Vad ett bedrägeri mot växeln kostar
Kapning av en telefonväxel är ett gammalt fenomen; man talar också om phreaking. Ett faktablad som publicerats inom ramen för företagsworkshopparna hos Arcep, den franska telekommyndigheten, beskriver den vanligaste formen: linjer som kapas och leds till destinationer utanför landet, till betalnummer, genom samtal som startas automatiskt. Bedragaren tjänar pengar på dessa nummer.
Samma faktablad nämner fallet med ett franskt departementsråd som i november 2015 fick en faktura på 43 000 € för bedrägliga samtal till Afrika. Storleksordningen räcker för att förstå vad som står på spel: fakturan går till det företag vars linje har använts, ibland flera veckor efter händelsen.
Faktabladet konstaterar också att växlar, PABX eller IP-växlar, är omtyckta mål eftersom deras säkerhet ofta följs upp sämre än it-servrarnas. En växel som installerades för flera år sedan, och där ingen har bytt lösenorden, är precis vad en bedragare letar efter.
Vad som är exponerat
En IP-telefoni måste ta emot anslutningar från internet: det är det som gör att en anställd på resande fot kan ringa med appen i sin telefon. Tre ingångar samlar risken.
- Konton som registrerar sig från internet. Varje telefon, mjukvarutelefon eller app ansluter till växeln med ett användarnamn och en hemlighet. Om hemligheten är kort, standard eller återanvänd kan den gissas eller provas i stor skala.
- Lösenord för administration och röstbrevlåda. Om de lämnas kvar med sina värden från installationen ger de åtkomst till inställningarna, bland annat vidarekopplingar till externa nummer. Arceps faktablad kräver att alla lösenord byts redan vid installationen, och därefter regelbundet.
- För öppna samtalsregler. En receptionstelefon som kan ringa vilket land som helst, när som helst, förvandlar ett stulet konto till en öppen linje mot hela världen.
Anslutningen till operatören, SIP-trunken, är en fjärde punkt. Dess inloggningsuppgifter ger tillgång till utgången mot det allmänna nätet. De får aldrig användas någon annanstans än på växeln.
Minska risken
De effektiva kontrollerna är få. Arceps faktablad betonar lösenord, användningspolicy, uppdateringar och övervakning. Tillämpade på en IP-telefoni blir de följande.
- Långa och unika hemligheter för varje telefonkonto, som byts vid installationen och sedan vid varje avgång eller misstanke. Koderna till röstbrevlådan får inte ligga kvar på standardvärdet.
- Samtalsbehörigheter per profil. En telefon som inte behöver ringa utlandssamtal har inte tillgång till det. Betalnummer är spärrade som standard. Vidarekopplingar till externa nummer är bara öppna för dem som behöver dem.
- Tidsintervall. Samtal till dyra destinationer kan begränsas till kontorstid, när någon kan märka en avvikelse.
- Kryptering från telefonerna till plattformen, TLS för signaleringen och SRTP för rösten. Den hindrar att inloggningsuppgifter och samtal läses på vägen, till exempel på ett publikt wifi.
- Uppdateringar av växeln, telefonerna och apparna, som följs upp i driftavtalet.
- Ett administrationsgränssnitt som inte är publikt, som bara kan nås från identifierade adresser eller konton, med tvåfaktorsautentisering om den finns.
Dessa åtgärder beslutas på organisationsnivå, tillsammans med växelns driftleverantör. De kräver ingen särskild teknisk kompetens av användarna.
Tecknen på ett kapat konto
Ett kapat konto syns först i användningen, sällan i säkerhetsloggarna. Signaler att bevaka:
- en onormal volym utgående samtal för en telefon eller för hela växeln;
- destinationer som aldrig har ringts tidigare, särskilt utomlands eller till betalnummer;
- samtal i serier, korta och upprepade;
- aktivitet när kontoret är stängt, på natten eller under helgen;
- en telefon som ansluter från ett ovanligt land eller nät;
- en vidarekoppling till ett externt nummer som ingen har begärt.
Tecknen kan läsas i samtalshistoriken, förutsatt att någon tittar i den. Därför rekommenderar Arceps faktablad också att man frågar operatören om den analyserar trafiken och bryter samtal till onormala destinationer, särskilt utanför kontorstid. Automatisk upptäckt av onormal användning, hos driftleverantören eller operatören, är mer tillförlitlig än manuell granskning.
Vad man gör vid första signal
Det viktigaste är att stoppa kostnaderna, och sedan förstå.
- Stäng av det berörda kontot, eller de aktuella destinationerna, utan att vänta på att analysen är klar.
- Byt hemligheterna för kontot, och för alla konton som delade samma lösenord.
- Gå igenom historiken för att datera början på missbruket och lista de uppringda numren.
- Kontakta operatören som ansluter växeln, för att spärra destinationerna och dokumentera de fakturerade samtalen.
- Kontrollera vidarekopplingar och ändrade inställningar, och öppna sedan stegvis de behörigheter som behövs.
En polisanmälan kan vara användbar, särskilt för att sedan diskutera fakturan. Er rådgivare kan säga om den är lämplig i ert fall.
Den här guiden beskriver kontroller, inte angreppstekniker. De detaljerade driftinställningarna görs tillsammans med er växels driftleverantör.
Exempel: en byrå som är stängd på helgen
Ett hypotetiskt fall. På måndagsmorgonen får den ansvariga på en byrå med åtta anställda ett larm från sin leverantör: telefonen i mötesrummet har ringt dussintals korta samtal till ett och samma land, mellan klockan 2 och 5 på natten till söndagen. Kontot hade stängts av automatiskt efter några minuter.
Byrån byter telefonens hemlighet, konstaterar att den aldrig har behövt ringa utlandssamtal och tar bort den behörigheten. Bedrägeriet kostade några minuters samtal, i stället för en hel helg.
Vanliga frågor
Är en driftad växel mindre exponerad än en IP-växel på plats?
Den övervakas och uppdateras av driftleverantören, vilket eliminerar den bortglömda växeln. Konton och samtalsregler måste fortfarande ställas in. Se VoIP, SIP, IP-växel och UCaaS.
Vem betalar de bedrägliga samtalen?
Fakturan skickas till linjens innehavare. En eventuell fördelning beror på avtalen med operatören och driftleverantören: läs dem före incidenten.
Räcker kryptering mot bedrägerier?
Nej. Den skyddar vägen. Ett konto med svagt lösenord kan fortfarande användas av en tredje part, även över en krypterad förbindelse.
Är inspelningarna också en risk?
Ja, om för många har åtkomst till dem. Se Vem kan lyssna på inspelningar i Klytic Tel.
Var Klytic står
Med Klytic Tel har varje organisation en egen telefoniserver: ett kapat konto hos en annan kund ger ingen åtkomst till ert. Klytic driver servern, följer upp dess uppdateringar och övervakar den, oavsett om den driftas i Klytics moln eller är installerad hos er.
Kommunikationen mellan telefoner eller appar och plattformen är krypterad med SRTP och TLS. De fasta samtalspaket som Klytic erbjuder innehåller skydd mot bedrägerier genom upptäckt av onormal användning. Det är en kontroll hos driftleverantören, inte en panel som ni behöver bygga själva.
Den exakta exponeringen beror på anslutningen. Om ni behåller er operatör ligger en del av övervakningen av utgången mot det allmänna nätet också hos den: fråga vad den erbjuder. Samtalsbehörigheter per profil och tidsintervall bestäms tillsammans med Klytic vid driftstarten. Supporten svarar på franska per telefon, och på alla språk per e-post via ett ärendesystem.
Klytic är inte ett SecNumCloud-kvalificerat erbjudande, och ingen tjänst eliminerar risken för bedrägerier helt.
Källor
Hämtade i oktober 2026.
- Arcep, faktabladet ”La fraude téléphonique : une menace pour les entreprises”, från företagsworkshopparna (uppdaterat den 2 maj 2016): kapning av linjer till betalnummer utomlands, exempel på en faktura på 43 000 €, rekommendationer om lösenord, användningspolicy, uppdateringar och operatörens trafikanalys. arcep.fr
- IETF, RFC 3261, ”SIP: Session Initiation Protocol”: SIP är signaleringsprotokollet på applikationsnivå som upprättar, ändrar och avslutar sessioner, bland annat samtal. rfc-editor.org
- Klytic, sidan Klytic Tel: dedikerad server, kryptering med SRTP och TLS, skydd mot bedrägerier genom upptäckt av onormal användning i de fasta samtalspaketen. klytic.com
- Klytic, Säkerhet & säkerhetskopiering: ständig övervakning, säkerhetsuppdateringar som följs upp av Klytics team. klytic.com
