Cómo proteger una centralita IP del fraude de llamadas

Una centralita con el puerto SIP abierto a Internet empieza a recibir intentos de registro en cuestión de horas. Son programas automáticos que prueban extensiones y contraseñas una y otra vez, y buscan una cosa: hacer llamadas a vuestra costa.

Cómo funciona el fraude

El atacante consigue registrarse en una extensión, o encuentra una configuración que deja llamar sin registrarse, y empieza a marcar números internacionales de tarificación especial, normalmente de noche o en fin de semana, cuando nadie mira. Esas llamadas generan ingresos para quien está detrás del número de destino. La factura la paga el titular de la troncal.

Puede pasar en unas horas, y se nota cuando llega la factura o cuando el operador corta por consumo anómalo, si lo hace.

Contraseñas de las extensiones

Es la medida más importante y la más ignorada. Una extensión 201 con contraseña 201, o 1234, cae en minutos. Las contraseñas SIP las teclea una vez el instalador y nadie las vuelve a escribir, así que pueden ser largas y aleatorias, de veinte caracteres o más.

Ayuda también que el nombre de usuario SIP no sea igual al número de extensión. Los programas de ataque prueban primero los números cortos.

No exponer la centralita sin cortafuegos

Si los teléfonos están en la oficina y la troncal viene de un proveedor con IPs conocidas, el puerto SIP no tiene por qué estar abierto a todo el mundo. En el cortafuegos se deja pasar SIP y RTP solo desde las direcciones del proveedor y de las sedes.

Para los teléfonos que salen fuera, como móviles con aplicación o teletrabajo, hay varias opciones: una VPN, una lista de IPs permitidas si son fijas, o al menos un bloqueo automático de las direcciones que fallan varios intentos de registro seguidos. Cambiar el puerto 5060 por otro reduce el ruido de los escáneres, pero no protege de nada si la contraseña es débil.

Limitar lo que se puede marcar

• Bloquear los prefijos internacionales en las extensiones que no los necesitan, y en la centralita entera si nadie llama fuera.
• Bloquear numeración de tarificación adicional y satélite.
• Limitar el número de llamadas simultáneas por extensión y en la troncal.
• Pedir al proveedor de la troncal un límite de gasto diario o un aviso por consumo, si lo ofrece.
• Restringir las llamadas salientes fuera del horario de oficina.

Con esas cinco reglas, aunque alguien entre, el daño queda acotado.

Revisar y actualizar

El software de la centralita y el firmware de los teléfonos reciben correcciones de seguridad. Hay que aplicarlas, igual que en cualquier servidor. Las interfaces web de gestión, de la centralita y de los teléfonos, no deberían estar accesibles desde Internet, y la contraseña de administrador de fábrica se cambia el primer día.

Y mirad los registros. Muchos intentos fallidos desde direcciones desconocidas son normales; una extensión registrada desde un país donde no tenéis a nadie, o llamadas a destinos raros a las cuatro de la mañana, no.

Cifrado

SIP sobre TLS, en el puerto 5061, cifra la señalización, y SRTP cifra la voz. Protegen de quien escucha en la red. Contra el fraude ayudan poco: el fraude entra por contraseñas y puertos abiertos.

Si además la calidad os da guerra, mirad latencia, jitter y QoS.