Frode telefonica sui centralini IP: cos'è e come proteggere la tua azienda

Cos'è la frode telefonica e perché prende di mira i centralini IP

La frode telefonica (in inglese toll fraud) consiste nel fatto che un terzo usa la tua linea o il tuo centralino per fare chiamate che alla fine paghi tu. Un centralino IP, chiamato anche PBX (centralino privato) in cloud o in sede, funziona su internet con il protocollo SIP (protocollo di inizio sessione), che è la «lingua» con cui i telefoni si registrano ed effettuano le chiamate. Questo lo rende flessibile ed economico, ma lo lascia anche visibile a chiunque vada in cerca di sistemi configurati male.

Non è un problema da poco. La Communications Fraud Control Association (CFCA), l'associazione internazionale che misura le frodi nelle telecomunicazioni, ha stimato nella sua indagine globale del 2025 che il settore perde circa 41.820 milioni di dollari l'anno per frode, quasi il 2,46 % dei ricavi. Lo stesso rapporto indica che la frode sul traffico internazionale resta un problema attivo, concentrato in alcune regioni.

Le modalità più comuni

• IRSF (frode sul traffico internazionale a tariffa condivisa): il truffatore ottiene numeri internazionali a tariffa elevata, di solito in un Paese diverso da quello della vittima, e riceve una parte di quanto viene addebitato per ogni minuto. Poi genera migliaia di chiamate verso quei numeri da un centralino altrui. Europol e Trend Micro descrivono nel loro rapporto del 2019 come l'attacco ai centralini finisca per trasformarsi in IRSF.
• Wangiri: parola giapponese che significa più o meno «uno squillo e riattacca». Un sistema automatico fa squillare il tuo cellulare una sola volta da un numero internazionale; se richiami, paghi una tariffa elevata che in parte va al truffatore. La FTC (Commissione federale per il commercio degli Stati Uniti) lo riassume in un consiglio semplice: se ricevi una chiamata di un solo squillo da un numero sconosciuto, non richiamare.
• Interni e caselle vocali violati: interni con password come «1234» o caselle vocali con il PIN di fabbrica che permettono di chiamare verso l'esterno. Una volta dentro, l'intruso usa il tuo centralino come trampolino.
• Furto di credenziali SIP: programmi automatici provano milioni di combinazioni di utente e password finché non ne trovano una valida. Con quella, l'attaccante registra il proprio «telefono» sul tuo account e chiama come se fosse un dipendente.

Perché succede quasi sempre di notte e nei fine settimana

Il rapporto di Europol del 2019 lo spiega senza giri di parole: chi attacca i centralini lo fa di solito fuori dall'orario di lavoro, così l'attacco dura di più e rende di più. Un venerdì sera o un ponte festivo offrono molte ore senza che nessuno controlli il centralino o risponda a un avviso. Per questo le perdite si concentrano in quelle finestre e per questo i tuoi controlli devono funzionare da soli, senza dipendere dal fatto che qualcuno stia guardando.

Come si presenta in bolletta

La frode non avvisa: compare all'improvviso. Il caso tipico è un consumo internazionale molte volte superiore al normale, concentrato in poche ore, verso Paesi con cui la tua azienda non ha rapporti. Nel dettaglio delle chiamate, noto come CDR (registro dettagliato delle chiamate), vedrai molte chiamate simultanee, di durata simile, verso prefissi insoliti, in orari in cui l'ufficio era chiuso e spesso da uno stesso interno o trunk.

Per esempio: un'azienda di logistica con 25 interni chiude il venerdì alle 18. Il lunedì, l'ufficio contabilità apre il portale del fornitore e trova un consumo internazionale pari a diversi mesi di telefonia. Controllando il CDR scopre che, dalle prime ore del sabato, un interno usato da uno stagista ormai andato via ha fatto centinaia di chiamate verso destinazioni di un altro continente, con fino a dieci chiamate contemporanee. La password di quell'interno era lo stesso numero dell'interno. Nessuno lo aveva disattivato, il centralino non aveva limiti di spesa e le chiamate internazionali erano aperte a tutti gli utenti.

Segnali d'allarme da tenere d'occhio

• Chiamate in uscita verso Paesi con cui non fai affari.
• Attività in orari in cui in ufficio non c'è nessuno.
• Picchi di chiamate simultanee che superano il numero di dipendenti attivi.
• Interni che si registrano da indirizzi IP (l'«indirizzo» di un dispositivo su internet) di altri Paesi.
• Molti tentativi di registrazione falliti nei log del centralino: qualcuno sta provando password.
• Lamentele degli utenti perché «la linea è occupata» anche quando non stanno chiamando.

Come proteggere il tuo centralino passo dopo passo

1. Password robuste e uniche: ogni interno, casella vocale e trunk deve avere una password lunga e casuale. Non usare mai il numero dell'interno né le password di fabbrica. Europol avverte che molti centralini attaccati erano protetti solo da una password predefinita o debole.
2. Blocca le destinazioni che non usi: se chiami solo Colombia, Ecuador e Perù, chiudi il resto del mondo. Abilita le destinazioni internazionali solo per chi ne ha bisogno, mai per impostazione predefinita.
3. Limiti di spesa e di chiamate simultanee: chiedi al tuo fornitore un tetto giornaliero o mensile al consumo internazionale e un massimo di canali per interno e per trunk. Se qualcuno entra, il danno resta contenuto.
4. Orari: limita le chiamate internazionali fuori dall'orario di lavoro, salvo per gli utenti che ne hanno davvero bisogno.
5. Avvisi automatici: configura notifiche via email o messaggio quando il consumo, il numero di chiamate o le destinazioni escono dalla norma.
6. Firewall e fail2ban: un firewall deve consentire l'accesso al centralino solo dalle reti autorizzate. Fail2ban è uno strumento che blocca automaticamente gli indirizzi IP che sbagliano la password più volte di seguito. La documentazione di Asterisk, uno dei software per centralini IP più diffusi, raccomanda inoltre di limitare chi può connettersi tramite liste di accesso e di proteggere le interfacce di amministrazione con una VPN (rete privata virtuale).
7. Separa le chiamate in entrata da quelle in uscita: la stessa documentazione insiste sul fatto che le chiamate che arrivano dall'esterno non devono mai poter usare i servizi di chiamata a pagamento. È un errore di configurazione frequente.
8. Aggiornamenti: tieni aggiornati il software del centralino, i telefoni e i router; molte violazioni sfruttano falle già corrette.
9. Controlla trunk e utenti: i trunk sono le connessioni del tuo centralino con l'operatore. Verifica ogni trimestre quali trunk, interni e caselle vocali esistono ed elimina quelli che non si usano più, come quello dello stagista dell'esempio.

Se il tuo centralino è in cloud, diversi di questi livelli dovrebbero essere già inclusi. In 19 80 TIC Cloud il nostro team di ingegneri gestisce una propria piattaforma di telefonia IP, quindi sappiamo per esperienza diretta quanto contino ogni giorno i limiti e gli avvisi. Puoi vedere come funziona il nostro centralino PBX in cloud o consultare le opzioni di telefonia internazionale per abilitare solo le destinazioni che ti servono.

Cosa fare se ti è già successo

1. Interrompi subito il traffico: blocca le chiamate internazionali e disattiva l'interno o il trunk compromesso.
2. Chiama il tuo fornitore: chiedi di bloccare dal loro lato le destinazioni coinvolte e di consegnarti il CDR del periodo. Ogni ora conta.
3. Cambia tutte le password: non solo quella colpita. Se un attaccante è entrato una volta, può aver lasciato aperte altre porte.
4. Conserva le prove: log del centralino, CDR, email e screenshot. Ti serviranno per la denuncia e per qualsiasi reclamo.
5. Sporgi denuncia: in Colombia puoi rivolgerti al Centro Cibernético Policial della Policía Nacional o alla Fiscalía; in Ecuador e Perù, alle unità per i reati informatici delle rispettive autorità.
6. Correggi la causa: prima di riattivare il servizio, applica le misure della sezione precedente perché non si ripeta.

Se vuoi che controlliamo la configurazione del tuo centralino, scrivici dalla pagina contatti.