Fraude telefónico en centrales IP: qué es y cómo proteger su empresa

Qué es el fraude telefónico y por qué apunta a las centrales IP

El fraude telefónico (en inglés, toll fraud) consiste en que un tercero usa su línea o su central para hacer llamadas que usted termina pagando. Una central IP, también llamada PBX (central privada de conmutación) en la nube o en sitio, funciona sobre internet con el protocolo SIP (protocolo de inicio de sesión), que es el «idioma» con el que los teléfonos se registran y hacen llamadas. Eso la vuelve flexible y económica, pero también la deja visible para cualquiera que esté buscando sistemas mal configurados.

No es un problema menor. La Communications Fraud Control Association (CFCA), la asociación internacional que mide el fraude en telecomunicaciones, estimó en su encuesta global de 2025 que la industria pierde unos 41.820 millones de dólares al año por fraude, cerca del 2,46 % de sus ingresos. El mismo informe señala que el fraude por tráfico internacional sigue siendo un problema activo, concentrado en ciertas regiones.

Las modalidades más comunes

• IRSF (fraude por tráfico internacional de tarifa compartida): el delincuente consigue números internacionales de tarifa alta, por lo general en un país distinto al de la víctima, y recibe una parte de lo que se cobra por cada minuto. Luego genera miles de llamadas hacia esos números desde una central ajena. Europol y Trend Micro describen en su informe de 2019 cómo el hackeo de centrales termina convertido en IRSF.
• Wangiri: palabra japonesa que significa algo como «una timbrada y cortar». Un sistema automático hace sonar su celular una sola vez desde un número internacional; si devuelve la llamada, paga una tarifa elevada que en parte va al estafador. La FTC (Comisión Federal de Comercio de Estados Unidos) lo resume en un consejo sencillo: si le llega una llamada de una sola timbrada de un número desconocido, no la devuelva.
• Extensiones y buzones de voz vulnerados: extensiones con claves como «1234» o buzones de voz con el PIN de fábrica que permiten marcar hacia afuera. Una vez dentro, el intruso usa su central como trampolín.
• Robo de credenciales SIP: programas automáticos prueban millones de combinaciones de usuario y contraseña hasta dar con una válida. Con ella, el atacante registra su propio «teléfono» en la cuenta de su empresa y llama como si fuera un empleado.

Por qué casi siempre pasa de noche y en fines de semana

El informe de Europol de 2019 lo explica sin rodeos: quienes atacan centrales suelen hacerlo fuera del horario laboral para que el ataque dure más y les deje más dinero. Un viernes en la noche o un puente festivo les dan muchas horas sin que nadie revise la central ni conteste una alerta. Por eso las pérdidas se concentran en esas ventanas y por eso sus controles tienen que funcionar solos, sin depender de que alguien esté mirando.

Cómo se ve en la factura

El fraude no avisa: aparece de golpe. Lo típico es un consumo internacional muchas veces superior al normal, concentrado en pocas horas, hacia países con los que su empresa no tiene relación. En el detalle de llamadas, conocido como CDR (registro detallado de llamadas), verá muchas llamadas simultáneas, de duración parecida, hacia prefijos raros, a horas en que la oficina estaba cerrada y a menudo desde una misma extensión o troncal.

Por ejemplo: una empresa de logística con 25 extensiones cierra el viernes a las 6 p. m. El lunes, el área contable abre el portal del proveedor y encuentra un consumo internacional equivalente a varios meses de telefonía. Al revisar el CDR descubren que, desde el sábado a la madrugada, una extensión que usaba un practicante ya retirado hizo cientos de llamadas a destinos de otro continente, con hasta diez llamadas al mismo tiempo. La clave de esa extensión era el mismo número de la extensión. Nadie la había dado de baja, la central no tenía límite de gasto y las llamadas internacionales estaban abiertas para todos los usuarios.

Señales de alerta que debe vigilar

• Llamadas salientes a países con los que no hace negocios.
• Actividad en horarios en que no hay nadie en la oficina.
• Picos de llamadas simultáneas que superan el número de empleados activos de su empresa.
• Extensiones que se registran desde direcciones IP (la «dirección» de un equipo en internet) de otros países.
• Muchos intentos fallidos de registro en los registros de la central: alguien está probando contraseñas.
• Quejas de usuarios porque «la línea está ocupada» sin que estén llamando.

Cómo proteger su central paso a paso

1. Contraseñas fuertes y únicas: cada extensión, buzón y troncal debe tener una clave larga y aleatoria. Nunca use el número de la extensión ni las claves de fábrica. Europol advierte que muchas centrales atacadas solo estaban protegidas por una contraseña por defecto o débil.
2. Bloquee los destinos que no usa: si solo llama a Colombia, Ecuador y Perú, cierre el resto del mundo. Habilite destinos internacionales solo para quien los necesite, nunca por defecto.
3. Límites de gasto y de llamadas simultáneas: pida a su proveedor un tope diario o mensual de consumo internacional y un máximo de canales por extensión y por troncal. Si alguien entra, el daño queda acotado.
4. Horarios: restrinja las llamadas internacionales fuera de la jornada laboral, salvo para los usuarios que de verdad las requieran.
5. Alertas automáticas: configure avisos por correo o mensaje cuando el consumo, el número de llamadas o los destinos se salgan de lo normal.
6. Firewall y fail2ban: un firewall (cortafuegos) debe permitir el acceso a la central solo desde las redes autorizadas. Fail2ban es una herramienta que bloquea automáticamente las direcciones IP que fallan la contraseña varias veces seguidas. La documentación de Asterisk, uno de los programas de central IP más usados, recomienda además limitar quién puede conectarse mediante listas de acceso y proteger las interfaces de administración con una VPN (red privada virtual).
7. Separe lo entrante de lo saliente: la misma documentación insiste en que las llamadas que llegan desde afuera nunca deben poder usar los servicios de llamadas pagas. Es un error de configuración frecuente.
8. Actualizaciones: mantenga al día el software de la central, los teléfonos y los routers; muchas brechas aprovechan fallas ya corregidas.
9. Revise troncales y usuarios: las troncales son las conexiones de su central con el operador. Revise cada trimestre qué troncales, extensiones y buzones existen, y elimine los que ya no se usan, como la del practicante del ejemplo.

Si su central está en la nube, varias de estas capas deberían venir incluidas. En 19 80 TIC Cloud nuestro equipo de ingenieros opera su propia plataforma de telefonía IP, así que conocemos de primera mano cuánto pesan los límites y las alertas en el día a día. Puede ver cómo funciona nuestra PBX en la nube o revisar las opciones de telefonía internacional para habilitar solo los destinos que necesita.

Qué hacer si ya le pasó

1. Corte el tráfico de inmediato: bloquee las llamadas internacionales y desactive la extensión o troncal comprometida.
2. Llame a su proveedor: pida que bloqueen los destinos afectados en su lado y que le entreguen el CDR del periodo. Cada hora cuenta.
3. Cambie todas las contraseñas: no solo la afectada. Si un atacante entró una vez, pudo dejar otras puertas abiertas.
4. Guarde la evidencia: registros de la central, CDR, correos y capturas de pantalla. Le servirán para la denuncia y para cualquier reclamación.
5. Denuncia: en Colombia puede acudir al Centro Cibernético Policial de la Policía Nacional o a la Fiscalía; en Ecuador y Perú, a las unidades de delitos informáticos de sus autoridades.
6. Corrija la causa: antes de reabrir el servicio, aplique las medidas de la sección anterior para que no se repita.

Si quiere que revisemos la configuración de su central, escríbanos desde la página de contacto.