Retour sur le site entreprise
Difficile d’avoir une vision fiable du piratage téléphonique et de ses conséquences pour les entreprises, avant tout financières. La dernière étude réalisée par la Brigade d’enquêtes sur les fraudes aux technologies de l’information (BEFTI) évalue le coût de la fraude téléphonique en France, à 1,5 milliard €. Des solutions existent cependant.
Pour Sylvain Plagne, Directeur Avant-vente et Marchés Publics pour Bouygues Telecom Entreprises :
« la première conséquence pour les entreprises ou les collectivités est financière. Quelques jours suffisent aux pirates pour causer plusieurs milliers, voire dizaines de milliers d’euros de préjudice ».
Piratage téléphonique, de quoi parlons-nous ?
Sur le papier, c’est finalement assez simple. Un pirate exploite des lacunes en matière de sécurité pour prendre le contrôle d’un autocommutateur téléphonique (également connu sous le nom de PABX). Une fois introduit dans le dispositif, il peut au choix, écouter ou enregistrer les conversations à des fins d’espionnage industriel, usurper les identités des utilisateurs et écouter leurs messages ou passer des appels en leur nom. Dans certains cas, l’attaque portera sur un déni de service qui consiste à empêcher la réception ou l’émission d’appels.
« Toutefois, indique Sylvain Plagne, la motivation la plus courante d’un pirate, c’est d’établir un pont de communication massif vers des destinations onéreuses afin de revendre des minutes de communication à des prestataires peu regardants ».
Deux simples précautions pour commencer
Le modus operandi des pirates est basique : ils cherchent à accéder à la console de télégestion du PABX, ou à exploiter les vulnérabilités des messageries vocales. Pour cela, ils exploitent la faiblesse des mots de passe mis en place par les utilisateurs. Les mots de passe par défaut de type 0000, ou 1234, sont trop fréquents et quelques secondes suffisent bien souvent à outrepasser cette maigre protection.
« Le premier conseil à donner, confie Sylvain Plagne c’est de sensibiliser en permanence vos collaborateurs à cette problématique. Ils doivent non seulement personnaliser le code d’accès, mais également le changer régulièrement ».
Dans un deuxième temps, les techniques de piratage téléphonique étant proches de celle des piratages informatiques, « il faut agir comme s’il s’agissait de configurer un pare-feu. Bloquez l’ensemble des services de télécommunication qui ne sont pas indispensables à l’activité de l’entreprise et déverrouillez les options en fonction des besoins ponctuels ».
Misez sur la “vigilance croisée”
Au-delà de ces deux précautions, il est possible de définir un seuil de communication maximal par utilisateur. Ainsi, même si vous n’êtes pas parvenu à empêcher le piratage, vous en aurez limité les conséquences financières fâcheuses.
« Il est important, confie Sylvain Plagne, de réaliser des audits réguliers de l’infrastructure téléphonique. Qu’il s’agisse d’un autocom classique ou de téléphonie sur IP avec un IPBX, il convient de vérifier à intervalle régulier la conformité des configurations aux exigences de sécurité ».
Une approche coordonnée paraît essentielle à Sylvain Plagne :
« L’opérateur, l’intégrateur et l’entreprise, doivent mettre en place une vigilance croisée. Dans l’entreprise, il faut s’assurer que la politique de sécurité est respectée. L’intégrateur doit mettre en place l’ensemble des dispositifs de sécurité, s’assurer régulièrement de leur efficacité. Quant à l’opérateur, il doit être en mesure de détecter au plus vite grâce à des algorithmes complexes, les anomalies dans la consommation téléphonique de l’entreprise, pour l’alerter si un doute apparaît. La réussite est le résultat d’une action coordonnée de chacun ! ».
