Internet-telefonsystem Bli bedrägeriets verktyg

Cyberkriminella har hittat en ny lanseringsplatta för sina bedrägerier: telefonsystemen för små och medelstora företag i hela USA

Under de senaste veckorna har de hackat in i dussintals telefonsystem över hela landet och använt dem som ett sätt att kontakta intet ont anande bankkunder och lura dem att avslöja sina bankkontonummer och lösenord.

Offren bankar vanligtvis med mindre regionala institutioner, som vanligtvis har färre resurser att upptäcka bedrägerier. Scammers hackar in i telefonsystem och sedan ringa offer, spelar förhandlade meddelanden som säger att det har förekommit ett faktureringsfel eller varnar dem om att bankkontot har blivit suspenderat på grund av misstänkt aktivitet. Om den oroliga kunden kommer in i sitt kontonummer och ATM-lösenord använder de dåliga killarna informationen för att göra falska betalkort och tömmer sina offerers bankkonton.

[Ytterligare läsning: Bästa NAS-lådor för media streaming och backup]

Hackers gjorde rubriker för att bryta sig in i telefonsystemssystem för mer än 20 år sedan - en praxis som kallades phreaking - men som det traditionella telefonsystemet har blivit integrerat med Internet skapar det nya möjligheter till bedrägerier som bara börjar bli hacking är "en ny gräns i crossover världen av telekom och cyber [brottslighet]", säger Erez Liebermann, biträdande amerikansk advokat för distriktet New Jersey. "Det är ett pågående hot och ett allvarligt hot som företagen behöver oroa sig för."

Anfall på ett av de mest populära VoIP-systemen, kallade Asterisk, är nu "endemiska", säger John Todd, som arbetar för produktens skapare, Digium, som direktör för öppen källkod. "Det är som att stjäla en baseboll att slå in i en bil. Det första steget är att bryta sig in i Asterisk."

Asterisk hacking började utvecklas från ett ganska "lågnivåproblem" till ett mycket allvarligare problem runt september 2008, när lättanvända verktyg publicerades först, sa Todd. "Det är nu folk som gör videor på det och det finns bloggar och podcasts," sa han. "Informationen finns där ute."

Med dessa verktyg kan det vara ganska enkelt att hacka ett VoIP-system genom att slå servern som är utformad för att koppla trafik från kontors lokala nätverk till en nätoperatör som AT & T, som förbinder Samtal till resten av världen.

Hackaren försöker gissa VoIP-systemets lösenord och gör tusentals gissningar. Medan ett Internet-program som Gmail blockerar besökare efter en handfull misslyckade lösenordsgissningar, är VoIP-system ofta inte konfigurerade på det här sättet och kommer ofta att låta någon dator ansluta till dem. Så hackare pundar bort på dem, försöker gissa jobbar telefon förlängningar. När de har hittat en förlängning kör de sina ordbokssattacksprogram. Om lösenordet är lätt att gissa, är de i nätverket och kan ringa gratis.

Det var det som hände med Innovative Technologies, baserad i Wheeling, West Virginia. Det blev hackat i början av oktober, tydligen av rumänska cyberkriminella som använde sitt VoIP-system för att göra telefonbaserade phishing-samtal till kunder av Liberty Bank, en liten regionalbank med kontor i Kalifornien. "De hade skannat en hel massa IP-adresser på Internet för att hitta [VoIP] -servrar, säger Terry Lewis, VD för Innovative Technologies.

Den 3 oktober började Lewis få röstmeddelanden från Liberty-kunder som hade fått synpunkter från bluff. Han kontrollerade sina VoIP-systemloggar nästa dag och upptäckte att hackarna hade gjort cirka 300 samtal under helgen - inte så många samtal som det normalt sett skulle ha noterats.

När VoIP-systemet hackats använder de brottslingar det att utföra telefonbaserade phishing-attacker, ibland kallad vishing. Vishing attacker har funnits i några år nu, men de har i stor utsträckning flugit under radaren, eftersom de ofta riktar sig mot mindre regionala banker i stället för högprofilerade nationella institutioner. Svindlarna flyttar från bank till bank varje vecka efter att ha slutfört sina kampanjer.

Enligt Liberty Bank har andra regionala institutioner också drabbats av attacker från hackade VoIP-system under de senaste veckorna.

Liberty nämnde inte de övriga bankerna, men de senaste veckorna har Union State Bank och Solvay Bank rapporterat liknande bedrägerier.

Lewis hade tur att han inte drabbades av stora telefonavgifter. Beroende på hur deras system konfigureras kan företagen hållas ansvariga för telefonavgifter - internationella samtalskostnader, till exempel - som härrör från händelsen.

"Om någon börjar missbruka ditt telefonsystem är du potentiellt på Haj för mycket pengar ", säger Digium Todd.

Liberty Banks första vicepresident Jill Hitchman anser att svindlarna som riktade sin bank troligen slog mellan 30 och 35 företag och gjorde mellan 20 000 och 30 000 telefonsamtal per dag. "Jag tror inte att dessa företag inser att de förmodligen kommer att få avgifter," sade Hitchman. "Det större problemet är, hur är dessa telefonsystem tillgängliga och varför kan vi inte stoppa det?"

Bara några Liberty-kunder föll för bluffet, sade Hitchman, men angriparna visste vad de gjorde. Först skulle de anmäla sig till AOL-konton, för att testa att kortnumren fungerade. Eftersom AOL erbjuder medlemskap med gratis prövning visas inte dessa avgifter för några månader. Vid den tiden har bedrägerierna lagt informationen om falska ATM-kort och tömt bankkonton.

Företag kan förhindra många av dessa attacker genom att ändra porten som de använder för SIP-anslutningar (Session Initiation Protocol) på sina VoIP-system, genom att blockera anslutningar efter ett visst antal misslyckanden, och genom att helt enkelt använda bättre lösenord på sina röstsystem, säger säkerhetsexperter.

Problemet är att säkerhet för de flesta små och medelstora företag inte är en prioritet. "Folk bryr sig mycket mer om huruvida deras konferenssamtal kommer att ha en anständig telefonkvalitet", säger Rodney Thayer, chefstekniker med VoIP-säkerhetsföretaget Secorix.

De tänker inte på sina VoIP-system som sårbara för internetattacker bara som web- eller e-postservrar, och det är ett misstag, sa Thayer. "De tänker på det som ett annat system, och det är inte det," sa han. "Det är alla samma saker, det är all data som går över ett nätverk."