Las buenas prácticas de seguridad VoIP se reducen a unos pocos controles: aceptar SIP solo desde direcciones IP conocidas, usar credenciales largas y únicas, mantener la PBX y el SBC actualizados, cifrar señalización y audio donde se pueda, y limitar lo que puede gastar cada trunk. La mayoría de las pérdidas en SIP trunks vienen del fraude de tarificación a través de una cuenta débil, no de un cifrado roto.
¿Cuáles son los principales riesgos de seguridad VoIP?
Los principales riesgos de seguridad VoIP para una empresa o un carrier son económicos, no solo de privacidad. Ordenados según la frecuencia con que cuestan dinero:
| Amenaza | Qué ocurre | Defensa principal |
|---|---|---|
| Fraude de tarificación | Alguien usa su PBX o su trunk para hacer llamadas caras | Autenticación por IP, límites de llamadas, alertas |
| Fraude de reparto de ingresos | Se empujan llamadas a números de alto coste que pagan al atacante | Bloqueo de destinos, topes de gasto |
| Escaneo de registros | Bots prueban miles de pares de extensión y contraseña | Reglas de firewall, limitación de frecuencia, bloqueos al estilo fail2ban |
| Denegación de servicio | Inundaciones SIP hacen que el servidor rechace llamadas reales | SBC, límites de frecuencia, filtrado en la red superior |
| Escucha | Las llamadas sin cifrar se capturan en el camino de red | TLS para SIP, SRTP para el audio |
| Suplantación del caller ID | Defraudadores se hacen pasar por sus números ante sus clientes | STIR/SHAKEN donde exista, vigilancia de los números |
El patrón de ataque de las dos primeras se describe en fraude de tarificación y hackeo de PBX y en IRSF.
¿Cómo se protege un SIP trunk?
Un SIP trunk se protege limitando quién puede enviarle tráfico y qué puede hacer ese tráfico. Una lista práctica:
- Use autenticación por IP entre su plataforma y su carrier. Acepte y envíe tráfico solo desde las IP de señalización acordadas, como en una interconexión SIP normal.
- Si tiene que registrarse con contraseña, use una larga y aleatoria por trunk y por extensión, nunca el número de extensión ni una contraseña por defecto.
- Añada un prefijo técnico o una etiqueta de cuenta acordados con el carrier, para que no se le facture por error tráfico ajeno que llegue desde una IP autorizada.
- Restrinja los destinos. Permita solo los países a los que llama. Bloquee los rangos de tarificación adicional y satelitales salvo que los necesite.
- Fije límites de canales y CPS en cada trunk para que un acceso indebido no pueda llenar cientos de canales a la vez. Vea canales VoIP y CPS.
- Ponga un tope de gasto. Los límites de crédito diarios en cuentas prepago convierten un desastre en una pérdida pequeña.
¿Qué reglas de firewall usar para un SIP trunk?
La regla básica de firewall para un SIP trunk es denegar por defecto: abra los puertos SIP (5060 UDP/TCP, 5061 para TLS) solo a las IP de señalización de su carrier y a las redes de sus propios usuarios, y abra el rango de puertos RTP solo en la medida en que lo necesite el audio. Después:
- No exponga a internet el panel web de administración de la PBX. Acceda a él por VPN.
- Bloquee IP automáticamente tras varios registros fallidos.
- Descarte las peticiones SIP con user agents conocidos de escáneres, pero no confíe solo en esto.
- Ponga un session border controller en el borde si opera un carrier o una plataforma multicliente: oculta la topología interna, normaliza el SIP y absorbe las inundaciones.
- Desactive el SIP ALG de los routers situados delante de la PBX. Causa problemas de audio y no aporta nada a la seguridad.
¿Hay que cifrar las llamadas VoIP?
Sí, siempre que ambos lados lo admitan. Use TLS para la señalización SIP y SRTP para la voz, sobre todo con usuarios remotos en redes públicas. Sea realista con las rutas wholesale: muchas interconexiones entre carriers siguen usando SIP y RTP sin cifrar sobre enlaces dedicados o listas blancas de IP, y el cifrado suele terminar en el primer traspaso entre carriers. El cifrado protege el contenido de la llamada; no detiene el fraude de tarificación, que necesita los controles anteriores.
¿Cómo detectar pronto un ataque VoIP?
La mayor parte del fraude se ve en los registros de llamadas en cuestión de minutos, así que la monitorización es el control individual más eficaz. Vigile:
- Llamadas fuera del horario laboral, sobre todo de noche y en fin de semana.
- Destinos nuevos a los que nunca llama, o picos hacia un país o un rango de numeración.
- Muchas llamadas cortas, o muchas llamadas en paralelo desde una misma extensión.
- Un salto repentino del gasto por hora frente a su nivel normal.
Genere alertas ante estos patrones y bloquee automáticamente por encima de un umbral. La monitorización de rutas con CDR explica qué campos seguir, y los carriers usan un sistema de gestión del fraude para hacerlo a gran escala. Siga aplicando parches: muchos accesos indebidos a PBX aprovechan fallos conocidos de versiones antiguas.
Seguridad al comprar rutas wholesale
Cuando compre terminación VoIP wholesale, acuerde con el proveedor desde el primer día la autenticación por IP, los límites de destinos y los límites de crédito, y mantenga al día los contactos para las alertas de fraude. VoIPMatcher consigue y gestiona la ruta por usted, así que estos ajustes forman parte de la puesta en marcha. Solicite una ruta VoIP e indíquenos qué destinos y límites necesita.
Preguntas frecuentes
¿Es segura la telefonía VoIP?
La VoIP puede ser tan segura como la telefonía tradicional, pero solo si se configura con cuidado. En la mayoría de los incidentes el punto débil no es el protocolo: lo son las contraseñas débiles, los puertos SIP abiertos, el software de PBX sin parches y la falta de límites de llamadas. Con restricciones por IP, cifrado y topes de gasto, el riesgo baja mucho.
¿Qué puerto usa SIP?
SIP usa por defecto el puerto 5060 para UDP y TCP, y el 5061 para SIP sobre TLS. El audio (RTP) usa un rango de puertos UDP altos definido en la PBX o el SBC. Mover SIP a otro puerto reduce el ruido de los escaneos automáticos, pero no es una protección real: el trabajo lo siguen haciendo las reglas de firewall y la autenticación.
¿Debo desactivar el SIP ALG del router?
En la mayoría de los casos, sí. El SIP ALG es una función del router que reescribe los mensajes SIP, y muchas implementaciones lo hacen mal, lo que provoca audio en un solo sentido, registros fallidos y llamadas cortadas. Los proveedores VoIP suelen aconsejar desactivarlo y gestionar el NAT en la PBX o en el session border controller.
¿Se puede hackear un SIP trunk?
Sí. Los atacantes escanean internet buscando equipos SIP, adivinan contraseñas de extensiones y luego hacen llamadas internacionales caras, normalmente de noche o en fin de semana. Rara vez se rompe el SIP trunk en sí: el atacante entra por la PBX o por una cuenta débil y usa el trunk. La autenticación por IP y los límites de llamadas frenan la mayoría de estos ataques.
¿Cuáles son las mayores amenazas de seguridad VoIP?
Las más comunes son el fraude de tarificación mediante cuentas de PBX hackeadas, el fraude internacional de reparto de ingresos, la denegación de servicio contra servidores SIP, la escucha de llamadas sin cifrar y la suplantación del caller ID dirigida a sus clientes. El fraude de tarificación es el que más rápido cuesta dinero, a menudo miles en pocas horas.
¿Necesita una ruta?
Envíe el destino, el tipo de ruta y la tarifa objetivo. Le respondemos con lo que podemos ofrecer.