Az internetes telefonrendszerek válnak a csalás eszközeiért

A számítógépes bűnözők egy újat találták a csalásukért: a kis- és középvállalkozások telefonrendszerei az Egyesült Államokban

Az elmúlt hetekben több tucat telefonrendszert csaptak át az országban, egy módja annak, hogy kapcsolatba lépjen a gyanútlan banki ügyfelekkel, és becsapja számukra bankszámlaszámuk és jelszavuk feladását.

Az áldozatok jellemzően olyan kisebb regionális intézményekkel működnek együtt, amelyeknek általában kevesebb forrása van a csalások felfedezésére. A csalók hamisíthatják a telefonrendszereket, majd hívják az áldozatokat, előre rögzített üzeneteket játszanak, amelyek azt mondják, hogy számlázási hiba történt, vagy figyelmeztette őket arra, hogy a bankszámlát gyanús tevékenység miatt felfüggesztették. Ha az aggódó ügyfél beírja számlaszámát és ATM jelszavát, a rosszfiúk ezt az információt használják a hamis bankkártyák készítéséhez és az áldozat bankszámláinak ürítéséhez.

[További olvasmány: A legjobb NAS-dobozok a média közvetítéséhez és mentéséhez]

Hackerek több mint húsz évvel ezelőtti telefonos rendszerműködésbe került szoftvermegoldások - egy olyan gyakorlat, melyet phreaking néven ismerünk -, de ahogy a hagyományos telefonrendszer integrálódott az internethez, új csalási lehetőségeket teremt, amelyek csak most kezdődnek A VoIP (voice over Internet Protocol) hackelés "új határ a telekommunikáció és a számítógépes bűnözés" kereszteződésében. "- mondta Erez Liebermann, New Jersey kerületi ügyvédje. "Ez egy folyamatos fenyegetés és komoly fenyegetés, hogy a vállalatoknak aggodalmaskodniuk kell."

Az egyik legnépszerűbb VoIP rendszer, az Asterisk nevű támadás most "endémiás", mondta John Todd, aki dolgozik a termék a Digium, mint nyílt forráskódú közösségi igazgató. "Olyan ez, mintha egy baseballütőt lopnának be egy autóba, az első lépés az Asteriskbe való behatolás."

Az Asterisk hackelés egy meglehetősen "alacsony szintű probléma" -ról 2008 szeptemberéig sokkal komolyabb kérdésbe kezdett, amikor az egyszerűen használható eszközöket először publikálták, mondta Todd. "Most már emberek videókat készítenek rajta, és vannak blogok és podcastok" - mondta. "Ez az információ kint van."

Ezekkel az eszközökkel nagyon könnyű lecsapni egy VoIP rendszert úgy, hogy elérte a szervert, amely az irodai helyi hálózatból a hálózati szolgáltatóhoz, például az AT & Thez kapcsolódik, felhívja a világ többi részét.

A hacker megpróbálja kitalálni a VoIP rendszer jelszavát, ezernyi találgatással. Miközben egy internetes program, például a Gmail letiltja a látogatókat egy marék sikertelen jelszó-találgatás után, a VoIP-rendszerek gyakran nem konfiguráltak ilyen módon, és gyakran hagyják, hogy bármely számítógép csatlakozzon hozzájuk. Tehát a hackerek letépnek rájuk, próbálják kitalálni a telefonhálózatok bővítését. Miután megtalálják a kiterjesztést, a szótár-támadási szoftvert futtatják. Ha a jelszó könnyű kitalálni, akkor a hálózatban van, és ingyenesen telefonálhat.

Ez történt a Wheelingben, a West Virginia-ban alapuló Innovative Technologies-nél. Október elején feltörték, nyilvánvalóan a román számítógépes bűnözők, akik a VoIP rendszert használják, hogy telefonos adathalászatot kezdeményezzenek a Liberty Bank kisvállalkozóinak, egy kis regionális banknak, amelynek irodái kaliforniában vannak.

"Szkenneltek egy csomó IP-címeket az interneten találni [VoIP] szerverek megtalálása érdekében "- mondta Terry Lewis, az Innovatív Technologies vezérigazgatója.

A 3-án Lewis elkezdte fogadni a Voicemail-et a Liberty ügyfelektől, akik átvette a csalásokkal kapcsolatos hívásokat. Másnap ellenőrizte a VoIP rendszer naplóit, és megállapította, hogy a hackerek a hétvégén mintegy 300 hívást kezdeményeztek - nem annyira sok hívást, amit általában észrevettek.

Miután a VoIP rendszert feltörték, a bűnözők használják hogy telefonos adathalász támadást hajtson végre, néha vishing. Vishing támadások már néhány éve vannak, de nagyrészt a radar alatt repültek, mert gyakran a kisebb regionális bankokra irányulnak, nem pedig a magas szintű nemzeti intézményekre. A csalók bankokról bankra lépnek hetente a kampányok befejezése után.

A Liberty Bank szerint az elmúlt hetekben más regionális intézmények is érintettek a feltört VoIP-rendszerek támadásai ellen.

Liberty nem nevezte a többi résztvevő bankot, ám az elmúlt hetekben az Union State Bank és a Solvay Bank hasonló csalásokról számolt be.

Lewis szerencsés volt, hogy nem érte el a fő telefonköltségeket. A rendszerek konfigurálásának függvényében a vállalatok felelősek lehetnek az esetleges telefonköltségekért - nemzetközi hívásdíjakért -, amelyek az eseményből erednek.

"Ha valaki elkezdi visszaélni a telefonos rendszerét, potenciálisan a sok pénzt keres, "mondta Digium Todd.

A Liberty Bank első alelnöke, Jill Hitchman úgy véli, hogy a bankját megcélzó csalók valószínűleg 30 és 35 vállalkozás között találtak rá, napi 20 000 és 30 000 közötti telefonhívást. "Nem hiszem, hogy ezek a vállalatok rájönnek, hogy valószínűleg fel fognak jutni" - mondta Hitchman. "A nagyobb kérdés az, hogy hogyan férnek hozzá ezek a telefonrendszerek, és miért nem tudjuk abbahagyni?"

Csak néhány Liberty ügyfelünk esett a csalásra, Hitchman mondta, de a támadók tudták, mit csinálnak. Először is feliratkoztak az AOL számlákra, hogy teszteljék a kártyaszámok működését. Mivel az AOL ingyenes próba-tagsággal rendelkezik, ezek a díjak hónapokig nem jelennek meg. A csalók hamarosan hamis ATM-kártyákba helyezték és hamisították a bankszámlákat.

A vállalkozások számos ilyen támadást megakadályozhatnának, ha megváltoztatnák a Session Initiation Protocol (SIP) kapcsolatokhoz használt portját VoIP rendszerükön, a biztonsági tényezők azt mondják, hogy a kapcsolatokat blokkolják bizonyos számú hiba után, és egyszerűen csak jobb jelszavakat használnak a hangrendszereiken.

A probléma az, hogy a legtöbb kis- és középvállalkozás számára a biztonság nem elsőrendű. "Az emberek jobban törődnek arról, hogy a konferenciahívásuknak tisztességes telefonminőségük lesz" - mondta Rodney Thayer, a Secorix VoIP biztonsági cég vezető technológiai tisztje.

Nem gondolnak arra, hogy VoIP rendszereik sebezhetőek az internetes támadásokkal szemben mint például a webes vagy e-mail szerverek, és ez egy hiba, Thayer mondta. "Más rendszerről gondolkodnak, és nem," mondta. "Ugyanazok a dolgok: minden adat átkerül egy hálózaton."