Egy amerikai cég munkatársai hétfő reggel semmi furcsát nem vettek észre. A meglepetés egy hónappal később jött, a telefonszámlával: 24 000 dollárral volt magasabb a szokásosnál. A hétvégén, amikor senki nem volt bent, a cég telefonjai folyamatosan drága, külföldi percdíjas számokat hívtak.
Hogyan lesz a telefonból bankautomata?
A trükk lényege, hogy a percdíjas számok mögött maguk a csalók állnak. Minden perc, amit a feltört telefonrendszer odatelefonál, nekik hoz pénzt. Az áldozat cége pedig fizet, mert a szolgáltató szerint a hívás az ő vonaláról indult. A podcastban két módszer szerepel.
- Hangposta. A támadó munkaidő után felhív egy irodai mellékállomást, és belép a hangpostára. A PIN-kód sokszor gyári beállítás, vagy a telefonszám utolsó négy jegye. A beállítások közt átirányítást állít be a saját percdíjas számára. Ezután minden hívás, ami erre a mellékre érkezik, oda továbbítódik.
- Nyitott IP-alközpont. Az irodai IP-telefonok egy központi szoftveren (alközponton, angolul PBX) keresztül telefonálnak. Ha ezt rosszul állították be, bárki indíthat rajta hívást az internetről, aki megtalálja. A támadók automatikusan keresik az ilyen központokat, aztán péntek estétől robottárcsázókkal hívják a saját számaikat, akár ezerszer is egy hétvégén.
Miért nem segít senki?
Paul Byrne, aki ilyen csalások ellen védi a cégeket, elmondja, hogy egy átlagos, száz mellékes cégnél péntek estétől hétfő reggelig 60 000 eurós számla is összejöhet. A szolgáltató a szerződés alapján beszedi a díjat: az alközpont a cég tulajdona, a beállítás a cég felelőssége. A rendőrség jellemzően nem tud mit kezdeni egy olyan bűncselekménnyel, ahol a pénz Kelet-Timorba, Kubába vagy Lettországba megy. A cégek pedig gyakran inkább csendben kifizetik, mert kínos lenne bevallani.
Egy szakmai szervezet becslése szerint ez a csalás világszerte évi több mint tízmilliárd dolláros kárt okoz, és a VoIP terjedésével egyre nő.
Egyszer mégis elkapták őket
Az FBI 2012-ben elég bejelentést gyűjtött össze ahhoz, hogy mintázatot lásson az adatokban. Két pakisztáni férfihoz jutottak: Noor Aziz Uddinhoz és Farhan Arshadhoz. A vád szerint 4800 feltört telefonszámról összesen tizenhárom millió percet telefonáltak, és mintegy ötvenmillió dollár kárt okoztak. Az egyik áldozat, egy New Jersey-i település 395 000 dolláros számlát kapott.
Malajziában az Interpol letartóztatta őket, de egy formai hiba miatt két hónap után szabadon engedték őket, és hazamentek Pakisztánba. Az FBI körözést adott ki ellenük, 50 000 dollár vérdíjjal. Végül egy névtelen tipp buktatta le őket: valaki megadta Uddin mobilszámát, a pakisztáni nyomozók a telefon helyzete alapján megtalálták, és 2015. február 14-én mindkettőjüket letartóztatták. A telefonhackereket tehát a saját telefonjuk buktatta le. A pénzből Uddin ötven telket vett Karacsi környékén.
Mit tanulhat ebből egy magyar cég?
- A telefonközpont is számítógép. Ugyanúgy frissíteni kell, erős jelszó kell rá, és nem szabad mindenki számára elérhetőnek lennie az internetről.
- A gyári PIN-kód nem PIN-kód. Hangposta, router, kamera, nyomtató: mindenhol cserélni kell az alapértelmezett jelszót.
- Kérjen hívási korlátot a szolgáltatótól. Ha nincs szükség külföldi vagy emelt díjas hívásokra, tiltassa le őket, vagy állíttasson be napi költségkorlátot és riasztást.
- A legolcsóbb telepítő drága lehet. A podcast szerint a legtöbb ilyen eset mögött egy sietve, alapbeállításokkal üzembe helyezett rendszer áll.
A kívülről elérhető eszközök, köztük a telefonközpont, a külső audit részei: pontosan azt nézem meg, amit egy ilyen automatikus kereső is megtalálna.