Internet Phone Systems devient l'outil du fraudeur

Les cybercriminels ont trouvé une nouvelle plate-forme de lancement pour leurs escroqueries: les systèmes téléphoniques des petites et moyennes entreprises aux États-Unis

Ces dernières semaines, ils ont piraté des douzaines de systèmes téléphoniques à travers le pays.

Les victimes font généralement appel à des institutions régionales plus petites, qui ont généralement moins de ressources pour détecter les escroqueries. Les escrocs piratent les systèmes téléphoniques, puis appellent les victimes en leur transmettant des messages préenregistrés indiquant une erreur de facturation ou en les avertissant que le compte bancaire a été suspendu en raison d'une activité suspecte. Si le client inquiet entre son numéro de compte et mot de passe ATM, les méchants utilisent cette information pour faire de fausses cartes de débit et vider les comptes bancaires de la victime.

[Plus de lecture: Meilleures boîtes NAS pour le streaming multimédia et la sauvegarde il y a plus de 20 ans, une pratique connue sous le nom de phreaking, mais comme le système téléphonique traditionnel est intégré à Internet, il crée de nouvelles occasions de fraude qui commencent tout juste à être

VoIP (voix sur IP) Le piratage est «une nouvelle frontière dans le monde des télécommunications et de la cybercriminalité», a déclaré Erez Liebermann, avocat américain adjoint pour le district du New Jersey. "

Les attaques sur l'un des systèmes VoIP les plus populaires, appelées Asterisk, sont maintenant" endémiques ", a déclaré John Todd, qui travaille pour le produit. créateur, Digium, en tant que directeur de la communauté open-source. "C'est comme voler une batte de baseball pour faire une chute dans une voiture.La première étape est de pénétrer dans Asterisk."

Le piratage d'astérisques a commencé à évoluer d'un problème relativement mineur vers un problème beaucoup plus sérieux vers septembre 2008, Lorsque les outils faciles à utiliser ont été publiés, Todd a déclaré. "Il y a maintenant des gens qui font des vidéos dessus et il y a des blogs et des podcasts", a-t-il dit. "L'information est là."

Avec ces outils, il peut être assez facile de pirater un système VoIP en touchant le serveur conçu pour connecter le trafic du réseau local du bureau à un fournisseur de réseau comme AT & T, qui relie le appelle le reste du monde

Le hacker essaie de deviner les mots de passe du système VoIP, faisant des milliers de suppositions. Alors qu'un programme Internet tel que Gmail bloquera les visiteurs après une poignée de tentatives de mots de passe échoués, les systèmes VoIP ne sont souvent pas configurés de cette façon et permettent souvent à n'importe quel ordinateur de s'y connecter. Alors les pirates informatiques s'en prennent à eux, essayant de deviner les extensions du téléphone. Une fois qu'ils trouvent une extension, ils exécutent leur logiciel d'attaque de dictionnaire. Si le mot de passe est facile à deviner, ils sont dans le réseau et peuvent téléphoner gratuitement.

C'est ce qui est arrivé à Innovative Technologies, basée à Wheeling, en Virginie-Occidentale. Il a été piraté début octobre, apparemment par des cybercriminels roumains qui utilisaient son système VoIP pour téléphoner à des clients de Liberty Bank, une petite banque régionale ayant des bureaux en Californie. Les adresses IP sur Internet pour trouver des serveurs [VoIP] », a déclaré Terry Lewis, PDG d'Innovative Technologies.

Le 3 octobre, Lewis a commencé à recevoir des messages vocaux des clients de Liberty qui avaient reçu les appels frauduleux. Il a vérifié ses journaux de système VoIP le jour suivant et a constaté que les pirates avaient fait environ 300 appels pendant le week-end - pas tellement d'appels qu'il aurait normalement été remarqué.

Une fois que le système VoIP est piraté, les criminels utilisent pour effectuer des attaques de phishing par téléphone, parfois appelées vishing. Les attaques par vishing existent depuis quelques années, mais elles ont été largement ignorées, car elles ciblent souvent des banques régionales plus petites plutôt que des institutions nationales de premier plan. Les escrocs se déplacent de banque en banque chaque semaine après avoir terminé leurs campagnes.

Selon Liberty Bank, d'autres institutions régionales ont également été touchées par des attaques vishing de systèmes VoIP piratés ces dernières semaines.

Lewis a eu de la chance de ne pas avoir été touché par des frais de téléphone importants. En fonction de la configuration de leurs systèmes, les entreprises peuvent être tenues responsables de tout frais de téléphone - frais d'appels internationaux, par exemple - résultant de l'incident.

"Si quelqu'un commence à abuser de votre système téléphonique, vous êtes potentiellement

La première vice-présidente de Liberty Bank, Jill Hitchman, croit que les escrocs qui ciblaient sa banque ont probablement touché entre 30 et 35 entreprises et effectuaient entre 20 000 et 30 000 appels téléphoniques par jour. "Je ne pense pas que ces entreprises se rendent compte qu'elles vont probablement être inculpées", a déclaré Hitchman. "Le plus gros problème est, comment ces systèmes téléphoniques sont-ils accessibles et pourquoi ne pouvons-nous pas l'arrêter?"

Seulement quelques clients de Liberty sont tombés dans l'escroquerie, a dit Hitchman, mais les attaquants savaient ce qu'ils faisaient. D'abord, ils s'inscrivent à des comptes AOL, pour tester que les numéros de cartes ont fonctionné. Parce que AOL offre des adhésions d'essai gratuites, ces frais n'apparaissent pas pendant des mois. À ce moment-là, les escrocs ont mis les informations sur de fausses cartes ATM et vidé les comptes bancaires.

Les entreprises pourraient empêcher beaucoup de ces attaques en changeant le port qu'elles utilisent pour les connexions SIP (Session Initiation Protocol) sur leurs systèmes VoIP, En bloquant les connexions après un certain nombre de défaillances, et en utilisant simplement de meilleurs mots de passe sur leurs systèmes vocaux, les experts en sécurité disent.

Le problème est que la sécurité n'est pas une priorité pour la plupart des petites et moyennes entreprises. "Les gens se soucient beaucoup plus de savoir si leurs appels conférence auront une qualité de téléphone décent", a déclaré Rodney Thayer, chef de la technologie de la société de sécurité VoIP Secorix.

Ils ne pensent pas à leurs systèmes VoIP vulnérables aux attaques Internet seulement comme les serveurs Web ou e-mail, et c'est une erreur, a déclaré Thayer. "Ils pensent que c'est un système différent, et ce n'est pas le cas", a-t-il dit. "C'est la même chose, toutes les données circulent sur un réseau."