什么是电话欺诈，为什么它专盯IP电话交换机
电话欺诈（英文为 toll fraud）是指第三方利用您的线路或交换机拨打电话，而费用最终由您承担。IP电话交换机，也称为云端或本地部署的PBX（专用小交换机），通过互联网运行，使用SIP协议（会话初始协议）——这是电话注册和拨打电话时使用的“语言”。这让它灵活又经济，但也让它暴露在那些专门搜寻配置不当系统的人眼前。
这可不是小问题。衡量电信行业欺诈情况的国际组织 Communications Fraud Control Association（CFCA）在其2025年全球调查中估计，电信行业每年因欺诈损失约418.2亿美元，约占行业收入的2.46 %。同一份报告指出，国际话务欺诈仍是一个活跃的问题，并集中在某些地区。
最常见的欺诈方式
- IRSF（国际收入分成欺诈）：犯罪分子获取高资费的国际号码，通常位于受害者所在国以外的国家，并从每分钟的通话费中分得一部分。随后，他们利用他人的交换机向这些号码发起成千上万次呼叫。Europol 和 Trend Micro 在其2019年的报告中描述了交换机被入侵后如何演变为IRSF。
- Wangiri：这是一个日语词，大意是“响一声就挂”。自动系统用国际号码让您的手机只响一声；如果您回拨，就要支付高昂的话费，其中一部分落入骗子手中。FTC（美国联邦贸易委员会）给出的建议很简单：如果接到陌生号码只响一声的来电，不要回拨。
- 分机和语音信箱被攻破：分机密码设为“1234”之类，或语音信箱沿用出厂PIN码，就可能被用来向外拨号。一旦进入，入侵者便把您的交换机当作跳板。
- SIP凭据被盗：自动化程序尝试数以百万计的用户名和密码组合，直到找到有效的一组。拿到之后，攻击者就在您的账户中注册他自己的“电话”，冒充员工拨打电话。
为什么几乎总是发生在夜间和周末
Europol 2019年的报告说得很直白：攻击交换机的人通常选择在工作时间以外动手，以便攻击持续更久、获利更多。周五晚上或连休假期，意味着长达数小时没有人检查交换机，也没有人响应告警。因此损失集中在这些时间段，也正因如此，您的防护措施必须能够自动运行，不能依赖有人在盯着。
账单上会是什么样子
欺诈不会提前打招呼，而是突然出现。典型的情况是：国际话费比平常高出许多倍，集中在短短几个小时内，拨往与您公司毫无业务往来的国家。在通话详单（即CDR，详细通话记录）中，您会看到大量同时进行、时长相近的通话，拨往不常见的号码前缀，发生在办公室已关门的时段，而且往往来自同一个分机或中继线路。
举个例子：一家拥有25个分机的物流公司周五下午6点下班。周一，财务部门登录运营商门户，发现国际话费相当于好几个月的电话支出。查看CDR后才发现，从周六凌晨开始，一名已离职实习生曾使用的分机向另一个大洲的目的地拨打了数百通电话，最多时同时有十路通话。该分机的密码就是分机号本身。没有人注销这个分机，交换机没有设置消费上限，而且所有用户都开通了国际呼叫。
需要留意的预警信号
- 向与您没有业务往来的国家拨出电话。
- 在办公室无人的时段出现通话活动。
- 同时通话数量的峰值超过在岗员工人数。
- 分机从其他国家的IP地址（设备在互联网上的“地址”）注册。
- 交换机日志中出现大量注册失败记录：有人在尝试密码。
- 用户抱怨自己没在打电话，“线路却显示占线”。
如何一步步保护您的交换机
- 使用强且唯一的密码：每个分机、语音信箱和中继线路都应设置长且随机的密码。切勿使用分机号或出厂密码。Europol 提醒，许多遭受攻击的交换机仅靠默认密码或弱密码保护。
- 封锁不需要的目的地：如果您只拨打哥伦比亚、厄瓜多尔和秘鲁，就把其他国家全部关闭。只为确实需要的人开通国际目的地，绝不默认开放。
- 设置消费上限和并发通话上限：请您的服务商设定国际话费的每日或每月上限，以及每个分机和每条中继的最大通道数。即使有人入侵，损失也能被控制在一定范围内。
- 时段限制：在工作时间以外限制国际呼叫，确实需要的用户除外。
- 自动告警：当话费、通话数量或拨打目的地偏离正常水平时，通过邮件或短信发送提醒。
- 防火墙和 fail2ban：防火墙应只允许来自授权网络的访问。Fail2ban 是一款工具，会自动封禁连续多次输错密码的IP地址。Asterisk 是最常用的IP交换机软件之一，其官方文档还建议通过访问控制列表限制可连接的对象，并用VPN（虚拟专用网络）保护管理界面。
- 将呼入与呼出分开：同一份文档强调，从外部打进来的电话绝不能使用付费呼叫服务。这是一个常见的配置错误。
- 及时更新：保持交换机、电话机和路由器软件为最新版本；许多安全漏洞利用的都是早已修复的缺陷。
- 检查中继和用户：中继是您的交换机与运营商之间的连接。请每季度检查一次现有的中继、分机和语音信箱，删除不再使用的，比如上例中那名实习生的分机。
如果您的交换机部署在云端，其中多层防护应当已经内置。在 19 80 TIC Cloud，我们的工程团队自行运营IP电话平台，因此我们深知消费上限和告警在日常运营中有多重要。您可以了解我们的云PBX如何运作，或查看国际电话方案，只开通您需要的目的地。
如果已经中招，该怎么办
- 立即切断话务：封锁国际呼叫，停用被入侵的分机或中继。
- 联系您的服务商：请他们在其系统中封锁受影响的目的地，并提供该时段的CDR。每一小时都很关键。
- 更改所有密码：不仅仅是被入侵的那一个。攻击者一旦进来过，就可能留下了其他后门。
- 保存证据：交换机日志、CDR、邮件和截图。这些在报案和任何索赔中都会用到。
- 报案：在哥伦比亚，您可以向国家警察的网络警务中心（Centro Cibernético Policial）或检察院（Fiscalía）报案；在厄瓜多尔和秘鲁，可向当地主管部门的计算机犯罪调查部门报案。
- 修复根源：在恢复服务之前，请落实上一节中的各项措施，防止再次发生。
如果您希望我们帮您检查交换机的配置，请通过联系我们页面与我们联系。
