Segurança SIP: como não pagar a conta da fraude toll

O cenário se repete toda semana em algum lugar do Brasil: segunda-feira, o financeiro abre a fatura de telefonia e encontra R$ 40 mil em ligações para destinos que a empresa nunca discou — Cuba, Somália, números premium europeus — todas entre sexta 23h e domingo 5h. O PABX foi invadido, o tráfego saiu pelo tronco da empresa, e a conta é dela. Isso é fraude toll, a maior causa de prejuízo súbito em telefonia IP — e um risco quase inteiramente evitável com as camadas certas.

Anatomia de um ataque

A fraude toll industrializou-se: bots varrem a internet inteira, o tempo todo, atrás de qualquer coisa respondendo na porta 5060. Encontrado um alvo, o roteiro é padrão:

1. Enumeração — o bot testa ramais (100, 101, 200...) e observa as respostas SIP para descobrir quais existem;
2. Força bruta — dicionário de senhas contra os ramais encontrados. Ramal "101" com senha "101" cai em segundos; senha de 8 caracteres comuns, em horas;
3. Monetização — com um registro válido, o atacante dispara tráfego para números internacionais premium em que ele recebe por minuto terminado. Madrugada de sexta para sábado é o horário nobre: ninguém olhando, 48 h até alguém notar;
4. A conta — o tráfego saiu autenticado pelo seu tronco. Contratualmente, é seu.

Variantes usam painéis web expostos (FreePBX com admin/admin), ramais de softphone vazados em laptops perdidos e — no nível da rede — manipulação de identificação de chamada, o caller ID spoofing que também alimenta golpes contra terceiros usando o seu nome.

As 7 defesas, em ordem de custo-benefício

1. Bloqueie destinos por padrão. DDI e premium fechados; libere só os destinos que a operação usa, por rota e por ramal. É a defesa que mata 90% da monetização — fraude sem destino caro não paga o ataque;
2. Senhas geradas, não escolhidas. 16+ caracteres aleatórios por ramal, únicas, num gerenciador. Ramal não é conta de e-mail: ninguém digita a senha no dia a dia, não há desculpa para fraqueza;
3. Firewall por origem. A 5060 do seu PABX não precisa responder para o planeta: restrinja aos IPs do provedor e das redes dos usuários (VPN para os remotos). O bot não quebra o que não alcança;
4. Fail2ban/limite de tentativas. Cinco falhas de autenticação = IP banido. Reduz a força bruta a ruído;
5. Limite de chamadas simultâneas por ramal. Recepção não faz 30 chamadas ao mesmo tempo; se o ramal dela está fazendo, não é a recepção. Limites por ramal transformam o vazamento em gotejo;
6. TLS na sinalização, SRTP na mídia. Fecha a captura de credenciais e a escuta em redes hostis — os transportes estão no guia do protocolo;
7. Painéis fora da internet. Interface de administração do PABX atrás de VPN, sempre. Sem exceção de "é só essa semana".

A defesa financeira: teto de prejuízo

Todas as defesas acima reduzem probabilidade; nenhuma zera. A última camada é financeira: operar o tronco com teto de gasto. No modelo pré-pago, o prejuízo máximo de qualquer incidente é o saldo em conta — a fraude morre quando o crédito acaba, matematicamente, sem depender de ninguém acordar de madrugada. A economia dessa escolha, comparada ao pós-pago com fatura aberta, está bem desmontada na análise de trunk pré-pago × pós-pago do Clube do VoIP.

Complemento no mesmo espírito: alertas de consumo anômalo do lado do provedor (pico de tráfego internacional fora do perfil = notificação imediata). Pergunte ao seu se ele faz — a resposta diz muito sobre com quem você está operando.

Detecção: os sinais de que está acontecendo agora

• Tráfego fora do horário do negócio — o clássico pico das 2h de sábado;
• Destinos novos: o primeiro DDI da história da empresa não deveria ser para número premium do leste europeu;
• Muitas chamadas curtas e sequenciais do mesmo ramal (teste de rota do atacante);
• ASR do tronco despencando com volume subindo (disparo em massa);
• Registro do ramal vindo de IP/país novo — monitore os endereços de registro.

Tudo isso é visível no CDR e nos eventos de registro do PABX. O que falta, em geral, não é dado — é alguém olhando. Um script de 20 linhas conferindo o CDR de hora em hora contra três regras (horário, destino, volume) vale mais que qualquer appliance de segurança parado na caixa.

Plano de resposta a incidente

1. Corte o tráfego — desabilite as rotas de saída (ou o tronco inteiro). Cada minuto é dinheiro saindo;
2. Troque todas as credenciais — todos os ramais e o painel, não só o ramal invadido: você não sabe o que mais vazou;
3. Preserve os logs — CDR, eventos de registro e capturas: são a base da conversa com provedor e, se for o caso, com a polícia;
4. Avise o provedor imediatamente — provedores sérios bloqueiam destinos e ajudam a conter; alguns estornam parte do tráfego evidentemente fraudulento se avisados rápido;
5. Feche o vetor antes de religar — descubra como entraram (log de autenticação conta) e corrija antes de reativar as rotas, ou o ataque recomeça em horas;
6. Post-mortem nas 7 defesas — quais camadas faltavam? Implemente antes do próximo fim de semana.