Edito sécurité : attaques des systèmes téléphoniques (voip ou traditionnel)
Les attaques informatiques se multiplient chaque jour. Mais certaines attaques ne font pas les gros titres des journaux, mais par contre coûtent cher. Ces attaques ont pour but de détourner le système téléphonique (PABX ou IPBX) de l'entreprise afin d'émettre des appels frauduleux vers des pays où les communications sont onéreuses. Cette activité est très lucrative. Certains opérateurs ont eux même eu la désagréable surprise un matin, de découvrir un volume d'appels très important anormal vers des destinations exotiques. Il faut avoir en tête qu'une grande partie de ces attaques sont basées sur des failles connues. Ces mêmes attaques ne sont pas très complexes à mettre en oeuvre et ne prennent que peu de temps. Une autre partie des attaques se base sur la négligence des administrateurs des systèmes téléphoniques.
Donc oui, les attaques sur les systèmes de téléphonie sont en effet de plus en plus courant. 01net y a consacré un article le 15 mars dernier, que vous pouvez relire ICI .
Pourquoi ces attaques ?
Il est d'autant plus facile d'attaquer une grande partie des systèmes installés et ceci en grande partie à cause de la légèreté des décideurs et des intégrateurs. En effet, le premier est responsable du choix du système et de son prestataire. Il se doit aussi de vérifier quelles sont les prestations inclues dans son contrat de maintenance. En effet, les mises à jour sont des opérations qui prennent du temps et qui sont très souvent liées à l'achat de licences logicielles et hors contrat de maintenance. On parle sinon de contrat d'infogérance.
Le deuxième pêche souvent par le manque de compétences de base liées à la sécurité et le manque d'informations diffusées à son client (combien d'intégrateurs ont averti leurs clients de la nécessité de faire une mise à jour de leur système Alcatel suite à la découverte d'une faille de sécurité liée à la messagerie vocale ?).
Ces attaques sont-elles évitables ?
Ces attaques simples (et il y en a plusieurs) révèlent aussi un autre point inquiétant : le manque ou la baisse de compétences en général. Notre monde se tourne vers le lowcost, et seul le prix devient un élément de décision. Quand un stagiaire est responsable d'un déploiement ou d'une prestation, on est en droit de se poser des questions (un stagiaire n'est-il pas là pour apprendre ?).
Lors des déploiements, le volet sécurité n'est que très rarement pris en compte voir complètement occulté. Les mots de passe des systèmes ne sont pas modifiés, les utilisateurs ont le même mot de passe trivial d'accès à leurs ressources téléphoniques et on laisse aux VIP tous les droits
Resources complémentaires
J'ai écrit une liste d'articles sur ce sujet qui est en effet de plus en plus d'actualités. Les attaques sont maintenant organisées et automatisées. L'erreur serait de croire que vous êtes à l'abri (même de gros opérateurs se sont fait hacker).
Votre système téléphonique est-il bien protégé ? :
http://www.blog-des-telecoms.com/votre-systeme-telephonique-est-il-bien-protege
Sécuriser votre système de téléphonie (PABX - IPBX) :
http://www.blog-des-telecoms.com/securiser-votre-systeme-de-telephonie-pabx-ipbx
http://www.blog-des-telecoms.com/vulnerabilite-de-la-voip
Comment sécuriser le SIP d'un serveur asterisk ? :
http://www.blog-des-telecoms.com/comment-securiser-le-sip-d-un-serveur-asterisk
Je vous souhaite une bonne lecture, en espèrant que cette édito en ce jeudi matin puisse éviter à certaines entreprises des réveils douloureux en ces temps difficiles.