Interurbains frauduleux
Apprenez ce que VOUS pouvez faire pour protéger votre entreprise

Saviez-vous que des pirates peuvent accéder à votre système téléphonique et s'en servir pour faire des interurbains, même des appels internationaux, et ce, à votre insu? Tous les appels seraient dans ce cas facturés et on s'attendrait à ce que vous les payiez.

Présentation des types de fraude possibles

Il est important de savoir que l'interurbain frauduleux peut se présenter sous différentes formes, et de connaître les mesures pour prévenir que des appels soient effectués depuis vos systèmes et que des frais indésirables vous soient imputés. Voici un aperçu des types de fraude les plus notables dont votre entreprise peut être victime.

Fraude par la messagerie vocale :
Il s'agit de la forme la plus courante de fraude et de la plus grande menace qui plane sur les entreprises qui utilisent un PBX (autocommutateur privé) ou un système de messagerie vocale. Ainsi, les pirates peuvent accéder à vos systèmes téléphoniques et effectuer des appels interurbains directement depuis vos lignes. L'intrusion se fait habituellement par la messagerie vocale dotée d'un mot de passe simple (1111, 2222, 1234, etc.) ou encore d'un mot de passe par défaut qui n'a pas été modifié. Une fois dans le système, les pirates utilisent les commandes courantes pour obtenir une ligne et faire des appels; aux yeux de votre fournisseur de services ou d'équipement, ces appels sont similaires à ceux effectués au sein de votre entreprise. L'application de bonnes politiques et pratiques en matière de gestion des mots de passe constitue donc un excellent point de départ pour se protéger contre ce type d'intrusion.

Abonnement frauduleux :
Des criminels peuvent ouvrir un compte de services téléphoniques au moyen de votre information personnelle (nom, adresse, etc.), puis utiliser ce compte pour effectuer des appels interurbains, qui vous seront ensuite facturés. Il est important de protéger votre information personnelle. Les fournisseurs de services doivent également s'efforcer de vérifier l'information reçue relativement aux nouveaux abonnements.

Raccordement frauduleux :
Ce type de fraude est moins courant, mais il peut survenir de temps en temps. Ainsi, des criminels accèdent illégalement au câblage téléphonique à l'extérieur ou à l'intérieur de l'édifice visé et y raccordent temporairement un appareil téléphonique pour effectuer des appels interurbains. Toute personne qui accède aux installations doit présenter une carte d'identité (avec photo) valide du fournisseur d'accès.

Vol de carte d'appel :
Des criminels volent une carte d'appel et s'en servent tout simplement pour effectuer des appels. Si vous pensez être victime d'interurbain frauduleux, voici ce que vous devez faire :

• Modifiez immédiatement les mots de passe donnant accès à votre système de messagerie vocale.
• Communiquez avec votre fournisseur d'équipement (ou de services d'interconnexion) pour lui demander d'effectuer une vérification du système dans les plus brefs délais.
• Demandez, si possible, la suspension de votre fonction d'appels interurbains ou internationaux pour combler la faille potentielle jusqu'à ce que la vérification soit terminée.

N'oubliez pas que vous serez responsable de payer tous les appels effectués depuis vos systèmes ou dont les frais ont été acceptés depuis l'un de vos téléphones, peu importe qui a effectué les appels ou accepté les frais.

---

Pratiques exemplaires de l'industrie
pour protéger vos systèmes téléphoniques

Voici une liste de mesures que vous ou votre fournisseur d'équipement devrez prendre pour vous protéger contre l'interurbain frauduleux. Veuillez toutefois noter que nous ne pouvons prévoir tous les scénarios de fraude et que l'application des mesures ci-dessous ne garantit pas l'entière protection de vos systèmes téléphoniques contre l'activité frauduleuse.

1. Renseignez-vous sur votre système de télécommunications :
   • Abordez la question de la fraude téléphonique avec votre fournisseur d'équipement et voyez la façon dont ce dernier peut vous aider à protéger vos systèmes;
   • Familiarisez-vous avec les mesures de protection, les mécanismes de défense et les caractéristiques de sécurité;
   • Relevez les failles;
   • Assurez-vous que votre personnel sait comment appliquer les mesures de protection et éviter de désactiver par inadvertance les fonctions de sécurité de votre système.
      
2. Sachez quelles voies d'accès peuvent emprunter les fraudeurs :
   • Accès direct au système (ADAS);
   • Système de messagerie vocale;
   • Administration à distance du système (ports de maintenance);
   • Sélection directe à l'arrivée;
   • Lignes de jonction et services de réseau de transit;
   • Modem
      
3. Surveillez et analysez l'information concernant vos systèmes :
   • Consultez les enregistrements des données d'appel et les données de facturation (les rapports d'exception peuvent contenir des indices révélateurs);
   • Connaissez les habitudes d'appel de vos employés et analysez-les;
   • Consultez les rapports du système de messagerie vocale;
   • Surveillez les tentatives d'appel valides et non valides, dans la mesure du possible.
       
4. Sachez reconnaître les signes d'une atteinte à la sécurité :
   • Plaintes concernant des lignes toujours occupées;
   • Changement soudain des habitudes d'appel, par exemple l'augmentation du nombre de faux numéros, de communications rompues sans parler, d'appels effectués la nuit, la fin de semaine ou les jours fériés, d'appels 800 et WATS, d'appels interurbains ou bizarres (mauvaises plaisanteries/obscénités);
   • Appels interurbains provenant de la messagerie vocale;
   • Longues durées de mise en attente;
   • Appels 900 (lignes de bavardage) non expliqués;
   • Nombre élevé d'interurbains provenant d'un poste non autorisé.
      
5. Assurez la sécurité de vos systèmes :
   • Configuration du système :
     • Limitez l'accès à des périodes précises (pendant les heures de bureau) et limitez les indicatifs régionaux de destination permis;
     • Bloquez tous les interurbains faits la nuit, la fin de semaine et les jours fériés;
     • Limitez le renvoi automatique aux appels locaux seulement;
     • Bloquez tous les appels 10XXXX faits à partir de votre PBX si vous n'avez pas besoin de ce service;
     • Bloquez le service outre-mer, limitez-en l'accès ou exigez l'assistance de la réceptionniste;
     • Adoptez des politiques précisant dans quels cas accepter les appels à frais virés et fournir l'accès aux lignes externes;
     • Informez les téléphonistes et les employés sur les ruses des fraudeurs qui tentent d'obtenir l'accès au système téléphonique ou le transfert d'appels par l'intermédiaire du PBX;
     • Assurez la sécurité des salles d'équipement (verrouillez l'accès à l'équipement téléphonique et aux armoires de répartition);
        
   • PBX (commutateur privé) et ADAS (accès direct au système) :
     • Modifiez les codes par défaut après l'installation de nouvel équipement;
     • Ne publiez jamais vos numéros de téléphone ADAS;
     • Modifiez périodiquement votre numéro de téléphone ADAS;
     • Produisez un code d'autorisation ADAS distinct pour chaque utilisateur et avertissez les utilisateurs de ne pas les noter sur papier;
     • N'utilisez pas de numéros d'accès séquentiels ((1111, 2222, 1234, etc.);
     • Utilisez des codes ADAS plus longs (au moins 7 caractères) et modifiez-les régulièrement;
     • Débranchez les postes téléphoniques non utilisés;
     • Limitez l'accès ADAS la nuit, la fin de semaine et les jours fériés (périodes de pointe pour la fraude);
     • Bloquez ou limitez l'accès au réseau outre-mer;
     • Programmez votre système de manière à ce qu'il réponde silencieusement après cinq ou six sonneries (les pirates ciblent les systèmes qui répondent en produisant une tonalité constante);
     • Détectez les tentatives d'accès non valides à votre ADAS et acheminez-les à un téléphoniste;
     • Installez des ports ADAS qui rompent la communication lorsqu'un code non valide est entré;
     • Programmez votre PBX pour qu'il émette une alarme lorsqu'un nombre inhabituel de tentatives non valides est effectué et pour que le port soit désactivé après un nombre donné de tentatives non valides.
        
   • Systèmes de messagerie vocale :
     • Adoptez des procédures pour la création et la modification des mots de passe;
     • Modifiez les mots de passe régulièrement (au moins une fois par mois);
     • Utilisez des mots de passe de longueur maximale pour la boîte du gestionnaire du système et les ports de maintenance;
     • Interdisez l'utilisation de mots de passe trop simples (p. ex. 222, 123, nom de famille, etc.);
     • Limitez le nombre de tentatives de connexion infructueuses à cinq ou moins;
     • Exigez qu'on modifie toujours le mot de passe par défaut aussitôt après avoir reçu une boîte vocale;
     • Bloquez l'accès aux circuits du service interurbain et les options d'appel à frais virés de la fonction de réception automatique;
     • Bloquez ou, idéalement, supprimez toutes les boîtes vocales inactives;
     • Limitez l'envoi de messages hors système;
     • Si le système permet à un appelant de réacheminer son appel vers un autre poste, bloquez tous les chiffres qu'un pirate pourrait utiliser pour obtenir une ligne externe, plus particulièrement les codes d'accès au réseau interurbain;
     • Effectuez des vérifications de routine de l'état et de l'utilisation de votre système.
        
   • Ports d'accès à distance :
     • Bloquez l'accès aux ports de maintenance à distance et aux ports de gestion du système;
     • Utilisez des codes d'accès d'une longueur maximale et modifiez-les régulièrement.
        
   • Modems :
     • Utilisez des mots de passe d'une longueur maximale et modifiez-les régulièrement;
     • Supprimez la conférence à trois sur tous les postes qui utilisent des modems;
     • Débranchez les modems non utilisés

Ces recommandations ne couvrent pas tous les scénarios possibles de fraude, mais présentent des moyens généraux de protéger vos systèmes contre les formes de fraude les plus courantes liées à l'interurbain.

(Source : Allstream)