, geliefde doelwitten zijn omdat hun beveiliging vaak minder wordt opgevolgd dan die van IT-servers. Een telefooncentrale die jaren geleden is geïnstalleerd en waarvan niemand de wachtwoorden heeft veranderd, is precies wat een fraudeur zoekt.
Wat blootgesteld is
Een IP-telefonie moet verbindingen vanaf internet aanvaarden: zo kan een medewerker op verplaatsing bellen met de app op zijn telefoon. Drie toegangspunten concentreren het risico.
- De accounts die zich vanaf internet registreren. Elk toestel, elke softphone of app maakt verbinding met de telefooncentrale met een gebruikersnaam en een geheim. Is dat geheim kort, standaard of hergebruikt, dan kan het worden geraden of massaal worden uitgeprobeerd.
- De wachtwoorden voor beheer en voicemail. Blijven ze op hun installatiewaarde staan, dan geven ze toegang tot de instellingen, waaronder doorschakelingen naar buiten. De fiche van de Arcep vraagt alle wachtwoorden bij de installatie te wijzigen, en daarna regelmatig.
- Te ruime belregels. Een onthaaltoestel dat op elk moment naar elk land kan bellen, maakt van een gestolen account een open lijn naar de hele wereld.
De aansluiting bij de operator, de SIP-trunk, is een vierde punt. Haar inloggegevens geven toegang tot de uitgang naar het openbare netwerk. Ze mogen nooit ergens anders dan op de telefooncentrale worden gebruikt.
Het risico verkleinen
De doeltreffende controles zijn beperkt in aantal. De fiche van de Arcep legt de nadruk op wachtwoorden, gebruiksbeleid, updates en bewaking. Toegepast op een IP-telefonie geeft dat het volgende.
- Lange en unieke geheimen voor elk toestelaccount, gewijzigd bij de installatie, en daarna bij elk vertrek of elk vermoeden. Voicemailcodes blijven niet op hun standaardwaarde staan.
- Belrechten per profiel. Een toestel dat niet internationaal hoeft te bellen, heeft daar geen toegang toe. Betaalnummers worden standaard geblokkeerd. Doorschakelingen naar buiten worden alleen opengezet voor wie ze nodig heeft.
- Tijdvensters. Gesprekken naar dure bestemmingen kunnen worden beperkt tot de kantooruren, wanneer iemand een afwijking kan opmerken.
- Versleuteling van de toestellen naar het platform, TLS voor de signalering en SRTP voor de spraak. Ze voorkomt dat inloggegevens en gesprekken onderweg kunnen worden meegelezen, bijvoorbeeld op een openbare wifi.
- De updates van de telefooncentrale, de toestellen en de apps, opgevolgd in het exploitatiecontract.
- Een niet-openbare beheerinterface, alleen toegankelijk vanaf geïdentificeerde adressen of accounts, met tweestapsverificatie als die beschikbaar is.
Deze maatregelen worden op het niveau van de organisatie beslist, samen met de exploitant van de telefooncentrale. Ze vragen geen bijzondere technische kennis van de gebruikers.
De signalen van een gekaapt account
Een gekaapt account valt eerst op in het gebruik, zelden in de beveiligingslogbestanden. De signalen om in het oog te houden:
- een abnormaal volume uitgaande gesprekken voor een toestel of voor de hele telefooncentrale;
- bestemmingen die nooit eerder zijn gebeld, vooral internationaal of naar betaalnummers;
- reeksen korte, herhaalde gesprekken;
- activiteit op momenten dat het kantoor gesloten is, ’s nachts of in het weekend;
- een toestel dat verbinding maakt vanuit een ongebruikelijk land of netwerk;
- een doorschakeling naar buiten waar niemand om heeft gevraagd.
Die signalen zijn af te lezen in de gespreksgeschiedenis, op voorwaarde dat iemand ernaar kijkt. Daarom raadt de fiche van de Arcep ook aan de operator te vragen of hij de verkeersstromen analyseert en gesprekken naar afwijkende bestemmingen afbreekt, met name buiten de kantooruren. Een automatische detectie van afwijkend gebruik, bij de exploitant of de operator, is betrouwbaarder dan een handmatige controle.
Wat te doen bij het eerste signaal
De prioriteit is de kosten te stoppen, en daarna te begrijpen wat er is gebeurd.
- Schakel het betrokken account of de betrokken bestemmingen uit, zonder het einde van de analyse af te wachten.
- Wijzig de geheimen van het account, en van alle accounts die hetzelfde wachtwoord deelden.
- Neem de geschiedenis door om het begin van het misbruik te dateren en de gebelde nummers op te lijsten.
- Verwittig de operator die de telefooncentrale aansluit, om de bestemmingen te blokkeren en de gefactureerde gesprekken te documenteren.
- Controleer de doorschakelingen en de gewijzigde instellingen, en zet de nodige rechten daarna geleidelijk weer open.
Aangifte doen kan nuttig zijn, met name om daarna over de factuur te praten. Uw adviseur zegt u of dat in uw geval aangewezen is.
Deze gids beschrijft controles, geen aanvalstechnieken. De fijne exploitatie-instellingen regelt u met de exploitant van uw telefooncentrale.
Voorbeeld: een kantoor dat in het weekend gesloten is
Een hypothetisch geval. Op maandagochtend ontvangt de verantwoordelijke van een kantoor met acht medewerkers een waarschuwing van haar dienstverlener: het toestel van de vergaderzaal heeft op zondag tussen 2 en 5 uur ’s nachts tientallen korte gesprekken gevoerd naar eenzelfde land. Het account was na enkele minuten automatisch uitgeschakeld.
Het kantoor wijzigt het geheim van het toestel, stelt vast dat het nooit internationaal heeft hoeven te bellen en trekt dat recht in. De fraude heeft enkele minuten gesprekskosten gekost, in plaats van een heel weekend.
Veelgestelde vragen
Is een gehoste telefooncentrale minder blootgesteld dan een IP-PBX op locatie?
Ze wordt door de exploitant bewaakt en bijgewerkt, waardoor de vergeten telefooncentrale verdwijnt. De accounts en de belregels moeten nog altijd worden ingesteld. Zie VoIP, SIP, IP-PBX en UCaaS.
Wie betaalt de frauduleuze gesprekken?
De factuur wordt naar de houder van de lijn gestuurd. Een eventuele verdeling hangt af van de contracten met de operator en de exploitant: lees ze na vóór het incident.
Volstaat versleuteling tegen fraude?
Nee. Ze beschermt het traject. Een account met een zwak wachtwoord blijft bruikbaar voor een derde, ook over een versleutelde verbinding.
Vormen opnames ook een risico?
Ja, als te veel mensen er toegang toe hebben. Zie Wie mag de opnames in Klytic Tel beluisteren.
Waar Klytic staat
Met Klytic Tel heeft elke organisatie haar eigen telefonieserver: een gekaapt account bij een andere klant geeft geen toegang tot de uwe. Klytic exploiteert die server, volgt de updates ervan op en bewaakt hem, of hij nu in de Klytic-cloud wordt gehost of bij u is geïnstalleerd.
De communicatie tussen de toestellen of apps en het platform is versleuteld met SRTP en TLS. De belbundels voor vaste telefonie die Klytic aanbiedt, omvatten bescherming tegen fraude door detectie van afwijkend gebruik. Dat is een controle van de exploitant, geen dashboard dat u zelf moet bouwen.
De precieze blootstelling hangt af van de aansluiting. Behoudt u uw operator, dan valt een deel van de bewaking van de uitgang naar het openbare netwerk ook onder hem: vraag hem wat hij voorziet. De belrechten per profiel en de tijdvensters worden bij de ingebruikname samen met Klytic vastgelegd. De support antwoordt telefonisch in het Frans, en per e-mail in alle talen via een ticketsysteem.
Klytic is geen SecNumCloud-gekwalificeerd aanbod, en geen enkele dienst sluit het risico op fraude volledig uit.
Bronnen
Geraadpleegd in oktober 2026.
- Arcep, praktische fiche “La fraude téléphonique : une menace pour les entreprises” (Telefoonfraude: een bedreiging voor bedrijven), afkomstig uit de bedrijfsworkshops (bijgewerkt op 2 mei 2016): omleiding van lijnen naar betaalnummers in het buitenland, voorbeeld van een factuur van € 43.000, aanbevelingen over wachtwoorden, gebruiksbeleid, updates en de analyse van verkeersstromen door de operator. arcep.fr
- IETF, RFC 3261, “SIP: Session Initiation Protocol”: SIP is het signaleringsprotocol op de applicatielaag dat sessies, waaronder gesprekken, opzet, wijzigt en beëindigt. rfc-editor.org
- Klytic, pagina Klytic Tel: dedicated server, SRTP- en TLS-versleuteling, bescherming tegen fraude door detectie van afwijkend gebruik bij de belbundels voor vaste telefonie. klytic.com
- Klytic, Beveiliging & back-up: permanente bewaking, beveiligingsupdates opgevolgd door het Klytic-team. klytic.com
