Toll fraud : anatomie d'une attaque sur un trunk SIP
La fraude télécom ne ressemble pas à une cyberattaque spectaculaire. Elle se déroule un week-end, en silence, et se découvre sur la facture du mois suivant. Voici le déroulé type d'une attaque sur un trunk SIP, et les six règles qui la rendent économiquement inintéressante pour l'attaquant.
Phase 1 — La découverte : votre IPBX est déjà scanné
Tout serveur SIP exposé sur Internet reçoit des sollicitations automatisées en continu. Les scanners parcourent les plages d'adresses à la recherche du port 5060 ouvert, puis identifient la plateforme via la bannière SIP renvoyée dans les réponses.
Cette phase est passive et inévitable. Ce qui n'est pas inévitable, c'est de répondre poliment : un serveur qui annonce sa version exacte et accepte les requêtes OPTIONS de n'importe quelle source se signale comme cible qualifiée.
Phase 2 — L'énumération des comptes
L'attaquant teste ensuite des identifiants d'extension : 100, 101, 1000, 2001, puis les noms d'utilisateur courants. Une plateforme mal configurée distingue une extension inexistante d'une extension existante avec un mauvais mot de passe — deux codes de réponse différents. C'est tout ce qu'il faut pour cartographier vos comptes.
- —Les mots de passe faibles (extension identique au mot de passe) tombent en quelques minutes.
- —Les comptes de test créés « le temps de la recette » et jamais supprimés sont une porte d'entrée classique.
- —Les comptes d'équipements (interphones, portails, fax) ont souvent des mots de passe par défaut.
Phase 3 — Le test discret
Une fois un compte compromis, l'attaquant ne se précipite pas. Il passe un ou deux appels courts vers un numéro de test — souvent un numéro satellitaire ou une destination internationale à tarification élevée — pour vérifier que la route fonctionne et qu'aucune alerte ne se déclenche.
Entre le test et l'exploitation, il s'écoule parfois plusieurs jours. C'est la seule fenêtre où une supervision attentive peut encore éviter la facture.
Phase 4 — L'exploitation : vendredi 21 h
L'exploitation se déclenche en dehors des heures ouvrées, typiquement le vendredi soir ou la veille d'un jour férié. Des dizaines d'appels simultanés partent vers des numéros à revenus partagés, pendant des heures. Le préjudice se chiffre à plusieurs milliers d'euros par nuit selon le nombre de canaux disponibles sur le trunk.
Le lundi, tout est terminé. Les logs montrent le volume, l'opérateur facture les minutes consommées, et le contrat prévoit presque toujours que les appels émis depuis votre installation sont à votre charge.
Les six règles qui arrêtent l'attaque
1. Fermer les destinations par défaut
Aucune plateforme ne devrait autoriser l'international, les numéros surtaxés et les destinations satellitaires par défaut. On ouvre les pays réellement appelés, un par un, sur demande.
2. Plafonner les appels simultanés
Un site de 30 personnes n'a jamais besoin de 60 appels sortants simultanés. Un plafond par site et par groupe limite mécaniquement le préjudice, même en cas de compromission.
3. Restreindre la signalisation à des sources connues
Le trunk n'accepte que les adresses de l'opérateur ; l'administration n'est accessible que par VPN. Un filtrage au niveau du pare-feu et du SBC élimine l'essentiel du bruit de fond.
4. Bannir automatiquement les sources hostiles
Un mécanisme de bannissement sur tentatives d'authentification en échec coupe l'énumération avant qu'elle n'aboutisse.
5. Alerter sur le comportement, pas seulement sur le volume
Une alerte utile se déclenche sur un appel international hors plage horaire, sur un pic d'appels simultanés ou sur un dépassement de minutes par compte — en temps réel, pas dans le rapport mensuel.
6. Faire poser un plafond par l'opérateur
Le dernier filet de sécurité est contractuel : un plafond de consommation mensuel côté opérateur, avec coupure ou alerte au-delà. C'est la seule protection qui fonctionne même si votre plateforme est entièrement compromise.
Ce que nous appliquons sur les plateformes que nous opérons
Sur chaque déploiement — 3CX, Wazo, Avaya IP Office ou SBC pour Teams Direct Routing — ces six règles font partie de la configuration de base, pas d'une option de sécurité facturée en plus. Nous rejouons un test d'exposition avant la mise en production et une revue des destinations ouvertes à chaque revue trimestrielle.
Questions fréquentes
Qui paie les appels frauduleux émis depuis mon installation ?
Dans la très grande majorité des contrats opérateurs, le client. C'est pourquoi le plafond de consommation côté opérateur et les restrictions de destinations sont des mesures financières autant que techniques.
Une plateforme dans le cloud est-elle protégée par défaut ?
Partiellement. L'hébergeur protège l'infrastructure, mais les comptes faibles, les destinations ouvertes et les plafonds relèvent de la configuration de votre tenant — donc de vous ou de votre intégrateur.
Comment savoir si mon installation est exposée ?
Un test d'exposition permet de vérifier en une demi-journée si le port SIP répond à des sources inconnues, si l'énumération des comptes est possible et si les destinations sensibles sont ouvertes.