Toll fraud voorkomen: praktische maatregelen voor VoIP-aanbieders

Hoe werkt toll fraud?

De aanvaller zoekt een manier om gesprekken op te zetten op uw kosten. Veelvoorkomende routes zijn:

• raden of stelen van het wachtwoord van een SIP-account;
• misbruik van een slecht beveiligde telefooncentrale bij een klant;
• een gehackt klantportaal waarin doorschakelingen worden aangepast;
• misbruik van voicemail met doorkiesfunctie.

Het gebeurt vaak 's nachts of in het weekend, als niemand meekijkt. Binnen een paar uur kunnen veel dure gesprekken zijn gevoerd.

Wat heeft de Cbw ermee te maken?

De Cbw zegt niets specifieks over toll fraud. Maar de zorgplicht vraagt passende maatregelen tegen de risico's voor uw netwerk- en informatiesystemen (artikel 21 Cbw). Voor een VoIP-aanbieder is misbruik van SIP-accounts een bekend risico. Het hoort dus in uw risicoanalyse.

Ook de meldplicht kan gelden. Een incident is significant als het onder meer financiële verliezen voor uw bedrijf of aanzienlijke schade bij anderen veroorzaakt of kan veroorzaken (artikel 25, tweede lid, Cbw). De Regeling cyberbeveiliging EZK noemt daarnaast aantasting van de echtheid of vertrouwelijkheid van gegevens als criterium bij grotere aantallen gebruikers. Beoordeel daarom bij elk fraudegeval of het meldplichtig is en leg vast waarom wel of niet. Meer in Meldplicht bij een incident.

Maatregelen op uw platform

Limieten en bestemmingen

• Bestedingslimiet per account of klant. Bij overschrijding wordt het account automatisch geblokkeerd of beperkt.
• Bestemmingen standaard dicht. Zet dure internationale bestemmingen en betaalnummers alleen open als de klant erom vraagt.
• Gelijktijdige gesprekken beperken. Een klant met vijf toestellen heeft geen veertig gelijktijdige gesprekken nodig.
• Tijdvensters. Overweeg strengere limieten buiten kantoortijden.

Accounts en registratie

• Sterke, unieke SIP-wachtwoorden, automatisch gegenereerd. Nooit het toestelnummer of een standaardwaarde.
• Registratie beperken tot bekende IP-adressen waar dat kan, bijvoorbeeld bij SIP-trunks.
• Blokkeren na mislukte pogingen. Zet een limiet op het aantal mislukte registraties per bron.
• Portaal met MFA, zeker voor wijzigingen in doorschakelingen en bestemmingen. Zie MFA en beheertoegang.

Monitoring

• Alarm bij afwijkend belgedrag: veel gesprekken naar nieuwe landen, korte gesprekken in hoog tempo, of gesprekken op ongebruikelijke tijden.
• Een storingsdienst die het alarm ook 's nachts ziet en mag blokkeren.
• Logbestanden die u bewaart en beschermt tegen wijziging. Dat vraagt artikel 8, zesde lid, van het Cyberbeveiligingsbesluit voor beveiligingsrelevante gebeurtenissen.

Maatregelen samen met uw klanten

Veel fraude begint bij apparatuur van de klant. U kunt daar niet alles regelen, maar wel helpen:

• leg in uw voorwaarden vast wie verantwoordelijk is voor beveiliging van eigen centrales en toestellen;
• geef klanten een korte instructie voor veilige wachtwoorden en updates;
• bied standaard een bestedingslimiet aan;
• informeer klanten snel als u misbruik ziet. Bij een significante cyberdreiging vertelt u getroffen klanten welke maatregelen zij zelf kunnen nemen (artikel 30, tweede lid, Cbw).

Wat doet u als het toch gebeurt?

1. Blokkeer het account of de bestemming direct.
2. Leg het tijdstip van ontdekking vast en bewaar logbestanden en gespreksgegevens.
3. Beoordeel of het incident significant is. Is het dat, dan start de termijn van 24 uur.
4. Informeer de klant en zoek samen de oorzaak.
5. Neem contact op met uw carrier over de gesprekken en mogelijke blokkades.
6. Pas uw maatregelen aan en leg vast wat u heeft geleerd (artikel 8 Cbb vraagt dat u leert van incidenten).

Meer over de risico's van telefonie leest u in NIS2 voor VoIP-aanbieders.

Veelgestelde vragen

Is toll fraud altijd een meldplichtig incident?

Niet altijd. Het hangt af van de gevolgen: ernstige verstoring, financiële verliezen of aanzienlijke schade bij anderen. Beoordeel elk geval en leg uw afweging vast.

Wie betaalt de schade van toll fraud?

Dat hangt af van uw contracten en de situatie. De Cbw regelt dat niet. Leg de verantwoordelijkheden vooraf duidelijk vast in uw voorwaarden en vraag bij twijfel juridisch advies.

Wat is de snelste maatregel met veel effect?

Een automatische bestedingslimiet per account, samen met dure bestemmingen standaard dicht. Daarmee beperkt u de schade, ook als een wachtwoord toch uitlekt.