Toll fraud VoIP: come proteggere il centralino dalle chiamate fraudolente

Il toll fraud è la frode più costosa che può colpire un centralino aziendale: un attaccante ottiene accesso al PBX e genera traffico verso numerazioni a tariffazione elevata, incassando una quota dei ricavi di terminazione. Il danno si materializza in poche ore, spesso durante un fine settimana, e arriva in bolletta a cose fatte.

Come funziona la frode

Lo schema classico prevede tre attori: chi controlla una numerazione premium in un paese con tariffe di terminazione alte, chi buca il centralino, e la vittima che paga il traffico. L'attaccante non ruba dati: monetizza direttamente i minuti generati.

Il flusso tipico:

1. scansione automatica di indirizzi IP alla ricerca della porta SIP aperta
2. enumerazione degli interni tramite risposte differenziate del PBX
3. attacco a dizionario sulle password degli interni individuati
4. registrazione di un client con le credenziali ottenute
5. generazione massiva di chiamate verso destinazioni premium, in parallelo su tutti i canali disponibili

Con un trunk da 10 canali e una tariffa di 1,50 euro al minuto, un weekend di traffico continuo supera facilmente i 20.000 euro.

I vettori di attacco più sfruttati

Password deboli sugli interni. Il caso più comune in assoluto. Interno 201 con password 201, o password uguale al numero, o sequenze banali. Le scansioni automatiche provano decine di migliaia di combinazioni al minuto.

Porta SIP esposta senza filtri. Un PBX raggiungibile da tutto internet sulla porta di segnalazione riceve tentativi di registrazione in modo continuo, senza bisogno che qualcuno lo abbia preso di mira.

Interni non usati e mai disabilitati. Utenze create per test, per collaboratori usciti, per apparati dismessi. Nessuno le controlla, nessuno si accorge se vengono usate.

Contesti di chiamata troppo permissivi. Un IVR o una casella vocale configurata in un contesto che consente l'uscita verso l'esterno permette di comporre numeri internazionali senza nemmeno autenticarsi.

Call forwarding e follow-me. Un interno compromesso con inoltro incondizionato verso un numero estero genera traffico a ogni chiamata in ingresso, senza che nessuno componga nulla.

Trunk SIP con autenticazione solo su IP. Se l'operatore autentica il trunk sull'indirizzo IP e quel server viene compromesso a livello di sistema operativo, l'attaccante ha accesso diretto ai canali.

Contromisure sul PBX

Password forti e generate a macchina. Almeno 16 caratteri casuali per ogni interno. Con l'autoprovisioning dei telefoni non è un problema operativo: nessuno deve digitarle a mano.

Segregazione della segnalazione. Il PBX non deve essere raggiungibile da internet in modo indiscriminato. Le opzioni, in ordine di robustezza: interni raggiungibili solo dalla LAN o via VPN, oppure accesso da internet ristretto agli IP noti delle sedi, oppure SBC dedicato davanti al centralino. Per gli utenti in mobilità la VPN o il client con TLS restano preferibili all'esposizione diretta.

Limiti di chiamata per interno. Impostare un massimo di chiamate simultanee per utenza. Un interno che apre otto canali contemporanei non è un comportamento legittimo in nessuno scenario di ufficio.

Blocco delle destinazioni non necessarie. La maggior parte delle aziende non chiama mai certe aree geografiche. Bloccare per default tutte le destinazioni internazionali e i prefissi a tariffazione speciale, abilitando su richiesta solo quelle effettivamente usate. È la singola misura con il miglior rapporto fra efficacia e sforzo.

Codice di autorizzazione sulle chiamate internazionali. Per le aziende che chiamano davvero all'estero, un PIN separato per l'uscita internazionale limita il danno di un interno compromesso.

Blocco automatico dei tentativi falliti. Un sistema di intrusion prevention che banna l'IP dopo pochi errori di autenticazione elimina gli attacchi a dizionario. Va verificato che le regole coprano sia i fallimenti di registrazione sia quelli di autenticazione sulle chiamate.

Disabilitare le risposte che rivelano gli interni. Il PBX deve rispondere allo stesso modo per un interno esistente e uno inesistente, altrimenti l'enumerazione diventa banale.

Contromisure lato operatore

Il trunk è la seconda linea di difesa e vale la pena configurarla anche quando il PBX è ben protetto:

• tetto di spesa giornaliero sul trunk, con blocco automatico al superamento
• limite di canali contemporanei allineato al reale fabbisogno, non al massimo tecnico
• barring delle destinazioni internazionali e satellitari attivo per default
• alert su volumi anomali, in particolare fuori orario di ufficio

Un operatore che offre queste opzioni riduce il danno massimo da cinque cifre a poche centinaia di euro, indipendentemente da cosa succede sul centralino.

Monitoraggio: cosa guardare

I segnali che precedono o accompagnano una frode in corso sono riconoscibili:

• chiamate in uscita tra le 22 e le 6, o nel fine settimana, su interni di ufficio
• picchi di chiamate simultanee sullo stesso interno
• destinazioni internazionali mai viste prima nello storico
• durata media anomala, spesso chiamate lunghe e ripetute verso lo stesso numero
• registrazioni SIP da indirizzi IP geograficamente incoerenti

Un semplice report giornaliero sul CDR con soglie su questi parametri intercetta la quasi totalità dei casi entro il primo ciclo.

Cosa fare se è già successo

Nell'ordine: disabilitare il trunk in uscita, cambiare tutte le password degli interni, esportare il CDR del periodo, identificare l'interno o il contesto usato, verificare eventuali inoltri di chiamata impostati dall'attaccante, controllare gli accessi amministrativi al PBX. Poi contattare l'operatore: parte del traffico può essere contestabile, ma la finestra utile è breve e la responsabilità contrattuale ricade quasi sempre sul titolare della linea.

La prevenzione qui vale molto più della reazione: le misure descritte sopra richiedono qualche ora di configurazione una tantum.