La toll fraud (fraude téléphonique) se produit quand quelqu'un accède à un système téléphonique, à un compte SIP ou à un trunk et l'utilise pour passer des appels coûteux, généralement vers des numéros internationaux à coût élevé, aux frais du propriétaire. Elle exploite surtout des mots de passe faibles et des services ouverts, et se prévient par une authentification robuste, des restrictions d'IP, des limites de destinations et des alertes de dépense en temps réel.
Pourquoi elle coûte si cher
Les attaques commencent généralement un vendredi soir ou la veille d'un jour férié, quand personne ne surveille. Un système compromis peut passer des dizaines d'appels simultanés vers des destinations coûteuses pendant des heures. Comme les appels sont techniquement valides, le carrier les facture, et dans la plupart des contrats de service le titulaire du compte est responsable du trafic envoyé avec ses identifiants. Ces appels alimentent typiquement la fraude au partage de revenus internationaux (IRSF).
Les failles courantes
| Faille | Défense |
|---|---|
| Mots de passe SIP faibles ou par défaut sur les postes et les trunks | Mots de passe longs et aléatoires, uniques par appareil ; ne jamais utiliser le numéro de poste comme mot de passe |
| Ports SIP ouverts à tout internet | N'autoriser que des IP connues ; placer un SBC ou un firewall devant le PBX |
| Interface d'administration web exposée | Y accéder uniquement par VPN ; activer la double authentification ; maintenir les logiciels à jour |
| Messagerie vocale avec codes PIN par défaut et renvoi d'appel à distance | Changer les PIN, désactiver les fonctions d'appel sortant depuis la messagerie vocale |
| Fonctions d'accès à distance (DISA) | Les désactiver si elles ne sont pas nécessaires ; PIN robuste et limites de destinations si elles sont utilisées |
| Logiciel PBX et appareils non mis à jour | Mises à jour régulières, suppression des modules et comptes inutilisés |
| Identifiants divulgués par d'anciens employés ou des fichiers de provisionnement | Renouveler les mots de passe, protéger les serveurs de provisionnement |
Les limites qui plafonnent les dégâts
- Contrôle des destinations : n'autorisez les appels internationaux que vers les pays que l'entreprise appelle. Bloquez par défaut les plages surtaxées et à coût élevé.
- Règles horaires : pas d'appels internationaux en dehors des heures de bureau, sauf nécessité.
- Limites d'appels simultanés par poste et par trunk, proches de l'usage réel. Voir canaux et CPS.
- Limites de dépense : plafonds quotidiens et soldes prépayés sur le trunk. Demandez à votre fournisseur des limites de crédit et des alertes, voir conditions prépayées et postpayées.
- Blocage de la force brute : des outils qui bannissent les IP après des enregistrements échoués répétés, et des alertes sur les tentatives d'enregistrement depuis des pays inconnus.
La détection
Surveillez les appels sortants quasi en temps réel, pas sur la facture mensuelle. Déclenchez des alertes sur la dépense par heure, les nouvelles destinations, les appels de nuit et les nombreux appels simultanés depuis un même poste. Ce sont les mêmes règles de CDR que pour la surveillance des routes, voir la surveillance par les CDR. Surveillez aussi les pics soudains d'appels courts : les fraudeurs testent souvent les numéros avant l'attaque principale, comme décrit dans les appels de courte durée.
Si vous êtes touché
- Bloquez les appels internationaux sur le système ou demandez à votre fournisseur de suspendre le trunk.
- Changez tous les mots de passe et codes PIN, et cherchez des comptes ou des règles de renvoi que vous n'avez pas créés.
- Conservez les journaux et les CDR, et informez immédiatement votre fournisseur par écrit. La rapidité compte : les fournisseurs ne peuvent parfois bloquer les paiements le long de la chaîne que s'ils sont prévenus tôt.
- Identifiez comment l'accès a été obtenu avant de rouvrir les appels internationaux.
Pour les carriers et les revendeurs
Si vous vendez des trunks SIP ou un accès wholesale, les systèmes compromis de vos clients deviennent votre risque. Fixez des limites par défaut sur les nouveaux comptes, ouvrez les destinations sur demande, précisez dans vos conditions qui paie le trafic frauduleux et votre droit de suspendre le service en cas de soupçon de fraude, et appliquez les mêmes règles avec vos propres fournisseurs. La check-list de l'accord d'interconnexion recense les clauses utiles.
VoIPMatcher obtient de la terminaison VoIP wholesale pour les destinations que vous indiquez, ce qui limite votre route à ce que vous utilisez. Demander une route VoIP.
Questions fréquentes
Qui est responsable en cas de toll fraud ?
Dans la plupart des contrats de service, le titulaire du compte paie les appels passés avec ses identifiants, même si c'est un attaquant qui les a passés, car les appels sont techniquement valides et chaque carrier de la chaîne doit être payé. Certains fournisseurs proposent des limites antifraude ou des avoirs partiels. Vérifiez votre contrat, et fixez des limites de dépense et de destinations au lieu de compter sur la bonne volonté.
Un firewall empêche-t-il la toll fraud ?
Il aide beaucoup, mais ne suffit pas seul. Un firewall ou un session border controller qui n'accepte le SIP que depuis des IP connues bloque l'essentiel des scans et des tentatives de mots de passe. La toll fraud passe aussi par des interfaces web exposées, des fonctions de messagerie vocale, des mots de passe divulgués et l'accès à distance : combinez les contrôles réseau avec des identifiants robustes, des limites de destinations et des alertes de dépense.
Qu'est-ce que le scan SIP ?
Le scan SIP consiste à sonder automatiquement des adresses internet à la recherche de ports SIP ouverts, puis à tenter de s'enregistrer avec des noms d'utilisateur et mots de passe courants ou devinés. Il tourne en permanence contre tout système exposé. Le signe : de nombreux enregistrements échoués depuis des IP inconnues dans vos journaux. Défendez-vous avec des listes d'IP autorisées, des mots de passe robustes et uniques et des outils qui bannissent les récidivistes.
À quelle vitesse les pertes dues à la toll fraud peuvent-elles grimper ?
Très vite. Un système compromis peut passer des dizaines d'appels simultanés vers des destinations coûteuses pendant des heures, souvent à partir d'un vendredi soir ou d'une veille de jour férié, quand personne ne surveille. Les pertes peuvent devenir importantes en un seul week-end, c'est pourquoi les alertes quasi en temps réel et les plafonds de dépense stricts comptent davantage que la vérification de la facture mensuelle.
Besoin d'une route ?
Indiquez la destination, le type de route et le tarif cible. Nous vous répondons avec ce que nous pouvons fournir.