Attaques Cybernétiques sur les PBX : Explications, Menaces et Défenses

Les attaques contre les PBX ne sont pas du « piratage téléphonique à l'ancienne ». Les PBX modernes sont des systèmes logiciels installés sur votre réseau IP, souvent exposés (directement ou indirectement) à Internet, intégrés à l'identité, à la messagerie vocale, au routage des appels, aux API, aux troncs SIP, et parfois à votre CRM/service d'assistance. Cela en fait une cible de fraude et une cible de point d'appui.

Il s'agit d'une plongée technique dans la manière dont les attaques PBX se produisent réellement, ce que recherchent les attaquants, quelles informations de télémétrie surveiller et comment renforcer un environnement PBX sans compromettre la qualité vocale.

1) Comment fonctionne une PBX moderne (et où réside le risque)

La plupart des communications professionnelles aujourd'hui passent par la VoIP/IP-PBX. Deux protocoles sont les plus importants :

SIP (Protocole d'Initiation de Session) : le plan de signalisation (enregistrement, établissement/fin d'appel, logique de routage).
RTP (Protocole de Transport en Temps Réel) : le plan média (paquets vocaux réels). SRTP est RTP + protections cryptographiques.

Pourquoi c'est important : vous pouvez sécuriser les médias mais toujours divulguer des métadonnées (qui a appelé qui, extensions, IPs), ou vous pouvez sécuriser le signalement mais toujours exposer la voix si le RTP est en clair. Une posture de sécurité complète utilise généralement TLS pour le signalement SIP + SRTP pour les médias.

Les directives VoIP du NIST (bien qu'anciennes) correspondent toujours clairement aux risques actuels : la VoIP hérite des menaces informatiques classiques (attaques par mot de passe, logiciels malveillants, mauvaises configurations) ainsi que des contraintes de service en temps réel (disponibilité et latence) qui rendent « la sécurité à tout prix » impraticable.

Modèle de menace ## 2) : Ce que les attaquants veulent de votre PBX

A) Argent (le motif le plus courant) : Fraude au péage / IRSF

Les attaquants compromettent des identifiants ou une fonctionnalité exposée, puis effectuent des appels à coût élevé (souvent via des routes internationales/premium). Les rapports de fraude de l'industrie signalent à plusieurs reprises que le piratage de PBX est un contributeur important aux pertes liées à la fraude dans les télécommunications.

B) Perturbation : Inondations SIP / TDoS

Si vos téléphones sont en panne, votre entreprise est en panne. Le SIP est facilement saturable, et les systèmes vocaux sont sensibles à l'épuisement des ressources.

C) Renseignement : Écoute + Métadonnées des appels

Le RTP non chiffré peut être intercepté et rejoué. Même lorsque les médias sont chiffrés, la signalisation et les journaux peuvent révéler qui a parlé à qui et quand — ce qui est utile pour le chantage, le renseignement concurrentiel ou l'ingénierie sociale ciblée.

D) Accès : PBX comme point pivot

Les PABX se trouvent souvent sur des réseaux internes « de confiance », disposent d'interfaces d'administration et s'intègrent à des annuaires ou à des e-mails. Une compromission d'un PABX peut devenir un point d'appui interne si la segmentation est faible.

Surface d'attaque ## 3) PBX : Où les compromis commencent

Pensez en couches :

Points de terminaison SIP : téléphones de bureau, softphones, clients mobiles (identifiants d'enregistrement, provisionnement, firmware).
Plan de gestion PBX : administration web, SSH, API, administration du plan de numérotation, sauvegardes.
Bord de signalisation : connectivité des trunks SIP, traversée NAT, SBC, ports SIP exposés.
Fonctionnalités vocales : messagerie vocale, DISA, transfert d'appels, IVR, ponts de conférence.
Stockages de données et intégrations : historiques d'appels (CDR), stockage de messagerie vocale, enregistrements d'appels, annuaire/hooks SSO, CRM.

Beaucoup de compromissions réelles sont ennuyeuses : des panneaux d'administration exposés, des identifiants par défaut ou faibles, et des routes d'appel sortantes non restreintes qui transforment l'accès en argent rapidement.

Attaques courantes de PBX — Comment elles fonctionnent, ce que vous verrez et pourquoi elles réussissent

4.1 Force brute d'enregistrement SIP (devinette d'identifiants)

Comment ça fonctionne : les attaquants scannent les services SIP (généralement UDP/TCP 5060, TLS 5061), puis tentent des tentatives REGISTER en grand volume contre des schémas d'extensions connus (100–9999) en utilisant des dictionnaires de mots de passe.

Ce que vous verrez (signaux) :

Rafale d'échecs de REGISTER provenant d'une ou plusieurs IP
Tentatives séquentielles d'extension (1000, 1001, 1002…)
Enregistrements provenant de nouvelles géographies ou ASN
Enregistrements se produisant à des heures inhabituelles, suivis d'appels sortants

Pourquoi cela réussit :

Identifiants faibles (extension == mot de passe, mots de passe réutilisés)
Pas de limitation de débit / application de fail2ban ou similaire à la périphérie
SIP exposé directement à Internet sans SBC ni ACL

4.2 Fraude à la téléphonie / Pompage d'appels (la phase de « Cash-Out »)

Comment cela fonctionne : après avoir obtenu des identifiants (utilisateur SIP, code PIN de messagerie vocale, administrateur), l'attaquant :

passe des appels vers des destinations à tarification spéciale ou en partage de revenus,
configure le renvoi vers des numéros internationaux,
abuse de DISA ou de la conférence pour initier des appels via votre ligne.

Ce que vous verrez :

Pics de CDR (détails des appels) vers des pays/préfixes inhabituels
Volumes d'appels élevés en dehors des heures normales/le week-end
Beaucoup d'appels courts (test des lignes), puis des appels longs et coûteux
Règles de transfert activées/modifiées de manière inattendue

Pourquoi cela réussit :

Aucune restriction de plan de numérotation sortante
Aucun plafond d'appels par poste
Pas d'alertes en temps réel sur les destinations anormales ou le taux de dépense

4.3 Inondations SIP INVITE / Signalisation Malformée (TDoS / DoS)

Comment cela fonctionne : l'attaquant envoie un grand nombre d'INVITE, REGISTER, OPTIONS ou de messages SIP conçus pour épuiser le CPU, la mémoire, les tables de transactions SIP ou la capacité du trunk en amont.

Ce que vous verrez :

SIP CPS élevé (appels par seconde) ou transactions par seconde
Retransmissions/délais d'attente élevés
Les téléphones indiquent « enregistré » mais les appels échouent à se terminer
Pic du CPU du PBX ; le RTP peut être correct mais la signalisation s'effondre

Pourquoi cela réussit :

Pas de protections SBC/sip-aware
PBX dimensionné pour une charge moyenne, pas pour une charge adverse
Point de défaillance unique (pas de HA, pas de filtrage en amont)

4.4 Écoute clandestine (RTP non chiffré) + Erreurs de rétrogradation

Comment cela fonctionne : si le RTP est en texte clair, toute personne ayant une visibilité sur le réseau peut capturer l'audio. Chiffrer le SIP sans SRTP peut toujours laisser la voix exposée.

Ce que vous verrez :

Souvent rien d'évident dans les journaux PBX (c'est une capture passive)
Parfois une activité ARP inhabituelle / abus de port miroir ailleurs

Pourquoi cela réussit :

SRTP non activé de bout en bout
Les capacités des points de terminaison mixtes conduisent à un « retour à RTP »
Gestion des clés mal configurée (décisions SDES vs DTLS-SRTP, etc.)

Compromis de l'interface administrateur ### 4.5 (Panneau Web / SSH / API)

Comment cela fonctionne : les attaquants trouvent une interface de gestion exposée et exploitent :

des identifiants administratifs faibles,
des vulnérabilités non corrigées,
un accès distant non sécurisé,
la réutilisation des identifiants issus de violations.

Une fois que l'administrateur est contrôlé, tout le reste suit : troncs, routage, transfert, accès à l'enregistrement des appels, exportation des messages vocaux, nouveaux utilisateurs, configurations furtives.

5) Défenses qui tiennent réellement (superposées, pratiques et testables)

5.1 Mettre une véritable frontière de sécurité à la frontière SIP (SBC ou équivalent)

Un contrôleur de bordure de session (SBC) n'est pas simplement « agréable à avoir ». Il est couramment utilisé pour appliquer :

le masquage de la topologie,
la limitation du débit,
la normalisation SIP,
les ACLs/la géorestriction,
les contrôles anti-inondation,
les modèles de fraude et l'application des politiques.

Minimum : si vous ne pouvez pas déployer un SBC immédiatement, au moins :

restreindre l'exposition SIP aux plages IP des fournisseurs connus,
refuser l'accès au monde par défaut,
ajouter des limites de débit et un blocage automatisé au pare-feu.

5.2 Rendre les identifiants non négociables

Pour chaque extension SIP / approvisionnement d’extrémité :

mots de passe uniques et forts (pas les numéros d’extension)
désactiver les comptes inutilisés
réduire les fenêtres d’enregistrement lorsque possible
sécuriser l’approvisionnement (préférer l’approvisionnement chiffré, éviter TFTP)

5.3 Verrouiller l'appel sortant désactivé

Considérez la composition sortante comme un problème d'autorisation, et non comme une fonctionnalité de commodité.

Contrôles qui fonctionnent :

Refuser par défaut les itinéraires internationaux/premium ; autoriser seulement ce qui est nécessaire
Permissions d'appel par extension / par département
Restrictions selon l'heure (appels internationaux désactivés en dehors des heures)
Plafonds de dépenses d'appel / plafonds de nombre d'appels
Bloquer les indicatifs de pays connus à haut risque sauf si l'entreprise en a besoin

5.4 Chiffrer la signalisation et les médias (correctement)

Objectif : SIP sur TLS + SRTP pour les médias RTP.

Réalité opérationnelle : le chiffrement n'est solide que jusqu'à son maillon le plus faible. Assurez-vous que votre chemin principal/fournisseur prend en charge votre mode cible.

5.5 Segmenter la voix à partir des données

Au minimum :

VLAN voix séparé du VLAN poste de travail
Restreindre les chemins téléphone→serveur à ce qui est nécessaire
Interfaces d'administration accessibles uniquement depuis un sous-réseau/VPN de gestion
Pas d'administration directe du PBX depuis l'internet ouvert

5.6 Surveillance Qui Détecte Rapidement la Compromission du PBX

Vous voulez une détection qui correspond aux modèles d'abus de PBX :

Télémétrie SIP/Auth :

seuils d'enregistrements échoués (par IP + par extension)
nouvelles alertes de géolocalisation des enregistrements
tempêtes / motifs de balayage des enregistrements

Télémétrie des appels (CDR) :

pics d'appels internationaux
nouveaux préfixes de destination
activité intense en dehors des heures de bureau
appels courts répétés (test de routage), puis appels longs (fraude)

Surveillance des modifications de configuration :

modifications du tronc
modifications du plan de numérotation
transfert activé
nouveaux utilisateurs administrateurs
modifications de la politique de code PIN de la messagerie vocale

6) Une liste de contrôle pour un PBX renforcé

Exposition

Interface d'administration PBX non accessible depuis Internet (VPN/hôte de saut uniquement)
Ports SIP non ouverts au public ; liste blanche des IP des trunks/fournisseurs
SBC déployé (ou règles de pare-feu + limitation de débit en attendant)

Identité & Authentification

Secrets SIP uniques et forts par extension
Désactiver les extensions/boîtes vocales inutilisées
Comptes administrateurs séparés ; MFA là où c'est supporté

Contrôles de fraude ZXQPH0QWDF

Refuser par défaut les itinéraires internationaux et à numéros surtaxés
Autorisations de sortie par utilisateur + plafonds + plages horaires
Alertes en temps réel sur les destinations anormales et le volume d'appels

Crypto

SIP-TLS activé lorsque possible
SRTP activé de bout en bout lorsque possible
Pas de rétrogradation silencieuse vers le texte en clair sans politique explicite

Network

VLAN vocale segmentée ; ACL strictes
Approvisionnement sécurisé ; firmware géré et mis à jour

Opérations

Cadence des correctifs définie (PBX, téléphones, SBC)
Chiffrement des sauvegardes + contrôles d'accès aux sauvegardes
Audit des modifications de configuration activé

7) Si Vous Soupçonnez Une Compromission : Un Flux de Réponse aux Incidents Propre

Arrêtez la fuite d'argent
- désactivez immédiatement les routes internationales/premium
- geler les extensions suspectes
- si nécessaire, demandez au fournisseur de bloquer les destinations à haut risque
Limiter l'accès
- bloquer les IPs problématiques à la périphérie/SBC
- changer les secrets SIP pour les extensions concernées
- changer les identifiants administrateur et les clés API
Conserver les preuves
- exporter les CDR, les journaux SIP, les journaux d'audit admin, les configurations de trunk
- réaliser un instantané de la VM/instance si le PBX est virtualisé
Éradiquer
- corriger les vulnérabilités connues
- supprimer les routes/utilisateurs/règles de transfert non autorisés
- vérifier l'intégrité de l'approvisionnement des points de terminaison
Récupérer + prévenir la répétition
- mettre en œuvre les restrictions du plan de numérotation + la surveillance qui vous manquaient
- ajouter des contrôles en périphérie (SBC, listes autorisées, limites de débit)
- réaliser une analyse post-mortem reliée à la cause profonde

Clôture : La vérité fondamentale sur la sécurité des PBX

Les attaques contre les PBX réussissent lorsque la voix est considérée comme "juste de la télécom." Ce n'est pas le cas. C'est une application IP avec des voies de trésorerie financière (fraude interurbain) et des contraintes de disponibilité critiques pour l'entreprise (TDoS). La stratégie gagnante est simple et cohérente :

réduire l'exposition,
appliquer une authentification forte,
restreindre les routes sortantes,
chiffrer correctement les signaux et les médias,
segmenter les réseaux,
surveiller agressivement les anomalies d'appel et d'authentification.