Fraude telefónico en Asterisk: cómo proteger tu centralita

El fraude telefónico en Asterisk sigue siempre el mismo guion: un viernes por la tarde todo funciona, y el lunes el operador te avisa de que has consumido el saldo, o te llega una factura con miles de minutos a países a los que nunca llamas. Nadie ha entrado en la oficina. Alguien ha encontrado tu centralita en Internet y la ha usado como si fuera suya. En esta guía explicamos cómo lo hacen, cómo saber si estás expuesto y qué hay que configurar para que no te pase.

Qué es el fraude telefónico en una centralita Asterisk

El atacante busca una centralita desde la que pueda sacar llamadas. Cuando la tiene, llama de forma masiva a numeración internacional de tarificación alta, de la que cobra una parte por cada minuto. En el sector se llama toll fraud o fraude de reparto de ingresos internacionales (IRSF). No necesita robar datos ni tumbar el servicio: le basta con que tu centralita curse las llamadas y tú las pagues.

No es un problema menor ni raro. La encuesta de la asociación CFCA cifró las pérdidas por fraude en telecomunicaciones en casi 40.000 millones de dólares en 2021, y el asalto a centralitas IP aparece entre los métodos más usados. Los robots que rastrean Internet buscando servidores SIP no descansan: cualquier Asterisk con el puerto 5060 abierto recibe intentos de registro a los pocos minutos de encenderse.

Cómo entran: los fallos que se repiten

• Contraseñas SIP débiles. Extensión 101 con contraseña 101, 1234 o el nombre de la empresa. Un ataque de diccionario las saca en minutos.
• Llamadas sin autenticar. Un endpoint anonymous en PJSIP (o allowguest=yes en el antiguo chan_sip) que cae en un contexto con salida a la calle.
• Dialplan sin separar. Las llamadas que entran por el trunk comparten contexto con las rutas salientes, y quien llama desde fuera puede marcar hacia fuera.
• Interfaz web expuesta. El panel de FreePBX, Issabel o Elastix accesible desde cualquier IP y sin parches. Quien entra ahí crea su propia extensión.
• Buzón de voz y DISA. PIN por defecto y opción de devolver llamadas o marcar desde el buzón.
• Ficheros de aprovisionamiento. Las configuraciones de los teléfonos, con usuario y contraseña SIP, servidas por HTTP o TFTP sin protección.

Las distribuciones sin mantenimiento multiplican el riesgo, porque suman fallos conocidos a todo lo anterior. Lo contamos en qué hacer con Elastix e Issabel sin soporte.

Seguridad en Asterisk: 10 medidas que cierran la centralita

1. Cortafuegos con lista blanca. El puerto SIP solo debe aceptar las IP de tu operador y las de tus sedes. Cambiar el 5060 por otro puerto reduce el ruido, pero no es una medida de seguridad.
2. Usuarios remotos por VPN o TLS. Si hay teletrabajo, mejor una VPN que abrir el registro SIP a todo Internet.
3. Contraseñas SIP largas y aleatorias. 16 caracteres o más, distintas por extensión, y un nombre de usuario que no sea el número de la extensión.
4. Nada de llamadas anónimas con salida. Si necesitas el endpoint anonymous, que caiga en un contexto que solo llegue a extensiones internas. En chan_sip, allowguest=no y alwaysauthreject=yes.
5. Contextos separados. Uno para lo que entra por el trunk, otro para las extensiones, y las rutas salientes solo en el segundo.
6. Destinos internacionales cerrados por defecto. Abre solo los países a los que llamas de verdad y bloquea la tarificación especial.
7. Límites. Máximo de llamadas simultáneas por extensión y un tope de gasto diario o saldo de prepago con tu operador.
8. Fail2ban leyendo el registro de seguridad de Asterisk, para vetar las IP que fallan al registrarse.
9. Gestión cerrada al exterior. Panel web, SSH, AMI (5038) y ARI (8088) solo desde la red interna o la VPN.
10. Actualizaciones y revisión. Parches del sistema y de Asterisk al día, y un vistazo periódico a los CDR fuera de horario.

El dialplan es la última barrera

Aunque fallen las contraseñas, un dialplan bien separado limita el daño. La documentación oficial de Asterisk lo resume en una norma: usar los contextos para aislar los servicios de salida de cualquier conexión entrante, y no poner nunca rutas de pago en el contexto default (Dialplan Security). Si en tu extensions.conf hay un patrón que acepta cualquier número en el mismo contexto donde aterrizan las llamadas de fuera, ese es el primer cambio que hay que hacer.

Por qué Fail2ban no es suficiente

Fail2ban reacciona después de varios intentos fallidos desde una misma IP. Los ataques actuales reparten los intentos entre muchas direcciones y van despacio, así que parte del tráfico pasa por debajo del umbral. Además, no protege de una contraseña ya robada ni de una llamada que tu configuración acepta sin autenticar. Úsalo, pero como segunda capa detrás del cortafuegos.

Cómo comprobar si tu centralita está expuesta

Con acceso a la consola de Asterisk puedes hacer una primera revisión en diez minutos:

El registro de seguridad no viene activado en todas las instalaciones: se enciende en logger.conf con una línea security => security. Sin él, Fail2ban no tiene nada que leer. Y si ya exportas los CDR para dimensionar líneas, como contamos en cuántos canales SIP trunk necesita un call center, aprovecha el mismo fichero para revisar los destinos.

Qué hacer si ya te han hackeado la centralita

1. Corta la salida. Desactiva las rutas internacionales o pide a tu operador que las bloquee. Lo primero es parar el gasto.
2. Guarda las pruebas. Copia los CDR, el registro de seguridad y la configuración antes de cambiar nada.
3. Cambia todas las contraseñas. SIP, panel web, AMI, buzones y SSH. Todas, no solo la de la extensión usada.
4. Busca lo que hayan dejado. Extensiones o trunks que no creaste, desvíos, tareas programadas y usuarios nuevos en el panel.
5. Avisa al operador y denuncia. Pide el detalle de las llamadas y presenta denuncia con él. El 017 de INCIBE orienta a empresas de forma gratuita.
6. Cierra el agujero antes de reabrir. Aplica las medidas de arriba; si solo cambias la contraseña, volverán.

Sobre quién paga: lo normal es que el contrato con el operador haga responsable al cliente del tráfico cursado con sus credenciales, así que revisa el tuyo y no cuentes con que la factura se anule. Por eso el tope de gasto importa tanto como el cortafuegos: convierte un susto de miles de euros en uno de decenas.

Mantener tu Asterisk o pasar a centralita virtual

Un Asterisk bien cerrado y mantenido es tan seguro como cualquier otra plataforma. El problema es el servidor que alguien montó hace años y nadie revisa. Si quieres conservarlo, necesita a alguien que lo vigile: es lo que hacemos en el soporte de Asterisk, que empieza con una auditoría. Si no quieres tener un servidor expuesto a tu cargo, con la centralita virtual la plataforma y su seguridad son cosa nuestra. Si no sabes en qué estado está la tuya, escríbenos y la miramos.

Escrito por Dídac Fernández, fundador de Osterisk.