Standard téléphonique piraté : la facture d'appels surtaxés qui arrive le lundi matin

Le lundi matin, la facture ou l'alerte de l'opérateur tombe : des centaines d'appels vers l'étranger ou vers des numéros surtaxés, passés pendant le week-end depuis votre standard. C'est la fraude au standard téléphonique : un pirate prend la main sur votre IPBX ou sur un compte SIP, puis téléphone à vos frais. Voici comment les fraudeurs entrent, qui paie, et les réglages qui limitent les dégâts.

01Comment fonctionne la fraude

L'IPBX est le standard téléphonique de l'entreprise quand il fonctionne sur le réseau informatique, en boîtier ou en logiciel. Chaque poste s'y connecte avec un compte SIP (un identifiant et un mot de passe ; le SIP est le protocole des appels sur internet), et le standard rejoint l'opérateur par un trunk SIP, le raccordement qui porte vos numéros.

Selon le CERT-FR de l'ANSSI (décembre 2023), les attaques contre les standards touchent fréquemment des entreprises. En exploitant des vulnérabilités connues, les pirates appellent des numéros surtaxés dont les profits leur sont reversés, ou revendent sur internet des appels internationaux à bas prix qui passent par le réseau de la victime. Ils agissent souvent les jours de congé, le week-end et la nuit, pour ne pas être repérés rapidement.

Toutes les tailles de structures sont concernées. Une fiche pratique de la fédération EBEN, publiée dans le cadre des ateliers entreprises de l'Arcep (mise à jour de mai 2016), cite un conseil départemental qui a reçu en novembre 2015 une facture de 43 000 € d'appels frauduleux vers l'Afrique.

02Comment les pirates entrent

D'après 3CX, la plupart des fraudes observées résultent d'un cumul d'erreurs de configuration plutôt que d'une seule.

Des mots de passe SIP faibles

Un mot de passe trop simple se devine par essais successifs : c'est l'attaque par « force brute ». La fiche Arcep est nette : il vous « incombe » de modifier tous les mots de passe dès l'installation, puis régulièrement, et ils doivent être complexes.

Des codes laissés par défaut, messagerie vocale comprise

La note technique de l'ANSSI sur la téléphonie sur IP (2013) demande de remplacer dès l'installation les codes PIN par défaut et d'interdire les codes triviaux (00000, 12345). 3CX génère un code de messagerie vocale aléatoire pour chaque poste et recommande de le conserver. Certaines fonctions aggravent le risque : l'ANSSI déconseille d'activer l'accès aux fonctions du standard depuis un appel extérieur (DISA), et l'Arcep conseille de réserver le renvoi d'appel vers l'extérieur aux personnes qui en ont besoin.

Une administration ouverte à tous

L'ANSSI recommande des comptes d'administration nominatifs, la suppression des comptes présents par défaut (à défaut, le changement de leur mot de passe) et, idéalement, la double authentification. 3CX conseille de bloquer l'accès à sa console d'administration depuis les adresses inconnues, pour empêcher des pirates d'en prendre le contrôle.

Un logiciel pas à jour

Le CERT-FR souligne que ces attaques exploitent des vulnérabilités connues. La fiche Arcep conseille un contrat de maintenance qui intègre les mises à jour de sécurité du constructeur.

03Les signes qui doivent alerter

L'ANSSI recommande de suivre régulièrement la facturation et de surveiller cinq indicateurs : les appels vers des numéros surtaxés, les appels vers l'étranger, les appels en dehors des horaires de travail, les appels de longue durée et les statistiques d'appels (un volume inhabituel, par exemple).

Sur 3CX, une adresse IP est bloquée automatiquement après plus de 10 mots de passe erronés (documentation 3CX) : des adresses inconnues dans cette liste peuvent signaler des tentatives d'intrusion.

Attention

Un standard piraté le vendredi soir peut appeler jusqu'au lundi matin si rien ne l'arrête, d'où l'intérêt des blocages et des alertes chez l'opérateur.

04Qui paie la facture ?

C'est l'entreprise piratée qui reçoit la facture : l'ANSSI parle d'appels passés « aux frais de l'entité compromise », et 3CX prévient qu'elle devra être payée. Les contrats peuvent aussi mettre ce risque à la charge du client : relisez les clauses de responsabilité de votre contrat de trunk SIP.

La fiche Arcep rappelle aussi que votre intégrateur a envers vous « un devoir de conseil et de mise en garde ». Un éventuel partage des responsabilités dépend de vos contrats et, en cas de litige, du juge.

À retenir

Sauf clause contraire, partez du principe que les appels passés depuis votre standard piraté vous seront facturés. La meilleure protection consiste à limiter à l'avance ce que votre standard peut appeler.

05Les protections concrètes

1. Bloquez ce qui ne sert pas. Si vous n'appelez pas l'étranger, l'Arcep conseille un accès national. Sinon, l'ANSSI recommande d'interdire les pays inutiles, de réserver l'international aux personnes qui en ont besoin et de se demander s'il doit rester ouvert la nuit. Faites de même pour les numéros surtaxés.
2. Interrogez votre opérateur. Peut-il couper automatiquement les appels vers des destinations anormales ou en rafale vers des numéros surtaxés, notamment en heures non ouvrables (fiche Arcep) ? Peut-il fixer un seuil d'alerte sur la facture, comme le recommande le CERT luxembourgeois CIRCL ?
3. Renforcez mots de passe et codes : un mot de passe long et unique par compte SIP, des codes de messagerie changés.
4. Protégez l'administration : comptes nominatifs, comptes par défaut supprimés, double authentification, accès limité aux adresses connues.
5. Désactivez les fonctions à risque inutiles, comme le renvoi vers l'extérieur.
6. Mettez à jour le standard et les téléphones.
7. Surveillez vos relevés avec les cinq indicateurs de l'ANSSI.

Sur un standard 3CX

Au-delà de ses fonctions au quotidien, 3CX documente plusieurs protections :

• Les pays autorisés : limitez la liste aux pays que vous appelez vraiment. 3CX y voit une bonne protection de base, à doubler d'une restriction chez l'opérateur.
• Les règles d'appels sortants : elles fixent quels postes ou services peuvent appeler quels préfixes, à rédiger aussi strictement que des règles de pare-feu.
• L'anti-piratage : blocage automatique des adresses fautives et liste noire d'attaquants partagée entre standards 3CX, à laisser activée.
• La double authentification sur les comptes (documentation 3CX).
• Les mises à jour automatiques, que 3CX recommande d'activer (documentation 3CX).

06Si cela vous arrive

1. Appelez votre opérateur pour faire couper les appels sortants ou suspendre le compte SIP.
2. Conservez les preuves : relevés, journaux, factures. Sur 3CX, l'éditeur conseille de générer les informations de support depuis le tableau de bord avant toute autre action.
3. Portez plainte auprès de la police ou de la gendarmerie, avant de réinstaller ou de nettoyer le standard, comme le recommande Cybermalveillance.gouv.fr. L'accès frauduleux à un système informatique est un délit (article 323-1 du Code pénal).
4. Changez tous les accès, identifiez la faille et appliquez les mises à jour.
5. Déclarez le sinistre à votre assureur.
6. Faites-vous aider : le service public 17Cyber, proposé par la Police nationale, la Gendarmerie nationale et Cybermalveillance.gouv.fr, propose un diagnostic et des recommandations.

Bon à savoir

Si votre contrat d'assurance couvre les cyberattaques, l'indemnisation est subordonnée à une plainte déposée au plus tard 72 heures après la connaissance de l'atteinte. La règle vise les entreprises et les professionnels (article L12-10-1 du Code des assurances).

En résumé

• Un standard piraté appelle l'étranger ou des numéros surtaxés à vos frais, souvent la nuit ou le week-end.
• Les portes d'entrée : mots de passe faibles, codes par défaut, administration ouverte, logiciel pas à jour.
• La facture arrive chez vous, et les contrats peuvent la mettre à votre charge : relisez les vôtres.
• Bloquez les destinations inutiles, demandez un seuil d'alerte à l'opérateur et surveillez vos relevés.
• En cas de fraude : opérateur, preuves, plainte (sous 72 heures si vous êtes assuré), nouveaux accès.

Kersys installe et configure des standards 3CX pour les TPE et PME autour de Rennes. Pour faire le point sur la sécurité de votre téléphonie, découvrez notre offre téléphonie VoIP ou contactez-nous.