Si parla di toll fraud quando qualcuno ottiene l'accesso a un centralino, a un account SIP o a un trunk e lo usa per fare chiamate costose, di solito verso numeri internazionali ad alto costo, a spese del titolare. Sfrutta soprattutto password deboli e servizi aperti, e si previene con autenticazione robusta, restrizioni sugli IP, limiti sulle destinazioni e avvisi di spesa in tempo reale.
Perché costa così tanto
Gli attacchi di solito iniziano il venerdì sera o prima di un festivo, quando nessuno controlla. Un sistema compromesso può fare decine di chiamate simultanee verso destinazioni ad alto costo per ore. Poiché le chiamate sono tecnicamente valide, il carrier le fattura, e nella maggior parte dei contratti di servizio il titolare dell'account è responsabile del traffico inviato con le sue credenziali. Le chiamate alimentano tipicamente la frode IRSF (international revenue share fraud).
Punti deboli comuni
| Punto debole | Difesa |
|---|---|
| Password SIP deboli o predefinite su interni e trunk | Password lunghe e casuali, diverse per ogni dispositivo; mai usare il numero dell'interno come password |
| Porte SIP aperte a tutta internet | Ammetti solo IP noti; metti un SBC o un firewall davanti al PBX |
| Pannello di amministrazione web esposto | Raggiungilo solo tramite VPN; attiva il login a due fattori; mantieni il software aggiornato |
| Segreteria con PIN predefiniti e inoltro di chiamata da remoto | Cambia i PIN, disattiva le funzioni di chiamata in uscita dalla segreteria |
| Funzioni di accesso remoto (DISA) | Disattivale se non servono; PIN robusto e limiti sulle destinazioni se le usi |
| Software del PBX e dispositivi non aggiornati | Aggiornamenti regolari, rimuovi moduli e account inutilizzati |
| Credenziali trapelate da ex dipendenti o file di provisioning | Cambia periodicamente le password, proteggi i server di provisioning |
Limiti che contengono i danni
- Controllo delle destinazioni: consenti le chiamate internazionali solo verso i paesi che l'azienda chiama davvero. Blocca di default le numerazioni premium e ad alto costo.
- Regole orarie: niente chiamate internazionali fuori dall'orario di lavoro, salvo necessità.
- Limiti di chiamate simultanee per interno e per trunk, vicini all'uso reale. Vedi canali e CPS.
- Limiti di spesa: tetti giornalieri e saldi prepagati sul trunk. Chiedi al tuo provider limiti di credito e avvisi, vedi condizioni prepagate e postpagate.
- Blocca gli attacchi brute force: strumenti che bannano gli IP dopo ripetute registrazioni fallite, e avvisi sui tentativi di registrazione da paesi sconosciuti.
Rilevamento
Monitora le chiamate in uscita quasi in tempo reale, non sulla fattura mensile. Imposta avvisi sulla spesa oraria, sulle nuove destinazioni, sulle chiamate notturne e sulle molte chiamate simultanee da un solo interno. Sono le stesse regole sui CDR usate per il monitoraggio delle rotte, vedi monitoraggio con i CDR. Fai attenzione anche ai picchi improvvisi di chiamate brevi: i truffatori spesso testano i numeri prima dell'attacco vero e proprio, come descritto in chiamate di breve durata.
Se vieni colpito
- Blocca le chiamate internazionali sul sistema o chiedi al tuo provider di sospendere il trunk.
- Cambia tutte le password e i PIN, e cerca account o regole di inoltro che non hai creato tu.
- Conserva log e CDR, e informa subito il tuo provider per iscritto. La velocità conta: a volte i provider possono bloccare i pagamenti lungo la catena solo se vengono avvisati presto.
- Scopri come è stato ottenuto l'accesso prima di riaprire le chiamate internazionali.
Per carrier e rivenditori
Se vendi SIP trunk o accesso wholesale, i sistemi compromessi dei tuoi clienti diventano la tua esposizione. Imposta limiti predefiniti sui nuovi account, apri le destinazioni su richiesta, stabilisci nelle tue condizioni chi paga il traffico fraudolento e il tuo diritto di sospendere il servizio in caso di sospetta frode, e mantieni le stesse regole con i tuoi fornitori. La checklist dell'accordo di interconnessione elenca le clausole rilevanti.
VoIPMatcher trova terminazione VoIP wholesale per le destinazioni che indichi, così la tua rotta resta limitata a ciò che usi. Richiedi una rotta VoIP.
Domande frequenti
Chi paga in caso di toll fraud?
Nella maggior parte dei contratti di servizio è il titolare dell'account a pagare le chiamate fatte con le sue credenziali, anche se le ha fatte un attaccante, perché le chiamate sono tecnicamente valide e ogni carrier della catena deve essere pagato. Alcuni provider offrono limiti antifrode o crediti parziali. Controlla il tuo contratto e imposta limiti di spesa e di destinazione invece di contare sulla buona volontà.
Un firewall previene il toll fraud?
Aiuta molto, ma da solo non basta. Un firewall o un session border controller che ammette il SIP solo da IP noti blocca la maggior parte delle scansioni e dei tentativi di indovinare le password. Il toll fraud passa però anche da pannelli web esposti, funzioni della segreteria, password trapelate e accesso remoto, quindi combina i controlli di rete con credenziali robuste, limiti sulle destinazioni e avvisi di spesa.
Cos'è il SIP scanning?
Il SIP scanning è la scansione automatica di indirizzi internet alla ricerca di porte SIP aperte, seguita da tentativi di registrazione con nomi utente e password comuni o indovinati. Gira di continuo contro qualsiasi sistema esposto. Il segnale sono molte registrazioni fallite da IP sconosciuti nei tuoi log; difenditi con liste di IP consentiti, password robuste e uniche e strumenti che bannano chi ci riprova.
Quanto in fretta possono crescere le perdite da toll fraud?
Molto in fretta. Un sistema compromesso può fare decine di chiamate simultanee verso destinazioni ad alto costo per ore, spesso iniziando il venerdì sera o prima di un festivo, quando nessuno controlla. Le perdite possono diventare ingenti nel giro di un solo weekend, ed è per questo che avvisi quasi in tempo reale e tetti di spesa rigidi contano più del controllo della fattura mensile.
Ti serve una rotta?
Mandaci destinazione, tipo di rotta e tariffa target. Ti rispondiamo con quello che possiamo offrirti.