Ile kosztuje nadużycie centrali
Przejmowanie central telefonicznych to stary proceder; mówi się też o phreakingu. Praktyczna karta informacyjna opublikowana w ramach warsztatów dla przedsiębiorstw organizowanych przez Arcep, francuski organ regulacyjny ds. telekomunikacji, opisuje jego najczęstszą formę: przekierowanie linii do miejsc docelowych za granicą, na numery o podwyższonej opłacie, za pomocą automatycznie generowanych połączeń. Oszust zarabia na tych numerach.
Ta sama karta przytacza przypadek francuskiej rady departamentu, która w listopadzie 2015 r. otrzymała rachunek na 43 000 € za nieuprawnione połączenia do Afryki. Rząd wielkości wystarczy, by zrozumieć stawkę: rachunek trafia do firmy, z której linii skorzystano, czasem kilka tygodni po fakcie.
Karta zauważa też, że centrale, PABX lub IP PBX, są ulubionym celem, ponieważ ich zabezpieczenie jest często słabiej pilnowane niż zabezpieczenie serwerów informatycznych. Centrala zainstalowana przed laty, w której nikt nie zmienił haseł, to dokładnie to, czego szuka oszust.
Co jest wystawione
Telefonia IP musi przyjmować połączenia z Internetu: dzięki temu pracownik w podróży może dzwonić z aplikacji w telefonie. Ryzyko skupia się w trzech punktach wejścia.
- Konta rejestrujące się z Internetu. Każdy aparat, softphone lub aplikacja łączy się z centralą za pomocą identyfikatora i hasła. Jeśli hasło jest krótkie, domyślne lub używane wielokrotnie, można je odgadnąć lub złamać masowymi próbami.
- Hasła administracyjne i do poczty głosowej. Pozostawione w wartościach z instalacji otwierają dostęp do ustawień, w tym do przekierowań na zewnątrz. Karta Arcep zaleca zmianę wszystkich haseł zaraz po instalacji, a następnie regularnie.
- Zbyt otwarte reguły wybierania. Aparat w recepcji, z którego można dzwonić do dowolnego kraju o każdej porze, zamienia skradzione konto w linię otwartą na cały świat.
Czwartym punktem jest podłączenie do operatora, czyli trunk SIP. Jego dane uwierzytelniające dają dostęp do wyjścia do sieci publicznej. Nigdy nie mogą być używane nigdzie poza centralą.
Ograniczanie ryzyka
Skutecznych kontroli jest niewiele. Karta Arcep kładzie nacisk na hasła, zasady użytkowania, aktualizacje i monitorowanie. W odniesieniu do telefonii IP wygląda to następująco.
- Długie i unikalne hasła dla każdego konta aparatu, zmieniane przy instalacji, a następnie przy każdym odejściu pracownika lub podejrzeniu. Kody poczty głosowej nie pozostają w wartościach domyślnych.
- Uprawnienia do połączeń według profilu. Aparat, który nie musi dzwonić za granicę, nie ma takiej możliwości. Numery o podwyższonej opłacie są domyślnie blokowane. Przekierowania na zewnątrz są dostępne tylko dla osób, które ich potrzebują.
- Przedziały czasowe. Połączenia do kosztownych miejsc docelowych można ograniczyć do godzin pracy, gdy ktoś może zauważyć nieprawidłowość.
- Szyfrowanie między aparatami a platformą, TLS dla sygnalizacji i SRTP dla głosu. Uniemożliwia odczytanie danych uwierzytelniających i rozmów po drodze, na przykład w publicznej sieci Wi-Fi.
- Aktualizacje centrali, aparatów i aplikacji, objęte umową o utrzymanie.
- Niepubliczny interfejs administracyjny, dostępny tylko z określonych adresów lub kont, z uwierzytelnianiem dwuskładnikowym, jeśli jest dostępne.
O tych środkach decyduje się na poziomie organizacji, wspólnie z operatorem centrali. Nie wymagają one od użytkowników szczególnych kompetencji technicznych.
Oznaki przejęcia konta
Przejęte konto widać przede wszystkim w sposobie użycia, rzadko w dziennikach bezpieczeństwa. Sygnały, które warto monitorować:
- nietypowa liczba połączeń wychodzących z aparatu lub z całej centrali;
- miejsca docelowe, do których nigdy wcześniej nie dzwoniono, zwłaszcza za granicą lub na numery o podwyższonej opłacie;
- seryjne połączenia, krótkie i powtarzające się;
- aktywność w godzinach, gdy biuro jest zamknięte, w nocy lub w weekend;
- aparat łączący się z nietypowego kraju lub sieci;
- przekierowanie połączeń na zewnątrz, o które nikt nie prosił.
Oznaki te widać w historii połączeń, pod warunkiem że ktoś ją przegląda. Dlatego karta Arcep zaleca też zapytanie operatora, czy analizuje ruch i przerywa połączenia do nietypowych miejsc docelowych, zwłaszcza poza godzinami pracy. Automatyczne wykrywanie nietypowego użycia, po stronie operatora usługi lub operatora telekomunikacyjnego, jest bardziej niezawodne niż ręczny przegląd.
Co robić przy pierwszym sygnale
Priorytetem jest powstrzymanie kosztów, a dopiero potem zrozumienie zdarzenia.
- Zablokować dane konto lub problematyczne miejsca docelowe, nie czekając na koniec analizy.
- Zmienić hasła konta oraz wszystkich kont, które miały to samo hasło.
- Przejrzeć historię, aby ustalić początek nadużycia i sporządzić listę wybieranych numerów.
- Powiadomić operatora, który łączy centralę z siecią, aby zablokować miejsca docelowe i udokumentować zafakturowane połączenia.
- Sprawdzić przekierowania i zmienione ustawienia, a następnie stopniowo przywrócić potrzebne uprawnienia.
Złożenie zawiadomienia o przestępstwie może być przydatne, zwłaszcza do późniejszych rozmów o rachunku. Państwa doradca prawny oceni, czy jest to wskazane w Państwa przypadku.
Ten poradnik opisuje środki kontroli, a nie techniki ataku. Szczegółowe parametry eksploatacji ustala się z operatorem Państwa centrali.
Przykład: kancelaria zamknięta w weekend
Przypadek hipotetyczny. W poniedziałek rano kierowniczka ośmioosobowej kancelarii otrzymuje alert od swojego usługodawcy: aparat w sali konferencyjnej wykonał w niedzielę między 2:00 a 5:00 rano dziesiątki krótkich połączeń do jednego kraju. Konto zostało automatycznie dezaktywowane po kilku minutach.
Kancelaria zmienia hasło aparatu, stwierdza, że nigdy nie potrzebowała dzwonić za granicę, i odbiera to uprawnienie. Nadużycie kosztowało kilka minut połączeń zamiast całego weekendu.
Najczęściej zadawane pytania
Czy centrala hostowana jest mniej narażona niż IP PBX na miejscu?
Jest monitorowana i aktualizowana przez operatora usługi, co eliminuje problem zapomnianej centrali. Konta i reguły wybierania nadal trzeba skonfigurować. Zob. VoIP, SIP, IP PBX i UCaaS.
Kto płaci za nieuprawnione połączenia?
Rachunek otrzymuje abonent linii. Ewentualny podział kosztów zależy od umów z operatorem telekomunikacyjnym i operatorem usługi: warto je przeczytać przed incydentem.
Czy szyfrowanie wystarczy przeciwko nadużyciom?
Nie. Chroni trasę połączenia. Konto ze słabym hasłem nadal może zostać użyte przez osobę trzecią, nawet przez szyfrowane łącze.
Czy nagrania również stanowią ryzyko?
Tak, jeśli ma do nich dostęp zbyt wiele osób. Zob. Kto może odsłuchiwać nagrania w Klytic Tel.
Miejsce Klytic
W Klytic Tel każda organizacja ma własny serwer telefoniczny: przejęte konto u innego klienta nie daje dostępu do Państwa serwera. Klytic obsługuje ten serwer, pilnuje jego aktualizacji i go monitoruje – niezależnie od tego, czy jest hostowany w chmurze Klytic, czy zainstalowany u Państwa.
Komunikacja między aparatami lub aplikacjami a platformą jest szyfrowana za pomocą SRTP i TLS. Pakiety połączeń stacjonarnych oferowane przez Klytic obejmują ochronę przed nadużyciami dzięki wykrywaniu nietypowego użycia. Jest to kontrola po stronie operatora usługi, a nie zestawienie, które muszą Państwo przygotować sami.
Dokładny stopień narażenia zależy od sposobu podłączenia. Jeśli zachowują Państwo swojego operatora, część monitorowania wyjścia do sieci publicznej należy również do niego: warto zapytać, co przewiduje. Uprawnienia do połączeń według profilu i przedziały czasowe ustala się z Klytic przy uruchomieniu usługi. Wsparcie odpowiada telefonicznie po francusku, a e-mailem we wszystkich językach, za pośrednictwem systemu zgłoszeń.
Klytic nie jest ofertą z kwalifikacją SecNumCloud i żadna usługa nie eliminuje całkowicie ryzyka nadużyć.
Źródła
Stan na październik 2026 r.
- Arcep, karta praktyczna „La fraude téléphonique : une menace pour les entreprises” (Nadużycia telefoniczne: zagrożenie dla firm), opracowana w ramach warsztatów dla przedsiębiorstw (aktualizacja z 2 maja 2016 r.): przekierowanie linii na zagraniczne numery o podwyższonej opłacie, przykład rachunku na 43 000 €, zalecenia dotyczące haseł, zasad użytkowania, aktualizacji i analizy ruchu przez operatora. arcep.fr
- IETF, RFC 3261, „SIP: Session Initiation Protocol”: SIP to protokół sygnalizacyjny warstwy aplikacji, który nawiązuje, modyfikuje i kończy sesje, w tym połączenia. rfc-editor.org
- Klytic, strona Klytic Tel: dedykowany serwer, szyfrowanie SRTP i TLS, ochrona przed nadużyciami dzięki wykrywaniu nietypowego użycia w pakietach połączeń stacjonarnych. klytic.com
- Klytic, Bezpieczeństwo & kopie zapasowe: stały monitoring, aktualizacje bezpieczeństwa nadzorowane przez zespół Klytic. klytic.com
