Come funziona una frode telefonica
La forma più comune si chiama frode a condivisione di ricavi (in inglese International Revenue Share Fraud). Chi la organizza noleggia numeri a tariffa molto alta in paesi lontani o su reti satellitari, e incassa una parte di quello che costa chiamarli. Poi cerca un account che chiami per lui: il tuo.
Lo schema si ripete quasi identico ogni volta:
- Programmi automatici provano migliaia di combinazioni di username e password contro i server SIP pubblici, a qualsiasi ora.
- Quando una combinazione funziona, registrano un apparato al posto tuo oppure inviano chiamate dirette con quelle credenziali.
- Le chiamate partono in parallelo, su tutti i canali disponibili, verso destinazioni costose.
- Il traffico dura finché qualcuno se ne accorge, il credito si esaurisce o un limite blocca tutto.
Il punto importante è che non serve essere un bersaglio: gli attacchi non scelgono l'azienda, scelgono la password debole. Uno studio con due interni è esposto quanto un call center con cento postazioni. La buona notizia è che le difese efficaci sono poche e si configurano in mezz'ora, già al momento di creare gli account, come suggerito nella guida al VoIP per le aziende.
Password: la prima e la più importante difesa
La maggior parte degli abusi parte da una password indovinata. Sul nostro portale la password di un account SIP deve avere da 12 a 64 caratteri, con almeno una maiuscola, una minuscola e una cifra. È il minimo: il consiglio è di usare password generate a caso, lunghe almeno 16 caratteri.
Le regole pratiche sono poche e non negoziabili:
- Una password diversa per ogni account, mai riutilizzata altrove.
- Mai il numero dell'interno, il nome dell'azienda o parole di senso compiuto.
- Le password si inseriscono nel telefono una volta sola: non serve che siano facili da ricordare, serve che siano difficili da indovinare.
- Quando un collaboratore lascia l'azienda o si perde un cellulare con l'app, cambia subito la password di quell'account.
- Non lasciare le password nelle email, nei biglietti attaccati al monitor o nei file condivisi senza protezione.
Un dettaglio che si dimentica spesso: anche l'interfaccia web dei telefoni IP ha una password, di solito quella di fabbrica. Se qualcuno ci entra, può leggere le credenziali SIP salvate nel telefono. Cambiala al primo avvio, come spiegato nella guida sui telefoni VoIP.
Scegliere il tipo di autenticazione
Ogni account SIP può riconoscere chi chiama in tre modi diversi. Scegliere bene qui vuol dire togliere di mezzo il problema delle password rubate, almeno per i sistemi che stanno in una sede con un indirizzo fisso.
| Modalità nel portale | Come funziona | Quando sceglierla |
|---|---|---|
| «Username e password» | Basta conoscere le credenziali | Telefoni, softphone e app che si spostano |
| «Indirizzo IP» | Le chiamate sono accettate solo dagli indirizzi autorizzati | Centralino o dialer con IP pubblico fisso |
| «Username/password e IP» | Servono la password e un IP autorizzato insieme | Il massimo della protezione per un trunk |
Con l'autenticazione per indirizzo puoi indicare fino a 20 indirizzi IPv4 o reti in formato CIDR (per esempio 203.0.113.0/29). Con la modalità «entrambi», anche se qualcuno rubasse la password non potrebbe usarla da un indirizzo diverso dal tuo.
Per un centralino collegato con un trunk SIP, la combinazione password più IP è la scelta che consigliamo. Per i telefoni di chi lavora da casa o in viaggio, l'indirizzo cambia continuamente: lì si resta su «Username e password», e le altre difese diventano ancora più importanti.
Limiti di spesa e tariffa massima
Anche con le migliori password, conviene ragionare come se prima o poi qualcosa andasse storto. I limiti decidono quanto può costare il caso peggiore. Su ogni account SIP trovi tre impostazioni.
Limite di spesa giornaliero
Il «Limite di spesa giornaliero» è l'importo massimo che l'account può consumare in un giorno; il contatore si azzera a mezzanotte, ora di Roma. Per sceglierlo, guarda quanto spende normalmente quell'account nella giornata più intensa e aggiungi un margine. Un account della reception che spende due euro al giorno non ha bisogno di un limite di cento.
Tariffa massima al minuto
L'opzione «Blocca le chiamate che costano più di (al minuto)» rifiuta ogni chiamata verso destinazioni più care della soglia. È la difesa più efficace contro le frodi, perché le destinazioni usate dai truffatori sono sempre care: numeri satellitari, servizi a tariffa speciale, piccole reti lontane. Se chiami fissi e cellulari in Europa, una soglia bassa non ti toglie nulla: controlla nel listino delle tariffe quanto costano le destinazioni che usi davvero e scegli la soglia poco sopra.
Chiamate contemporanee in uscita
Le «Chiamate contemporanee in uscita» limitano quante chiamate l'account può fare insieme, da 1 a 1000 canali. Un telefono da scrivania ne usa uno o due; un centralino ne usa quante sono le persone che telefonano nello stesso momento. Meno canali vuol dire meno chiamate parallele in caso di abuso, e quindi un danno più lento. Il limite vale solo in uscita: le chiamate in entrata non vengono toccate.
Aprire solo le destinazioni che chiami
Il filtro per paese è la difesa più semplice da capire: quello che non chiami, lo chiudi. Per ogni account puoi scegliere fra due logiche.
- «Solo le destinazioni selezionate»: indichi i paesi abilitati e tutto il resto è bloccato. È la scelta giusta per quasi tutte le aziende italiane, che chiamano l'Italia e pochi paesi vicini.
- «Tutte tranne quelle selezionate»: tutto è aperto tranne i paesi che escludi. Ha senso solo se chiami davvero in molti paesi, per esempio un servizio clienti internazionale.
Un esempio concreto: un'officina che chiama clienti e fornitori in Italia e un ricambista in Germania abilita Italia e Germania e basta. Un tentativo di frode verso un'isola del Pacifico viene respinto alla prima chiamata, qualunque sia la password.
Il blocco automatico degli indirizzi
Sul nostro server SIP è attivo fail2ban, un sistema che osserva i tentativi di accesso falliti. Se un indirizzo sbaglia le credenziali 5 volte in 10 minuti, viene bloccato; se ricomincia, i blocchi diventano sempre più lunghi. È quello che ferma i programmi che provano password a raffica.
Il rovescio della medaglia è che anche un tuo telefono configurato male può farsi bloccare, per esempio dopo un cambio password non aggiornato sull'apparato. In quel caso, nella pagina «Sicurezza degli indirizzi IP» del portale vedi gli indirizzi bloccati e puoi sbloccare il tuo, dopo aver corretto la password sul dispositivo.
Se hai un centralino tuo esposto su Internet, valgono le stesse regole: attiva un sistema simile anche lì, non lasciare la porta 5060 aperta a tutto il mondo quando non serve e aggiorna il software. La guida su NAT, firewall e porte spiega quali porte servono davvero.
Il caller ID e la protezione dagli abusi
Ogni chiamata in uscita deve presentarsi con un caller ID autorizzato: un numero acquistato sulla piattaforma oppure un numero tuo verificato con un codice via SMS, WhatsApp o chiamata. Se il numero non è verificato, la chiamata viene rifiutata e nel report compare «Caller ID non autorizzato». Non esistono chiamate anonime in uscita.
Per te è una garanzia in più: chi riuscisse a usare un tuo account non potrebbe presentarsi con numeri qualsiasi a nome della tua azienda. Tutti i dettagli su formati e verifica sono nella guida sul caller ID.
Cosa controllare ogni settimana
Cinque minuti a settimana valgono più di qualsiasi allarme. Ecco cosa guardare nel portale:
- Chiamate fuori orario, soprattutto di notte, nel fine settimana e nei festivi.
- Destinazioni mai viste prima nel report chiamate.
- Durate anomale: molte chiamate lunghe verso lo stesso numero estero.
- I log SIP di ogni interno, disponibili per gli ultimi 7 giorni: registrazioni fallite ripetute dicono che qualcuno sta provando.
- Il saldo: se cala più in fretta del solito, anche di poco, guarda subito il dettaglio.
Il portale ti avvisa anche quando il credito è basso, per email e su WhatsApp. Il credito prepagato, insieme ai limiti giornalieri, fa sì che una frode non possa trasformarsi in una fattura senza fondo.
Cosa fare se succede
Se vedi chiamate che non riconosci, non aspettare di capire tutto: prima si ferma, poi si indaga. Segui questi passi nell'ordine.
- Cambia subito la password dell'account coinvolto, con una nuova generata a caso, e aggiornala solo sui dispositivi legittimi.
- Se l'account è usato da un centralino in sede, passa all'autenticazione «Username/password e IP» con il solo indirizzo della sede.
- Abbassa i limiti: limite di spesa giornaliero minimo, tariffa massima bassa, solo i paesi indispensabili, un solo canale contemporaneo.
- Controlla gli altri account: chi ha usato una password, potrebbe averne trovate altre.
- Guarda i log SIP e il report chiamate per capire da dove e da quando: indirizzi IP, orari, destinazioni.
- Se il punto d'ingresso è il tuo centralino, verifica gli interni, gli utenti amministratori e gli aggiornamenti; nel dubbio fai controllare il sistema da chi lo ha installato.
- Scrivici dalla pagina contatti con orari e numeri delle chiamate sospette: ti aiutiamo a ricostruire cosa è successo.
Domande frequenti
Come capisco se il mio centralino è stato violato?
I segnali tipici sono chiamate di notte o nei festivi, destinazioni estere mai usate, molte chiamate contemporanee e un saldo che scende all'improvviso. Nei log SIP dell'interno vedi anche registrazioni da indirizzi che non conosci.
Quanto deve essere lunga la password di un account SIP?
Il portale richiede almeno 12 caratteri con maiuscole, minuscole e cifre, fino a 64. Noi consigliamo una password generata a caso di almeno 16 caratteri, diversa per ogni account: va inserita nel telefono una volta sola.
L'autenticazione per indirizzo IP è più sicura della password?
Per un sistema in una sede con IP fisso sì, perché le chiamate sono accettate solo da quell'indirizzo. La protezione più forte è la combinazione «Username/password e IP», che richiede entrambi. Per chi si sposta l'IP cambia, quindi si usa la password.
Perché il mio telefono non si registra più dopo aver cambiato password?
Probabilmente ha riprovato con la vecchia password ed è stato bloccato da fail2ban dopo 5 errori in 10 minuti. Aggiorna la password sul telefono, poi sblocca il tuo indirizzo dalla pagina «Sicurezza degli indirizzi IP».
Il limite di spesa blocca anche le chiamate in entrata?
No: il limite di spesa giornaliero e il limite di canali riguardano solo le chiamate in uscita. Le chiamate verso i tuoi numeri continuano ad arrivare normalmente.
Chi paga le chiamate fatte durante una frode?
Le chiamate partite dal tuo account consumano il tuo credito prepagato come qualsiasi altra chiamata, perché per la rete telefonica sono chiamate reali. È per questo che contano i limiti impostati prima: decidono quanto può costare il caso peggiore.