Sistem Telefon Internet Menjadi Alat Penipu

Penjenayah siber telah menemui pelancaran baru untuk penipuan mereka: sistem telefon perniagaan kecil dan sederhana di seluruh Amerika Syarikat

Dalam beberapa minggu kebelakangan ini, mereka telah menggodam puluhan sistem telefon di seluruh negara, menggunakannya sebagai cara untuk menghubungi pelanggan bank yang tidak curiga dan menipu mereka untuk mendedahkan nombor akaun bank mereka dan kata laluan.

Para korban biasanya bank dengan institusi serantau yang lebih kecil, yang biasanya mempunyai sumber yang lebih sedikit untuk mengesan penipuan. Penipu memasuki sistem telefon dan kemudian memanggil mangsa, memainkan mesej bersurat yang mengatakan terdapat ralat pengebilan atau memberi amaran kepada mereka bahawa akaun bank telah digantung kerana aktiviti mencurigakan. Jika pelanggan yang bimbang memasuki nombor akaun dan kata laluan ATM, orang jahat menggunakan maklumat itu untuk membuat kad debit palsu dan mengosongkan akaun bank mangsa mereka.

[Bacaan lanjut: Kotak NAS terbaik untuk streaming media dan sandaran]

Peretas menjadi tajuk utama untuk memecah masuk ke sistem syarikat telefon lebih daripada 20 tahun yang lalu - satu amalan yang dikenali sebagai freaking - tetapi sebagai sistem telefon tradisional telah menjadi bersepadu dengan Internet, ia mewujudkan peluang baru untuk penipuan yang hanya bermula "VoIP (suara melalui Protokol Internet) adalah" perbatasan baru di dunia crossover telekomunikasi dan cyber [jenayah], "kata Erez Liebermann, penolong peguam AS untuk daerah New Jersey. "Ia adalah ancaman yang berterusan dan ancaman serius yang perlu dibimbangkan oleh syarikat."

Serangan ke atas salah satu sistem VoIP yang paling popular, yang dipanggil Asterisk, kini "endemik," kata John Todd, yang bekerja untuk produk pencipta, Digium, sebagai pengarah komuniti sumber terbuka. "Ini seperti mencuri kelawar besbol untuk masuk ke dalam kereta. Langkah pertama ialah memecah masuk ke Asterisk."

Peretasan asterisk mula berkembang dari masalah yang "rendah" ke tahap yang lebih serius pada September 2008, apabila alat mudah digunakan pertama kali diterbitkan, kata Todd. "Kini ada orang yang melakukan video di sana dan terdapat blog dan podcast," katanya. "Maklumat ini di luar sana."

Dengan alat ini, ia boleh menjadi sangat mudah untuk menggodam sistem VoIP dengan memukul pelayan yang direka untuk menyambungkan lalu lintas dari rangkaian kawasan setempat ke penyedia rangkaian seperti AT & T, yang menghubungkan panggilan ke seluruh dunia.

Peretas cuba meneka kata laluan sistem VoIP, membuat ribuan penipuan. Walaupun program Internet seperti Gmail akan menghalang pelawat selepas beberapa tekaan kata laluan yang gagal, sistem VoIP sering tidak dikonfigurasikan dengan cara ini dan seringkali membiarkan mana-mana komputer menyambung kepada mereka. Jadi peretas menumpaskan mereka, cuba meneka sambungan telefon yang berfungsi. Sebaik sahaja mereka mencari sambungan, mereka menjalankan perisian serangan kamus mereka. Jika kata laluan mudah ditebak, mereka berada dalam rangkaian dan boleh menelefon secara percuma.

Itulah yang berlaku kepada Teknologi Inovatif, yang berpusat di Wheeling, West Virginia. Ia digodam pada awal bulan Oktober, nampaknya oleh penjenayah siber Romania yang menggunakan sistem VoIPnya untuk membuat panggilan phishing berasaskan telefon kepada pelanggan Liberty Bank, sebuah bank serantau yang kecil dengan kantor di California.

"Mereka telah mengimbas sejumlah besar Alamat IP di Internet untuk mencari pelayan [VoIP], "kata Terry Lewis, Ketua Pegawai Eksekutif Teknologi Inovatif.

Pada 3 Oktober, Lewis mula mendapat mel suara daripada pelanggan Liberty yang telah menerima panggilan penipuan. Beliau memeriksa sistem VoIPnya pada hari berikutnya dan mendapati bahawa penggodam telah membuat kira-kira 300 panggilan pada hujung minggu - tidak banyak panggilan bahawa ia biasanya akan mendapat perhatian.

Sekali sistem VoIP digodam, penjenayah menggunakan untuk melakukan serangan phishing berasaskan telefon, kadangkala dinamakan vishing. Serangan Vishing telah berlaku selama beberapa tahun sekarang, tetapi mereka telah banyak diterbangkan di bawah radar, kerana mereka sering menyasar bank serantau yang lebih kecil daripada institusi kebangsaan berprofil tinggi. Penipu bergerak dari bank ke bank setiap minggu selepas melengkapkan kempen mereka.

Menurut Liberty Bank, institusi serantau lain juga telah terkena serangan serang dari sistem VoIP yang digodam dalam beberapa minggu terakhir.

Liberty tidak menyebut bank-bank lain yang terlibat, tetapi dalam beberapa minggu terakhir, Union State Bank dan Solvay Bank telah melaporkan penipuan serupa.

Lewis bernasib baik kerana dia tidak dipukul dengan caj telefon utama. Bergantung kepada bagaimana sistem mereka dikonfigurasikan, perniagaan boleh dipertanggungjawabkan untuk sebarang caj telefon - caj panggilan antarabangsa, contohnya - yang timbul dari kejadian tersebut.

"Jika seseorang mula menyalahgunakan sistem telefon anda, anda berpotensi "kata Encik Digium Todd.

Naib Presiden Pertama Liberty Bank Jill Hitchman percaya bahawa penipu yang menargetkan banknya mungkin terkena antara 30 dan 35 perniagaan dan membuat antara 20,000 dan 30,000 panggilan telefon setiap hari. "Saya tidak fikir syarikat-syarikat ini menyedari mereka mungkin akan dikenakan caj," kata Hitchman. "Masalah yang lebih besar adalah, bagaimanakah sistem telefon ini dapat diakses dan mengapa kita tidak dapat menghentikannya?"

Hanya beberapa pelanggan Liberty yang jatuh untuk penipuan itu, kata Hitchman, tetapi penyerang tahu apa yang mereka lakukan. Mula-mula mereka akan mendaftar untuk akaun AOL, untuk menguji bahawa nombor kad bekerja. Kerana AOL menawarkan keahlian percubaan percuma, caj ini tidak muncul selama berbulan-bulan. Pada masa itu, penipu telah memasukkan maklumat kad ATM palsu dan mengosongkan akaun bank.

Perniagaan boleh menghalang banyak serangan ini dengan menukar port yang mereka gunakan untuk sambungan Session Initiation Protocol (SIP) pada sistem VoIP mereka, dengan menyekat sambungan selepas beberapa kegagalan, dan dengan hanya menggunakan kata laluan yang lebih baik pada sistem suara mereka, pakar-pakar keselamatan berkata.

Masalahnya ialah untuk kebanyakan perniagaan kecil dan sederhana, keselamatan bukanlah satu keutamaan. "Orang ramai lebih memahami sama ada panggilan persidangan mereka akan mempunyai kualiti telefon yang baik," kata Rodney Thayer, ketua pegawai teknologi dengan syarikat keselamatan VoIP Secorix. Mereka tidak memikirkan sistem VoIP mereka sebagai rentan terhadap serangan Internet hanya seperti pelayan Web atau e-mel, dan itulah kesilapan, kata Thayer. "Mereka memikirkannya sebagai sistem yang berbeza, dan ia tidak," katanya. "Ini semua perkara yang sama, semua data akan melalui rangkaian."