Fraude SIP : le piratage VOIP qui vide un compte de 30 000€ en une nuit

La fraude SIP, aussi appelée toll fraud ou détournement de péage télécoms, suit toujours le même tempo. L'attaque ne se déclenche presque jamais un mardi à 10h du matin. Elle commence le vendredi en fin de journée, un samedi, ou la veille d'un pont. La raison est simple : le fraudeur veut que la fenêtre d'exploitation soit la plus longue possible avant qu'un humain ne remarque l'anomalie sur la facturation.

Le scénario type se déroule en quatre temps. D'abord, l'attaquant scanne Internet à la recherche de serveurs SIP exposés : un PABX hébergé sans pare-feu correct, un port 5060 ouvert, une interface d'administration accessible. Ensuite, il force un compte d'extension VOIP par attaque par dictionnaire : les mots de passe à quatre chiffres identiques au numéro d'extension restent malheureusement fréquents. Une fois le compte compromis, le fraudeur enregistre un softphone et déclenche des centaines d'appels simultanés vers des numéros à tarification majorée (premium rate) situés dans des pays comme la Lettonie, la Somalie, Cuba ou certaines îles du Pacifique.

Ces numéros surtaxés appartiennent souvent au fraudeur lui-même, ou à un complice qui touche une rétrocommission sur chaque minute consommée. En quelques heures, plusieurs milliers d'euros de communications transitent. Le compteur tourne jour et nuit, en parallèle sur des dizaines de canaux. Quand le prestataire ou le client découvre l'anomalie le lundi matin, la facture peut déjà dépasser les 30 000€.

C'est le cœur du problème, et la réponse surprend toujours. Contrairement à une fraude bancaire que la banque rembourse souvent, les communications frauduleuses ont réellement transité par le réseau. L'opérateur grossiste qui achemine ces appels a lui-même payé les opérateurs en bout de chaîne, jusqu'au pays de destination. Du point de vue technique et contractuel, le service a été rendu.

Résultat : l'opérateur réclame le paiement de ces minutes au prestataire télécoms qui revend le service. Les conditions générales des grossistes SIP prévoient quasi systématiquement que le titulaire du compte est responsable de tout trafic émis, frauduleux ou non. La charge financière remonte donc mécaniquement vers le prestataire, qui se retrouve débiteur d'une somme qu'il n'a ni générée ni encaissée.

Le piège de la fraude SIP, c'est qu'il n'existe pas de tiers solvable à qui faire porter la perte : ni le grossiste, ni le client, ni l'assureur télécoms du réseau. Sans garantie dédiée, c'est le prestataire qui absorbe le choc.

Deux issues se présentent alors. Soit le prestataire avait sécurisé correctement le compte client (limitation géographique des appels, plafonds de dépense, blocage des destinations surtaxées) et il pourra négocier une remise commerciale avec son grossiste. Soit la sécurisation était insuffisante, et il devra assumer la totalité tout en s'exposant à un recours de son propre client.

Une fraude SIP active souvent deux garanties distinctes, et c'est ce qui la rend particulièrement coûteuse pour un prestataire mal couvert.

D'un côté, la perte directe : la facture de communications surtaxées que réclame le grossiste. C'est un préjudice financier propre subi par le prestataire. C'est la garantie Cyber qui intervient ici, via la prise en charge des frais de communications frauduleuses et des frais de remédiation (audit du PABX, reconfiguration, changement des identifiants).

De l'autre, le recours du client final. Si l'entreprise cliente a vu son propre compte VOIP détourné parce que le prestataire n'avait pas activé les blocages de sécurité, elle peut invoquer une faute professionnelle dans le déploiement ou la maintenance. C'est cette fois la responsabilité civile professionnelle qui est sollicitée, au titre des dommages immatériels causés au client.

Concrètement, pour un prestataire indépendant exposé à ce risque, la combinaison RC Pro plus Cyber démarre autour de 14,90€/mois. Le coût d'un sinistre, lui, se compte en dizaines de milliers d'euros. Vous trouverez le détail des couvertures adaptées à votre activité sur la page assurance des services télécoms.

Aucune assurance ne remplace une infrastructure correctement durcie. Les bonnes pratiques suivantes limitent l'exposition, et certaines sont examinées lors de la souscription Cyber :

• Blocage par défaut des destinations internationales surtaxées : n'ouvrir que les pays réellement appelés par le client, sur liste blanche explicite.
• Plafonds de dépense quotidiens et alertes en temps réel : une coupure automatique au-delà d'un seuil arrête l'hémorragie en quelques minutes plutôt qu'en deux jours.
• Mots de passe d'extension robustes et uniques : bannir les codes calqués sur le numéro d'extension, imposer une longueur minimale et la rotation.
• Restriction des plages IP autorisées à s'enregistrer sur le trunk SIP, plutôt qu'une exposition ouverte sur Internet.
• Surveillance du trafic hors heures ouvrées : un pic d'appels un dimanche à 3h du matin doit déclencher une alerte immédiate.

Documenter ces mesures n'est pas qu'une formalité technique : en cas de sinistre, elles constituent la preuve que le prestataire a agi en professionnel diligent, ce qui facilite l'indemnisation et désamorce les recours.

Le temps de réaction conditionne directement le montant final. Voici la marche à suivre dès qu'une fraude SIP est suspectée :

1. Couper immédiatement le trunk SIP concerné ou suspendre le compte d'extension compromis. Chaque minute écoulée alourdit la facture.
2. Contacter le grossiste en urgence pour demander le gel des appels sortants et signaler la fraude par écrit (l'horodatage du signalement compte dans la négociation ultérieure).
3. Conserver l'intégralité des logs : CDR (Call Detail Records), journaux d'enregistrement SIP, adresses IP sources. Ce sont les pièces du dossier d'indemnisation et d'un éventuel dépôt de plainte.
4. Déclarer le sinistre à l'assureur Cyber sans attendre, idéalement le jour même. Les contrats imposent des délais courts et la cellule d'assistance peut orienter la remédiation.
5. Déposer plainte et, si des données personnelles ont pu être exposées, évaluer l'obligation de notification à la CNIL sous 72 heures.

Un prestataire organisé, qui dispose d'une procédure écrite et d'une garantie Cyber active, transforme un sinistre potentiellement fatal en incident géré. C'est toute la différence entre une trésorerie qui encaisse et une entreprise qui ferme.