Τα συστήματα τηλεφώνου Internet γίνονται το εργαλείο της Fraudster

Οι κυβερνοεγκληματίες έχουν βρει ένα νέο μαξιλάρι εκτόξευσης για τις απάτες τους: τα τηλεφωνικά συστήματα μικρών και μεσαίων επιχειρήσεων στις ΗΠΑ

Τις τελευταίες εβδομάδες, έχουν πειραχτεί σε δεκάδες τηλεφωνικά συστήματα σε ολόκληρη τη χώρα, χρησιμοποιώντας τα ένας τρόπος για να επικοινωνήσετε με τους ανυποψίαστους πελάτες των τραπεζών και να τους εξαπατήσετε να αποκαλύψουν τους αριθμούς και τους κωδικούς πρόσβασης των τραπεζικών λογαριασμών τους.

Τα θύματα συνήθως τράπεζα με μικρότερα περιφερειακά ιδρύματα, τα οποία συνήθως διαθέτουν λιγότερους πόρους για την ανίχνευση απάτης. Οι απατεώνες εισέρχονται σε τηλεφωνικά συστήματα και στη συνέχεια καλούν τα θύματα, παίζοντας προειδοποιημένα μηνύματα που λένε ότι υπάρχει ένα σφάλμα χρέωσης ή προειδοποιούν ότι ο τραπεζικός λογαριασμός έχει ανασταλεί λόγω ύποπτης δραστηριότητας. Αν ο ανησυχημένος πελάτης εισάγει τον αριθμό του λογαριασμού του και τον κωδικό του ATM, οι κακοί χρησιμοποιούν αυτές τις πληροφορίες για να κάνουν πλαστές χρεωστικές κάρτες και να αδειάσουν τους τραπεζικούς λογαριασμούς του θύματός τους.

[Περισσότερα ανάγνωση: Καλύτερα πλαίσια NAS για ροή και υποστήριξη πολυμέσων]

Hackers έκανε πρωτοσέλιδο για να σπάσει τα συστήματα τηλεφωνικών εταιρειών πριν από περισσότερα από 20 χρόνια - μια πρακτική που ήταν γνωστή ως phreaking - αλλά καθώς το παραδοσιακό τηλεφωνικό σύστημα έχει ενσωματωθεί στο Διαδίκτυο, δημιουργεί νέες ευκαιρίες για απάτη που μόλις αρχίζουν να είναι

Το hacking VoIP (voice over Internet Protocol) είναι ένα "νέο όριο στον κόσμο των τηλεπικοινωνιών και του κυβερνοχώρου", δήλωσε ο Erez Liebermann, βοηθός δικηγόρος των ΗΠΑ για την περιοχή του New Jersey. "Οι επιθέσεις σε ένα από τα πιο δημοφιλή συστήματα VoIP, που ονομάζεται Asterisk, είναι τώρα" ενδημικά ", δήλωσε ο John Todd, ο οποίος εργάζεται για το προϊόν δημιουργός, Digium, ως διευθυντής κοινότητας ανοιχτού κώδικα. "Το κτύπημα του Asterisk άρχισε να εξελίσσεται από ένα αρκετά" πρόβλημα χαμηλού επιπέδου "σε ένα πολύ πιο σοβαρό ζήτημα γύρω στο Σεπτέμβριο του 2008, όταν δημοσιεύθηκαν για πρώτη φορά εύχρηστα εργαλεία, δήλωσε ο Todd. "Υπάρχουν τώρα άνθρωποι που κάνουν βίντεο σε αυτό και υπάρχουν blogs και podcasts", είπε. "Με τα εργαλεία αυτά μπορεί να είναι αρκετά εύκολο να χαλαρώσετε ένα σύστημα VoIP πατώντας το διακομιστή που σχεδιάστηκε για να συνδέσει την κυκλοφορία από το τοπικό δίκτυο του γραφείου σε έναν παροχέα δικτύου όπως το AT & T, ο οποίος συνδέει το κλήσεις προς τον υπόλοιπο κόσμο.

Ο χάκερ προσπαθεί να μαντέψει τους κωδικούς πρόσβασης του συστήματος VoIP, κάνοντας χιλιάδες εικασίες. Ενώ ένα πρόγραμμα στο Διαδίκτυο, όπως το Gmail, θα αποκλείσει τους επισκέπτες μετά από μια χούφτα αποτυχημένες εικασίες κωδικού πρόσβασης, τα συστήματα VoIP συχνά δεν έχουν διαμορφωθεί με αυτό τον τρόπο και συχνά θα αφήσουν οποιονδήποτε υπολογιστή να συνδεθεί με αυτά. Έτσι, οι χάκερ χτυπούν μακριά σε τους, προσπαθώντας να μαντέψουν τις επεκτάσεις τηλεφώνων εργασίας. Μόλις βρουν μια επέκταση, τρέχουν το λογισμικό επιθέσεων λεξικών τους. Εάν ο κωδικός πρόσβασης είναι εύκολο να μαντέψει, είναι στο δίκτυο και μπορεί να τηλεφωνήσει δωρεάν.

Αυτό συμβαίνει με τις Innovative Technologies, με έδρα το Wheeling, Δυτική Βιρτζίνια. Ήταν μάρτυρας στις αρχές Οκτωβρίου, προφανώς από ρουμάνους κυβερνοεγκληματίες που χρησιμοποίησαν το σύστημα VoIP για να κάνουν τηλεφωνικές κλήσεις phishing σε πελάτες της Liberty Bank, μιας μικρής περιφερειακής τράπεζας με γραφεία στην Καλιφόρνια. IP διευθύνσεις στο Internet για να βρουν διακομιστές VoIP, δήλωσε ο Terry Lewis, Διευθύνων Σύμβουλος καινοτόμων τεχνολογιών.

Στις 3 Οκτωβρίου, ο Lewis άρχισε να λαμβάνει φωνητικό ταχυδρομείο από τους πελάτες της Liberty που είχαν λάβει τις κλήσεις απάτης. Έλεγξε τις καταγραφές του συστήματος VoIP την επόμενη μέρα και διαπίστωσε ότι οι χάκερ είχαν κάνει περίπου 300 κλήσεις μέσα στο Σαββατοκύριακο - όχι τόσο πολλές κλήσεις που κανονικά θα είχαν παρατηρηθεί ακόμη.

Μόλις το σύστημα VoIP είναι hacked, οι εγκληματίες χρησιμοποιούν να εκτελεί επιθέσεις ηλεκτρονικού ψαρέματος που βασίζονται στο τηλέφωνο, που μερικές φορές ονομάζονται vishing. Οι επιθέσεις εναντίον του ιπποδρομιού έχουν περάσει εδώ και μερικά χρόνια, αλλά έχουν περάσει σε μεγάλο βαθμό κάτω από το ραντάρ, επειδή συχνά απευθύνονται σε μικρότερες περιφερειακές τράπεζες και όχι σε εθνικούς θεσμούς υψηλού προφίλ. Οι απατεώνες μετακινούνται από τράπεζα σε τράπεζα κάθε εβδομάδα μετά την ολοκλήρωση των εκστρατειών τους.

Σύμφωνα με την Liberty Bank, άλλοι περιφερειακοί θεσμοί έχουν επίσης πληγεί από επιθέσεις κατά των πειρατικών συστημάτων VoIP κατά τις τελευταίες εβδομάδες.

Η Liberty δεν ονόμασε τις άλλες εμπλεκόμενες τράπεζες, αλλά τις τελευταίες εβδομάδες, η Union State Bank και η Solvay Bank ανέφεραν παρόμοιες απάτες

Ο Lewis ήταν τυχερός που δεν χτυπήθηκε με μεγάλα τηλεφωνικά έξοδα. Ανάλογα με τον τρόπο ρύθμισης των συστημάτων τους, οι επιχειρήσεις μπορούν να θεωρηθούν υπεύθυνες για οποιεσδήποτε χρεώσεις τηλεφώνου - για παράδειγμα, οι διεθνείς χρεώσεις κλήσεων που προκύπτουν από το περιστατικό.

"Εάν κάποιος ξεκινήσει να εκμεταλλεύεται το τηλεφωνικό σας σύστημα, Ο πρώτος Αντιπρόεδρος της Liberty Bank, Jill Hitchman, πιστεύει ότι οι απατεώνες που απευθύνονται στην τράπεζά της πιθανώς έπληξαν 30 με 35 επιχειρήσεις και έκαναν 20.000 έως 30.000 τηλεφωνήματα ανά ημέρα. "Δεν νομίζω ότι αυτές οι εταιρείες συνειδητοποιούν ότι πιθανότατα πρόκειται να πάρουν κατηγορίες", δήλωσε ο Hitchman. "Το μεγαλύτερο ζήτημα είναι πώς έχουν πρόσβαση αυτά τα τηλεφωνικά συστήματα και γιατί δεν μπορούμε να το σταματήσουμε;"

Μόνο λίγοι πελάτες της Liberty έπεσαν για την απάτη, δήλωσε ο Hitchman, αλλά οι επιτιθέμενοι ήξεραν τι κάνουν. Πρώτα θα συνυπέγραψαν τους λογαριασμούς AOL, για να ελέγξουν ότι οι αριθμοί των καρτών δούλεψαν. Επειδή η AOL προσφέρει δωρεάν συμμετοχές σε δοκιμές, αυτές οι χρεώσεις δεν εμφανίζονται για μήνες. Οι επιχειρήσεις που θα μπορούσαν να αποτρέψουν πολλές από αυτές τις επιθέσεις, αλλάζοντας τη θύρα που χρησιμοποιούν για τις συνδέσεις SIP (Session Initiation Protocol) στα συστήματα VoIP, μπλοκάροντας τις συνδέσεις μετά από έναν ορισμένο αριθμό αποτυχιών και χρησιμοποιώντας απλά τους καλύτερους κωδικούς πρόσβασης στα συστήματα φωνής τους, λένε οι ειδικοί ασφαλείας.

Το πρόβλημα είναι ότι για τις περισσότερες μικρές και μεσαίες επιχειρήσεις, η ασφάλεια δεν είναι απλώς μια προτεραιότητα. "Οι άνθρωποι ενδιαφέρονται περισσότερο για το αν οι τηλεδιασκέψεις τους πρόκειται να έχουν αξιοπρεπή ποιότητα τηλεφώνου", δήλωσε ο Rodney Thayer, επικεφαλής της τεχνολογίας με την Secorix εταιρεία ασφάλειας VoIP.

Δεν σκέφτονται τα συστήματα VoIP ως ευάλωτα σε επιθέσεις στο Διαδίκτυο όπως οι διακομιστές Web ή e-mail, και αυτό είναι ένα λάθος, είπε ο Thayer. "Θεωρούν το γεγονός αυτό ως ένα διαφορετικό σύστημα, και δεν είναι," είπε. "Είναι όλα τα ίδια πράγματα, είναι όλα τα δεδομένα που διασχίζουν ένα δίκτυο."