Angreifer, die im Besitz korrekter Zugangsdaten zu SIP-Accounts von Endgeräten sind, können durch Anrufe auf teure Servicerufnummern im Ausland schnell mehrere zehntausend Euro Schaden verursachen.

Aber wie kommen Angreifer an gültige Zugangsdaten?
Angreifer können diese beispielsweise aus bereits konfigurierten Endgeräten oder aus mit Malware infizierten oder gestohlenen PCs auslesen. Je nach technischen Möglichkeiten können sie diese auch aus unverschlüsselten SIP-Verbindungen extrahieren.
Vereinzelt gelingt es Angreifern auch, sich als eines Ihrer Endgeräte auszugeben und sich im Rahmen der Autoprovisionierung Zugangsdaten übermitteln zu lassen. Oder man injiziert JavaScript-Code in Websites, der sich beim öffnen der Seiten, mit den bekannten Zugangsdaten an der Telefonanlage anmeldet und lostelefoniert.

Fluxpunkt AntiFraud  erkennt ungewöhnliche Anrufversuche und schützt selbst dann, wenn die Sicherheit Ihrer SIP-Kennwörter kompromittiert wurde. Wird ein ungewöhnlicher Anrufversuch erkannt, wird der Anrufer nach einem Kennwort gefragt, welches am Telefon einzugeben ist. Nur bei erfolgreicher Eingabe wird der Anruf ausgeführt. Nach dreimaliger Falscheingabe wird der Anruf abgebrochen und eine Warnemail verschickt.

Das Kennwort ist vom Administrator konfigurierbar und kann den Mitarbeitern mitgeteilt werden. Nach Aktivierung des Moduls ist an jedem Endgerät beim ersten Anruf einmalig das Kennwort einzugeben. Das Modul lernt bestimmte Endgeräteeigenschaften (Endgeräte-IP-Adresse, Firmware, Telefontyp,...). Ändert sich eine Eigenschaft, muß das Kennwort erneut eingegeben werden. Solange die Parameter gleich bleiben, ist für Folgeanrufe keine Kennworteingabe notwendig – der Komfort wird somit nicht beeinträchtigt.

Bei Auffälligkeiten beginnt das Modul mit mehrstufigen Gegenmaßnahmen:

1. Stufe: Beendigung des ausgehenden Anrufs
2. Stufe: Sperren der auffälligen IP-Adresse in der STARFACE Firewall (um ein Ausprobieren von PINs zu verhindern)
3. Stufe: Deaktivierung des auffälligen SIP-Accounts (um Angreifern zu begegnen, die als Reaktion ihre IP-Adresse ändern)
4. Stufe: Deaktivierung der STARFACE Autoprovisionierung (um zu verhindern, dass Angreifer an neue Zugangsdaten gelangen)

Attackers who are in possession of correct SIP account credentials can quickly cause tens of thousands of euros in damage by calling expensive service numbers abroad.

But how do attackers get valid access data?
Attackers can, for example, extract them from already configured terminal devices or from malware-infected or stolen PCs. Depending on their technical possibilities, they can also extract them from unencrypted SIP connections.
Occasionally, attackers also manage to pretend to be one of your end devices and have access data transmitted to them as part of an autoprovisioning process. Or they inject JavaScript code into websites, which logs on to the telephone system with the known access data when the pages are opened and makes a call.

Fluxpunkt AntiFraud detects unusual call attempts and protects even if the security of your SIP passwords has been compromised. If an unusual call attempt is detected, the caller is asked for a password to be entered on the phone. The call is only executed if the caller is authenticated successfully. After three incorrect authentication attempts, the call is aborted and a warning e-mail is sent.

The password is configurable by the administrator and can be communicated to employees. Once the module has been activated, the password must be entered once on each terminal device for the first call. The module learns certain terminal device properties (terminal device IP address, firmware, telephone type, ...). If a property changes, the password must be entered again. As long as the parameters remain the same, no password entry is required for subsequent calls - convenience is not impaired.

In the event of anomalies, the module begins with multi-stage countermeasures:

1. Step: Ending the outgoing call
2. Step: Blocking the conspicuous IP address in the STARFACE firewall
3. Step: Deactivation of the conspicuous SIP account
4. Step: Deactivation of STARFACE autoprovisioning

Les attaquants qui sont en possession de données d'accès correctes aux comptes SIP des terminaux peuvent rapidement causer des dizaines de milliers d'euros de dommages en appelant des numéros de service coûteux à l'étranger.

Mais comment les attaquants peuvent-ils obtenir des données d'accès valides ?
Les attaquants peuvent les lire, par exemple, à partir de périphériques déjà configurés ou de PC infectés par des logiciels malveillants ou volés. Selon les possibilités techniques, ils peuvent également les extraire des connexions SIP non cryptées.
Parfois, les attaquants réussissent aussi à faire semblant d'être l'un de vos terminaux et à se faire transmettre des données d'accès dans le cadre de l'autoprovisioning. Ou vous injectez du code JavaScript dans des sites Web qui se connectent au système téléphonique avec les données d'accès connues lorsque les pages sont ouvertes et passent un appel téléphonique.

Fluxpunkt AntiFraud détecte les tentatives d'appel inhabituelles et protège même si la sécurité de vos mots de passe SIP a été compromise. Si une tentative d'appel inhabituelle est détectée, l'appelant est invité à entrer un mot de passe sur le téléphone. L'appel n'est exécuté que si le mot de passe a été saisi avec succès. Si le mauvais mot de passe est entré trois fois, l'appel est annulé et un e-mail d'avertissement est envoyé.

Le mot de passe peut être configuré par l'administrateur et communiqué aux employés. Une fois le module activé, le mot de passe doit être entré une fois sur chaque terminal pour le premier appel. Le module apprend certaines propriétés du terminal (adresse IP du terminal, firmware, type de téléphone,...). Si une propriété change, le mot de passe doit être saisi à nouveau. Tant que les paramètres restent les mêmes, aucune saisie de mot de passe n'est nécessaire pour les appels ultérieurs, ce qui ne nuit pas au confort.

En cas d'anomalies, le module commence par des contre-mesures à plusieurs niveaux :

1. Étape : Fin de l'appel sortant
2. Etape : blocage de l'adresse IP suspecte dans le pare-feu STARFACE (pour éviter l'essai des PIN)
3. Etape : Désactivation du compte SIP suspect (pour contrer les attaquants qui changent leur adresse IP en réponse)
4. Etape : Désactivation de l'autoprovisionnement STARFACE (pour empêcher les attaquants d'avoir accès à de nouvelles informations d'identification)