При создании VoIP не было большой озабоченности вопросами безопасности, связанными с его использованием. Люди были в основном обеспокоены его стоимостью, функциональностью и надежностью. Теперь, когда VoIP получает широкое признание и становится одной из основных коммуникационных технологий, безопасность стала серьезной проблемой.
Угрозы безопасности вызывают еще большую обеспокоенность при мысли, что VoIP фактически заменяет самую старую и самую безопасную систему связи, когда-либо известную в мире, – POTS (Обычная старая телефонная система). В этой статье расмотрятся угрозы, с которыми сталкиваются пользователи VoIP .
Содержание страницы
Кража личных данных и услуг
Примером кражи сервиса может служить фрикинг являющийся типом взлома, который крадет услугу у поставщика услуг или использует услугу, передавая стоимость другому лицу. Шифрование не очень распространено в SIP, который управляет аутентификацией по вызовам VoIP , поэтому учетные данные пользователя уязвимы для кражи.
Подслушивание – это то, как большинство хакеров крадут учетные данные и другую информацию. С помощью перехвата третья сторона может получить имена, пароль и телефонные номера, что позволит им получить контроль над голосовой почтой, планом звонков, переадресацией вызовов и информацией для выставления счетов. Это впоследствии приводит к краже услуг.
Кража учетных данных для совершения звонков без оплаты – не единственная причина кражи личных данных. Многие люди делают это, чтобы получить важную информацию, такую как бизнес – данные.
Фрикер может изменить тарифные планы и пакеты и добавить больше кредитов или совершать звонки, используя учетную запись жертвы. Он также может получить доступ к конфиденциальным элементам, таким как голосовая почта, изменить номер переадресации .
Вирусы и вредоносные программы
Использование VoIP с использованием программных телефонов и программного обеспечения, как и любое интернет-приложение, уязвимо для червей, вирусов и вредоносных программ. Поскольку эти приложения программного телефона работают на пользовательских системах, таких как ПК и КПК, они подвержены и уязвимы для атак вредоносного кода в голосовых приложениях.
DoS (отказ в обслуживании)
DoS-атака – это атака на сеть или устройство, лишающая ее возможности обслуживания или подключения. Это может быть сделано путем использования его полосы пропускания, перегрузки сети или внутренних ресурсов устройства.
В VoIP DoS-атаки могут выполняться путем заполнения цели ненужными сообщениями сигнализации о вызовах SIP, тем самым снижая качество обслуживания. Это приводит к преждевременному прекращению вызовов и прекращает обработку вызовов.
Зачем кому-то начинать DoS-атаку? Как только цель отказывается в обслуживании и прекращает работу, злоумышленник может получить удаленный контроль над административными объектами системы.
SPIT (рассылка спама через интернет-телефонию)
Для регулярных пользователей электронной почты понятие спам не является новым. Проще говоря, спам фактически отправляет электронные письма людям против их воли. Эти электронные письма состоят в основном из онлайн – звонков. Спам в VoIP еще не очень распространен, но начинает появляться, особенно с появлением VoIP как промышленного инструмента.
Каждая учетная запись VoIP имеет связанный IP-адрес. Спамерам легко отправлять свои сообщения (голосовую почту) на тысячи IP-адресов. Голосовая почта, в результате, пострадает. При рассылке спама голосовая почта будет засорена, и потребуется больше места, а также улучшенные инструменты управления голосовой почтой. Кроме того, спам-сообщения могут нести вирусы и шпионское ПО вместе с ними.
Это подводит к другой разновидности SPIT, которая является фишингом по VoIP. Фишинговые атаки заключаются в отправке голосового сообщения человеку, заслуживающего доверия получателю, например, в банке или в онлайновой платежной службе, заставляя его думать, что он в безопасности. Голосовая почта обычно запрашивает конфиденциальные данные, такие как пароли или номера кредитных карт.
Call Tampering
Фальсификация вызовов – это атака, которая включает в себя фальсификацию текущего телефонного звонка. Например, злоумышленник может просто испортить качество вызова, введя шумовые пакеты в поток связи. Он также может отказать в доставке пакетов, так что связь становится прерывистой, и участники сталкиваются с длительными периодами молчания во время разговора.
Атаки “Посредника”
VoIP особенно уязвим к атакам «Посредника», когда злоумышленник перехватывает трафик SIP-сообщений с сигналом вызова и маскируется как вызывающая сторона для вызываемой стороны, или наоборот. После того, как злоумышленник достигнет этой позиции, он может перехватить вызовы через сервер перенаправления.
Фишинг – это атака на конфиденциальность данных, при которой жертва выдает свои личные данные после взаимодействия с “приманкой” (обычно заманчивое предложение, от которого очень сложно отказаться) . Не сильно отличается от «рыбалки»! Фишинг по VoIP становится настолько распространенным, что ему был назначен специальный термин: vhishing.
VoIP и фишинг
Фишинг – это тип атаки, который приобрел популярность и является более легким способом для похитителей данных получить то, что они хотят. Из миллионов пользователей смартфонов и интернета все еще есть большая группа наивных пользователей, которые сбиты с толку.
Фишинг работает следующим образом: похититель данных отправляет электронное или голосовое сообщение. При этом создается впечатление, что это официальное сообщение от компании, с которой у вас есть финансовые или другие интересы, например, от вашего банка, PayPal, eBay и т. д. В сообщении, жертву информируют о проблеме, которая вызывает тревогу, и человека просят зайти на сайт или позвонить по номеру телефона, на котором вы должны указать свои личные данные, такие как номер кредитной карты, пароли и т. д.
Некоторых пользователей так легко заманить, что злоумышленники могут заставить их указать номер своей кредитной карты, дату истечения срока действия и защитный код, которые они используют для осуществления транзакций с использованием кредитной карты или клонированных кредитных карт. Это может быть финансово разрушительным.
Примеры фишинговых атак
Вот примеры способов атаки, которыми пользуются похитители:
- Пользователь получает электронное письмо от PayPal, eBay или подобных компаний, в котором сообщается о каких-либо нарушениях и указывается, что учетная запись жертвы заблокирована. Здесь же говорится, что единственный способ освободить свой аккаунт – это перейти по указанной ссылке и сообщить свой пароль и другую личную информацию.
- Человек получает голосовую почту от интернет-банка, говорящего, что кто-то пытался подделать его пароль и что необходимо быстро решить проблему, чтобы сохранить учетную запись. При этом мошенники просят позвонить по указанному номеру и указать свои учетные данные, чтобы была возможность изменить существующие учетные данные.
- Мошенники звонят из банка и говорят, что они заметили какие-то подозрительные или мошеннические действия на банковском счете, и просят либо перезвонить (поскольку большую часть времени голос предварительно записан), и / или передать номер банковского счета, номер кредитной карты и т. д.
В качестве конкретного примера, недавно клиент был проинформирован о приостановке действия его счета в Банке N, поскольку он предположительно использовался для покупки «неприличных, сексуально ориентированных товаров или услуг». Сообщение звучало так:
«Уведомляем вас о том, что после недавней проверки вашей учетной записи было установлено, что вы нарушаете политику допустимого использования Банка N. Поэтому ваша учетная запись была временно ограничена для показа на сайте. Чтобы снять лимит, позвоните по нашему бесплатному номеру [8800xxxxxxx]. “
Жертву попросили ввести определенную информацию, в том числе его PIN-код банка:
«Банк N запрашивает ваш PIN-код для подтверждения вашей личности. Это также поможет федеральным властям в целях предотвращения отмывания денег и других незаконных действий».
До того, как VoIP стал популярным, фишинговые атаки совершались с помощью спам-писем и стационарных телефонов PSTN . Со времени появления VoIP во многих домах и на предприятиях фишеры стали звонить по телефону, который более доступный по сравнению с электронной почтой.
Возникает вопрос, почему фишеры не использовали телефоны, использующие PSTN до VoIP. PSTN является, пожалуй, самым безопасным современным средством телекоммуникации и, возможно, имеет самую безопасную сеть и инфраструктуру. VoIP более уязвим, чем PSTN.
Как VoIP облегчает фишинг
Фишинг упрощается для злоумышленников, использующих VoIP, по следующим причинам:
VoIP дешевле, чем PSTN, и в настоящее время достаточно широко доступный.
С помощью VoIP злоумышленники могут подделать идентификатор вызывающего абонента, который отображается пользователям и создает впечатление, будто их банк или любая другая доверенная организация связывается с ними.
Программное обеспечение VoIP для УАТС , как и очень популярный Asterisk с открытым исходным кодом, дает программисту такую мощь, что теперь люди с минимальными навыками могут достичь того, что раньше могли только ботаники. Любой программист, обладающий базовыми знаниями в области VoIP, может манипулировать его развертыванием и создать банк поддельных номеров, которые они могут использовать, чтобы обмануть своих жертв, не ставя под угрозу свою личность.
Аппаратные средства VoIP, такие как IP-телефоны , ATA , маршрутизаторы , IP-PBX , стали доступными, а сопровождающее их программное обеспечение более удобным для пользователя, что облегчает задачу для манипуляторов. Эти устройства также очень портативны и могут использоваться в любом месте.
Аппаратные средства VoIP и их простая интеграция с ПК и другими компьютерными системами (например, с голосовой почтой) позволяют vhisher легко записывать телефонные звонки многочисленных жертв, которые были подключены, без необходимости присутствовать на работе. В отличие от PSTN, номера VoIP могут быть установлены и уничтожены за считанные минуты, для властей почти невозможно отследить vhishers.
С помощью VoIP vhishers может отправлять одно сообщение тысячам получателей за один раз, вместо того, чтобы вводить один отдельный номер для каждого вызывающего вызова.
Используя VoIP, злоумышленник может создать виртуальный номер для любой страны. Затем он может использовать местный номер и переадресовывать звонки за границу, тем самым подражая популярным финансовым учреждениям в Европе или США.
Загрузка...