Piratage de standard téléphonique : comment une PME se retrouve avec une facture d'un week-end

Les entreprises qui investissent dans leur sécurité informatique protègent presque toujours la même chose : les données. Pare-feu, sauvegardes, antivirus, sensibilisation au hameçonnage. La téléphonie, elle, reste hors du périmètre — parce qu'un standard ne contient pas de fichiers, et qu'on voit mal ce qu'il y aurait à voler.

Il y a pourtant quelque chose à voler, et ce n'est pas de l'information : c'est du trafic. Un standard mal configuré permet à un tiers de passer des appels facturés à votre entreprise. C'est un mécanisme ancien, bien documenté, et il n'a pas disparu avec le passage à la VoIP — il s'est simplement déplacé.

Comment fonctionne la fraude au trafic

Le principe est resté le même depuis les autocommutateurs des années 1990. Un tiers obtient la capacité d'émettre des appels sortants depuis votre installation, et les dirige vers des numéros dont l'appel est facturé à un tarif élevé — le plus souvent des destinations internationales à tarification spéciale. La rémunération de ces numéros revient à celui qui les exploite. Vous, vous recevez la facture des communications.

Cette fraude ne nécessite aucune sophistication particulière. Elle cible massivement, en balayant les installations exposées sur internet, et elle réussit là où une configuration a été laissée par défaut. Ce n'est pas une attaque contre votre entreprise en particulier — c'est ce qui la rend impersonnelle, fréquente, et facile à prévenir.

Les portes d'entrée les plus courantes

Un mot de passe de compte SIP resté trivial. Un compte SIP est l'identifiant qui permet à un téléphone de s'enregistrer auprès du standard. Lorsqu'il porte comme mot de passe son propre numéro d'extension, ou une suite évidente, il est trouvé en quelques minutes par un balayage automatisé.

Une interface d'administration accessible depuis internet. Beaucoup d'installations exposent leur console de gestion pour permettre une intervention à distance. Sans restriction d'accès ni double authentification, c'est la porte principale laissée ouverte.

La messagerie vocale avec son code d'origine. Certaines configurations permettent, depuis la messagerie, de rappeler ou de transférer vers l'extérieur. Un code à quatre chiffres jamais changé suffit alors à ouvrir un accès sortant.

Un poste égaré ou un compte non désactivé. Un softphone installé sur le téléphone personnel d'un salarié parti reste actif tant que le compte n'est pas fermé. C'est le même angle mort que celui des lignes fantômes que nous relevons dans nos audits de facture : ce qui n'est plus utilisé n'est plus surveillé.

Les six réglages qui rendent l'opération sans objet

Aucun ne demande d'investissement. Ils demandent d'être décidés une fois, puis vérifiés.

Le premier et le deuxième réglage suffisent à eux seuls à traiter l'essentiel du risque. Un standard qui ne peut appeler que la France et l'Union européenne, avec un plafond journalier, n'offre plus grand-chose à rentabiliser.

Qui paie, en pratique

C'est la question qui vient immédiatement, et la réponse mérite d'être donnée sans détour : les communications émises depuis votre installation sont en principe facturées à votre entreprise, y compris lorsqu'elles sont frauduleuses. La discussion sur les responsabilités est possible, elle dépend des circonstances et des conditions contractuelles, mais elle intervient après la facture — et son issue n'est jamais acquise d'avance.

C'est précisément pour cette raison que le plafonnement est le réglage le plus rentable de la liste. Il ne prévient pas l'intrusion : il borne ce qu'elle peut coûter, sans dépendre d'une négociation ultérieure.

Le cas des installations anciennes

Un autocommutateur physique installé il y a dix ans et jamais mis à jour cumule souvent plusieurs des faiblesses décrites plus haut, dans des versions logicielles qui ne reçoivent plus de correctifs. Le sujet rejoint alors une échéance déjà connue : la fermeture progressive du réseau cuivre impose de toute façon de reprendre ces installations.

Il y a un bénéfice à traiter les deux ensemble. Un standard hébergé et maintenu par l'opérateur reçoit ses correctifs sans intervention de votre part, et les règles de restriction s'y appliquent de manière centralisée plutôt que poste par poste — nous avons comparé les deux approches dans notre article sur le standard cloud face à l'IPBX physique. Chez Yandee, les restrictions de destinations et les alertes de consommation font partie de la configuration que nous posons à la mise en service, et non d'une option à demander.

Questions fréquentes

Comment savoir si mon standard est exposé ?

Trois vérifications donnent déjà une bonne indication : les appels vers l'international sont-ils ouverts par défaut, l'interface d'administration est-elle accessible depuis l'extérieur, et existe-t-il une alerte en cas de volume anormal. Si la réponse aux trois est « je ne sais pas », le point mérite d'être regardé.

La VoIP est-elle plus vulnérable que l'ancien système ?

Non — la fraude au trafic existait sur les autocommutateurs analogiques. Ce qui a changé, c'est l'échelle : une installation reliée à internet est balayée automatiquement par des robots, là où l'ancienne devait être appelée. En contrepartie, la VoIP offre des protections que l'analogique n'avait pas : restrictions fines, plafonds, journalisation et alertes en temps réel.

Que faire si cela vient de nous arriver ?

Contactez votre opérateur immédiatement pour faire suspendre les appels sortants — c'est ce qui arrête l'hémorragie. Changez ensuite l'ensemble des mots de passe SIP et de l'administration, puis demandez le détail des communications concernées, qui servira à la fois à la discussion commerciale et à un éventuel dépôt de plainte.

Faut-il un pare-feu spécifique ?

Le pare-feu protège la partie données et reste indispensable — nous en parlons dans notre article sur le pare-feu managé. Mais il ne voit pas ce qui se joue ici : un appel émis depuis un compte SIP légitime est un appel légitime de son point de vue. La protection se joue dans la configuration du standard et chez l'opérateur, pas seulement au niveau du réseau.