Fraude au standard téléphonique : l'attaque qui vide la trésorerie d'une PME en Afrique de l'Ouest

Le standard IP est devenu une porte d'entrée payante

Un standard téléphonique IP (PBX connecté à un trunk SIP) est un serveur comme un autre : il a une adresse, des comptes, des mots de passe et parfois une interface d'administration accessible depuis Internet. En zone UEMOA, beaucoup de PME l'ont fait installer par un prestataire local, puis n'y ont plus touché pendant des années.

La fraude est simple et automatisée. Un robot scanne Internet à la recherche du port 5060 (le port SIP) ou d'une console d'administration de PBX. Quand il trouve une extension protégée par un mot de passe faible, souvent le numéro du poste ou 1234, il l'enregistre comme si c'était un téléphone de l'entreprise. Il lui suffit ensuite de composer des numéros surtaxés à l'étranger.

Le mécanisme est rentable pour l'attaquant : ces numéros lui versent une commission sur chaque minute facturée, que votre opérateur vous refacture. Les fraudes démarrent presque toujours la nuit ou le week-end, quand personne ne surveille les communications en cours.

Les cinq signaux qui doivent vous alerter

Une fraude au standard se détecte en quelques minutes :

• La facture grimpe sans embauche : une hausse de 200 % ou 300 % sur un mois, sans nouveau collaborateur ni nouveau site, n'a rien de normal.
• Des appels sortants entre 23 h et 5 h : le journal affiche des communications que personne dans l'entreprise n'a passées. C'est le signal le plus fiable.
• Des préfixes que vous n'appelez jamais : des numéros internationaux, souvent surtaxés, apparaissent en masse dans l'historique.
• Des comptes inconnus dans la console : une extension créée à une date dont personne ne se souvient est un compte pirate.
• Des lignes saturées : vos collaborateurs n'arrivent plus à appeler, toutes les communications simultanées étant consommées par la fraude.

Tous ces signaux figurent déjà dans les journaux que votre PBX et votre opérateur produisent. Il suffit de les lire.

Les réglages qui bloquent la fraude (et leur coût en FCFA)

Aucune de ces mesures n'impose de remplacer votre installation :

1. Un mot de passe long et unique par extension, jamais le numéro de poste, jamais 1234. C'est la mesure la plus rentable : zéro franc.
2. Pas de console d'administration exposée sur Internet : l'accès distant passe par un VPN, jamais par une URL publique.
3. Filtrage par adresse IP sur le trunk SIP : seules les adresses de votre opérateur sont acceptées. Un trunk ouvert à tous est une invitation.
4. Liste blanche des préfixes autorisés : vous autorisez la Côte d'Ivoire, le Sénégal, le Mali, la France, et vous bloquez le reste, surtaxés en premier.
5. Plafond de dépense et blocage automatique chez l'opérateur, avec une alerte SMS à 50 % du seuil.
6. Journal des appels relu chaque semaine : cinq minutes suffisent pour repérer une anomalie de volume ou d'horaire.
7. VLAN voix séparé et firmware à jour : le téléphone n'a rien à faire sur le réseau des postes de travail.

Le budget dépend de l'état de votre installation :

La mesure de base se rembourse dès la première alerte évitée.

Ce qu'il faut faire dans les 48 heures

Trois actions, dans cet ordre :

• Aujourd'hui : exportez le journal d'appels des 30 derniers jours, cherchez les appels entre 23 h et 5 h puis les préfixes internationaux inhabituels.
• Demain : changez tous les mots de passe d'extensions, fermez l'accès Internet à la console d'administration, demandez le blocage des surtaxés à l'opérateur.
• Cette semaine : activez le plafond de dépense avec alerte SMS, et écrivez la procédure à suivre en cas de suspicion.

Une fraude au standard ne casse rien. Elle ne se voit pas, ne produit aucun écran d'erreur, et se découvre sur la facture. C'est exactement le type d'incident qu'une supervision des équipements réseau et des consommations détecte en quelques heures au lieu de quelques semaines.