Chers passionnés du blog VoIP.ms, vous trouverez ci-dessous un article de blog invité de l’un de nos partenaires, une entreprise leader de l’industrie : SNOM, une société fondée en 1997 à Berlin, en Allemagne ; actuellement une société multinationale qui fabrique des appareils téléphoniques VoIP pour les professionnels et les entreprises, ils sont connus pour être les pionniers de la VoIP ainsi que pour leur capacité de production.
Ne vous êtes-vous jamais arrêté pour penser… ? Votre système téléphonique pourrait-il être un risque pour la sécurité ?
Lorsqu’un cambrioleur veut s’introduire dans une maison, il procède généralement à sa propre évaluation des risques avant de le faire :
- Y a-t-il quelqu’un à la maison ?
- Sera-t-il difficile d’ouvrir des portes ou des fenêtres verrouillées ?
- Y a-t-il un système d’alarme et, si oui, peut-il être facilement désactivé ?
Si la valeur escomptée des objets qu’ils ont l’intention de voler dans la maison l’emporte sur les risques d’effraction, c’est à ce moment-là qu’ils prendront leur décision. Lors du piratage d’un système téléphonique d’entreprise, les principes sont similaires, mais l’échelle est différente. Le marché mondial de la VoIP devant atteindre 93,2 milliards de dollars d’ici 2024, le piratage et l’exploitation des systèmes téléphoniques deviennent rapidement une entreprise lucrative pour les cybercriminels suffisamment qualifiés. La valeur de ces gains mal acquis augmentant de manière exponentielle d’année en année, il est essentiel que tous les acteurs du secteur, y compris les opérateurs, les fournisseurs de services, les intégrateurs de systèmes, les administrateurs/utilisateurs informatiques et, bien sûr, les vendeurs et fabricants de matériel et de logiciels accordent la priorité à la sécurité des réseaux et l’améliorent.
Non seulement l’augmentation de la part de marché mondial de la téléphonie IP constitue une cible attrayante pour les pirates, mais le comportement des entreprises évolue également. Avec un passage au travail à distance plus rapide que prévu, la prolifération du BYOD (bring your own device ou apporter votre propre appareil) et l’augmentation du nombre d’opérateurs qui adoptent des solutions tout-IP, le marché est non seulement en expansion, mais il évolue aussi rapidement, et là où il y a du changement, il y a des incertitudes et des développements imprévisibles qui constituent un terrain fertile pour les criminels qui veulent exploiter toutes les opportunités.
Mais comment s’y prennent-ils ?
Quelles sont les méthodes les plus courantes pour le pirate informatique enclin au crime et techniquement au fait ? Que diriez-vous d’une effraction ? Pour accéder à un système de téléphonie, les pirates ont besoin du mot de passe de l’appareil qu’ils ciblent. Pour obtenir ce mot de passe et réussir à compromettre un système IP-PBX, les pirates identifient une extension IP sur le réseau, puis bombardent cet appareil de différents mots de passe dans l’espoir que l’un d’eux soit le bon. Bien que cela semble peu probable, de nombreux utilisateurs ne modifient pas leurs mots de passe par défaut. En outre, les pirates peuvent envoyer des milliers de mots de passe à un poste en quelques minutes seulement. Dans de nombreux cas, il ne faut pas longtemps aux pirates pour deviner le bon mot de passe et se connecter au système IP-PBX. Ils peuvent également identifier les faiblesses d’un système afin de contourner ou d’écraser les exigences relatives aux mots de passe ou utiliser des méthodes de phishing, par exemple en se faisant passer pour un administrateur informatique afin d’obtenir des mots de passe.
Malheureusement, le nombre de menaces contre les réseaux ne cesse d’augmenter et une recherche rapide révèle une liste inquiétante d’attaques malveillantes telles que « Brute Force », « Man in the Middle », DDoS (Distributed Denial of Service) et « Spoofing », qui constituent toutes une menace sérieuse pour les communications non sécurisées.
Une fois qu’un pirate a accès au système, il peut perturber le réseau de téléphonie IP de plusieurs façons et faire perdre à l’entreprise des sommes importantes. L’une des attaques les plus courantes, et en fait l’une des plus dommageables sont celles où des criminels professionnels relient un centre d’appels entier à la connexion réseau compromise, en acheminant des milliers d’appels sur cette seule connexion en un court laps de temps. Selon la façon dont l’IP-PBX achemine ses appels et la régularité avec laquelle l’entreprise reçoit ses factures, cette activité peut se poursuivre pendant des mois avant d’être découverte, entraînant une facture téléphonique astronomique.
Bien qu’il s’agisse du principal moyen pour les pirates et les fraudeurs de tirer profit d’un système mal protégé, des mots de passe faibles et un manque de cryptage dans une infrastructure IP-PBX peuvent laisser les portes grandes ouvertes à d’autres types d’activités malveillantes. Par exemple, en raison de la nature informatisée de la téléphonie IP, il est beaucoup plus simple qu’avec des téléphones fixes d’enregistrer secrètement des appels internes. Plutôt que de devoir installer un dispositif physique, il suffit d’enregistrer les appels à l’aide du logiciel adéquat. Souvent, ce type de menace provient d’un employé à l’intérieur de l’organisation, ce qui rend la protection difficile. Si une entreprise utilise un protocole VoIP non crypté, il n’y a aucune barrière en place pour empêcher l’enregistrement des appels. Même si la menace ne vient pas d’un employé, ou de groupes extérieurs ayant intérêt à enregistrer les conversations téléphoniques d’une entreprise, un cheval de Troie peut être utilisé pour installer l’outil d’enregistrement. Et les choses peuvent encore empirer si le téléphone est utilisé pour pénétrer dans le réseau de l’entreprise, c’est-à-dire dans toute la structure des serveurs, comme un cambrioleur qui accède à une maison par la cave. Pensez-y de la manière suivante : vous aurez besoin d’une serrure fiable pour votre porte arrière, votre porte d’entrée, la trappe de la cave et toutes les pièces de votre maison. En vous assurant également que vous disposez des clés de ces serrures, les risques sont minimisés, mais c’est toujours au propriétaire de s’assurer que les portes sont effectivement verrouillées.
Toutes ces menaces à la sécurité font qu’il est impératif pour les entreprises et les fournisseurs d’effectuer autant de tests que possible, afin de s’assurer que leurs clients et leurs communications sont protégés au mieux. Des entreprises comme SNOM disposent de salles où des banques d’appareils sont testées dans un environnement accéléré, mais réaliste. En fait, l’ATF (Automatic Test Framework) teste en permanence leurs logiciels. Cela signifie l’élimination des problèmes de sécurité et la mise à jour des logiciels avant même qu’un problème ait été détecté par les clients finaux. En d’autres termes, les entreprises identifient et corrigent les problèmes de manière proactive, plutôt que d’attendre que les clients viennent frapper à la porte de leur équipe de support en criant à l’aide. Dans le cas particulier de SNOM, en plus d’effectuer un contrôle continu de la sécurité et des logiciels ATF, l’entreprise fournit également aux utilisateurs un aperçu complet de la mise en œuvre des mesures de sécurité et de confidentialité sur son centre de services, service.snom.com. Parmi les sujets abordés figurent l’authentification des ports via 802.1x, la vérification dynamique des listes noires. Le cryptage DECT, le support TLS et les appareils dans un VPN.
Qui d’autre doit prendre ses responsabilités ?
La chaîne de sécurité des télécommunications est constituée de plusieurs maillons tout aussi cruciaux les uns que les autres. L’un de ces maillons essentiels est, bien entendu, l’administrateur informatique d’une entreprise. C’est une réalité incontournable : l’administrateur informatique doit prendre une part de responsabilité dans la protection de la sécurité du réseau de son entreprise en mettant en œuvre une politique de mot de passe efficace et en informant le personnel et les collègues de leurs exigences. Donner la priorité à la communication transparente plutôt qu’à la sécurité est une chose qui, dans un ensemble donné de circonstances, peut se produire. Cela peut être comparé au fait de laisser les clés de votre maison sous un pot de fleurs près de votre porte d’entrée afin que quelqu’un d’autre puisse entrer.
Les risques doivent être soigneusement pesés et, en fin de compte, cela ne devrait jamais être considéré comme une solution permanente. En fin de compte, la sécurité fait partie de ces choses que l’on ne remarque que lorsque quelque chose ne va pas. Une tâche ingrate pour ceux qui doivent veiller à la maintenance des systèmes de sécurité. Combien de fois le personnel de bureau remercie-t-il la direction du bâtiment pour une année sans effraction ? Il est facile d’oublier à quel point la sécurité est importante lorsqu’elle fonctionne bien. Une sécurité permanente exige la vigilance et la conscience de plusieurs maillons clés de la chaîne qui verrouille la porte.
Combien ? La sécurité du réseau est synonyme de sécurité financière.
Quel est le coût du piratage d’un système téléphonique ? Eh bien, en 2016, il a été calculé à 38,1 milliards de dollars (au niveau mondial), dont 3,53 milliards de dollars via les IP-PBX.
Ce chiffre, d’année en année, a connu une croissance exponentielle. Imaginez la situation suivante : une petite entreprise de 25 personnes se voit soudainement facturer une somme à six chiffres pour des appels passés en une seule semaine. En y regardant de plus près, on s’aperçoit que les appels ont été passés vers des numéros surtaxés dans des pays où l’argent disparaît rapidement dans un système financier obscur et intraçable. Dans le pire des cas, ces coûts peuvent mettre instantanément une entreprise en faillite. Dans le meilleur des cas ? Une prise de conscience brutale de l’importance de la sécurité du réseau. Veiller à ce que les employés de l’entreprise soient régulièrement formés aux questions de sécurité informatique est un processus qui doit être permanent et non ponctuel. Les équipes de vente, le support client, le standard téléphonique, toutes ces fonctions essentielles sont des maillons faibles potentiels de la chaîne de sécurité.
Ces derniers temps, de nombreux problèmes de sécurité sont apparus avec l’augmentation du nombre de personnes travaillant à distance ou à domicile et utilisant leurs propres appareils dans un réseau d’entreprise (BYOD). Le danger pour les entreprises s’est multiplié de façon incommensurable en l’espace de quelques mois. Il serait extrêmement périlleux de négliger ces nouveaux maillons faibles de la chaîne de sécurité.
Regarder dans la boule de cristal…
Imaginons que nous soyons en 2025. Il y a eu un catalogue de changements majeurs dans la technologie et le comportement. Dans le monde entier, les gens disposent d’une multitude de solutions de communication sur mesure conçues pour répondre à tous leurs besoins personnels et professionnels. Pour en arriver là, cependant, de nombreuses entreprises, tous secteurs et toutes échelles confondus, ont été perdues. Leur héritage est une leçon de sécurité : prendre des responsabilités, procéder à des examens continus, ne négliger aucun détail et allumer une torche dans chaque ombre. Cette déclaration trop simpliste n’est d’aucune aide pour les responsables de la sécurité de leur entreprise aujourd’hui, mais ce qui pourrait aider, c’est de comprendre que la plupart des entreprises d’aujourd’hui travaillent selon les normes de développement et d’innovation les plus élevées. En tant que base fondamentale de la téléphonie IP et en reconnaissance de nos responsabilités, la sécurité est un domaine auquel nous consacrons une grande partie de nos ressources.
Les cas de piratage informatique très médiatisés et/ou coûteux, la prolifération des « SPIT » (Spam over Internet Telephony) et autres appels non sollicités continueront à faire la une des journaux. Seule une combinaison de fabricants, de partenaires d’interopérabilité, d’intégrateurs, de revendeurs et d’utilisateurs finaux peut contribuer à accroître la sensibilisation à la sécurité et les meilleures pratiques. Les entreprises de VoIP et de télécommunications ont joué, jouent et continueront de jouer leur rôle dans cet effort collectif.
Note finale de VoIP.ms : Nous avons développé une relation exceptionnelle avec SNOM au cours des derniers mois et continuons à travailler en étroite collaboration avec eux pour permettre une intégration transparente pour nos clients en commun.
