Cómo prevenir el fraude telefónico en una centralita VoIP

El fraude telefónico combina credenciales y rutas mal protegidas

Una cuenta comprometida, una extensión expuesta o una regla de salida demasiado amplia puede permitir llamadas que la empresa no esperaba. El riesgo no se limita al importe: también puede afectar a la disponibilidad de la centralita y a la capacidad de atender llamadas legítimas.

Empieza con un mapa de centralitas, SBC, troncales SIP, extensiones, integraciones, proveedores, sedes y destinos permitidos. Identifica quién puede cambiar el enrutamiento y quién recibe alertas del operador.

Reduce lo que cada identidad puede marcar

• Asigna permisos de llamada según función y necesidad: nacional, internacional, números especiales u otros destinos autorizados.
• Deshabilita clases de servicio y rutas que no se utilicen; crea excepciones nominativas, aprobadas y revisables.
• Protege paneles de administración, interfaces web y accesos remotos con autenticación fuerte, redes de gestión restringidas y cuentas individuales.
• Mantén firmware y software soportados; revisa la exposición de SIP y limita el origen de señalización a los proveedores y redes esperados cuando la arquitectura lo permita.
• Usa credenciales únicas y robustas para extensiones y troncales, y cambia las afectadas ante sospecha de exposición.
• Coordina límites de gasto, destinos y notificaciones con el operador. Un límite duro puede cortar llamadas válidas, así que documenta excepciones y contacto de emergencia.

Los nombres de las funciones varían por fabricante. Cisco documenta controles específicos como clases de servicio, restricciones de clase y prevención de fraude en gateways; no asumas que esos nombres o configuraciones se aplican a otra plataforma.

Detecta patrones, no solo facturas altas

Define alertas para destinos nuevos o raros, picos fuera del horario habitual, volumen concurrente inesperado, intentos repetidos de registro SIP y cambios de configuración no planificados. Correlaciona CDR con identidad, dirección de origen, troncal, sede y ventana temporal.

Antes de automatizar un bloqueo, valida el efecto en llamadas de emergencia, atención al cliente, guardias y continuidad entre sedes. Una señal debe generar una acción clara: revisión, bloqueo de una extensión, limitación temporal de una ruta o contacto inmediato con el operador.

Si aparece una actividad sospechosa

1. Abre un incidente y conserva CDR, alertas, registros de autenticación y cambios de configuración.
2. Delimita extensiones, troncales, destinos y periodo afectados.
3. Revoca o cambia credenciales implicadas y restringe la ruta comprometida con aprobación operativa.
4. Confirma con el operador si puede suspender destinos o aplicar límites temporales.
5. Verifica llamadas válidas y servicios críticos después de la contención.
6. Documenta costes, alcance, causa probable y controles que faltaban; no atribuyas el caso hasta tener evidencia.

Relaciona estos controles con las pruebas de continuidad SIP y SBC entre sedes.

Referencias

• Cisco: guía de seguridad y prevención del toll fraud en Unified CCE
• Cisco: Toll Fraud Prevention para Unified CME