זול להפעיל, קל להשאיר פתוח
טלפוניה מעל IP חסכה לעסקים קטנים הרבה כסף. מושב טלפון בענן עולה 8 עד 25 אירו לחודש, לעומת מאות אירו לשלוחה במערכת טלפון מסורתית, בלי חומרה לקנות ובלי מהנדס להזעיק כשמוסיפים משתמש.
זה גם העביר את מערכת הטלפון שלכם לאינטרנט. ההנחיה של NIST בנוגע ל-VoIP ישירה בעניין הפשרה: הצבת קול על גבי רשת נתונים יורשת את האיומים של רשת הנתונים, ודורשת בקרות משלה ולא כאלה שירשו מעולם הטלפוניה הישן[1]. אם אתם מריצים Microsoft Teams Phone, RingCentral, 3CX או כל שירות SIP אחר, התצורה של המערכת הזו היא באחריותכם, לא באחריות הספק.
איום ראשון: הונאת שיחות
הונאת שיחות היא היקרה מכולן. תוקף חודר למערכת הטלפון שלכם, בדרך כלל דרך סיסמת שלוחה חלשה או PBX מקומי שלא עודכן, ומשתמש בה כדי לבצע אלפי שיחות למספרים בתעריף פרימיום, שהוא או שותף שלו גובים מהם הכנסה. אתם מקבלים את החשבון. הונאות תקשורת נמדדות כבעיה של מיליארדי דולרים בתעשייה כולה, והונאת חלוקת הכנסות בינלאומית מסוג זה בדיוק היא אחת הקטגוריות שהגוף לבקרת הונאות מדווח עליהן שנה אחר שנה[2].
החשבון הוא מה שמפתיע אנשים. שלוחה אחת שמבצעת 200 שיחות בינלאומיות במקביל ב-0.50 אירו לדקה מייצרת 6,000 אירו לשעה. זה קורה בליל שישי כי אף אחד לא בודק עד יום שני. רוב הספקים מגבילים משהו, בסופו של דבר, אבל האלפים הראשונים של האירו בדרך כלל עוברים.
שש הגדרות עוצרות כמעט את כל זה:
- סיסמאות SIP ארוכות ואקראיות, 16 תווים לפחות, לעולם לא מספר השלוחה
- חסימת שיחות בינלאומיות מחוץ לשעות העבודה, וחסימה מלאה בשלוחות שאף פעם לא זקוקות לזה
- הגבלת שיחות בו-זמניות לשלוחה - רוב האנשים צריכים אחת או שתיים
- תקרת הוצאה או דקות לשלוחה ליום
- השבתת שלוחות שאינן בשימוש ביום שהן מפסיקות לשמש
- הגבלת גישת SIP לטווחי ה-IP של המשרד שלכם, במקום שהספק תומך בכך
איום שני: רישום SIP ויירוט
SIP הוא הפרוטוקול שמקים שיחות. הוא נגיש מהאינטרנט, מה שאומר שהוא נסרק כל הזמן.
| התקפה | מה קורה | איך זה נראה |
|---|---|---|
| חטיפת רישום | מישהו נרשם כאחת השלוחות שלכם | שיחות מכתובות IP ומדינות שלא הגיוניות |
| יירוט שיחה | תעבורה נלכדת בזמן שידור | שום דבר. השיחות עובדות כרגיל |
| עקיפת חיוב | המערכת שלכם משמשת לניתוב שיחות של אחרים | נפח שיחות ליעדים בודדים |
| סריקה והצפה | בדיקת יציאות ושלוחות פתוחות | יומני חומת אש מלאים בבדיקות SIP, שיחות שנופלות |
ההגנה היא הצפנה בשני הכיוונים: SIP מעל TLS לסיגנול, SRTP לאודיו. ההנחיה של NIST ל-VoIP מתייחסת לסודיות ולשלמות של הסיגנול והמדיה כדרישות ליבה ולא כאפשרות[1]. התיעוד של Microsoft לאבטחת Teams מראה איך זה נראה כשהספק עושה זאת כברירת מחדל, עם סיגנול ומדיה מוצפנים וזהות שמנוהלת דרך Entra ID[3]. אם הספק שלכם לא יכול להציע SIP מוצפן, זו סיבה להחליף ספק.
איום שלישי: קול שנשמע כמו המנהל שלכם
זה האיום שהשתנה. שכפול קול דורש מעט מאוד אודיו מקור, והקלטת ועידה או סרטון LinkedIn מספיקים. הדיווח על איומים של ENISA מציב הנדסה חברתית מבוססת בינה מלאכותית, כולל קול ווידאו משוכפלים, בין המגמות שמעצבות מחדש את אופן ביצוע ההתקפות האלה[4].
השיחה קצרה ופשוטה. "זה אני, אני בפגישה, צריך לשלם את זה היום, תוכל לטפל בזה." זו אותה הונאה כמו אימייל מזויף, עם ערוץ שהצוות שלכם סומך עליו יותר. דיווחי הפשע של ה-FBI ממשיכים לדרג פגיעה בדוא"ל עסקי ווריאציות שלה בין קטגוריות ההפסד הגבוה ביותר, והקול הוא כעת אחד מערוצי המסירה שלה[5].
| מה לשים לב אליו | למה זה חשוב |
|---|---|
| דחיפות בשילוב סודיות | מסירה את חוות הדעת השנייה שהייתה תופסת את זה |
| מוטב חדש, בנק חדש, או מדינה חדשה | כל מטרת השיחה |
| מספר שאינו המספר הרגיל שלהם | זול לזייף, קל לבדוק |
| סירוב לעבור לווידאו או להתקשר חזרה | הרמז המסגיר |
אין בקרה טכנית שתופסת את זה בביטחון, אז השתמשו בבקרה תהליכית: כל הוראת תשלום שמגיעה בטלפון מאומתת בערוץ שני, על ידי חיוג חזרה למספר שכבר יש לכם בתיק. כתוב, חל על כולם כולל המייסד, בלי יוצא מן הכלל בגלל דחיפות.
איום רביעי: תא קולי
התא הקולי הוא החלק שאנשים שוכחים. קודים סודיים ברירת מחדל - 0000, 1234, מספר השלוחה - עדיין הדרך הנפוצה ביותר לחדור. מישהו בתיבה יכול להאזין לפרטי לקוחות ודיוני חוזה, להגדיר העברת שיחות למספר שלו, ולמפות את שאר השלוחות שלכם. אלצו שינוי קוד בהתחברות ראשונה, דרשו שישה ספרות לפחות, כבו תא קולי לשלוחות שלא משתמשות בו, ובדקו יומני גישה מדי חודש.
הצד הרגולטורי
הקלטות שיחות ותא קולי בדרך כלל מכילים מידע אישי, ולכן פרצת VoIP היא פרצת מידע אישי: תחת ה-GDPR, פרצה שחייבת דיווח צריכה להגיע לרשות המפקחת ללא עיכוב מיותר ובתוך 72 שעות מרגע הידיעה עליה[6]. אם העסק שלכם נכנס לתחולה של NIS2, אבטחת מערכת הטלפון נמצאת בתוך אמצעי אבטחת הרשת והמידע שאתם אמורים להחזיק, ופרטי גישה כברירת מחדל בשירות פונה לאינטרנט אינם אמצעי בר-הגנה[7]. בישראל, הקלטות שיחות המכילות מידע אישי כפופות לחוק הגנת הפרטיות ומשטר האכיפה המתוקן שלו[8].
בפועל
אבטחת VoIP היא עבודת תצורה, לא רכישה. סיסמאות SIP חזקות, הגבלות ניתוב שיחות, תקרות הוצאה, SIP מוצפן וכללי קוד סודי לתא קולי לוקחים כשעתיים ומסירים את רוב החשיפה. בעיית הקול המשוכפל היא היוצא מן הכלל, והיא נפתרת בכלל חיוג חזרה ולא במוצר.
אם אתם מריצים מערכת טלפון בענן ואף אחד לא בדק את ההגדרות שלה מאז ההתקנה, קבעו שיחה חינם של 30 דקות ונעבור יחד על פרטי הגישה, כללי הניתוב, ההגבלות הבינלאומיות והגדרות התא הקולי.