Por que uma chamada pela internet pode ser escutada?
Quando a sua empresa usa telefonia IP (também chamada de VoIP, Voice over Internet Protocol ou voz sobre o protocolo de internet), cada conversa é dividida em milhares de pacotes de dados que viajam pela rede, assim como um e-mail ou uma página da web. Essa é a grande vantagem: você não precisa de cabeamento telefônico, pode ter ramais em qualquer cidade e paga muito menos.
O problema é que, por padrão, muitos desses pacotes viajam em texto claro, ou seja, sem nenhum tipo de proteção. Quem conseguir se posicionar em algum ponto do caminho (uma rede Wi-Fi pública, um equipamento comprometido dentro do seu escritório, um link mal configurado) poderia ver com quem você fala e, no pior caso, reconstruir o áudio da chamada. O Instituto Nacional de Padrões e Tecnologia dos Estados Unidos (NIST) já alertava sobre isso em seu guia SP 800-58 sobre segurança em VoIP: a voz sobre redes de dados herda os riscos dessas redes e precisa de controles próprios.
A boa notícia é que existem padrões abertos, testados durante anos, para fechar essa porta. Basta ativá-los e configurá-los bem.
Duas coisas a proteger: o envelope e a carta
Uma chamada pela internet tem duas partes, e cada uma é protegida de um jeito diferente. Pense em uma carta que você envia pelo correio:
- O envelope é a sinalização: quem liga, para quem, quando a chamada começa e quando termina. Na telefonia IP, isso é feito pelo protocolo SIP (Session Initiation Protocol, protocolo de início de sessão), definido pela IETF (o órgão que cria os padrões da internet) no RFC 3261.
- A carta é a voz: o áudio do que você e o seu cliente dizem. Esse áudio viaja em outro protocolo, chamado RTP (Real-time Transport Protocol, protocolo de transporte em tempo real).
Se você protege só o envelope, alguém ainda pode ler a carta. Se protege só a carta, vão saber para quem você escreve e quando. Por isso, uma chamada realmente segura criptografa as duas coisas.
SIP sobre TLS: o envelope lacrado
O TLS (Transport Layer Security, segurança da camada de transporte) é a mesma tecnologia que protege o seu internet banking quando você vê o cadeado no navegador. Segundo a IETF, o objetivo dele é impedir que um terceiro escute, altere ou falsifique as mensagens. A versão atual é o TLS 1.3, publicado no RFC 8446 e revisado recentemente no RFC 9846; a versão anterior, o TLS 1.2, era descrita no RFC 5246.
Quando a sinalização SIP viaja dentro do TLS, é como colocar o envelope em um cofre que só o remetente e o destinatário conseguem abrir. Além disso, o TLS usa certificados digitais para que cada ponta confirme que está falando com o servidor correto e não com um impostor. O próprio RFC 3261 prevê isso com o esquema SIPS, que exige transporte criptografado com TLS no trecho até o domínio de destino.
SRTP: a voz em um idioma que só as duas pontas entendem
O SRTP (Secure Real-time Transport Protocol, a versão segura do RTP) é definido no RFC 3711. Ele faz três coisas importantes com a voz:
- Confidencialidade: criptografa o áudio, por padrão com o algoritmo AES, de modo que, se alguém interceptar os pacotes, só obtém um ruído sem sentido.
- Autenticação da mensagem: permite detectar se alguém modificou um pacote no caminho.
- Proteção contra repetição: rejeita pacotes que um atacante tente reenviar para confundir a chamada.
Um detalhe fundamental: o SRTP não distribui as chaves sozinho; isso é feito por mecanismos externos combinados durante a sinalização. Por isso, SRTP e TLS funcionam melhor juntos: se o envelope estiver aberto, as chaves da voz podem ficar expostas.
Os ataques mais comuns contra a telefonia IP
Não é preciso ser especialista para entender os riscos. O RFC 3261 e o guia do NIST descrevem, entre outros, estes cenários:
- Escutas (interceptação): alguém captura o tráfego de voz sem criptografia e reconstrói a conversa.
- Falsificação de identidade: um terceiro se passa por um servidor legítimo ou por outro usuário, ou falsifica o número que aparece na tela para enganar a sua equipe.
- Roubo de credenciais SIP e sequestro do registro: se um atacante obtém o usuário e a senha de um ramal, ele pode se registrar no lugar dele, receber as chamadas ou usar a sua linha para fazer ligações que depois você paga.
- Derrubada ou manipulação de chamadas: com mensagens falsas de sinalização, é possível tentar encerrar chamadas em andamento ou alterar o seu conteúdo.
- Negação de serviço: inundar o seu sistema com mensagens ou chamadas para deixá-lo sem capacidade. A agência de cibersegurança dos Estados Unidos (CISA) dedica guias específicos à negação de serviço telefônico (TDoS), em que avalanches de chamadas automatizadas saturam as linhas.
Por exemplo: um ramal com senha fraca
Imagine uma empresa de distribuição em Medellín com 40 ramais em um PABX em nuvem. Para agilizar a instalação, todos os ramais ficaram com uma senha curta e parecida com o número do ramal, e o servidor aceita conexões de qualquer país.
Numa sexta-feira à noite, alguém testa combinações automaticamente, descobre a senha de um ramal e o registra a partir de outro lugar. Durante o fim de semana, usa essa linha para fazer chamadas internacionais. Na segunda-feira, a empresa descobre o consumo e ainda percebe que as chamadas comerciais desse ramal podem ter sido desviadas.
O que teria evitado isso? Senhas longas e únicas, um firewall que só aceite conexões dos países e das redes onde a empresa opera, bloqueio automático após várias tentativas malsucedidas, limites de consumo e alertas de tráfego incomum. Nenhuma dessas medidas é cara; caro é não tê-las.
Boas práticas para proteger as chamadas da sua empresa
- Criptografe tudo o que puder: SIP sobre TLS para a sinalização e SRTP para a voz, em telefones, softphones e troncos.
- Senhas fortes e únicas: cada ramal com sua própria senha longa, nunca a senha de fábrica nem uma baseada no número. Se a sua plataforma permitir, ative a autenticação multifator nos portais de administração, como recomenda o MinTIC para as ferramentas empresariais.
- Firewall e controle de acesso: abra apenas as portas necessárias e limite de quais redes é possível se conectar. O NIST recomenda usar firewalls preparados para VoIP ou controladores de borda de sessão (SBC, Session Border Controller).
- Atualizações em dia: aplique os patches de segurança do PABX, dos telefones e dos servidores assim que o fabricante os publicar.
- Separe a rede de voz: o NIST sugere manter voz e dados em redes logicamente separadas (por exemplo, com VLAN, redes virtuais dentro do mesmo cabeamento), para que um computador infectado não tenha acesso direto aos telefones.
- Administração remota protegida: acesse o gerenciamento apenas por canais criptografados, como VPN (rede privada virtual) ou SSH.
- Monitoramento constante: revise os registros, as tentativas de autenticação malsucedidas e os padrões de chamadas estranhos, e defina alertas e tetos de gasto.
O que perguntar ao seu provedor de telefonia
Antes de contratar (ou renovar) um serviço de PABX em nuvem ou de telefonia móvel empresarial, faça estas perguntas e peça respostas concretas:
- Vocês suportam SIP sobre TLS e SRTP em ramais e troncos? Eles vêm ativados por padrão?
- Qual versão do TLS vocês usam e como gerenciam os certificados?
- Como vocês protegem as credenciais SIP e o que acontece após várias tentativas malsucedidas?
- Posso restringir por país, rede ou endereço IP de onde os meus ramais se registram?
- Vocês têm monitoramento permanente, alertas de fraude e limites de consumo configuráveis?
- Com que frequência vocês atualizam a plataforma e como comunicam os incidentes?
- Quem opera a infraestrutura: uma equipe própria ou um terceiro cujo serviço vocês revendem?
Se o provedor hesitar ou responder com generalidades, é sinal de que vale continuar procurando. Também vale a pena revisar o marco regulatório do setor na nossa seção de regulamentação.
O código aberto também fala a língua da segurança
Boa parte da telefonia IP do mundo roda sobre software de código aberto, e as ferramentas mais usadas suportam esses padrões. O Kamailio, um servidor SIP muito utilizado por operadoras, inclui um módulo TLS que suporta TLS 1.3. O Asterisk documenta passo a passo como combinar TLS para a sinalização e SRTP para a voz. O FreeSWITCH também oferece configuração de SIP sobre TLS e mídia segura com SRTP.
O fato de o software suportar não significa que venha ativado: a diferença está na equipe que o configura, atualiza e monitora todos os dias. Na 19 80 TIC Cloud, nossa equipe de engenheiros opera a sua própria plataforma de telefonia IP, então essas decisões de segurança são tomadas e revisadas internamente.
