Internettelefoonsystemen Word het fraudeurs-instrument

In de afgelopen weken hebben ze tientallen telefoonsystemen gehackt in het hele land, waarbij ze als een manier om nietsvermoedende klanten van een bank te bereiken en hen te misleiden om hun bankrekeningnummers en wachtwoorden bekend te maken.

De slachtoffers bankieren meestal met kleinere regionale instellingen, die doorgaans minder middelen hebben om oplichtingspraktijken te detecteren. Oplichters hacken telefoonsystemen en bellen vervolgens slachtoffers, spelen vooraf opgenomen berichten die aangeven dat er een factureringsfout is geweest of waarschuwen dat de bankrekening is opgeschort vanwege verdachte activiteit. Als de bezorgde klant zijn accountnummer en pinautomaatwachtwoord invoert, gebruiken de slechteriken die informatie om valse debetkaarten te maken en de bankrekeningen van hun slachtoffer leeg te maken.

[Lees meer: ​​de beste NAS-kaders voor mediastreaming en back-up]

Hackers haalde de krantenkoppen omdat het meer dan 20 jaar geleden in telefoonbedrijfssystemen was ingebroken - een praktijk die bekend stond als phreaking - maar omdat het traditionele telefoonsysteem is geïntegreerd met internet, creëert het nieuwe fraudemogelijkheden die nog maar net beginnen begrepen.

VoIP (voice over Internet Protocol) hacking is "een nieuwe grens in de crossover-wereld van telecom en cyber [misdaad]", zegt Erez Liebermann, assistent-procureur van de Verenigde Staten voor het district New Jersey. "Het is een voortdurende bedreiging en een ernstige bedreiging waar bedrijven zich zorgen over moeten maken."

Aanvallen op een van de meest populaire VoIP-systemen, Asterisk genaamd, zijn nu "endemisch", zegt John Todd, die werkt voor de producten van het product. maker, Digium, als open-source community director. "Het is net alsof je een honkbalknuppel steelt om in een auto te breken. De eerste stap is om in te breken in Asterisk."

Asterisk-hacking evolueerde van een redelijk "probleem op laag niveau" naar een veel serieuzer probleem rond september 2008, toen eenvoudig te gebruiken hulpmiddelen voor het eerst werden gepubliceerd, zei Todd. "Er zijn nu mensen bezig met video's en er zijn blogs en podcasts," zei hij. "De informatie is beschikbaar."

Met deze tools kan het vrij eenvoudig zijn om een ​​VoIP-systeem te hacken door de server aan te raken die is ontworpen om verkeer van het lokale netwerk van het kantoor te verbinden met een netwerkprovider zoals AT & T, die oproepen naar de rest van de wereld.

De hacker probeert de wachtwoorden van het VoIP-systeem te raden, met duizenden gissingen. Hoewel een internetprogramma zoals Gmail bezoekers blokkeert na een handvol mislukte wachtwoord-schattingen, zijn VoIP-systemen vaak niet op deze manier geconfigureerd en laten ze vaak elke computer verbinding met ze maken. Dus hackers slaan naar hen toe en proberen werkende telefoonextensies te raden. Zodra ze een extensie hebben gevonden, voeren ze hun woordenboekaanvalsoftware uit. Als het wachtwoord makkelijk te raden is, staan ​​ze in het netwerk en kunnen ze gratis bellen.

Dat is wat er gebeurde met Innovative Technologies, gevestigd in Wheeling, West Virginia. Het werd begin oktober gehackt, blijkbaar door Roemeense cybercriminelen die hun VoIP-systeem gebruikten om telefonische phishing-oproepen te doen naar klanten van Liberty Bank, een kleine regionale bank met kantoren in Californië.

"Ze hadden een hele reeks IP-adressen op het internet om [VoIP] -servers te vinden, "zei Terry Lewis, CEO van Innovative Technologies.

Op 3 oktober begon Lewis voicemail te krijgen van Liberty-klanten die de oplichtingsoproepen hadden ontvangen. Hij controleerde de logbestanden van zijn VoIP-systeem de volgende dag en ontdekte dat de hackers in het weekend ongeveer 300 telefoontjes hadden gepleegd - niet zoveel telefoontjes dat het normaal gesproken zelfs zou zijn opgevallen.

Zodra het VoIP-systeem is gehackt, gebruiken de criminelen het om op telefoon gebaseerde phishing-aanvallen uit te voeren, ook wel vishing genoemd. Vishing-aanvallen bestaan ​​nu al een paar jaar, maar ze zijn grotendeels onder de radar gevaren, omdat ze vaak gericht zijn op kleinere regionale banken in plaats van op prominente nationale instellingen. De oplichters verplaatsen zich elke week van bank naar bank na het voltooien van hun campagnes.

Volgens Liberty Bank zijn ook andere regionale instellingen de afgelopen weken getroffen door vishing-aanvallen van gehackte VoIP-systemen. Liberty heeft de andere betrokken banken niet genoemd, maar de afgelopen weken hebben Union State Bank en Solvay Bank soortgelijke oplichting gemeld. had het geluk dat hij niet werd geraakt door grote telefoonkosten. Afhankelijk van hoe hun systemen zijn geconfigureerd, kunnen bedrijven verantwoordelijk worden gehouden voor telefoonkosten (bijvoorbeeld internationale telefoonkosten) die voortvloeien uit het incident.

"Als iemand misbruik maakt van uw telefoonsysteem, bevindt u zich mogelijk op de veel geld, "zei Digid Todd.

Liberty Bank, eerste vicepresident, Jill Hitchman, is van mening dat de oplichters die zich op haar bank richtten waarschijnlijk tussen de 30 en 35 bedrijven zouden treffen en tussen 20.000 en 30.000 telefoontjes per dag zouden maken. "Ik denk niet dat deze bedrijven zich realiseren dat ze waarschijnlijk een vergoeding zullen krijgen," zei Hitchman. "Hoe groter het probleem is, hoe worden deze telefoonsystemen benaderd en waarom kunnen we dit niet stoppen?"

Slechts een paar Liberty-klanten vielen voor de zwendel, zei Hitchman, maar de aanvallers wisten wat ze aan het doen waren. Eerst meldden ze zich aan voor AOL-accounts om te testen of de kaartnummers werkten. Omdat AOL gratis proeflidmaatschappen aanbiedt, worden deze kosten gedurende maanden niet weergegeven. Tegen die tijd hebben de oplichters de informatie op valse ATM-kaarten gezet en de bankrekeningen leeggemaakt.

Bedrijven kunnen veel van deze aanvallen voorkomen door de poort die ze gebruiken voor Session Initiation Protocol (SIP) -verbindingen op hun VoIP-systemen te wijzigen. door verbindingen na een bepaald aantal fouten te blokkeren, en door simpelweg betere wachtwoorden op hun spraaksystemen te gebruiken, zeggen beveiligingsdeskundigen.

Het probleem is dat beveiliging voor de meeste kleine en middelgrote bedrijven gewoon geen prioriteit is. "Mensen geven er veel meer om of hun conference calls een fatsoenlijke telefoonkwaliteit zullen hebben", zegt Rodney Thayer, chief technology officer bij VoIP beveiligingsbedrijf Secorix.

Ze denken er niet aan dat hun VoIP-systemen kwetsbaar zijn voor internetaanvallen alleen zoals web- of e-mailservers, en dat is een vergissing, zei Thayer. "Ze denken erover als een ander systeem, en dat is het niet," zei hij. "Het is allemaal hetzelfde, het zijn allemaal gegevens die over een netwerk gaan."