¿Por qué una llamada por internet puede ser escuchada?
Cuando su empresa usa telefonía IP (también llamada VoIP, Voice over Internet Protocol o voz sobre el protocolo de internet), cada conversación se parte en miles de paquetes de datos que viajan por la red, igual que un correo o una página web. Esa es la gran ventaja: no necesita cableado telefónico, puede tener extensiones en cualquier ciudad y paga mucho menos.
El problema es que, por defecto, muchos de esos paquetes viajan en texto claro, es decir, sin ningún tipo de protección. Quien logre ubicarse en algún punto del camino (una red wifi pública, un equipo comprometido dentro de su oficina, un enlace mal configurado) podría ver con quién habla y, en el peor caso, reconstruir el audio de la llamada. El Instituto Nacional de Estándares y Tecnología de Estados Unidos (NIST) ya lo advertía en su guía SP 800-58 sobre seguridad en VoIP: la voz sobre redes de datos hereda los riesgos de esas redes y necesita controles propios.
La buena noticia es que existen estándares abiertos, probados durante años, para cerrar esa puerta. Solo hay que activarlos y configurarlos bien.
Dos cosas que proteger: el sobre y la carta
Una llamada por internet tiene dos partes, y cada una se protege de forma distinta. Piense en una carta que envía por correo:
- El sobre es la señalización: quién llama, a quién, cuándo empieza y cuándo termina la llamada. En telefonía IP esto lo maneja el protocolo SIP (Session Initiation Protocol, protocolo de inicio de sesión), definido por la IETF (el organismo que crea los estándares de internet) en el RFC 3261.
- La carta es la voz: el audio de lo que usted y su cliente dicen. Ese audio viaja en otro protocolo llamado RTP (Real-time Transport Protocol, protocolo de transporte en tiempo real).
Si solo protege el sobre, alguien todavía podría leer la carta. Si solo protege la carta, sabrán a quién le escribe y cuándo. Por eso una llamada realmente segura cifra las dos cosas.
SIP sobre TLS: el sobre sellado
TLS (Transport Layer Security, seguridad de la capa de transporte) es la misma tecnología que protege su banca en línea cuando ve el candado en el navegador. Según la IETF, su objetivo es evitar que un tercero escuche, altere o falsifique los mensajes. La versión vigente es TLS 1.3, publicada en el RFC 8446 y revisada recientemente en el RFC 9846; la versión anterior, TLS 1.2, se describía en el RFC 5246.
Cuando la señalización SIP viaja dentro de TLS, es como meter el sobre en una caja fuerte que solo pueden abrir el remitente y el destinatario. Además, TLS usa certificados digitales para que cada extremo compruebe que está hablando con el servidor correcto y no con un impostor. El propio RFC 3261 contempla esto con el esquema SIPS, que exige transporte cifrado con TLS en el tramo hacia el dominio de destino.
SRTP: la voz en un idioma que solo entienden los dos extremos
SRTP (Secure Real-time Transport Protocol, la versión segura de RTP) está definido en el RFC 3711. Hace tres cosas importantes con la voz:
- Confidencialidad: cifra el audio, por defecto con el algoritmo AES, de modo que si alguien intercepta los paquetes solo obtiene ruido sin sentido.
- Autenticación del mensaje: permite detectar si alguien modificó un paquete en el camino.
- Protección contra repetición: rechaza paquetes que un atacante intente reenviar para confundir la llamada.
Un detalle clave: SRTP no reparte las llaves por sí solo; eso lo hacen mecanismos externos acordados durante la señalización. Por eso SRTP y TLS funcionan mejor juntos: si el sobre va abierto, las llaves de la voz podrían quedar expuestas.
Los ataques más comunes contra la telefonía IP
No hace falta ser experto para entender los riesgos. El RFC 3261 y la guía del NIST describen, entre otros, estos escenarios:
- Escuchas (interceptación): alguien captura el tráfico de voz sin cifrar y reconstruye la conversación.
- Suplantación: un tercero se hace pasar por un servidor legítimo o por otro usuario, o falsifica el número que aparece en pantalla para engañar a su equipo.
- Robo de credenciales SIP y secuestro del registro: si un atacante obtiene el usuario y la contraseña de una extensión, puede registrarse en su lugar, recibir sus llamadas o usar su línea para hacer llamadas que luego paga usted.
- Corte o manipulación de llamadas: con mensajes falsos de señalización se puede intentar colgar llamadas en curso o alterar su contenido.
- Denegación de servicio: inundar su sistema de mensajes o de llamadas para dejarlo sin capacidad. La agencia de ciberseguridad de Estados Unidos (CISA) dedica guías específicas a la denegación de servicio telefónico (TDoS), en la que avalanchas de llamadas automatizadas saturan las líneas.
Por ejemplo: una extensión con contraseña débil
Imagine una empresa de distribución en Medellín con 40 extensiones en una central telefónica en la nube. Para agilizar la instalación, a todas las extensiones les dejaron una contraseña corta y parecida al número de la extensión, y el servidor acepta conexiones desde cualquier país.
Un viernes por la noche, alguien prueba combinaciones automáticamente, adivina la clave de una extensión y la registra desde otro lugar. Durante el fin de semana usa esa línea para hacer llamadas internacionales. El lunes, la empresa descubre el consumo y además se da cuenta de que las llamadas comerciales de esa extensión pudieron ser desviadas.
¿Qué lo habría evitado? Contraseñas largas y únicas, un firewall que solo acepte conexiones de los países y redes donde opera la empresa, bloqueo automático tras varios intentos fallidos, límites de consumo y alertas de tráfico inusual. Ninguna de estas medidas es costosa; lo caro es no tenerlas.
Buenas prácticas para proteger las llamadas de su empresa
- Cifre todo lo que pueda: SIP sobre TLS para la señalización y SRTP para la voz, en teléfonos, softphones y troncales.
- Contraseñas fuertes y únicas: cada extensión con su propia clave larga, nunca la que viene de fábrica ni una basada en el número. Si su plataforma lo permite, active la autenticación de varios factores en los portales de administración, como recomienda el MinTIC para las herramientas empresariales.
- Firewall y control de acceso: abra solo los puertos necesarios y limite desde qué redes se puede conectar. El NIST recomienda usar firewalls preparados para VoIP o controladores de borde de sesión (SBC, Session Border Controller).
- Actualizaciones al día: aplique los parches de seguridad de la central, los teléfonos y los servidores tan pronto el fabricante los publique.
- Separe la red de voz: el NIST sugiere mantener voz y datos en redes lógicamente separadas (por ejemplo, con VLAN, redes virtuales dentro del mismo cableado), para que un computador infectado no tenga acceso directo a los teléfonos.
- Administración remota protegida: acceda a la gestión solo por canales cifrados como VPN (red privada virtual) o SSH.
- Monitoreo constante: revise registros, intentos fallidos de autenticación y patrones de llamadas extraños, y defina alertas y topes de gasto.
Qué preguntarle a su proveedor de telefonía
Antes de contratar (o renovar) un servicio de PBX en la nube o de telefonía móvil empresarial, haga estas preguntas y pida respuestas concretas:
- ¿Soportan SIP sobre TLS y SRTP en extensiones y troncales? ¿Están activados por defecto?
- ¿Qué versión de TLS usan y cómo gestionan los certificados?
- ¿Cómo protegen las credenciales SIP y qué pasa tras varios intentos fallidos?
- ¿Puedo restringir por país, red o dirección IP desde dónde se registran mis extensiones?
- ¿Tienen monitoreo permanente, alertas de fraude y límites de consumo configurables?
- ¿Cada cuánto actualizan su plataforma y cómo comunican los incidentes?
- ¿Quién opera la infraestructura: un equipo propio o un tercero al que revenden?
Si el proveedor duda o responde con generalidades, es una señal para seguir buscando. También vale la pena revisar el marco regulatorio del sector en nuestra sección de normatividad.
El código abierto también habla el idioma de la seguridad
Buena parte de la telefonía IP del mundo corre sobre software de código abierto, y las herramientas más usadas soportan estos estándares. Kamailio, un servidor SIP muy utilizado por operadores, incluye un módulo TLS que admite TLS 1.3. Asterisk documenta paso a paso cómo combinar TLS para la señalización y SRTP para la voz. FreeSWITCH también ofrece configuración de SIP sobre TLS y medios seguros con SRTP.
Que el software lo soporte no significa que venga activado: la diferencia la hace el equipo que lo configura, lo actualiza y lo vigila todos los días. En 19 80 TIC Cloud, nuestro equipo de ingenieros opera su propia plataforma de telefonía IP, así que estas decisiones de seguridad se toman y se revisan desde adentro.
