Une simple visite pour une « mise à niveau gratuite du haut débit », une « optimisation du réseau » ou une « maintenance des équipements » peut-elle devenir un point d’entrée pour une fraude aux télécommunications ? Un petit appareil relié à l’alimentation et à Ethernet peut-il aider à faire passer des appels frauduleux provenant de l’étranger pour des numéros locaux ? Alors que les entreprises et les particuliers dépendent de plus en plus de la VoIP, l’identification de l’appelant suffit-elle encore à déterminer si un appel est digne de confiance ?
Dans une affaire récente de lutte contre la fraude, la succursale de Fushun de China Unicom a détecté une activité de communication suspecte lors d’une surveillance de routine, puis a découvert un équipement VoIP dissimulé lié à une fraude aux télécommunications. Le point essentiel n’était pas seulement la présence d’une prétendue « boîte noire », mais le fait qu’un tel équipement pouvait exploiter un accès haut débit ordinaire, des interfaces réseau et des fonctions de conversion vocale pour dissimuler des communications non autorisées dans un trafic IP apparemment normal.
Cette affaire met en évidence un problème de sécurité devenu plus important avec l’adoption croissante de la VoIP : dès que la téléphonie passe des lignes fixes aux réseaux IP, la sécurité des communications ne peut plus se concentrer uniquement sur les numéros de téléphone et les circuits physiques. Elle doit également protéger les comptes utilisateurs, les terminaux, les passerelles, les trunks SIP, le routage des appels et l’ensemble de la chaîne de confiance vocale.
La vraie question n’est pas de savoir si la VoIP est en elle-même sûre ou non. La VoIP est déjà une technologie centrale des systèmes téléphoniques d’entreprise, des PBX cloud, des centres de contact, du travail à distance et des communications unifiées. Ce qui doit évoluer, c’est l’architecture de sécurité qui l’entoure. Une organisation doit pouvoir déterminer quels appareils sont autorisés à se connecter, quels comptes peuvent s’enregistrer, quelles destinations les utilisateurs peuvent appeler, quelles passerelles un appel peut traverser et quels comportements de communication doivent déclencher immédiatement une alerte de sécurité.
Contrôler les appareils autorisés sur le réseau vocal
L’une des couches les plus souvent négligées de la sécurité VoIP intervient avant même le début de l’enregistrement SIP. Un téléphone IP, un ATA, une passerelle vocale ou tout autre équipement vocal connecté au réseau n’a besoin que d’un accès à un port de commutateur, d’une adresse IP et d’un chemin réseau joignable pour pouvoir potentiellement établir des communications.
Les organisations doivent donc tenir un inventaire complet des actifs vocaux. Pour chaque téléphone IP, passerelle SIP, SBC, IP PBX, terminal de conférence et équipement vocal associé, le modèle, l’adresse MAC, l’adresse IP, le lieu d’installation, le responsable et l’usage métier doivent être documentés. Tout nouvel appareil doit être approuvé, au lieu d’être considéré comme fiable simplement parce qu’il a été branché au réseau.
Dans les environnements de grande taille, les terminaux VoIP peuvent être placés dans des VLAN voix dédiés et associés à 802.1X, au NAC, à l’authentification MAC ou à des politiques de ports de commutateur afin de bloquer les appareils inconnus. Le fait qu’un ordinateur de bureau soit autorisé à accéder à Internet ne signifie pas que le même port physique doive aussi permettre à une passerelle vocale quelconque de joindre des serveurs SIP externes.
Les agences, les locaux techniques sans surveillance, les baies ou locaux de câblage et les ports réseau accessibles dans les espaces publics nécessitent une attention particulière. Les fraudes récentes impliquant une « maintenance sur site » ou une « mise à niveau gratuite du réseau » montrent que la sécurité des communications couvre désormais à la fois la cybersécurité et le contrôle d’accès physique.
La première ligne de défense doit pouvoir répondre à une question très simple : Qui a installé chaque équipement vocal actuellement connecté au réseau, et pourquoi se trouve-t-il là ?
Renforcer la sécurité des comptes SIP au-delà de la simple gestion des mots de passe
Une fois les appareils connectés au réseau, la couche de risque suivante concerne les comptes SIP. De nombreuses attaques VoIP ne nécessitent aucune faille logicielle avancée. Un mot de passe de poste conservé trop longtemps, un compte administrateur par défaut ou un compte de softphone encore actif appartenant à un ancien salarié peuvent suffire à créer un point d’entrée.
Un poste SIP ne doit donc pas être géré comme un simple « numéro de téléphone et mot de passe ». Il doit faire partie du cycle de vie des identités de l’organisation. La création, l’autorisation, l’utilisation et la désactivation des comptes doivent faire l’objet de contrôles clairement définis. Lorsqu’un salarié quitte l’entreprise, change de fonction ou termine une mission de sous-traitance, ses droits de communication vocale doivent évoluer en conséquence.
Les softphones accessibles depuis Internet, les agents distants et les comptes administratifs peuvent être mieux protégés grâce à l’authentification multifacteur, à l’association des appareils, aux certificats clients, aux restrictions d’adresse source ou à l’accès VPN. Les comptes administratifs utilisés pour gérer un IP PBX ou un SBC via une interface web doivent également rester séparés des postes SIP ordinaires, et l’accès d’administration doit être limité aux réseaux de confiance.
La politique de mot de passe ne doit pas porter uniquement sur la complexité. Les organisations doivent aussi éviter que plusieurs terminaux partagent les mêmes identifiants à long terme et surveiller les comportements d’enregistrement anormaux. Si un compte s’enregistre soudainement depuis plusieurs pays, des systèmes autonomes inhabituels ou plusieurs appareils inconnus, cela suffit à justifier une investigation complémentaire.
L’objectif n’est pas de compliquer inutilement l’enregistrement SIP, mais d’établir une relation traçable entre le compte, l’utilisateur et l’appareil autorisé.
Placer tout le trafic vocal externe derrière un périmètre contrôlé
Les systèmes téléphoniques d’entreprise se connectent couramment aux trunks SIP des opérateurs, aux services UC cloud, aux sites distants et aux utilisateurs mobiles. Si un IP PBX expose directement au réseau Internet public un large éventail de services SIP, la surface d’attaque de l’environnement vocal interne peut rapidement s’étendre.
Un SBC doit donc servir de point de contrôle majeur en périphérie du réseau vocal. Il peut déterminer quelles sessions SIP sont autorisées à entrer ou sortir de l’entreprise, inspecter les adresses source, les méthodes SIP, le nombre de sessions simultanées, les taux de sessions et les plages de numéros, et masquer la topologie SIP interne aux réseaux externes.
Une conception cohérente du périmètre doit également inclure des ACL de pare-feu, une limitation de débit et une protection contre les attaques DoS. Les ports d’administration sans nécessité métier publique ne doivent pas être exposés. Si les services SIP n’ont besoin de communiquer qu’avec certains opérateurs ou certaines plateformes cloud, il n’y a guère de raison d’accepter des sessions provenant de tout Internet.
Une erreur fréquente mérite une attention particulière : ouvrir temporairement un grand nombre de ports pour « faire fonctionner les téléphones », puis laisser ces règles en place après la mise en production. Une exception temporaire de dépannage peut facilement devenir une faiblesse de sécurité permanente.
La véritable valeur d’un SBC ne réside pas seulement dans le fait qu’il facilite le passage de SIP à travers le NAT. Il fournit à l’organisation un périmètre de sécurité vocale clairement défini :
Réseau vocal interne
→ Périmètre SIP contrôlé
→ Opérateur ou plateforme cloud autorisés
→ PSTN et réseaux de communication externes
Toute session vocale externe qui doit contourner ce chemin doit avoir une justification métier claire et documentée.
Appliquer le principe du moindre privilège aux droits d’appel
De nombreuses organisations protègent leurs comptes et leurs réseaux, mais négligent encore l’un des risques VoIP les plus directs : une fois un compte correctement enregistré, quelles destinations est-il réellement autorisé à appeler ?
Si tous les postes sont autorisés par défaut à passer des appels nationaux longue distance, internationaux, vers des numéros surtaxés et vers n’importe quelle URI SIP, la compromission d’un seul compte utilisateur ordinaire donne en pratique à l’attaquant accès à l’ensemble de la capacité d’appels sortants de l’organisation.
Une meilleure approche consiste à définir la classe de service en fonction du service et du rôle métier. Les utilisateurs administratifs qui n’ont besoin que d’appels nationaux n’ont pas besoin de routes internationales. Les agents d’un centre de contact desservant un marché précis peuvent être limités aux plages de numéros correspondantes. Les terminaux sans surveillance qui doivent uniquement joindre une salle de contrôle déterminée peuvent utiliser une liste blanche de destinations.
Des limites de temps et d’utilisation peuvent ajouter une couche de protection supplémentaire. Si un poste de bureau qui passe habituellement peu d’appels commence soudainement à effectuer des centaines d’appels internationaux au milieu de la nuit, le système ne doit pas continuer à autoriser cette activité au seul motif que les identifiants sont valides.
Les plans de numérotation et le routage des trunks SIP doivent également être revus régulièrement. À mesure que les besoins métier évoluent, les règles de routage ont tendance à s’accumuler. Des années plus tard, le système peut encore contenir des trunks inutilisés, des préfixes de test ou des routes internationales temporaires dont personne ne se souvient.
Chaque politique d’appel doit pouvoir répondre à au moins trois questions :
Pourquoi cet utilisateur dispose-t-il de ce droit d’appel ?
Pourquoi cette destination est-elle autorisée via ce trunk ?
À quel moment le système doit-il bloquer l’appel ou générer une alerte ?
Plus les droits d’appel correspondent aux besoins métier réels, plus l’impact potentiel d’une compromission de compte est réduit.
Protéger la signalisation SIP et les flux vocaux par chiffrement
Une fois les contrôles d’identité des appareils, d’accès aux comptes et de routage en place, la communication elle-même doit encore être protégée. Une signalisation SIP non chiffrée peut exposer les numéros de téléphone, les Call-ID et d’autres informations de session, tandis que du RTP non chiffré peut rendre les flux vocaux vulnérables à l’interception.
Lorsque cela est pris en charge, les entreprises peuvent utiliser TLS pour protéger la signalisation SIP et SRTP pour sécuriser les flux média. Ces protections sont particulièrement importantes pour les salariés distants, les agences et les connexions vocales cloud qui transitent par des réseaux publics.
Le déploiement de TLS ne consiste toutefois pas simplement à remplacer le port 5060 par le port 5061. La confiance accordée aux certificats, leur expiration, la validation de l’identité du serveur, la protection des clés privées et la prise en charge du chiffrement sur les différents trunks SIP doivent toutes être prises en compte.
SRTP nécessite également une attention particulière à la négociation des clés et à l’interopérabilité. Si un SBC, un proxy média ou une interconnexion opérateur se trouve sur le chemin de l’appel, un même appel de bout en bout peut être divisé en plusieurs segments de sécurité. L’affichage « Secure Call » sur un terminal ne prouve pas automatiquement que l’ensemble du trajet à travers le PSTN bénéficie du même niveau de chiffrement.
Une limite doit rester claire : le chiffrement protège la signalisation, les médias et le transport. Il ne remplace ni l’authentification des comptes, ni l’autorisation des appareils, ni les droits d’appel. Un compte volé mais par ailleurs valide peut toujours établir un appel malveillant chiffré.
Surveiller si le comportement des communications est normal
Les contrôles de sécurité traditionnels sont efficaces pour détecter les scans, les tentatives d’enregistrement par force brute, les messages SIP malformés et les tentatives de connexion excessives. Toutefois, les fraudes VoIP réelles peuvent de plus en plus fonctionner au moyen de communications qui paraissent parfaitement valides au niveau du protocole.
Dans de récentes affaires de fraude impliquant des équipements vocaux non autorisés, l’activité suspecte a été détectée grâce à une surveillance continue des communications, plutôt qu’en attendant une panne de l’appareil ou une plainte d’utilisateur. Le même principe s’applique à la VoIP d’entreprise.
Les systèmes de sécurité peuvent analyser en continu les CDR, les journaux d’enregistrement SIP, les numéros appelants et appelés, la durée des appels, le nombre d’appels simultanés, les taux d’échec, les habitudes selon l’heure et l’origine des terminaux. Lorsque ces indicateurs s’écartent fortement du comportement historique de l’entreprise, ils doivent alimenter un processus d’investigation antifraude.
Par exemple, un poste qui passe habituellement une douzaine d’appels pendant les heures de travail peut soudainement commencer à composer en continu après minuit. Un téléphone de bureau fixe peut apparaître depuis un emplacement réseau inhabituel. Un même compte peut basculer à plusieurs reprises entre différents appareils sur une courte période. Un trunk international rarement utilisé peut soudainement transporter un volume important d’appels de courte durée.
Aucun de ces signaux ne prouve à lui seul une fraude. Ensemble, ils peuvent toutefois fournir des indices précieux d’un comportement anormal.
L’IA et les modèles antifraude sont particulièrement adaptés à cette couche de défense. Leur rôle n’est pas seulement de déterminer si un SIP INVITE est syntaxiquement valide, mais de vérifier si un ensemble d’appels apparemment légitimes est cohérent avec le contexte de l’activité métier normale.
La prochaine génération de sécurité VoIP a donc besoin de deux capacités complémentaires :
la sécurité du protocole détermine si une session de communication est techniquement autorisée à s’établir, tandis que la sécurité comportementale détermine si cette communication devrait exister au départ.
Utiliser les journaux, les alertes et la réponse aux incidents pour limiter rapidement les dommages
Lorsqu’une activité suspecte apparaît, le premier défi n’est souvent pas « comment la corriger ? », mais « que s’est-il exactement passé ? ». Si un système téléphonique ne conserve que des enregistrements d’appels élémentaires, sans historique d’enregistrement SIP, journaux de connexion aux comptes ni traces de modifications de routage, la reconstitution d’un incident peut devenir extrêmement difficile.
Au minimum, les CDR doivent permettre aux enquêteurs de corréler l’appelant, l’appelé, l’horodatage, la durée de l’appel, le trunk et le code de résultat. Les plateformes SIP doivent conserver les enregistrements nécessaires d’enregistrement et d’authentification, tandis que les SBC, pare-feu et systèmes d’administration doivent préserver les journaux pertinents de sécurité et d’activité des administrateurs.
Tous les systèmes doivent également utiliser une heure NTP synchronisée. Si l’IP PBX enregistre un événement à 10:03, le SBC affiche 10:07 et le pare-feu indique 09:59, les enquêteurs peuvent avoir du mal à reconstituer l’ordre réel des événements.
Plus important encore, les alertes doivent entraîner une action. Lorsqu’une dépense internationale inhabituelle dépasse un seuil, le système se contente-t-il d’envoyer un e-mail ou limite-t-il immédiatement les appels internationaux du compte ? Si un enregistrement anormal est détecté, le poste reste-t-il actif ou exige-t-il une nouvelle authentification ? Si une passerelle vocale inconnue est découverte, qui est responsable de sa vérification sur site ?
Les environnements à haut risque peuvent définir à l’avance un processus de réponse aux incidents :
Détecter l’activité suspecte
→ Restreindre temporairement le compte ou le trunk
→ Préserver les journaux et les preuves sur site
→ Vérifier l’identité de l’appareil et de l’utilisateur
→ Évaluer l’étendue de l’impact
→ Supprimer les configurations non autorisées
→ Rétablir le service et réexaminer les contrôles de sécurité
De nombreux incidents de communication deviennent coûteux non parce qu’ils étaient impossibles à détecter, mais parce que l’organisation n’a pas réussi à contenir suffisamment vite l’activité après sa détection.
L’ingénierie sociale doit faire partie de la sécurité vocale
Les affaires récentes de fraude VoIP mettent également en évidence un problème que les seuls contrôles techniques ne peuvent pas résoudre : même un réseau bien protégé peut être exposé si quelqu’un autorise volontairement l’installation d’un équipement inconnu.
Se faire passer pour un technicien d’opérateur, un fournisseur d’équipements ou un ingénieur de services réseau n’est pas une nouvelle forme d’ingénierie sociale. Ce qui a changé, c’est que la généralisation de la VoIP et d’autres appareils connectés permet plus facilement à ces tactiques de créer un point d’entrée réseau persistant.
Toute intervention sur site doit donc correspondre à un ticket de service légitime. Les employés ne doivent pas se fier uniquement à un uniforme, à un badge ou à un numéro de téléphone fourni par le visiteur. La demande d’intervention doit être vérifiée via un canal officiel d’assistance de l’opérateur, un contact fournisseur connu ou le service informatique interne de l’organisation.
Les intervenants tiers entrant dans des locaux de câblage ou des salles serveurs, ou connectant des équipements aux commutateurs de l’entreprise, doivent également être enregistrés et supervisés. Les passerelles de test temporaires, ordinateurs portables, ATA et appareils de diagnostic doivent être retirés à la fin des travaux.
C’est l’un des aspects les plus difficiles de la sécurité des communications. Un contrôle réseau peut bloquer une adresse IP non autorisée, mais il ne peut pas empêcher un employé d’ouvrir un local technique à une personne qu’il croit être un technicien légitime. Les contrôles techniques et les procédures opérationnelles doivent donc être conçus ensemble.
La sécurité VoIP doit fonctionner comme un système de défense continu
La VoIP a transformé la téléphonie traditionnelle en un environnement complet de communications IP. La sécurité des communications ne peut donc pas dépendre d’un seul produit. Déployer un SBC, activer TLS ou modifier les mots de passe SIP ne traite qu’une partie du problème.
Un modèle de sécurité plus complet doit former une chaîne continue :
Les appareils sont identifiables
→ L’accès au réseau est contrôlé
→ L’identité de l’utilisateur est fiable
→ Les frontières SIP sont définies
→ Les droits d’appel suivent le principe du moindre privilège
→ La signalisation et les médias sont protégés
→ Le comportement des communications est surveillé en continu
→ Les journaux assurent la traçabilité
→ Les activités suspectes peuvent être isolées rapidement
Pour une entreprise, la valeur de cette approche n’est pas de promettre qu’aucune anomalie ne se produira jamais. L’objectif est de réduire trois probabilités : qu’un équipement non autorisé puisse entrer dans l’environnement, que des communications suspectes puissent obtenir des privilèges excessifs et qu’une activité anormale puisse se poursuivre longtemps sans être détectée.
Les affaires récentes de lutte contre la fraude montrent que la sécurité vocale de demain doit aller au-delà de la question de savoir si quelqu’un attaque directement l’IP PBX. Un port réseau légitime, un appareil connecté à Internet et une route vocale techniquement valide peuvent tout de même créer un risque sérieux lorsqu’ils sont combinés d’une manière non autorisée.
Une architecture de sécurité VoIP fiable doit donc atteindre deux objectifs simultanément : les communications métier normales doivent se poursuivre avec un minimum de perturbations, tandis que les communications qui s’écartent des modèles attendus d’identité, d’appareil, de routage ou de comportement doivent être détectées, contenues et tracées le plus tôt possible.
Questions fréquentes
Lorsqu’une entreprise utilise un PBX cloud, la sécurité VoIP est-elle entièrement gérée par le fournisseur ?
Non. Un fournisseur cloud sécurise généralement l’infrastructure de la plateforme et certaines fonctions périmétriques, mais le client contrôle toujours les comptes utilisateurs, les privilèges administratifs, les terminaux, les droits d’appel et de nombreux paramètres du réseau interne. Les responsabilités de sécurité des deux parties doivent être clairement définies dans les accords de service et d’exploitation.
À quelle fréquence un système VoIP doit-il faire l’objet d’un audit de sécurité ?
Il n’existe pas d’intervalle unique adapté à tous les environnements. Les organisations qui ajoutent fréquemment des postes, des trunks SIP ou des terminaux distants doivent prévoir des audits de configuration réguliers et effectuer des contrôles supplémentaires après les mises à niveau logicielles majeures, les refontes réseau, les migrations d’opérateur ou les incidents de sécurité.
Comment accorder un accès distant à un prestataire tiers chargé de maintenir un IP PBX ?
Une approche plus sûre consiste à utiliser des comptes temporaires, un accès VPN ou un bastion contrôlé, avec des restrictions sur l’origine, la fenêtre temporelle et le périmètre d’administration. L’accès doit être désactivé une fois la maintenance terminée, et l’activité de connexion ainsi que les modifications de configuration doivent être conservées à des fins d’audit. Les mots de passe administrateur partagés à long terme doivent être évités.
Une entreprise doit-elle conserver à long terme des captures complètes de paquets VoIP ?
En général, non. Le stockage continu de l’ensemble du trafic vocal peut créer d’importantes contraintes de stockage, de confidentialité et de conformité. Une approche plus pratique consiste à conserver à long terme les journaux et CDR nécessaires, puis à effectuer des captures de paquets contrôlées sur des interfaces, des sessions ou des fenêtres temporelles précises lors d’un dépannage ou d’une investigation de sécurité.
