VoIP

Ce que ça change pour une organisation

Passer à la voix sur IP (ou téléphonie sur IP, ToIP) revient à faire de la téléphonie un système d’information à part entière. Dans sa note technique du 23 décembre 2013, l’ANSSI observe que cette technologie rapproche deux réseaux historiquement séparés, celui des données et celui de la téléphonie, ce qui accroît les risques de fraude, d’écoute, d’intrusion et d’usurpation d’identité. Elle ajoute que la principale motivation des attaquants est d’utiliser abusivement les ressources téléphoniques, par exemple pour passer des appels aux frais de l’entité compromise, avec à la clé des conséquences juridiques et un déficit d’image.

La VoIP intéresse aussi la lutte contre l’usurpation de numéro : l’Arcep rappelle que les entreprises peuvent adapter le numéro d’appelant présenté par leur installation téléphonique, avec l’aide de leur opérateur ou de leur installateur, et que cette liberté est aujourd’hui détournée par les fraudeurs. Parmi les mesures que recommande l’ANSSI :

• suivre régulièrement la facturation du système de téléphonie, en surveillant les appels surtaxés, les appels à l’étranger, les appels hors des horaires de travail et les appels de longue durée ;
• placer l’infrastructure de téléphonie dans des réseaux logiques distincts (VLAN) de ceux des données, avec un filtrage précis par pare-feu à état, voire une isolation physique totale lorsque les besoins de disponibilité, d’intégrité ou de confidentialité sont élevés ;
• appliquer le principe du moindre privilège aux comptes d’administration et encadrer la télémaintenance par des tiers, source d’intrusion, de fraude et de vol de données.

Exemple

Dans son rapport adopté le 20 juin 2011 pour appliquer la loi américaine Truth in Caller ID Act, la Federal Communications Commission (FCC) constate que la facilité avec laquelle on falsifie un numéro d’appelant tient à la large diffusion de la technologie VoIP et à la multiplication de services tiers de falsification : avec certains services de VoIP interconnectée, un appel peut sembler provenir de n’importe quel numéro de téléphone.

À ne pas confondre avec

• Le spoofing téléphonique : la falsification du numéro affiché, qui peut s’appuyer sur la VoIP sans se confondre avec elle.
• Le trunk SIP : la liaison IP qui relie l’infrastructure de téléphonie d’une organisation à son opérateur, un élément d’une architecture VoIP et non la technologie elle-même.
• Le vishing : l’escroquerie par téléphone, quel que soit le réseau qui porte l’appel.