Uma visita rotineira para “upgrade gratuito da banda larga”, “otimização da rede” ou “manutenção de equipamentos” pode se tornar uma porta de entrada para fraudes de telecomunicações? Um pequeno dispositivo ligado à energia e à Ethernet pode ajudar a disfarçar chamadas fraudulentas do exterior como números locais? À medida que empresas e pessoas passam a depender mais de VoIP, o identificador de chamadas, sozinho, ainda é suficiente para determinar se uma ligação é confiável?
Em um caso recente de combate a fraudes, a filial de Fushun da China Unicom detectou atividade de comunicação suspeita durante o monitoramento de rotina e posteriormente encontrou um dispositivo VoIP oculto associado a fraude de telecomunicações. O ponto importante não era apenas a presença de uma suposta “caixa-preta”, mas o fato de que esse tipo de equipamento podia usar acesso comum de banda larga, interfaces de rede e funções de conversão de voz para ocultar comunicações não autorizadas dentro de um tráfego IP aparentemente normal.
O caso destaca um problema de segurança que se tornou mais relevante com a expansão do uso de VoIP: quando a telefonia migra de linhas fixas para redes IP, a segurança das comunicações não pode mais se concentrar apenas em números telefônicos e circuitos físicos. Ela também precisa proteger contas de usuários, terminais, gateways, troncos SIP, roteamento de chamadas e toda a cadeia de confiança da comunicação de voz.
A questão real não é se o VoIP, por si só, é seguro ou inseguro. O VoIP já é uma tecnologia central por trás de sistemas telefônicos empresariais, PBXs em nuvem, contact centers, trabalho remoto e comunicações unificadas. O que precisa mudar é a arquitetura de segurança ao redor dele. Uma organização deve conseguir determinar quais dispositivos podem se conectar, quais contas podem se registrar, para quais destinos os usuários podem ligar, por quais gateways uma chamada pode passar e que comportamento de comunicação deve gerar imediatamente um alerta de segurança.
Controle quais dispositivos podem acessar a rede de voz
Uma das camadas mais negligenciadas da segurança VoIP existe antes mesmo de começar o registro SIP. Um telefone IP, ATA, gateway de voz ou outro dispositivo de voz conectado à rede precisa apenas de acesso a uma porta de switch, um endereço IP e um caminho de rede alcançável para poder, potencialmente, estabelecer comunicações.
Por isso, as organizações devem manter um inventário completo de ativos de voz. Cada telefone IP, gateway SIP, SBC, IP PBX, terminal de conferência e dispositivo de voz relacionado deve ter documentados o modelo, endereço MAC, endereço IP, local de instalação, responsável e finalidade de negócio. Novos dispositivos devem exigir aprovação, em vez de serem considerados confiáveis simplesmente porque foram conectados à rede.
Em ambientes maiores, os terminais VoIP podem ser colocados em VLANs de voz dedicadas e combinados com 802.1X, NAC, autenticação MAC ou políticas de porta do switch para restringir dispositivos desconhecidos. O fato de um computador de escritório poder acessar a Internet não significa que a mesma porta física também deva permitir que qualquer gateway de voz alcance servidores SIP externos.
Filiais, salas de equipamentos sem supervisão, armários de cabeamento e portas de rede expostas em áreas públicas merecem atenção especial. Esquemas recentes de fraude envolvendo “manutenção no local” ou “upgrade gratuito de rede” mostram que a segurança das comunicações agora envolve tanto cibersegurança quanto controle de acesso físico.
A primeira linha de defesa deve conseguir responder a uma pergunta muito simples: Quem instalou cada dispositivo de voz atualmente conectado à rede e por que ele está ali?
Leve a segurança das contas SIP além do gerenciamento de senhas
Depois que os dispositivos estão conectados à rede, a próxima camada de risco envolve as contas SIP. Muitos ataques VoIP não exigem uma exploração avançada de software. Uma senha de ramal usada por muito tempo, uma conta de administrador padrão ou uma conta de softphone ainda ativa pertencente a um ex-funcionário podem ser suficientes para criar um ponto de entrada.
Por isso, um ramal SIP não deve ser gerenciado apenas como “um número de telefone e uma senha”. Ele deve fazer parte do ciclo de vida de identidade da organização. Criação, autorização, uso e desativação de contas precisam de controles claramente definidos. Quando funcionários saem da empresa, mudam de função ou encerram um trabalho como prestadores, suas permissões de voz devem mudar de acordo.
Softphones expostos à Internet, agentes remotos e contas administrativas podem receber proteção adicional por meio de autenticação multifator, vinculação de dispositivos, certificados de cliente, restrições de endereço de origem ou acesso VPN. As contas administrativas usadas para gerenciar uma IP PBX ou um SBC por interface web também devem ficar separadas dos ramais SIP comuns, com o acesso de gerenciamento limitado a redes confiáveis.
A política de senhas não deve se concentrar apenas na complexidade. As organizações também devem evitar que vários terminais compartilhem as mesmas credenciais por longos períodos e monitorar comportamentos anormais de registro. Se uma conta de repente passar a se registrar a partir de vários países, sistemas autônomos desconhecidos ou vários dispositivos não reconhecidos, isso por si só já justifica uma investigação adicional.
O objetivo não é tornar o registro SIP desnecessariamente complicado, mas criar uma relação rastreável entre a conta, o usuário e o dispositivo autorizado.
Coloque todo o tráfego de voz externo atrás de um perímetro controlado
Sistemas telefônicos empresariais normalmente se conectam a troncos SIP de operadoras, serviços UC em nuvem, filiais remotas e usuários móveis. Se uma IP PBX expõe diretamente à Internet pública uma grande variedade de serviços SIP, a superfície de ataque do ambiente interno de voz pode crescer rapidamente.
Por isso, um SBC deve atuar como um ponto de controle principal no perímetro de voz. Ele pode determinar quais sessões SIP têm permissão para entrar ou sair da empresa, inspecionar endereços de origem, métodos SIP, número de sessões simultâneas, taxas de sessão e faixas de números, além de ocultar a topologia SIP interna das redes externas.
Um projeto de perímetro adequado também deve incluir ACLs de firewall, limitação de taxa e proteção contra DoS. Portas de gerenciamento sem necessidade de negócio na rede pública não devem ficar expostas. Se os serviços SIP só precisam se comunicar com operadoras ou plataformas em nuvem específicas, há pouca razão para aceitar sessões vindas de toda a Internet.
Um erro comum merece atenção especial: abrir temporariamente muitas portas para “fazer os telefones funcionarem” e deixar essas regras ativas depois que o sistema entra em produção. Uma exceção temporária de diagnóstico pode facilmente se tornar uma fragilidade permanente de segurança.
O verdadeiro valor de um SBC não é apenas facilitar a passagem do SIP pelo NAT. Ele fornece à organização um perímetro de segurança de voz claramente definido:
Rede de voz interna
→ Perímetro SIP controlado
→ Operadora ou plataforma em nuvem autorizada
→ PSTN e redes externas de comunicação
Qualquer sessão de voz externa que precise contornar esse caminho deve ter uma justificativa de negócio clara e documentada.
Aplique o princípio do menor privilégio às permissões de chamada
Muitas organizações protegem contas e redes, mas ainda ignoram um dos riscos VoIP mais diretos: depois que uma conta se registra com sucesso, para quais destinos ela realmente pode ligar?
Se todos os ramais puderem, por padrão, fazer chamadas interurbanas nacionais, internacionais, para números de tarifa premium e para qualquer URI SIP, comprometer uma única conta comum de usuário dará ao invasor, na prática, acesso a toda a capacidade de chamadas de saída da organização.
Uma abordagem melhor é definir a classe de serviço de acordo com o departamento e a função de negócio. Usuários administrativos que só precisam fazer chamadas nacionais não necessitam de rotas internacionais. Agentes de contact center que atendem um mercado definido podem ser limitados às faixas de numeração relevantes. Terminais não supervisionados que só precisam alcançar uma sala de controle específica podem usar uma lista branca de destinos.
Limites de tempo e uso podem adicionar outra camada de proteção. Se um ramal de escritório que normalmente realiza poucas chamadas de repente fizer centenas de ligações internacionais no meio da madrugada, o sistema não deve continuar permitindo a atividade apenas porque as credenciais são válidas.
Planos de discagem e roteamento de troncos SIP também devem ser revisados regularmente. À medida que as necessidades do negócio mudam, as regras de roteamento tendem a se acumular. Anos depois, o sistema pode ainda conter troncos sem uso, prefixos de teste ou rotas internacionais temporárias das quais ninguém se lembra.
Toda política de chamadas deve ser capaz de responder a pelo menos três perguntas:
Por que este usuário possui esta permissão de chamada?
Por que este destino é permitido por este tronco?
Em que momento o sistema deve bloquear a chamada ou gerar um alerta?
Quanto mais as permissões de chamada refletirem as necessidades reais do negócio, menor será o impacto potencial se uma conta for comprometida.
Proteja a sinalização SIP e a mídia de voz com criptografia
Depois que os controles de identidade de dispositivo, acesso à conta e roteamento estão implementados, a própria comunicação ainda precisa de proteção. A sinalização SIP não criptografada pode expor números de telefone, Call-IDs e outras informações de sessão, enquanto RTP não criptografado pode deixar a mídia de voz vulnerável à interceptação.
Quando houver suporte, as empresas podem usar TLS para proteger a sinalização SIP e SRTP para proteger os fluxos de mídia. Essas medidas são especialmente importantes para funcionários remotos, filiais e conexões de voz em nuvem que atravessam redes públicas.
A implantação de TLS, porém, envolve muito mais do que trocar a porta 5060 pela 5061. Confiança no certificado, expiração, validação da identidade do servidor, proteção da chave privada e suporte a criptografia nos diferentes troncos SIP precisam ser considerados.
O SRTP também exige atenção à negociação de chaves e à interoperabilidade. Se um SBC, proxy de mídia ou interconexão com operadora estiver no caminho da chamada, uma única chamada ponta a ponta pode ser dividida em vários segmentos de segurança. O fato de um telefone exibir “Secure Call” não prova automaticamente que todo o caminho através da PSTN está protegido com o mesmo nível de criptografia.
Um limite deve permanecer claro: a criptografia protege sinalização, mídia e transporte. Ela não substitui a autenticação de contas, a autorização de dispositivos nem as permissões de chamada. Uma conta roubada, mas ainda válida, pode continuar estabelecendo uma chamada maliciosa criptografada.
Monitore se o comportamento das comunicações é normal
Controles tradicionais de segurança são eficazes para identificar varreduras, tentativas de registro por força bruta, mensagens SIP malformadas e excesso de tentativas de conexão. No entanto, fraudes VoIP reais podem ocorrer cada vez mais por meio de comunicações que parecem completamente válidas no nível do protocolo.
Em casos recentes de fraude envolvendo dispositivos de voz não autorizados, a atividade suspeita foi detectada por monitoramento contínuo das comunicações, e não pela espera de uma falha no equipamento ou de uma reclamação do usuário. O mesmo princípio se aplica ao VoIP empresarial.
Os sistemas de segurança podem analisar continuamente CDRs, logs de registro SIP, números de origem e destino, duração das chamadas, número de chamadas simultâneas, taxas de falha, padrões por horário e origens dos terminais. Quando esses indicadores se desviam significativamente do comportamento histórico do negócio, devem entrar em um fluxo de investigação de fraude.
Por exemplo, um ramal que normalmente faz cerca de uma dúzia de ligações no horário comercial pode começar de repente a discar continuamente depois da meia-noite. Um telefone fixo de escritório pode aparecer a partir de um local de rede incomum. Uma conta pode alternar repetidamente entre vários dispositivos em um curto período. Um tronco internacional raramente usado pode passar a transportar um grande volume de chamadas curtas.
Nenhum desses sinais, isoladamente, comprova necessariamente uma fraude. Em conjunto, porém, eles podem fornecer evidências valiosas de comportamento anormal.
IA e modelos antifraude são muito adequados para essa camada de defesa. Sua função não é apenas determinar se um SIP INVITE é sintaticamente válido, mas avaliar se um conjunto de chamadas aparentemente legítimas faz sentido no contexto da atividade normal da empresa.
A próxima geração da segurança VoIP, portanto, precisa de duas capacidades complementares:
a segurança de protocolo determina se uma sessão de comunicação pode tecnicamente ser estabelecida, enquanto a segurança comportamental determina se essa comunicação deveria existir em primeiro lugar.
Use logs, alertas e resposta a incidentes para limitar rapidamente os danos
Quando ocorre uma atividade suspeita, o primeiro desafio muitas vezes não é “como corrigimos isso?”, mas “o que exatamente aconteceu?”. Se um sistema telefônico mantém apenas registros básicos de chamadas, sem histórico de registros SIP, logs de login de contas ou registros de alterações de roteamento, reconstruir um incidente pode se tornar extremamente difícil.
No mínimo, os CDRs devem permitir que os investigadores correlacionem origem, destino, horário, duração da chamada, tronco e código de resultado. Plataformas SIP devem manter os registros necessários de registro e autenticação, enquanto SBCs, firewalls e sistemas de gerenciamento devem preservar logs relevantes de segurança e atividade administrativa.
Todos os sistemas também devem usar horário NTP sincronizado. Se a IP PBX registra um evento às 10:03, o SBC mostra 10:07 e o firewall informa 09:59, os investigadores podem ter dificuldade para reconstruir a sequência real dos acontecimentos.
Mais importante, os alertas precisam levar a uma ação. Quando gastos internacionais anormais ultrapassam um limite, o sistema apenas envia um e-mail ou restringe imediatamente as chamadas internacionais da conta? Se um registro anormal é detectado, o ramal permanece ativo ou exige nova autenticação? Se um gateway de voz desconhecido é descoberto, quem é responsável por verificá-lo no local?
Ambientes de alto risco podem definir antecipadamente um fluxo de resposta a incidentes:
Detectar atividade suspeita
→ Restringir temporariamente a conta ou o tronco
→ Preservar logs e evidências do local
→ Verificar a identidade do dispositivo e do usuário
→ Avaliar o alcance do impacto
→ Remover configurações não autorizadas
→ Restaurar o serviço e revisar os controles de segurança
Muitos incidentes de comunicação se tornam caros não porque eram impossíveis de detectar, mas porque a organização não conseguiu conter a atividade com rapidez suficiente depois da detecção.
A engenharia social deve ser tratada como parte da segurança de voz
Casos recentes de fraude VoIP também destacam um problema que controles técnicos, sozinhos, não conseguem resolver: mesmo uma rede bem protegida pode ficar exposta se alguém permitir voluntariamente a instalação de um dispositivo desconhecido.
Fingir ser técnico de operadora, fornecedor de equipamentos ou engenheiro de serviços de rede não é uma forma nova de engenharia social. O que mudou é que o uso generalizado de VoIP e outros dispositivos conectados facilita a criação de um ponto persistente de entrada na rede por meio dessas táticas.
Por isso, a manutenção no local deve corresponder a um chamado de serviço legítimo. Os funcionários não devem confiar apenas em uniformes, crachás ou em um número de telefone fornecido pelo visitante. A solicitação deve ser verificada por um canal oficial de suporte da operadora, um contato conhecido do fornecedor ou o departamento interno de TI da organização.
Engenheiros de terceiros que entram em salas de cabeamento, salas de servidores ou conectam equipamentos aos switches da empresa também devem ser registrados e supervisionados. Gateways de teste temporários, notebooks, ATAs e dispositivos de diagnóstico devem ser removidos quando o trabalho terminar.
Essa é uma das partes mais difíceis da segurança das comunicações. Um controle de rede pode bloquear um endereço IP não autorizado, mas não pode impedir um funcionário de abrir a sala de equipamentos para alguém que ele acredita ser um técnico legítimo. Portanto, os controles técnicos e os procedimentos operacionais precisam ser projetados em conjunto.
A segurança VoIP deve operar como um sistema de defesa contínuo
O VoIP transformou a telefonia tradicional em um ambiente completo de comunicações IP, portanto a segurança das comunicações não pode depender de um único produto. Implantar um SBC, habilitar TLS ou alterar senhas SIP resolve apenas uma parte do problema.
Um modelo de segurança mais completo deve formar uma cadeia contínua:
Os dispositivos são identificáveis
→ O acesso à rede é controlado
→ A identidade do usuário é confiável
→ Os limites SIP são definidos
→ As permissões de chamada seguem o princípio do menor privilégio
→ A sinalização e a mídia são protegidas
→ O comportamento das comunicações é monitorado continuamente
→ Os logs permitem rastreabilidade
→ A atividade suspeita pode ser isolada rapidamente
Para uma empresa, o valor dessa abordagem não é prometer que nada anormal jamais acontecerá. O objetivo é reduzir três probabilidades: a de equipamentos não autorizados entrarem no ambiente, a de comunicações suspeitas obterem privilégios excessivos e a de uma atividade anormal continuar por muito tempo sem ser detectada.
Casos recentes de combate a fraudes mostram que a segurança de voz futura deve olhar além da possibilidade de alguém estar atacando diretamente a IP PBX. Uma porta de rede legítima, um dispositivo conectado à Internet e uma rota de voz tecnicamente válida ainda podem criar riscos sérios quando combinados de forma não autorizada.
Uma arquitetura de segurança VoIP confiável deve, portanto, atingir dois objetivos ao mesmo tempo: as comunicações normais da empresa devem continuar com o mínimo de interrupção, enquanto comunicações que se desviam dos padrões esperados de identidade, dispositivo, roteamento ou comportamento devem ser detectadas, contidas e rastreadas o mais cedo possível.
Perguntas frequentes
Quando uma empresa usa uma PBX em nuvem, a segurança VoIP é totalmente gerenciada pelo provedor?
Não. Um provedor de nuvem normalmente protege a infraestrutura da plataforma e algumas funções de perímetro, mas o cliente continua controlando contas de usuários, privilégios administrativos, dispositivos terminais, permissões de chamada e muitas configurações internas da rede. As responsabilidades de segurança de ambas as partes devem ser claramente definidas nos acordos de serviço e operação.
Com que frequência um sistema VoIP deve passar por uma revisão de segurança?
Não existe um único intervalo que se aplique a todos os ambientes. Organizações que adicionam com frequência ramais, troncos SIP ou terminais remotos devem incluir auditorias regulares de configuração e realizar revisões adicionais após grandes atualizações de software, reformulações de rede, migrações de operadora ou incidentes de segurança.
Como deve ser concedido acesso remoto a um fornecedor terceirizado que faz manutenção de uma IP PBX?
Uma abordagem mais segura é usar contas temporárias, acesso VPN ou um jump host controlado, com restrições de origem, janela de tempo e escopo administrativo. O acesso deve ser desativado quando a manutenção terminar, e as atividades de login e alterações de configuração devem ser mantidas para fins de auditoria. Senhas administrativas compartilhadas por longos períodos devem ser evitadas.
Uma empresa precisa armazenar capturas completas de pacotes VoIP por longo prazo?
Normalmente não. Armazenar continuamente todo o tráfego de voz pode gerar preocupações significativas de armazenamento, privacidade e conformidade. Uma abordagem mais prática é manter os logs e CDRs necessários por longo prazo e realizar capturas controladas de pacotes em interfaces, sessões ou janelas de tempo específicas durante o diagnóstico ou a investigação de um incidente de segurança.
