Internetové telefonní systémy se stávají nástrojem Fraudster

Cyber-criminálové našli novou podložku pro své podvody: telefonní systémy malých a středních firem po celém Spojených státech

V posledních týdnech se hacklivě do desítek telefonních systémů v celé zemi používají jako způsob, jak kontaktovat nic netušícího bankovního zákazníka a odhalit jeho čísla bankovních účtů a hesel.

Oběti jsou typicky banky s menšími regionálními institucemi, které obvykle mají méně prostředků na odhalování podvodů. Podvodníci narazí na telefonní systémy a poté volají oběti, hrají předem zaznamenané zprávy, které uvádějí, že došlo k chybě při fakturaci, nebo je varují, že bankovní účet byl pozastaven kvůli podezřelé aktivitě. Pokud znepokojený zákazník zadá své číslo účtu a heslo k bankomatu, ten kluci používají tyto informace k vytváření falešných debetních karet a vyprázdnění bankovních účtů oběti.

[Další čtení: Nejlepší krabice NAS pro streaming a zálohování médií]

Hackeři aby se do systému telefonních společností dostalo více než 20 let - praxe, která byla známá jako phreaking - ale jak se tradiční telefonní systém stal integrovaným do Internetu, vytváří nové možnosti pro podvody, které se teprve začínají

Hacking VoIP (voice over Internet Protocol) je "novou hranicí ve světě překážek telekomunikací a kriminality", řekl Erez Liebermann, asistent amerického právního zástupce pro okres New Jersey. "Útoky na jeden z nejpopulárnějších systémů VoIP, nazývané Asterisk, jsou nyní" endemické ", řekl John Todd, který pracuje na produktech tvůrce, Digium, jako ředitel komunity otevřeného zdroje. "Stejně jako kradení basebalové pálky, která by se dostala do auta, první krok je rozbít se do Asterisku."

Asterisk hacking se začal vyvíjet z poměrně "nízkého problému" do mnohem vážnějšího problému kolem září roku 2008, kdy byly nejprve zveřejněny snadno použitelné nástroje, řekl Todd. "Nyní se na něm podílejí lidé a tam jsou blogy a podcasty," řekl. "Informace jsou venku."

Díky těmto nástrojům může být velmi snadné hackovat systém VoIP tím, že narazíte na server navržený tak, aby propojil provoz z lokální sítě kanceláře s poskytovatelem sítě, jako je AT & T, volání do zbytku světa.

Hacker se pokusí hádat hesla systému VoIP a dělat tisíce hádek. Zatímco internetový program, jako je Gmail, zablokuje návštěvníky po hrsti chybných hesel, systémy VoIP často nejsou takto nakonfigurovány a často se k nim připojí nějaký počítač. Takže hackeři se na ně vrhli a snažili se hádat o prodloužení telefonu. Jakmile najdou rozšíření, spustí svůj slovníkový útokový software. Pokud je heslo snadné odhadnout, jsou v síti a mohou volat zdarma.

To se stalo s inovačními technologiemi se sídlem v Wheelingu, Západní Virginie. Na začátku října to bylo zraněno, zdánlivě rumunští kybernetické zločince, kteří používali svůj systém VoIP k telefonování na phishingových voláních zákazníkům malé banky s kancelářemi v Kalifornii, Liberty Bank.

"Zkoumali celou banda IP adresy na internetu za účelem nalezení serverů [VoIP], "řekl Terry Lewis, generální ředitel společnosti Innovative Technologies.

Dne ​​3. října začal Lewis dostávat hlasovou schránku od zákazníků společnosti Liberty, kteří obdrželi podvodné hovory. On zkontroloval jeho protokoly systému VoIP příští den a zjistil, že hackeři učinili přes víkend asi 300 telefonátů - ne tolik hovorů, které by za normálních okolností dokonce byly zaznamenány.

Jakmile je systém VoIP napaden, zločinci používají provádět phishingové útoky založené na telefonu, které se někdy nazývají vishing. Vikingské útoky jsou již několik let, ale pod radarem převážely, protože se často zaměřují spíše na menší regionální banky než na vysoce známé národní instituce. Podvodníci se přestěhují z banky do banky každý týden poté, co dokončili své kampaně.

Podle Liberty Bank byly v posledních týdnech i další regionální instituce zasaženy útoky z napadených systémů VoIP.

Liberty nezmiňovala ostatní zúčastněné banky, avšak v posledních týdnech Unie State Bank a Solvay Bank hlásily podobné podvody.

Lewis měl štěstí, že se s velkými telefonními poplatky nedostal. V závislosti na tom, jak jsou jejich systémy nakonfigurovány, mohou být podniky zodpovědné za veškeré poplatky za telefonní hovory, například za poplatky za mezinárodní hovory, které vznikly v důsledku incidentu.

"Pokud někdo začne zneužívat telefonní systém, potenciálně jste na "

První viceprezidentka Liberty Bank Jill Hitchman se domnívá, že podvodníci, kteří cítili její banku, pravděpodobně zasáhli mezi 30 a 35 podniky a dělají mezi 20 000 a 30 000 telefonními hovory za den. "Nemyslím si, že tyto společnosti si uvědomují, že se pravděpodobně budou dostávat obvinění," řekl Hitchman. "Větší otázka je, jak jsou tyto telefonní systémy přístupné a proč to nemůžeme zastavit?"

Pouze několik zákazníků Liberty kleslo na podvod, řekl Hitchman, ale útočníci věděli, co dělají. Nejprve se zaregistrují pro účty AOL, aby ověřili, že čísla karty fungují. Vzhledem k tomu, že AOL nabízí bezplatné zkušební členství, tyto poplatky se nezobrazují měsíce. V té době podvodníci uvedli informace na falešné karty ATM a vyprázdnili bankovní účty.

Podniky by mohly zabránit mnoha útokům tak, že změní port, který používají pro připojení SIP (Initiation Protocol Protocol) na svých VoIP systémech, zablokováním připojení po určitém počtu poruch a jednoduchým použitím lepších hesel na jejich hlasových systémech, tvrdí bezpečnostní experti.

Problém je v tom, že pro většinu malých a středních firem není bezpečnost prioritou. "Lidé se starají o to, zda jejich konferenční hovory budou mít slušnou kvalitu telefonu," uvedl Rodney Thayer, vedoucí technický pracovník společnosti Secorix.

Nemyslí si, že jejich VoIP systémy jsou zranitelné vůči útokům na internetu jako jsou webové nebo e-mailové servery, a to je chyba, řekl Thayer. "Myslí na to jako na jiný systém, a to není," řekl. "Je to totéž, všechno jde přes síť."