¿Puede una visita rutinaria para una “actualización gratuita de banda ancha”, una “optimización de red” o un “mantenimiento de equipos” convertirse en una puerta de entrada para el fraude de telecomunicaciones? ¿Puede un pequeño dispositivo conectado a la corriente y a Ethernet ayudar a disfrazar llamadas fraudulentas del extranjero como números locales? A medida que empresas y particulares dependen más de VoIP, ¿sigue siendo suficiente el identificador de llamadas para decidir si una llamada es confiable?
En un caso reciente de lucha contra el fraude, la sucursal de Fushun de China Unicom detectó actividad de comunicaciones sospechosa durante la supervisión rutinaria y posteriormente descubrió un dispositivo VoIP oculto relacionado con fraude de telecomunicaciones. Lo importante no era simplemente la presencia de la llamada “caja negra”, sino que este tipo de equipo podía utilizar acceso de banda ancha convencional, interfaces de red y funciones de conversión de voz para ocultar comunicaciones no autorizadas dentro de un tráfico IP aparentemente normal.
El caso pone de relieve un problema de seguridad que se ha vuelto más importante a medida que se extiende el uso de VoIP: cuando la telefonía pasa de líneas fijas a redes IP, la seguridad de las comunicaciones ya no puede centrarse únicamente en números telefónicos y circuitos físicos. También debe proteger cuentas de usuario, terminales, gateways, troncales SIP, enrutamiento de llamadas y toda la cadena de confianza de voz.
La cuestión real no es si VoIP es, por sí misma, segura o insegura. VoIP ya es una tecnología esencial para sistemas telefónicos empresariales, PBX en la nube, centros de contacto, trabajo remoto y comunicaciones unificadas. Lo que debe cambiar es la arquitectura de seguridad que la rodea. Una organización debe poder determinar qué dispositivos pueden conectarse, qué cuentas pueden registrarse, a qué destinos pueden llamar los usuarios, por qué gateways puede pasar una llamada y qué comportamientos de comunicación deben activar de inmediato una alerta de seguridad.
Controle qué dispositivos pueden acceder a la red de voz
Una de las capas más ignoradas de la seguridad VoIP existe incluso antes de que comience el registro SIP. Un teléfono IP, un ATA, un gateway de voz u otro dispositivo de voz conectado a la red solo necesita acceso a un puerto de switch, una dirección IP y una ruta de red alcanzable para poder, potencialmente, establecer comunicaciones.
Por ello, las organizaciones deben mantener un inventario completo de activos de voz. Cada teléfono IP, gateway SIP, SBC, IP PBX, terminal de conferencia y dispositivo de voz relacionado debe tener documentados el modelo, la dirección MAC, la dirección IP, la ubicación de instalación, el responsable y la finalidad empresarial. Los nuevos dispositivos deben requerir aprobación, en lugar de considerarse confiables simplemente por estar conectados a la red.
En entornos de mayor tamaño, los terminales VoIP pueden colocarse en VLAN de voz dedicadas y combinarse con 802.1X, NAC, autenticación MAC o políticas de puerto del switch para restringir dispositivos desconocidos. Que un ordenador de oficina tenga permitido acceder a Internet no significa que el mismo puerto físico deba permitir que cualquier gateway de voz alcance servidores SIP externos.
Las sucursales, salas de equipos sin supervisión, armarios de cableado y puertos de red accesibles en zonas públicas merecen especial atención. Los recientes fraudes basados en “mantenimiento in situ” o “actualizaciones gratuitas de red” demuestran que la seguridad de las comunicaciones abarca ahora tanto la ciberseguridad como el control de acceso físico.
La primera línea de defensa debería poder responder una pregunta muy sencilla: ¿Quién instaló cada dispositivo de voz que está actualmente conectado a la red y por qué está allí?
Lleve la seguridad de las cuentas SIP más allá de la gestión de contraseñas
Una vez que los dispositivos están conectados a la red, la siguiente capa de riesgo afecta a las cuentas SIP. Muchos ataques VoIP no necesitan una vulnerabilidad de software avanzada. Una contraseña de extensión utilizada durante mucho tiempo, una cuenta de administrador predeterminada o una cuenta de softphone aún activa perteneciente a un antiguo empleado pueden bastar para crear un punto de entrada.
Por ello, una extensión SIP no debería gestionarse simplemente como “un número de teléfono y una contraseña”. Debe formar parte del ciclo de vida de identidad de la organización. La creación, autorización, uso y desactivación de cuentas necesitan controles claramente definidos. Cuando un empleado deja la empresa, cambia de función o finaliza un trabajo como contratista, sus permisos de voz deben cambiar en consecuencia.
Los softphones expuestos a Internet, los agentes remotos y las cuentas administrativas pueden protegerse aún más mediante autenticación multifactor, vinculación de dispositivos, certificados de cliente, restricciones de dirección de origen o acceso VPN. Las cuentas administrativas usadas para gestionar una IP PBX o un SBC mediante una interfaz web también deben mantenerse separadas de las extensiones SIP normales, y el acceso de administración debe limitarse a redes confiables.
La política de contraseñas no debe centrarse solo en la complejidad. Las organizaciones también deben evitar que varios terminales compartan las mismas credenciales a largo plazo y deben supervisar comportamientos de registro anómalos. Si una cuenta empieza de repente a registrarse desde varios países, sistemas autónomos desconocidos o múltiples dispositivos no reconocidos, ese hecho por sí solo justifica una investigación adicional.
El objetivo no es complicar innecesariamente el registro SIP, sino establecer una relación trazable entre la cuenta, el usuario y el dispositivo autorizado.
Sitúe todo el tráfico de voz externo detrás de un perímetro controlado
Los sistemas telefónicos empresariales suelen conectarse a troncales SIP de operadores, servicios UC en la nube, sucursales remotas y usuarios móviles. Si una IP PBX expone directamente a Internet una amplia gama de servicios SIP, la superficie de ataque del entorno de voz interno puede crecer rápidamente.
Por ello, un SBC debe actuar como un punto de control principal en el perímetro de voz. Puede determinar qué sesiones SIP están autorizadas a entrar o salir de la empresa, inspeccionar direcciones de origen, métodos SIP, concurrencia, tasas de sesión y rangos de numeración, y ocultar la topología SIP interna frente a redes externas.
Un diseño de perímetro razonable también debe incluir ACL de firewall, limitación de velocidad y protección frente a DoS. Los puertos de administración que no tengan una necesidad empresarial pública no deben quedar expuestos. Si los servicios SIP solo necesitan comunicarse con operadores o plataformas en la nube concretos, hay pocas razones para aceptar sesiones desde todo Internet.
Un error habitual merece especial atención: abrir temporalmente un gran número de puertos para “hacer que los teléfonos funcionen” y dejar después esas reglas activas cuando el sistema entra en producción. Una excepción temporal para solucionar problemas puede convertirse fácilmente en una debilidad de seguridad permanente.
El verdadero valor de un SBC no consiste únicamente en facilitar el paso de SIP a través de NAT. Proporciona a la organización un perímetro de seguridad de voz claramente definido:
Red de voz interna
→ Perímetro SIP controlado
→ Operador o plataforma en la nube autorizados
→ PSTN y redes de comunicaciones externas
Cualquier sesión de voz externa que necesite eludir esta ruta debe tener una razón empresarial clara y documentada.
Aplique el principio de mínimo privilegio a los permisos de llamada
Muchas organizaciones protegen sus cuentas y redes, pero siguen pasando por alto uno de los riesgos VoIP más directos: una vez que una cuenta se ha registrado correctamente, ¿a qué destinos tiene realmente permitido llamar?
Si todas las extensiones pueden realizar por defecto llamadas nacionales de larga distancia, llamadas internacionales, llamadas de tarificación especial y llamadas a cualquier URI SIP, comprometer una sola cuenta de usuario normal proporciona, en la práctica, acceso a toda la capacidad de llamadas salientes de la organización.
Un enfoque más adecuado es definir la clase de servicio según el departamento y la función empresarial. Los usuarios administrativos que solo necesitan llamadas nacionales no requieren rutas internacionales. Los agentes de un centro de contacto que atienden un mercado concreto pueden limitarse a los rangos de numeración pertinentes. Los terminales sin supervisión que solo necesitan comunicarse con una sala de control determinada pueden utilizar una lista blanca de destinos.
Los límites de tiempo y uso pueden añadir otra capa de protección. Si una extensión de oficina que normalmente realiza pocas llamadas empieza de repente a hacer cientos de llamadas internacionales de madrugada, el sistema no debería seguir permitiendo esa actividad solo porque las credenciales sean válidas.
Los planes de marcación y el enrutamiento de troncales SIP también deben revisarse con regularidad. A medida que cambian las necesidades de negocio, las reglas de enrutamiento tienden a acumularse. Años después, el sistema puede seguir conteniendo troncales sin uso, prefijos de prueba o rutas internacionales temporales que nadie recuerda.
Toda política de llamadas debería poder responder al menos a tres preguntas:
¿Por qué este usuario tiene este permiso de llamada?
¿Por qué se permite este destino a través de esta troncal?
¿En qué momento debe el sistema bloquear la llamada o generar una alerta?
Cuanto más se ajusten los permisos de llamada a las necesidades reales del negocio, menor será el impacto potencial si una cuenta resulta comprometida.
Proteja la señalización SIP y los medios de voz mediante cifrado
Una vez establecidos los controles de identidad de dispositivo, acceso a cuentas y enrutamiento, la comunicación en sí todavía necesita protección. La señalización SIP sin cifrar puede exponer números de teléfono, Call-ID y otra información de sesión, mientras que RTP sin cifrar puede dejar los medios de voz expuestos a interceptación.
Cuando sea compatible, las empresas pueden utilizar TLS para proteger la señalización SIP y SRTP para asegurar los flujos de medios. Estas protecciones son especialmente importantes para empleados remotos, sucursales y conexiones de voz en la nube que atraviesan redes públicas.
Sin embargo, desplegar TLS implica mucho más que cambiar el puerto de 5060 a 5061. Es necesario considerar la confianza de los certificados, su caducidad, la validación de identidad del servidor, la protección de claves privadas y la compatibilidad con cifrado en las distintas troncales SIP.
SRTP también exige prestar atención a la negociación de claves y a la interoperabilidad. Si un SBC, un proxy de medios o una interconexión con un operador se encuentra en la ruta de llamada, una sola llamada de extremo a extremo puede quedar dividida en varios segmentos de seguridad. Que un terminal muestre “Secure Call” no demuestra automáticamente que toda la ruta a través de la PSTN esté protegida con el mismo nivel de cifrado.
Debe mantenerse un límite claro: el cifrado protege la señalización, los medios y el transporte. No sustituye la autenticación de cuentas, la autorización de dispositivos ni los permisos de llamada. Una cuenta robada pero válida puede seguir estableciendo una llamada maliciosa cifrada.
Supervise si el comportamiento de las comunicaciones es normal
Los controles de seguridad tradicionales son eficaces para identificar escaneos, intentos de registro por fuerza bruta, mensajes SIP malformados y un número excesivo de intentos de conexión. Sin embargo, el fraude VoIP real puede operar cada vez más mediante comunicaciones que parecen completamente válidas a nivel de protocolo.
En casos recientes de fraude relacionados con dispositivos de voz no autorizados, la actividad sospechosa se detectó mediante una supervisión continua de las comunicaciones, en lugar de esperar a un fallo del dispositivo o a una queja del usuario. El mismo principio es aplicable al VoIP empresarial.
Los sistemas de seguridad pueden analizar continuamente CDR, registros de registro SIP, números llamantes, números llamados, duración de las llamadas, concurrencia, tasas de fallo, patrones horarios y origen de los terminales. Cuando estos indicadores se desvían de forma significativa del comportamiento empresarial histórico, deben entrar en un flujo de investigación de fraude.
Por ejemplo, una extensión que normalmente realiza una docena de llamadas durante el horario laboral puede empezar de repente a marcar de forma continua después de medianoche. Un teléfono fijo de oficina puede aparecer desde una ubicación de red inusual. Una cuenta puede alternar repetidamente entre varios dispositivos en un breve periodo. Una troncal internacional utilizada rara vez puede comenzar de pronto a transportar un gran volumen de llamadas de corta duración.
Ninguna de estas señales demuestra por sí sola que exista fraude. Sin embargo, en conjunto pueden aportar pruebas valiosas de comportamiento anómalo.
La IA y los modelos antifraude son especialmente adecuados para esta capa de defensa. Su función no es simplemente determinar si un SIP INVITE es sintácticamente válido, sino evaluar si un conjunto de llamadas aparentemente legítimas tiene sentido dentro del contexto de la actividad empresarial normal.
Por tanto, la próxima generación de seguridad VoIP necesita dos capacidades complementarias:
la seguridad de protocolo determina si una sesión de comunicación está técnicamente autorizada a establecerse, mientras que la seguridad de comportamiento determina si esa comunicación debería existir en primer lugar.
Utilice registros, alertas y respuesta a incidentes para limitar rápidamente los daños
Cuando aparece actividad sospechosa, el primer reto suele no ser “¿cómo lo solucionamos?”, sino “¿qué ocurrió exactamente?”. Si un sistema telefónico solo conserva registros básicos de llamadas y no mantiene historial de registros SIP, inicios de sesión de cuentas ni cambios de enrutamiento, reconstruir un incidente puede resultar extremadamente difícil.
Como mínimo, los CDR deben permitir a los investigadores correlacionar el llamante, el destinatario, la marca de tiempo, la duración de la llamada, la troncal y el código de resultado. Las plataformas SIP deben conservar los registros necesarios de registro y autenticación, mientras que los SBC, firewalls y sistemas de gestión deben preservar los registros relevantes de seguridad y actividad administrativa.
Todos los sistemas también deben utilizar la hora NTP sincronizada. Si la IP PBX registra un evento a las 10:03, el SBC muestra las 10:07 y el firewall informa de las 09:59, los investigadores pueden tener dificultades para reconstruir la secuencia real de los hechos.
Más importante aún, las alertas deben conducir a una acción. Cuando un gasto internacional inusual supera un umbral, ¿el sistema se limita a enviar un correo electrónico o restringe inmediatamente las llamadas internacionales de esa cuenta? Si se detecta un registro anómalo, ¿la extensión sigue activa o exige una nueva autenticación? Si se descubre un gateway de voz desconocido, ¿quién es responsable de comprobarlo in situ?
Los entornos de alto riesgo pueden definir previamente un flujo de respuesta a incidentes:
Detectar actividad sospechosa
→ Restringir temporalmente la cuenta o la troncal
→ Conservar registros y evidencias del sitio
→ Verificar la identidad del dispositivo y del usuario
→ Evaluar el alcance del impacto
→ Eliminar configuraciones no autorizadas
→ Restaurar el servicio y revisar los controles de seguridad
Muchos incidentes de comunicaciones resultan costosos no porque fueran imposibles de detectar, sino porque la organización no logró contener la actividad con suficiente rapidez después de detectarla.
La ingeniería social debe tratarse como parte de la seguridad de voz
Los casos recientes de fraude VoIP también ponen de manifiesto un problema que los controles técnicos por sí solos no pueden resolver: incluso una red bien protegida puede quedar expuesta si alguien permite voluntariamente la instalación de un dispositivo desconocido.
Suplantar a un técnico de un operador, a un proveedor de equipos o a un ingeniero de servicios de red no es una forma nueva de ingeniería social. Lo que ha cambiado es que el uso generalizado de VoIP y otros dispositivos conectados facilita que estas tácticas creen un punto de entrada persistente en la red.
Por ello, el mantenimiento in situ debe corresponder a una orden de servicio legítima. Los empleados no deben confiar únicamente en uniformes, acreditaciones o un número de teléfono proporcionado por el visitante. La solicitud debe verificarse mediante un canal oficial de soporte del operador, un contacto conocido del proveedor o el departamento interno de TI de la organización.
Los ingenieros de terceros que entren en armarios de cableado, salas de servidores o conecten equipos a switches empresariales también deben quedar registrados y supervisados. Los gateways de prueba temporales, portátiles, ATA y dispositivos de diagnóstico deben retirarse cuando finalice el trabajo.
Esta es una de las partes más difíciles de la seguridad de las comunicaciones. Un control de red puede bloquear una dirección IP no autorizada, pero no puede impedir que un empleado abra una sala de equipos a alguien que cree que es un técnico legítimo. Por ello, los controles técnicos y los procedimientos operativos deben diseñarse conjuntamente.
La seguridad VoIP debe funcionar como un sistema de defensa continuo
VoIP ha transformado la telefonía tradicional en un entorno completo de comunicaciones IP, por lo que la seguridad de las comunicaciones no puede depender de un único producto. Desplegar un SBC, habilitar TLS o cambiar contraseñas SIP solo aborda una parte del problema.
Un modelo de seguridad más completo debe formar una cadena continua:
Los dispositivos son identificables
→ El acceso a la red está controlado
→ La identidad del usuario es confiable
→ Los límites SIP están definidos
→ Los permisos de llamada siguen el principio de mínimo privilegio
→ La señalización y los medios están protegidos
→ El comportamiento de las comunicaciones se supervisa de forma continua
→ Los registros permiten la trazabilidad
→ La actividad sospechosa puede aislarse rápidamente
Para una empresa, el valor de este enfoque no consiste en prometer que nunca ocurrirá nada anómalo. El objetivo es reducir tres probabilidades: que equipos no autorizados entren en el entorno, que comunicaciones sospechosas obtengan privilegios excesivos y que una actividad anómala continúe durante mucho tiempo sin ser detectada.
Los casos recientes de lucha contra el fraude muestran que la seguridad de voz futura debe mirar más allá de si alguien está atacando directamente la IP PBX. Un puerto de red legítimo, un dispositivo conectado a Internet y una ruta de voz técnicamente válida pueden seguir generando un riesgo grave si se combinan de forma no autorizada.
Por ello, una arquitectura de seguridad VoIP confiable debe lograr dos cosas al mismo tiempo: las comunicaciones empresariales normales deben continuar con la mínima interrupción, mientras que las comunicaciones que se desvíen de los patrones esperados de identidad, dispositivo, enrutamiento o comportamiento deben detectarse, contenerse y rastrearse lo antes posible.
Preguntas frecuentes
Si una empresa utiliza una PBX en la nube, ¿el proveedor gestiona por completo la seguridad VoIP?
No. Un proveedor de nube normalmente protege la infraestructura de la plataforma y algunas funciones perimetrales, pero el cliente sigue controlando las cuentas de usuario, los privilegios administrativos, los dispositivos terminales, los permisos de llamada y numerosas configuraciones internas de red. Las responsabilidades de seguridad de ambas partes deben definirse claramente en los acuerdos de servicio y operación.
¿Con qué frecuencia debe someterse un sistema VoIP a una revisión de seguridad?
No existe un único intervalo aplicable a todos los entornos. Las organizaciones que añaden con frecuencia extensiones, troncales SIP o terminales remotos deben incluir auditorías periódicas de configuración y realizar revisiones adicionales después de grandes actualizaciones de software, rediseños de red, migraciones de operador o incidentes de seguridad.
¿Cómo debe concederse acceso remoto a un proveedor externo que mantiene una IP PBX?
Un enfoque más seguro es utilizar cuentas temporales, acceso VPN o un host de salto controlado, con restricciones sobre el origen, la ventana temporal y el alcance administrativo. El acceso debe deshabilitarse cuando termine el mantenimiento y deben conservarse la actividad de inicio de sesión y los cambios de configuración con fines de auditoría. Deben evitarse las contraseñas de administrador compartidas a largo plazo.
¿Necesita una empresa almacenar a largo plazo capturas completas de paquetes VoIP?
Normalmente no. Almacenar continuamente todo el tráfico de voz puede generar importantes problemas de almacenamiento, privacidad y cumplimiento. Un enfoque más práctico es conservar a largo plazo los registros y CDR necesarios y realizar después capturas de paquetes controladas en interfaces, sesiones o ventanas temporales específicas cuando se solucionan problemas o se investiga un incidente de seguridad.
