FRAUDE TELEFÓNICO

https://cybercamp.es
 Sobre mi

Jose Luis Verdeguer (aka Pepelux)

๏ Ingeniero Técnico de Sistemas Informáticos por la U.A.

๏ Máster en Desarrollo y Programación de Apps y Servicios Web
๏ CTO en Zoonsuite (operador de VoIP)
๏ Ponente en diferentes congresos nacionales:
RootedCon, NavajaNegra, ConectaCon, GSICKMinds,
NoConName, MorterueloCon, Hackron, Voip2Day
๏ Autor del libro Hacking y Seguridad VoIP (de 0xWORD)

@pepeluxx
 Agenda

VoIP
๏ ¿ Qué es ?
๏ ¿ La usamos habitualmente ?
๏ ¿ Diferencias con la telefonía convencional ?

Fraude telefónico
๏ ¿ Cómo se comete ?
๏ ¿ Quién ? ¿ Por qué ?
๏ ¿ Es fácil detectarlo ?

@pepeluxx
¿Qué es la VoIP?

@pepeluxx
 ¿Qué es la VoIP?

VoIP = Voz sobre el protocolo de Internet

๏ Comunicación a través de paquetes de datos

๏ Los dispositivos usan códecs para codificar la voz

๏ Tráfico a través de redes IP

@pepeluxx
¿Qué es la VoIP?

Muchas veces usamos VoIP sin saberlo

@pepeluxx
¿Qué es la VoIP?

@pepeluxx
 ¿Qué es la VoIP?

Otras aplicaciones que vemos habitualmente:

๏ Servicios de Click2call

๏ Pasarelas y servicios de Callback

๏ Integración con CRMs

@pepeluxx
 ¿Qué es la VoIP?

Principales ventajas:

๏ ‘Hacer cosas’ que no podemos hacer con la

telefonía convencional

๏ Movilidad geográfica

๏ Ahorro de costes

@pepeluxx
 Evolución de la VoIP

Telefonía convencional

@pepeluxx
 Evolución de la VoIP

Solución mixta

@pepeluxx
 Evolución de la VoIP

Telefonía VoIP de extremo a extremo

@pepeluxx
Estructura

@pepeluxx
 Sistema de VoIP

¿ Cómo funciona un sistema de VoIP?

@pepeluxx
 Fases en una comunicación VoIP

Signaling (señalización)

๏ Sintaxis muy similar al HTTP

๏ Autenticación DIGEST
๏ Diferentes tipos de mensajes:
๏ REGISTER
๏ INVITE
๏ OPTIONS
๏ UPDATE
๏ CANCEL
๏ Protocolo SDP (asociado a SIP)

@pepeluxx
 Fases en una comunicación VoIP

Media session (transmisión de audio)

๏ Protocolo RTP:
๏ RTP
๏ SRTP
๏ ZRTP
๏ Diferentes tipos de códec:
๏ G.729
๏ G.711
๏ G.723
๏ GSM

@pepeluxx
VoIP

@pepeluxx
Tipos de fraude

@pepeluxx
Objetivos del atacante

@pepeluxx
Casos reales

@pepeluxx
Casos reales

@pepeluxx
Casos reales

@pepeluxx
 Casos reales

Entre Oct/2009 y Feb/2010

๏ 23.500 llamadas
๏ 315.000 min en llamadas a nº premium
๏ Uso personal

Hasta Dic/2010 (a través de Shadow Communications)

๏ 1.541.187 llamadas efectuadas
๏ 11.094.167 min consumidos
๏ 11.000.000 € defraudados

@pepeluxx
Casos reales

@pepeluxx
 Casos reales

El “empresario”
๏ Edwin Pena, 23 años (en 2004)
๏ Venezolano con residencia en Miami
๏ Facturación a través de sus 2 empresas:
๏ Fortes Telecom Inc.
๏ Miami Tech & Consulting Inc.

@pepeluxx
 Casos reales

El “técnico”
๏ Robert Moore, 20 años (en 2004)
๏ Programador estadounidense
๏ Dedicado a la parte ‘técnica’:
๏ Localizar operadores vulnerables
๏ Creación de cuentas falsas

@pepeluxx
 Casos reales

Jun/2006
๏ Más de 15 empresas hackeadas
๏ 10.000.000 min consumidos
๏ $ 1.000.000 en beneficios para los atacantes

@pepeluxx
 Centralitas de VoIP

¿ Por qué decide una empresa cambiar a VoIP ?

๏ Integración con otros sistemas (CRM, c2c, …)

๏ Movilidad geográfica

๏ Bajos costes en llamadas

@pepeluxx
 Centralitas de VoIP

¿ Por qué decide una empresa cambiar a VoIP ?

@pepeluxx
 Centralitas de VoIP

Principales problemas

๏ ¿ Quién monta la centralita ?

๏ ¿ Qué puertos abro al exterior?

๏ ¿ Política de llamadas ?

๏ ¿ Canales concurrentes ?

@pepeluxx
Centralitas de VoIP

@pepeluxx
 Ejemplo

Llamadas a móviles de Senegal =~ 0.50 € / min

๏ 10 canales = 10 llamadas simultáneas
๏ Fin de semana = 2x24x60 = 2.880 min
๏ 2.880x10 = 28.800 min en llamadas
๏ 28.800x0.50 = 14.400 € (+ IVA)

¿ Y si las llamadas son a nº premium (=~ 2 € / min) ?

@pepeluxx
Abuso de INVITEs

@pepeluxx
Abuso de INVITEs

@pepeluxx
Abuso de INVITEs

@pepeluxx
 Abuso de INVITEs

Mensaje REFER

@pepeluxx
Abuso de INVITEs

@pepeluxx
Abuso de INVITEs

@pepeluxx
Operadores de VoIP

@pepeluxx
Operadores de VoIP

@pepeluxx
 Operadores de VoIP

Principales problemas

๏ Diferentes servicios internos

๏ Diferentes servicios a clientes

๏ ¿ Política de llamadas ?

@pepeluxx
 Operadores de VoIP

Doble responsabilidad

๏ Prevenir y protegernos de posibles ataques

๏ Proteger a nuestros clientes (en la medida de lo posible)

๏ Establecer topes de consumo
๏ Detectar comportamientos extraños

@pepeluxx
 Operadores de VoIP

Otros servicios

@pepeluxx
Honeypots

๏ Estudiar los tipos de ataques

๏ Conocer las IPs de los atacantes

๏ Aprender nuevas técnicas

@pepeluxx
Honeypots
Del 15/Junio al 15/Noviembre

@pepeluxx
Honeypots

@pepeluxx
Honeypots

@pepeluxx
Honeypots

@pepeluxx
Honeypots

@pepeluxx
Honeypots

@pepeluxx
Análisis
¿ Por qué hay tanto INVITE ?

@pepeluxx
 Análisis
Obtención de cuentas del sistema
๏ Necesidad de crackear el password
๏ Muchos registros en el sistema
๏ Bloqueo ante aplicaciones del tipo fail2ban
๏ Normalmente con 2 canales concurrentes
๏ Rápida detección

Abuso de mensajes INVITE

๏ Llamadas sin necesidad de autenticación
๏ Pocos registros en el sistema
๏ Salida directa a través del trunk del operador
๏ Más canales concurrentes

@pepeluxx
 Análisis
El negocio de los nº premium
๏ Nº fantasma
๏ Sólo llamadas a través de sistemas comprometidos
๏ Ahorro de costes:
๏ No se necesita inversión en personal
๏ No se necesita inversión en publicidad

@pepeluxx
 Análisis
El negocio ¿legal? de los nº premium
๏ ¿ Quieres saber si tu marido te engaña ?
๏ ¿ Cuánto le queda a tu suegra de vida ?
๏ ¿ Te gusta que te digan cochinadas por tfno ?

@pepeluxx
 Trazabilidad
Sistema comprometido

๏ IPs procedentes de diferentes países

๏ Destinos a móviles internacionales o nº premium

๏ ¿ Qué hacemos ?

@pepeluxx
 Trazabilidad
Identificación de llamadas

๏ ¿ Podemos identificar al emisor de la llamada ?

๏ Puede estar en cualquier ubicación geográfica

๏ ¿ Realmente el número es del que llama ?

๏ El identificador se puede alterar

@pepeluxx
 Trazabilidad
Llamada convencional

@pepeluxx
 Trazabilidad
Llamada mediante VoIP

@pepeluxx
Trazabilidad

@pepeluxx
 Conclusiones
La VoIP nos ofrece muchas ventajas

Al igual que en el resto de cosas …

… sólo hay que emplear el sentido común

Ser consciente de los posibles peligros …

… y prevenirlos para no llevarnos sustos

Ante un robo
๏ Podemos perder mucho en muy poco
๏ Será complicado identificar al atacante

@pepeluxx
 @pepeluxx

GRACIAS a Cybercamp, a Incibe y sobretodo a vosotros

Espero que os haya gustado :)