As boas práticas de segurança VoIP se resumem a poucos controles: aceitar SIP apenas de endereços IP conhecidos, usar credenciais longas e únicas, manter o PABX e o SBC atualizados, criptografar sinalização e mídia sempre que possível e limitar quanto cada trunk pode gastar. A maior parte das perdas em SIP trunks vem de fraude de tarifação por uma conta fraca, não de criptografia quebrada.
Quais são os principais riscos de segurança VoIP?
Os principais riscos de segurança VoIP para uma empresa ou carrier são financeiros, não só de privacidade. Em ordem de quantas vezes custam dinheiro:
| Ameaça | O que acontece | Principal defesa |
|---|---|---|
| Fraude de tarifação | Alguém usa seu PABX ou trunk para fazer chamadas caras | Autenticação por IP, limites de chamadas, alertas |
| Fraude de compartilhamento de receita | Chamadas são empurradas para números de alto custo que pagam o atacante | Bloqueio de destinos, teto de gastos |
| Varredura de registros | Bots testam milhares de pares de ramal e senha | Regras de firewall, limitação de taxa, banimentos no estilo fail2ban |
| Negação de serviço | Inundações SIP fazem o servidor recusar chamadas reais | SBC, limites de taxa, filtragem na rede de cima |
| Escuta | Chamadas sem criptografia são capturadas no caminho da rede | TLS para SIP, SRTP para mídia |
| Falsificação de identificador de chamadas | Fraudadores se passam pelos seus números diante dos seus clientes | STIR/SHAKEN onde existir, monitoramento de números |
O padrão de ataque por trás das duas primeiras está descrito em fraude de tarifação e invasão de PABX e em IRSF.
Como proteger um SIP trunk?
Proteja um SIP trunk limitando quem pode enviar tráfego para ele e o que esse tráfego pode fazer. Um checklist prático:
- Use autenticação por IP entre sua plataforma e sua carrier. Aceite e envie tráfego apenas dos IPs de sinalização combinados, como em uma interconexão SIP normal.
- Se precisar registrar com senha, use uma senha longa e aleatória por trunk e por ramal, nunca o número do ramal nem uma senha padrão.
- Adicione um prefixo técnico ou identificador de conta combinado com a carrier, para que tráfego indevido vindo de um IP permitido não seja cobrado de você por engano.
- Restrinja os destinos. Libere só os países para os quais você liga. Bloqueie faixas de tarifa premium e satelitais, a menos que precise delas.
- Defina limites de canais e de CPS em cada trunk, para que uma invasão não ocupe centenas de canais de uma vez. Veja canais VoIP e CPS.
- Limite os gastos. Limites de crédito diários em contas pré-pagas transformam um desastre em uma perda pequena.
Quais regras de firewall usar para um SIP trunk?
A regra básica de firewall para um SIP trunk é negar por padrão: abra as portas SIP (5060 UDP/TCP, 5061 para TLS) apenas para os IPs de sinalização da sua carrier e para as redes dos seus próprios usuários, e abra a faixa de portas RTP só até onde a sua mídia precisa. Depois:
- Não exponha o painel web de administração do PABX na internet. Acesse por VPN.
- Bana IPs automaticamente após falhas repetidas de registro.
- Descarte requisições SIP com user agents conhecidos de scanners, mas não dependa só disso.
- Coloque um session border controller na borda se você opera uma carrier ou uma plataforma multi-cliente: ele esconde a topologia interna, normaliza o SIP e absorve inundações.
- Desative o SIP ALG nos roteadores à frente do PABX. Ele causa problemas de áudio e não acrescenta nada à segurança.
As chamadas VoIP devem ser criptografadas?
Sim, sempre que os dois lados suportarem. Use TLS para a sinalização SIP e SRTP para a voz, especialmente para usuários remotos em redes públicas. Seja realista nas rotas wholesale: muitas interconexões entre carriers ainda usam SIP e RTP sem criptografia sobre links dedicados ou listas de IPs liberados, e a criptografia normalmente termina na primeira passagem para outra carrier. A criptografia protege o conteúdo da chamada; ela não impede a fraude de tarifação, que exige os controles acima.
Como detectar cedo um ataque VoIP?
A maioria das fraudes aparece nos registros de chamadas em poucos minutos, por isso o monitoramento é o controle isolado mais forte. Fique de olho em:
- Chamadas fora do horário comercial, principalmente à noite e nos fins de semana.
- Novos destinos para os quais você nunca liga, ou picos para um país ou faixa de numeração.
- Muitas chamadas curtas, ou muitas chamadas simultâneas de um mesmo ramal.
- Um salto repentino no gasto por hora em relação à sua base normal.
Crie alertas para esses padrões e bloqueie automaticamente acima de um limite. Monitoramento de rotas com CDRs explica quais campos acompanhar, e as carriers usam um sistema de gestão de fraude para fazer isso em escala. Continue aplicando atualizações: muitas invasões de PABX exploram falhas conhecidas em versões antigas do software.
Segurança ao comprar rotas wholesale
Ao comprar terminação VoIP wholesale, combine com o provedor desde o primeiro dia a autenticação por IP, os limites de destino e os limites de crédito, e mantenha atualizados os contatos para alertas de fraude. A VoIPMatcher busca e gerencia a rota para você, então essas configurações fazem parte da ativação. Solicite uma rota VoIP e diga quais destinos e limites você precisa.
Perguntas frequentes
VoIP é seguro?
VoIP pode ser tão seguro quanto a telefonia tradicional, mas só se for configurado com cuidado. Na maioria dos incidentes, o ponto fraco não é o protocolo: são senhas fracas, portas SIP abertas, PABX sem atualização e ausência de limites de chamadas. Com restrição por IP, criptografia e teto de gastos, o risco cai muito.
Qual porta o SIP usa?
Por padrão, o SIP usa a porta 5060 em UDP e TCP, e a porta 5061 para SIP sobre TLS. A mídia (RTP) usa uma faixa de portas UDP altas definida no PABX ou no SBC. Mudar o SIP para outra porta reduz o ruído de varreduras automáticas, mas não é proteção de verdade: quem faz o trabalho continuam sendo as regras de firewall e a autenticação.
Devo desativar o SIP ALG no meu roteador?
Na maioria dos casos, sim. O SIP ALG é um recurso do roteador que reescreve mensagens SIP, e muitas implementações fazem isso mal, causando áudio em uma só direção, falhas de registro e chamadas derrubadas. Os provedores VoIP costumam recomendar desativá-lo e tratar o NAT no PABX ou no session border controller.
Um SIP trunk pode ser hackeado?
Sim. Atacantes varrem a internet em busca de endpoints SIP, adivinham senhas de ramais e depois fazem chamadas internacionais caras, normalmente à noite ou nos fins de semana. Raramente o SIP trunk em si é quebrado: o atacante entra pelo PABX ou por uma conta fraca e usa o trunk. Autenticação por IP e limites de chamadas impedem a maior parte desses ataques.
Quais são as maiores ameaças à segurança VoIP?
As mais comuns são fraude de tarifação por contas de PABX invadidas, fraude internacional de compartilhamento de receita, negação de serviço contra servidores SIP, escuta de chamadas sem criptografia e falsificação de identificador de chamadas voltada aos seus clientes. A fraude de tarifação é a que tira dinheiro das empresas mais rápido, muitas vezes milhares em poucas horas.
Precisa de uma rota?
Envie o destino, o tipo de rota e a tarifa alvo. Respondemos com o que podemos entregar.