© 1995-2021 Компания «Инфосистемы Джет»
Взломай свою офисную АТС до того, как это сделают другие
Информационная безопасность

Современные компании для организации связи все чаще используют офисные автоматические телефонные станции (УАТС или Private Branch Exchange, PBX), обладающие большим количеством «продвинутых» функций. Одновременно с этим, одним из наиболее распространенных видов мошенничества (фрода) для операторов фиксированной связи остается взлом и использование PBX их клиентов для совершения бесплатных вызовов.

Информационная безопасность Тема номера

Взломай свою офисную АТС до того, как это сделают другие

17.03.2010

Посетителей: 104

Просмотров: 87

Время просмотра: 0

Современные компании для организации связи все чаще используют офисные автоматические телефонные станции (УАТС или Private Branch Exchange, PBX), обладающие большим количеством «продвинутых» функций. Одновременно с этим, одним из наиболее распространенных видов мошенничества (фрода) для операторов фиксированной связи остается взлом и использование PBX их клиентов для совершения бесплатных вызовов.

 

 

Очень часто фрикеры (мошенники, специализирующиеся на взломе телефонных сетей) создают нелегальные переговорные пункты и, используя взломанные PBX, начинают продавать по очень низким ценам звонки на международные направления для всех желающих. Естественно, счет за эти вызовы приходит к «организациям-жертвам». Суммы таких счетов для одной организации могут колебаться, в среднем, от 1 000$ до 50 000$ в месяц. 

 

Как фрикерам удается взломать PBX?

В настоящее время существует много способов взлома PBX:

 

  • «грубая сила» (Brute force). Фрикер с помощью специальных программ-сканеров, путем прямого перебора возможных паролей к различным функциям PBX пытается получить доступ к внешней телефонной линии;
  • «социальная инженерия». При этом способе фрикер пытается получить доступ к внешней телефонной линии с помощью «человеческого фактора». Например, звонит сотрудникам компании и, представляясь инженером ИТ-подразделения, просит набрать на телефонном аппарате определенную комбинацию цифр, которая приводит к переводу вызовов на нужное мошеннику направление;
  • физическое подключение к нужной PBX;
  • внутренний фрод со стороны собственных сотрудников компаний и т.д.

 

Нельзя сказать, что компаниям нечего противопоставить мошенникам. Для борьбы со взломами PBX используется несколько, ставших уже традиционными, методов. Например:

 

  • регулярный просмотр сотрудниками компании детализации вызовов через PBX, с целью обнаружить «подозрительные» звонки (в нерабочее время, длительные вызовы на международные или дорогостоящие развлекательные направления, множество входящих коротких вызовов с одного номера и т.д.);
  • мониторинг оператором трафика на международные направления и поиск его неожиданных всплесков;
  • применение специализированных систем борьбы с мошенничеством (Fraud Management Systems, FMS), в которых настраиваются правила срабатывания предупреждений при превышении абонентом определенных порогов использования сервиса (например, длительные международные вызовы).

 

Общим недостатком вышеперечисленных методов борьбы является их реактивный характер. Проблема выявляется уже по факту, когда мошенник успел воспользоваться «дырой» PBX в своих целях (с момента взлома и до момента обнаружения нелегального трафика). Чаще всего фрикер успевает совершить некоторое количество длительных международных вызовов. Получая счет за месяц от оператора на огромную дополнительную сумму за эти вызовы, корпоративные клиенты обычно не спешат его оплачивать. Оператор, чтобы не потерять клиента, вынужден идти на уступки и «списывать» эти суммы задолженности либо добиваться оплаты всеми возможными способами, что требует затрат ресурсов. 

 

Отвечая на давление, с целью защитить и повысить прибыли, операторы связи сосредотачивают свое внимание на выявлении и предотвращении утечки доходов.

 

Результаты опроса 96 мировых операторов связи показывают, что различные типы мошенничества все больше «отъедают» от операторской прибыли, и операторы связи все более обеспокоены последствиями мошенничеств и связанных с ними проблем в потоках доходов. Опрос был проведен независимой исследовательской фирмой, изучающей причины распространения утечек доходов, наилучшие подходы операторов связи по предотвращению проблемы.

 

Основные результаты анкетирования Аналитики сообщают, что в среднем утечка доходов составляет около 13,6% от годового оборота оператора связи. Это значительно больше по сравнению с 1,8% от годового оборота оператора связи, который игроки рынка связи считают максимально допустимым лимитом утечки доходов.

 

Суммарная утечка доходов возрастает ежегодно, начиная с 2004 года. Основной причиной увеличения утечки доходов с 2006 года по 2007 год был значительный скачок, связанный с тремя видами мошенничества:

 

  1. мошенничество через других операторов связи;
  2. внутреннее мошенничество;
  3. внешнее мошенничество.

 

Анкетирование показало, что мошенничество является самым распространенным источником утечки доходов операторов, на долю которого приходится больше потерь, чем в любой другой категории утечки доходов.

 

Согласно результатам, убытки от мошенничества выросли от 2,9% доходов в 2006 году до 4.5% в 2007 году.

 

По материалам http://netfraud.ru/publication/ttk/4

 

Более того, последние примеры громких судебных дел показывают, что при «продуманности» процесса взлома PBX вычислить группу мошенников достаточно сложно. Например, в одном из обвинительных актов № 2005R009461 в США, с которым можно ознакомиться на официальном сайте Министерства Юстиции США, по делу международных телефонных мошенников, успешно действовавших несколько лет, говорится о подтвержденных убытках на сумму около 55 млн.$.

 

Фрикеры специализировались на взломах PBX методом «грубой силы». Далее они продавали трафик через колл-центры и при вызове обычного клиента маршрутизировали звонок через взломанные PBX. Основными причинами их «успешного бизнеса» в течение столь длительного времени стали:

 

  • широкая (международная) география бизнеса;
  • изучение PBX самых популярных производителей;
  • проработанная технология взлома (с учетом особенностей PBX и систем контроля);
  • достаточное количество слабо защищенных PBX;
  • реактивный характер борьбы со взломами PBX со стороны компаний-владельцев PBX и операторов (достаточно времени до момента обнаружения, чтобы «зарабатывать»).

 

Выход есть!

Тем не менее, некоторые из видов взлома PBX и последующие счета за «чужой» трафик могут быть легко предотвращены как самими пользователями (например, ограничение физического доступа к PBX, написание внутренних инструкций для сотрудников), так и специализированными компаниями.

 

Альтернативный подход к борьбе со взломами PBX, которого придерживается, например, компания «Инфосистемы Джет», позволяет проактивно проверить уязвимость PBX. Данный подход основан на хорошо зарекомендовавшем себя в области ИТ-безопасности методе – тестах на проникновение в систему или «пентестах» (Penetration tests).

 

Используя сценарии потенциального взлома во время «пентестов» (например, «brute force»), можно обнаружить слабо защищенные PBX в сети оператора и предпринять необходимые меры по устранению выявленных уязвимостей еще до попытки атаки фрикеров на PBX.

 

Основными преимуществами такого альтернативного подхода являются:

 

  • минимальные затраты ресурсов оператора связи – все попытки «дружественного взлома» осуществляются профессионалами «снаружи»;
  • любая необходимая периодичность сканирования PBX клиентов позволяет легко проверить все PBX на устойчивость к новым сценариям взлома либо к появлению уязвимостей после изменения их настроек;
  • проактивность – оператор не успевает потерять свою выручку (не придется «списывать» долги);
  • высокая эффективность – использование сценариев взлома, аналогичных мошенническим, и постоянное их обновление позволяет находить уязвимости, которые фрикеры еще не успели обнаружить.

 

В заключение хочется напомнить менеджерам и ответственным за безопасность сотрудникам компаний о том, что безопасность системы определяется ее самым слабым звеном и что вопросам защищенности PBX следует уделять не меньше внимания, чем безопасности другой ИТ-инфраструктуры. Иначе об уязвимостях в PBX вашей компании побеспокоятся фрикеры.

 

Материал был опубликован в журнале «Вестник связи» № 2, 2010

Уведомления об обновлении тем – в вашей почте

«Хотите защититься? Заведите «сейф» для мобильного банковского приложения»

Евгений Горбачев, начальник управления информационной безопасности Департамента по обеспечению безопасности Банка Москвы

Дополнительные доходы за счет глубокого анализа контента

Подписчики стационарных и мобильных широкополосных сетей пользуются всевозможными видами контента

Аналитическая информация без человеческого фактора

Рассматриваются варианты подготовки аналитической информации для руководства компании до и после внедрения BI-решения

Защита персональных данных

Информация в руках мошенника превращается в орудие преступления, в руках уволенного сотрудника – в средство мщения, в руках инсайдера – товар для продажи конкуренту

Интервью с Виталием Задорожным, директором по управлению операционными рисками компании «ВымпелКом»

Крупные и динамично развивающие организации в процессе своей деятельности, зачастую, не единожды проходят через слияние с другими компаниями. Некоторыми аспектами специфики объединения среди операторов связи с нами поделился Виталий Задорожный, директор по управлению операционными рисками компании «ВымпелКом».

О каналах скрытых, потайных, побочных и не только

Пик исследований в области скрытых каналов приходится на середину 1980-х годов, когда была опубликована "Оранжевая книга" Министерства обороны США, в которой, начиная с класса безопасности B2, было введено требование анализа скрытых каналов.

Современные Сизифы

Сизиф, царь Коринфа, был великим мошенником. Благодаря своей хитрости он собрал несметные сокровища.

Информационная безопасность на новом уровне – тема года для российского телекома

Отрасль связи сегодня развивается очень динамично, и столь же активные процессы идут на рынке решений информационной безопасности для телекомсектора

Системы Business Assurance как средство борьбы с фродом

Как известно, аббревиатура АСУ ТП расшифровывается как «Автоматизированная система управления технологическими процессами». Нужно подчеркнуть, что автоматизированная не означает автоматическая.

Спасибо!
Вы подписались на обновления наших статей
Предложить
авторский материал





    Спасибо!
    Вы подписались на обновления наших статей
    Подписаться
    на тему







      Спасибо!
      Вы подписались на обновления наших статей
      Оформить
      подписку на журнал







        Спасибо!
        Вы подписались на обновления наших статей
        Оформить
        подписку на новости







          Спасибо!
          Вы подписались на обновления наших статей
          Задать вопрос
          редактору








            Оставить заявку

            Мы всегда рады ответить на любые Ваши вопросы

            * Обязательные поля для заполнения

            Спасибо!

            Благодарим за обращение. Ваша заявка принята

            Наш специалист свяжется с Вами в течение рабочего дня