Toll fraud acontece quando alguém obtém acesso a um sistema telefônico, conta SIP ou tronco e o usa para fazer chamadas caras, geralmente para números internacionais de alto custo, às custas do dono. Ele explora principalmente senhas fracas e serviços abertos, e é prevenido com autenticação forte, restrição de IPs, limites de destino e alertas de gasto em tempo real.
Por que custa tão caro
Os ataques costumam começar numa sexta à noite ou antes de um feriado, quando ninguém está olhando. Um sistema comprometido pode fazer dezenas de chamadas simultâneas para destinos de alto custo durante horas. Como as chamadas são tecnicamente válidas, a operadora as fatura, e na maioria dos contratos o titular da conta responde pelo tráfego enviado com as suas credenciais. Essas chamadas normalmente alimentam a fraude de compartilhamento de receita internacional (IRSF).
Pontos fracos comuns
| Ponto fraco | Defesa |
|---|---|
| Senhas SIP fracas ou padrão em ramais e troncos | Senhas longas e aleatórias, únicas por dispositivo; nunca use o número do ramal como senha |
| Portas SIP abertas para toda a internet | Aceite apenas IPs conhecidos; coloque um SBC ou firewall na frente do PBX |
| Painel de administração web exposto | Acesso só por VPN; ative login com dois fatores; mantenha o software atualizado |
| Correio de voz com PINs padrão e desvio remoto de chamadas | Troque os PINs, desative recursos de saída a partir do correio de voz |
| Recursos de acesso remoto (DISA) | Desative se não precisar; PIN forte e limites de destino se usar |
| Software e dispositivos do PBX sem atualização | Atualizações regulares, remova módulos e contas que não usa |
| Credenciais vazadas por ex-funcionários ou arquivos de provisionamento | Troque as senhas, proteja os servidores de provisionamento |
Limites que contêm o estrago
- Controle de destinos: permita chamadas internacionais só para os países com que a empresa fala. Bloqueie por padrão faixas premium e de alto custo.
- Regras de horário: nada de chamadas internacionais fora do horário comercial, a menos que seja necessário.
- Limites de chamadas simultâneas por ramal e por tronco, próximos do uso real. Veja canais e CPS.
- Limites de gasto: tetos diários e saldo pré-pago no tronco. Peça ao seu provedor limites de crédito e alertas, veja condições pré-pagas vs pós-pagas.
- Bloqueio de força bruta: ferramentas que banem IPs depois de registros falhos repetidos, e alertas para tentativas de registro vindas de países desconhecidos.
Detecção
Monitore as chamadas de saída quase em tempo real, não pela fatura mensal. Crie alertas para gasto por hora, destinos novos, chamadas de madrugada e muitas chamadas simultâneas a partir de um ramal. São as mesmas regras de CDR usadas no monitoramento de rotas, veja monitoramento com CDRs. Fique atento também a picos repentinos de chamadas curtas: os fraudadores muitas vezes testam números antes do ataque principal, como descrito em chamadas de curta duração.
Se você for atacado
- Bloqueie as chamadas internacionais no sistema ou peça ao seu provedor para suspender o tronco.
- Troque todas as senhas e PINs e procure contas ou regras de desvio que você não criou.
- Guarde os logs e CDRs e avise o seu provedor por escrito imediatamente. A rapidez importa: às vezes os provedores só conseguem barrar o pagamento ao longo da cadeia se forem avisados cedo.
- Descubra como o acesso foi obtido antes de reabrir as chamadas internacionais.
Para operadoras e revendedores
Se você vende SIP trunks ou acesso wholesale, os sistemas comprometidos dos seus clientes viram a sua exposição. Defina limites padrão nas contas novas, libere destinos sob pedido, deixe claro nas suas condições quem paga pelo tráfego fraudulento e o seu direito de suspender o serviço quando houver suspeita de fraude, e mantenha as mesmas regras com os seus próprios fornecedores. O checklist do contrato de interconexão lista as cláusulas relevantes.
A VoIPMatcher busca terminação VoIP wholesale para os destinos que você indicar, o que mantém a sua rota limitada ao que você usa. Solicite uma rota VoIP.
Perguntas frequentes
Quem é responsável pelo toll fraud?
Na maioria dos contratos de serviço, o titular da conta paga pelas chamadas feitas com as suas credenciais, mesmo quando foi um invasor que as fez, porque as chamadas são tecnicamente válidas e cada operadora da cadeia tem valores a receber. Alguns provedores oferecem limites contra fraude ou créditos parciais. Confira o seu contrato e defina limites de gasto e de destino em vez de contar com boa vontade.
Um firewall impede o toll fraud?
Ajuda muito, mas sozinho não basta. Um firewall ou session border controller que só aceita SIP de IPs conhecidos bloqueia a maior parte das varreduras e tentativas de adivinhar senhas. O toll fraud também entra por painéis web expostos, recursos do correio de voz, senhas vazadas e acesso remoto, então combine controles de rede com credenciais fortes, limites de destino e alertas de gasto.
O que é SIP scanning?
SIP scanning é a varredura automática de endereços na internet em busca de portas SIP abertas, seguida de tentativas de registro com usuários e senhas comuns ou adivinhados. Isso acontece o tempo todo contra qualquer sistema exposto. O sinal são muitos registros falhos de IPs desconhecidos nos seus logs; defenda-se com listas de IPs permitidos, senhas fortes e únicas e ferramentas que banem quem insiste.
Com que rapidez o prejuízo do toll fraud cresce?
Muito rápido. Um sistema comprometido pode fazer dezenas de chamadas simultâneas para destinos de alto custo durante horas, muitas vezes começando numa sexta à noite ou antes de um feriado, quando ninguém está olhando. O prejuízo pode ficar grande em um único fim de semana, e por isso alertas quase em tempo real e tetos rígidos de gasto importam mais do que conferir a fatura mensal.
Precisa de uma rota?
Envie o destino, o tipo de rota e a tarifa alvo. Respondemos com o que podemos entregar.