Fraude téléphonique sur les IPBX : de quoi s'agit-il et comment protéger votre entreprise

Qu'est-ce que la fraude téléphonique et pourquoi vise-t-elle les IPBX

La fraude téléphonique (en anglais, toll fraud) consiste pour un tiers à utiliser votre ligne ou votre standard pour passer des appels que vous finissez par payer. Un standard IP, aussi appelé PBX (autocommutateur privé) dans le cloud ou sur site, fonctionne via internet grâce au protocole SIP (protocole d'ouverture de session), la « langue » avec laquelle les téléphones s'enregistrent et passent des appels. Cela le rend souple et économique, mais aussi visible pour quiconque cherche des systèmes mal configurés.

Ce n'est pas un problème mineur. La Communications Fraud Control Association (CFCA), l'association internationale qui mesure la fraude dans les télécommunications, a estimé dans son enquête mondiale de 2025 que le secteur perd environ 41,82 milliards de dollars par an à cause de la fraude, soit près de 2,46 % de son chiffre d'affaires. Le même rapport souligne que la fraude liée au trafic international reste un problème actif, concentré dans certaines régions.

Les formes les plus courantes

• IRSF (fraude au partage de revenus sur le trafic international) : le fraudeur obtient des numéros internationaux à tarif élevé, en général dans un pays différent de celui de la victime, et touche une partie de ce qui est facturé à chaque minute. Il génère ensuite des milliers d'appels vers ces numéros depuis le standard d'un tiers. Europol et Trend Micro décrivent dans leur rapport de 2019 comment le piratage de standards se transforme en IRSF.
• Wangiri : mot japonais qui signifie à peu près « une sonnerie et on raccroche ». Un système automatique fait sonner votre mobile une seule fois depuis un numéro international ; si vous rappelez, vous payez un tarif élevé dont une partie revient à l'escroc. La FTC (Commission fédérale du commerce des États-Unis) le résume par un conseil simple : si vous recevez un appel d'une seule sonnerie d'un numéro inconnu, ne rappelez pas.
• Postes et messageries vocales compromis : des postes avec des mots de passe comme « 1234 » ou des messageries vocales avec le code PIN d'usine qui permettent d'appeler vers l'extérieur. Une fois à l'intérieur, l'intrus utilise votre standard comme tremplin.
• Vol d'identifiants SIP : des programmes automatiques testent des millions de combinaisons d'identifiant et de mot de passe jusqu'à en trouver une valide. Avec elle, l'attaquant enregistre son propre « téléphone » sur votre compte et appelle comme s'il était un employé.

Pourquoi cela arrive presque toujours la nuit et le week-end

Le rapport d'Europol de 2019 l'explique sans détour : ceux qui attaquent les standards le font généralement en dehors des heures de bureau pour que l'attaque dure plus longtemps et leur rapporte davantage. Un vendredi soir ou un week-end prolongé leur offre de nombreuses heures sans que personne ne surveille le standard ni ne réponde à une alerte. C'est pourquoi les pertes se concentrent sur ces créneaux, et c'est pourquoi vos contrôles doivent fonctionner tout seuls, sans dépendre de la présence de quelqu'un.

À quoi cela ressemble sur la facture

La fraude ne prévient pas : elle apparaît d'un coup. Le cas typique est une consommation internationale plusieurs fois supérieure à la normale, concentrée sur quelques heures, vers des pays avec lesquels votre entreprise n'a aucune relation. Dans le détail des appels, appelé CDR (enregistrement détaillé des appels), vous verrez de nombreux appels simultanés, de durée similaire, vers des préfixes inhabituels, à des heures où le bureau était fermé et souvent depuis un même poste ou une même liaison opérateur (trunk).

Par exemple : une entreprise de logistique de 25 postes ferme le vendredi à 18 h. Le lundi, le service comptable ouvre le portail du fournisseur et découvre une consommation internationale équivalente à plusieurs mois de téléphonie. En examinant le CDR, il constate que, depuis le samedi au petit matin, un poste qu'utilisait un stagiaire déjà parti a passé des centaines d'appels vers des destinations d'un autre continent, avec jusqu'à dix appels en même temps. Le mot de passe de ce poste était le numéro du poste lui-même. Personne ne l'avait désactivé, le standard n'avait aucun plafond de dépenses et les appels internationaux étaient ouverts à tous les utilisateurs.

Les signaux d'alerte à surveiller

• Des appels sortants vers des pays avec lesquels vous ne faites pas d'affaires.
• De l'activité à des heures où personne n'est au bureau.
• Des pics d'appels simultanés qui dépassent votre nombre d'employés actifs.
• Des postes qui s'enregistrent depuis des adresses IP (l'« adresse » d'un appareil sur internet) d'autres pays.
• De nombreuses tentatives d'enregistrement échouées dans les journaux du standard : quelqu'un est en train de tester des mots de passe.
• Des plaintes d'utilisateurs parce que « la ligne est occupée » alors qu'ils n'appellent pas.

Comment protéger votre standard étape par étape

1. Des mots de passe forts et uniques : chaque poste, messagerie et liaison opérateur doit avoir un mot de passe long et aléatoire. N'utilisez jamais le numéro du poste ni les mots de passe d'usine. Europol avertit que de nombreux standards attaqués n'étaient protégés que par un mot de passe par défaut ou faible.
2. Bloquez les destinations que vous n'utilisez pas : si vous n'appelez que la Colombie, l'Équateur et le Pérou, fermez le reste du monde. N'activez les destinations internationales que pour ceux qui en ont besoin, jamais par défaut.
3. Des plafonds de dépenses et d'appels simultanés : demandez à votre fournisseur un plafond journalier ou mensuel de consommation internationale et un nombre maximal de canaux par poste et par liaison. Si quelqu'un entre, les dégâts restent limités.
4. Des plages horaires : restreignez les appels internationaux en dehors des heures de travail, sauf pour les utilisateurs qui en ont réellement besoin.
5. Des alertes automatiques : configurez des notifications par e-mail ou par message lorsque la consommation, le nombre d'appels ou les destinations sortent de l'ordinaire.
6. Firewall et fail2ban : un firewall (pare-feu) ne doit autoriser l'accès au standard que depuis les réseaux autorisés. Fail2ban est un outil qui bloque automatiquement les adresses IP qui échouent plusieurs fois de suite à saisir le mot de passe. La documentation d'Asterisk, l'un des logiciels de standard IP les plus utilisés, recommande en outre de limiter qui peut se connecter au moyen de listes d'accès et de protéger les interfaces d'administration par un VPN (réseau privé virtuel).
7. Séparez l'entrant du sortant : la même documentation insiste sur le fait que les appels arrivant de l'extérieur ne doivent jamais pouvoir utiliser les services d'appels payants. C'est une erreur de configuration fréquente.
8. Mises à jour : tenez à jour le logiciel du standard, les téléphones et les routeurs ; de nombreuses failles exploitent des défauts déjà corrigés.
9. Vérifiez les liaisons et les utilisateurs : les liaisons opérateur (trunks) sont les connexions entre votre standard et l'opérateur. Passez en revue chaque trimestre les liaisons, postes et messageries existants, et supprimez ceux qui ne servent plus, comme celui du stagiaire de l'exemple.

Si votre standard est dans le cloud, plusieurs de ces protections devraient être incluses. Chez 19 80 TIC Cloud, notre équipe d'ingénieurs exploite sa propre plateforme de téléphonie IP : nous savons donc par expérience à quel point les plafonds et les alertes comptent au quotidien. Vous pouvez découvrir le fonctionnement de notre PBX dans le cloud ou consulter les options de téléphonie internationale pour n'activer que les destinations dont vous avez besoin.

Que faire si cela vous est déjà arrivé

1. Coupez le trafic immédiatement : bloquez les appels internationaux et désactivez le poste ou la liaison compromis.
2. Appelez votre fournisseur : demandez-lui de bloquer les destinations concernées de son côté et de vous remettre le CDR de la période. Chaque heure compte.
3. Changez tous les mots de passe : pas seulement celui qui a été compromis. Si un attaquant est entré une fois, il a pu laisser d'autres portes ouvertes.
4. Conservez les preuves : journaux du standard, CDR, e-mails et captures d'écran. Ils vous serviront pour la plainte et pour toute réclamation.
5. Portez plainte : en Colombie, vous pouvez vous adresser au Centro Cibernético Policial de la Police nationale ou au parquet (Fiscalía) ; en Équateur et au Pérou, aux unités de lutte contre la cybercriminalité de leurs autorités.
6. Corrigez la cause : avant de rétablir le service, appliquez les mesures de la section précédente pour éviter que cela se reproduise.

Si vous souhaitez que nous vérifiions la configuration de votre standard, écrivez-nous depuis la page contact.