VOIP misbruik: €22.000 lichter...

[Anoniem: 586127]

Hallo Allemaal,

Ik ben planner / ict'erbij een transportbedrijf in het midden van het land.
Wij zitten met ongeveer 25 man op kantoor, verdeeld over verschillende afdelingen (Planning, administratie, handel, etc.)

Wij hebben op zolder 2x HP RX-600 servers staan, draaiend met Windows Server 2008. Normaal gesproken word alleen op kantoor gewerkt, maar de planners (en de 2e vestiging) maken gebruik van een VPN om verbinding te maken met onze terminal server.

Daaronder hangt een Fox Novo Office VOIP centrale. Tot op heden nooit geen problemen mee gehad. Tot vandaag..

Vanochtend om 10:00 uur kreeg ik telefoon van KPN Security, dat er vanaf onze telefooncentrale bijzonder veel belverkeer naar landen op de 'zwarte lijst' ging. Ik kreeg het advies om de leverancier van de lijn (vodafone) te bellen, en dit te checken.
Zo gezegd zo gedaan. Echter was het moeilijk om de goeie persoon er aan te krijgen. Na 5x doorgeschakeld te worden heb ik de telefoon er maar op gegooid, om eerst maar eens ff te gaan roken.. ;

Nog geen 5 minuten daarna werd ik gebeld door Vodafone Security. Zij kwamen met hetzelfde verhaal, maar omdat zij onze leverancier is, kon ze me meer vertellen. Ze vertelde dat er extreem veel gebeld werd naar Nigeria. "Hoeveel is extreem veel?".. Nou, u tikt zojuist de €22.000 euro aan.

WTF ?

Meteen KPN zakelijk gebeld omdat zij leverancier van de centrale zijn, monteur met spoed langs gestuurd. (toen was het 16:00).

Laptopje uit de tas, bakkie d'r bij, en 5 minuten later was de oorzaak al duidelijk.

Voordat wij VOIP hadden, gebruikten we de centrale voor analoge lijnen. Toen de VOIP lijnen zijn geinstalleerd, zijn de analoge lijnen niet verwijderd. Deze zwerfden dus ergens op de centrale zonder toestel. Achter elke analoge lijn (8 stuks) zit een postbus. Wanneer de telefoon na 12 seconden niet word opgepakt, word de beller doorgestuurd naar *540 (postbus / voicemail). Echter in plaats van de voicemail, werd de beller doorgeschakeld "Naar een collega", waarbij het nummer van de collega zelf in te voeren is. Daar was dus zelf een nummer ingevoerd: 00023190201408.

De logs doorgespit, en inderdaad. 4011 uitgaande gesprekken in de afgelopen paar dagen.
***, we zijn de sjaak.

De Monteur heeft alles netjes gewijzigd, de problemen keurig opgelost en het probleem moet hierbij opgelost zijn.

Nu zit ik met een heeeeeleboel vragen waar geen mens me antwoord op kan geven. Misschien zitten hier wat voip-freaks, of andere slachtoffers van dit soort ellende.

1:
De Fox Novo Office centrale is niet van buitenaf bereikbaar. Je moet echt in ons netwerk zitten om wijzigingen in de centrale aan te brengen (remote support stond uitgeschakeld).
Hoe komen die mensen in onze centrale ? Ik heb al zitten denken dat 1 van de planners zijn laptop besmet heeft met een virus. Die mensen gebruiken allemaal een VPN verbinding. Dat lijkt me een open deur. ??

2:
Als ze dan eenmaal de wijzigingen in onze centrale hebben aangebracht, hoe kunnen ze er dan mee bellen terweil daar geen fysiek toestel aan hangt? Het toestelnummer (220) had geen extern nummer, en werd helemaal niet meer gebruikt. Van buitenaf niet bereikbaar dus, hoe word deze dan getriggerd om 4011 keer te bellen ?

3:
In hoeverre zijn wij hier aansprakelijk voor, en in hoeverre gaat Vodafone ons hier in helpen ? Juridisch gezien dan.. Die miep aan de telefoon zegt, 't jullie centrale, jullie ellende. doei doei!

4:
Het lijkt me verstandig hiervan aangifte te doen bij de politie, echter de kans dat ze me serieus nemen lijkt me klein. helemaal na het lezen van verhalen van anderen. Toch doen ?

5:
Wat kan ik nu het beste doen om te voorkomen dat alle instellingen morgen weer terug staan, en nigeria weer op ons succes meelift ?

6:
Onze vaste lijnen kosten gemiddeld rond de €300 euro in de maand. Waarom belt vodafone niet als er 1000, of 5000 euro word verbeld ? Is er een manier om hier melding van te krijgen wanneer belkosten > 500 euro bijvoorbeeld ?

7:
Ik kan in de telefooncentrale geen echte 'log' vinden. Zit er zoiets in?

Helaas heb ik ook beperkte kennis van Windows server 2008, maar tips zijn zeker welkom!

Alvast bedankt voor jullie informatie en antwoorden!

[ Voor 3% gewijzigd door Anoniem: 586127 op 19-03-2014 20:55 ]

[ResuCigam]

Anoniem: 586127 schreef op woensdag 19 maart 2014 @ 20:52:
1:
De Fox Novo Office centrale is niet van buitenaf bereikbaar. Je moet echt in ons netwerk zitten om wijzigingen in de centrale aan te brengen (remote support stond uitgeschakeld).
Hoe komen die mensen in onze centrale ? Ik heb al zitten denken dat 1 van de planners zijn laptop besmet heeft met een virus. Die mensen gebruiken allemaal een VPN verbinding. Dat lijkt me een open deur. ??

Als ik jouw verhaal zo lees is het helemaal niet nodig geweest de centrale aan te passen. Men heeft gewoon gebeld naar het niet meer actief gebruikte nummer en doorgeschakeld naar Nigeria.

2:
Als ze dan eenmaal de wijzigingen in onze centrale hebben aangebracht, hoe kunnen ze er dan mee bellen terweil daar geen fysiek toestel aan hangt? Het toestelnummer (220) had geen extern nummer, en werd helemaal niet meer gebruikt. Van buitenaf niet bereikbaar dus, hoe word deze dan getriggerd om 4011 keer te bellen ?

De analoge lijnen hebben een extern nummer waarop ze te bereiken waren en vandaar kon men zelf een nummer kiezen. Dat er intern geen nummer aan hangt doet er volgens mij niet veel toe behalve dat het daardoor mogelijk was een ander nummer in te voeren.

3:
In hoeverre zijn wij hier aansprakelijk voor, en in hoeverre gaat Vodafone ons hier in helpen ? Juridisch gezien dan.. Die miep aan de telefoon zegt, 't jullie centrale, jullie ellende. doei doei!

Zover ik het nu snap was het gewoon een configuratie fout of feature aan jullie kant. Wie heeft ooit besloten om de oude lijnen deze mogelijkheid te geven?

[Anoniem: 586127]

ResuCigam schreef op woensdag 19 maart 2014 @ 21:07:
Zover ik het nu snap was het gewoon een configuratie fout of feature aan jullie kant. Wie heeft ooit besloten om de oude lijnen deze mogelijkheid te geven?

We hebben een onderhoudscontract bij KPN voor de centrale. We kunnen zelf met de OMCtool beperkt dingen wijzigen (telefoonboek / verkort kiezen etc).

Mijn inziens moet de monteur de oude lijnen verwijderen / onklaar maken waneer de nieuwe worden geinstalleerd..

[Gekkenhuis]

Misschien mis ik iets, maar waarom waren die oude analoge lijnen er überhaubt nog als ze niet meer gebruikt werden?

[base_]

8 analoge lijnen actief laten hangen? Dat kost ook al een hoop geld, terwijl ze niet meer in gebruik zijn?! Zowiezo direct de analoge lijnen fysiek ontkoppelen, de bijbehorende analoge diensten beeindigen en proberen een log te bemachtigen van nummers die naar deze lijnen gebeld hebben. Geen idee of de provider deze gegevens beschikbaar stelt, het zou me niks verbazen in dit geval van fraude. Verder heeft iedere telefooncentrale logs, de vraag is echter of en hoe deze ingeschakeld zijn.
Wat heeft de monteur precies gewijzigd?
Zowiezo zou ik bij twijfel alle VPN certificaten en/of passwords vernieuwen en auditing aanzetten. Ook een goede controle van de firewall is in dit soort gevallen geen overbodige luxe

[Anoniem: 586127]

Gekkenhuis schreef op woensdag 19 maart 2014 @ 21:19:
Misschien mis ik iets, maar waarom waren die oude analoge lijnen er überhaubt nog als ze niet meer gebruikt werden?

Nee, deze waren niet actief. We hebben helemaal geen analoge lijnen meer in ons pand, behalve 2 die totaal los staan van de voip centrale. Alarm + fax.

Het ging om oude lijnen, die fysiek al zijn ontkoppeld, dienst word ook niet meer geleverd, maar stonden nog wel in de telefooncentrale als actief, maar zonder toestel.

[ Voor 18% gewijzigd door Anoniem: 586127 op 19-03-2014 21:26 ]

[Gekkenhuis]

Waarom zou je die twéé lijnen analoog actief laten, en niet mee geporteerd hebben naar je VoIP SIP provider? Dan was dit probleem gemakkelijk met een paar filter regels in te dammen:

- netwerk telefonie, any, any, pbx."je_voip_ sip_provider".nl/whatever

en

- netwerk alarm, any. any, ip_adres_meldkamer1 en eventueel ip_adres_meldkamer2

De betere VoIP SIP aanbieder heeft voor zover ik weet een bellimiet standaard ingesteld op € 500,-.

Ik neem aan dat jullie een netwerk/systeembeheer club in dienst hebben, ga daar ook eens navraag doen. Na je verhaal nog een keer gelezen te hebben en zoals hierboven ook al gezegd wordt lijkt het ook een gebrekkige netwerk/telefonie oplossing te zijn.

Echter heb ik niet genoeg inzicht in jullie huidige situatie om hier direct een conclusie of aanbeveling over durf te geven.

[Anoniem: 586127]

systeembeheer word gedaan door een externe partij. Op zich wel een groot bedrijf met know-how.

Echter doen zij geen telefonie. De vaste telefonie ligt bij Vodafone, de hardware is geleverd door KPN.
Ik hoop dat ik het zo goed zeg: Al onze uitgaande lijnen bellen via een 06-vodafone nummer naar buiten. Op de factuur komt dan straks te staan: 06-12345678: "Vaste lijnen" €22.000-en-nog-wat.

gemiddeld zitten we op €300 euro kosten voor de vaste telefonie per maand. Dat belletje had bij vodafone dus al veel eerder moeten gaan rinkelen.

[ Voor 15% gewijzigd door Anoniem: 586127 op 19-03-2014 22:03 ]

[Anoniem: 348143]

Anoniem: 586127 schreef op woensdag 19 maart 2014 @ 21:21:
[...]


Nee, deze waren niet actief. We hebben helemaal geen analoge lijnen meer in ons pand, behalve 2 die totaal los staan van de voip centrale. Alarm + fax.

Het ging om oude lijnen, die fysiek al zijn ontkoppeld, dienst word ook niet meer geleverd, maar stonden nog wel in de telefooncentrale als actief, maar zonder toestel.

Hierboven lees ik toch duidelijk dat je geen analoge lijnen meer afneemt, geen dienst meer afneemt op die lijnen. Dan kan er ook geen factuur zijn van 22.000 euries door telefoontjes gepleegd op die lijnen.. of mis ik nou wat?

[Gekkenhuis]

Ik ben het met je eens dat het belletje bij Vodafone al eerder had moeten gaan rinkelen, zeker bij een verdubbeling van de telefoonrekening.

Het kan ook wel erg hard gaan als je uitgaande gesprekken fax + alarmcentrale (naar het buitenland) over een 06-nummer gaan. Waarom is dat en wil je dat eigenlijk?

[Cor453]

Hoewel ik inderdaad denk dat het niet slim is geweest, denk ik toch dat Vodafone iets eerder had mogen melden dat er voor veel geld wordt gebeld naar een dubieus land.

Hebben jullie de controle over dat VoIP netwerk? Of is het een ge-outsourced systeem, en ligt het onderhoud bij Vodafone? Want bij dat laatste valt er denk ik nog te discussieren over de schade.

En dan moet je - pas op, ik ben geen schade-expert - volgens mij ook nog kijken naar de causaliteit. Is het jouw/jullie schuld dat er veel naar Nigeria gebeld is? Of is het de schuld van de telco? Heeft een van jouw medewerkers er een opvallend groot aandeel in (bewust of onbewust)? Bijv. door spyware of het uitgeven van de VPN-verbinding aan derden/onbetrouwbare mensen.

En dan zou je als laatste nog kunnen proberen om bij Vodafone aan te tonen dat ze hun hand over hun hart moeten strijken en daardoor een goed bedrag van de kosten af te schaven.

Ben je uiteindelijk duidelijk aansprakelijk op een of andere manier, en willen ze geen geld afschaven/kwijtschelden, dan wordt het denk ik moeilijk om de kosten te verhalen.

[Gekkenhuis]

Cor453 schreef op woensdag 19 maart 2014 @ 22:12:
Bijv. door spyware of het uitgeven van de VPN-verbinding aan derden/onbetrouwbare mensen.

Hier zie je iets verkeerd, je zal een analoge lijn over een VPN verbinding niet vaak gebruikt zien worden. Tenzij je met 3G routers werkt, maar dit zie je echter alleen in probleem gebieden en als backup van een backup lijn. Maar dan nog, die VPN verbinding in de lucht houden zijn de kosten niet, het bellen en faxen naar het buitenland wel. Dit gaat dan nog altijd via je provider.

Het probleem zou ik dus niet gaan zoeken in Spy/Malware bij een van de medewerkers die een VPN verbinding misbruiken. Dit zou ook gemakkelijk terug te zien zijn in de logging en actieve verbindingen van je firewall.

[ Voor 9% gewijzigd door Gekkenhuis op 19-03-2014 22:22 ]

[Junia]

Gekkenhuis schreef op woensdag 19 maart 2014 @ 22:19:
[...]


Hier zie je iets verkeerd, je zal een analoge lijn over een VPN verbinding niet vaak gebruikt zien worden. Tenzij je met 3G routers werkt, maar dit zie je echter alleen in probleem gebieden en als backup van een backup lijn. Maar dan nog, die VPN verbinding in de lucht houden zijn de kosten niet, het bellen naar het buitenland wel.Dit gaat dan nog altijd via je telefoon centrale.

Het probleem zou ik dus niet gaan zoeken in Spy/Malware bij een van de medewerkers die een VPN verbinding misbruiken. Dit zou ook gemakkelijk terug te zien zijn in de logging en actieve verbindingen van je firewall.

Hoe kan anders de forwarding op de VOIP centrale aangepast zijn naar het Nigeriaanse nummer?

[Gé Brander]

Anoniem: 348143 schreef op woensdag 19 maart 2014 @ 22:09:
[...]


Hierboven lees ik toch duidelijk dat je geen analoge lijnen meer afneemt, geen dienst meer afneemt op die lijnen. Dan kan er ook geen factuur zijn van 22.000 euries door telefoontjes gepleegd op die lijnen.. of mis ik nou wat?

Dit! Hoe kan je gefactureerd worden voor lijnen waar geen diensten op geleverd worden?

Volgens jezelf:

Anoniem: 586127 schreef op woensdag 19 maart 2014 @ 21:21:
[...]
Het ging om oude lijnen, die fysiek al zijn ontkoppeld, dienst word ook niet meer geleverd, maar stonden nog wel in de telefooncentrale als actief, maar zonder toestel.

[ Voor 43% gewijzigd door Gé Brander op 19-03-2014 22:23 ]

[Gekkenhuis]

Junia schreef op woensdag 19 maart 2014 @ 22:21:
[...]


Hoe kan anders de forwarding op de VOIP centrale aangepast zijn naar het Nigeriaanse nummer?

Dit ging niet via de VoIP centale, zoals hij het zegt hadden ze nog twéé analoge lijnen voor fax en het alarm.

Gé Brander schreef op woensdag 19 maart 2014 @ 22:22:
[...]

Dit! Hoe kan je gefactureerd worden voor lijnen waar geen diensten op geleverd worden?

Volgens jezelf:

[...]

Laten we geen dingen door elkaar halen, de telefonie is VoIP en er waren nog twéé analoge lijnen. Laten we niet het bos in gestuurd worden door verkeerd info.

[ Voor 38% gewijzigd door Gekkenhuis op 19-03-2014 22:26 ]

[DJSmiley]

Hangt die Alcatel direct op een voip provider of zit er nog een voip device voor? Voip kost, zeker bij oudere centrale's, een vermogen. Voip boards, co-cpu eventueel en licenties = duur. Een Patton of andere ISDN-VOIP gateway is een stuk goedkoper, maar kan ook gehacked worden (of gebruteforced)

Het misbruiken van (Alcatel) centrales is niet iets nieuws, dat speelt al enkele jaren. Juist de functies als het remote managen van doorschakelingen is een bekend punt. Daarvoor maakt het niet uit of het via voip of via een PSTN lijn binnenkomt.

Wijzigingen hoeven niet perse via een IP verbinding te gaan, als er remote access actief is op een lijn kan dat ook. En ik betwijfel of bv de passwords gewijzigd zijn, ik heb vaak genoeg centrales gezien die default zijn... remote access + pbxk1064 en je bent al een eind.

Maar goed, stap 1 is achterhalen hoe men binnengekomen is. Is dat wel via een analoge lijn? Dan moet die lijn gewoonweg nog actief zijn, anders kan dat niet. Dat je fax en alarm hebt is logisch maar ik vraag me af waarom die dan nog op de centrale zitten.

En als het via een remote diversion is, zou ik eens navragen of de partij die dat ding onderhoud wel eens de technical bulletins leest. Alcatel heeft hier jaren een document voor, welke door diverse partijen vorig jaar mei nogmaals onder de aandacht gebracht is ( tc1143 ed.08, Security Recommendations for OmniPCX Office)

This document provides the customer with the programming possibilities for maximum security against unauthorised persons from accessing the OmniPCX Office features such as Personal Assistant, remote configuration of a diversion to establish unauthorised outgoing calls

http://www.alcatelunleash...ewtopic.php?f=273&t=17345

Met name het of aanpassen van de (oude) default settings, of het upgraden naar een release waar dit wel in is aangepast wordt zwaar geadviseerd.. juist om dit soort redenen

[ Voor 9% gewijzigd door DJSmiley op 19-03-2014 22:30 ]

[Henk]

Helaas heeft dit waarschijnlijk niets met VOIP of windows servers te maken, ik heb dit ook een keer gezien bij iemand bij mij in de omgeving. Die vox novo offices worden ingericht door KPN, en een van de functies is het 'extern' inbellen op je vox, dus in feite je eigen werktelefoon, om vervolgens namens het nummer van je kantoor extern uit te bellen, zodat op de nummerherkenning van de klant het kantoornummer getoond wordt, en voor eventuele kosten naar het buitenland niet jij met je thuislijn, maar de kantoorlijn gebruikt wordt.

Maar raad eens? Die lijnen met hun extern-inbel-gemeuk, hangen achter een standaard pincode, waarvan KPN beweert dat ze je verteld hebben dat je die bij installatie even had moeten wijzigen...

Komt er bij die kennis van me op neer dat hij 6K af mocht tikken voor telefoontjes naar verweggistan, en KPN niet van buigen of wijken wilden weten, temeer omdat telefoontjes naar het buitenland voor hun ook gewoon harde cash-out is.

[Gé Brander]

Anoniem: 586127 schreef op woensdag 19 maart 2014 @ 21:21:
[...]


Nee, deze waren niet actief. We hebben helemaal geen analoge lijnen meer in ons pand, behalve 2 die totaal los staan van de voip centrale. Alarm + fax.

Het ging om oude lijnen, die fysiek al zijn ontkoppeld, dienst word ook niet meer geleverd, maar stonden nog wel in de telefooncentrale als actief, maar zonder toestel.

Gekkenhuis schreef op woensdag 19 maart 2014 @ 22:24:
[...]


Dit ging niet via de VoIP centale, zoals hij het zegt hadden ze nog twéé analoge lijnen voor fax en het alarm.


[...]


Laten we geen dingen door elkaar halen, de telefonie is VoIP en er waren nog twéé analoge lijnen. Laten we niet het bos in gestuurd worden door verkeerd info.

Zie boven. Zoals ik het begrijp hebben de twee analoge lijnen voor fax en alarm hier niets mee te maken of lees ik het dan helemaal verkeerd?

Voordat wij VOIP hadden, gebruikten we de centrale voor analoge lijnen. Toen de VOIP lijnen zijn geinstalleerd, zijn de analoge lijnen niet verwijderd. Deze zwerfden dus ergens op de centrale zonder toestel. Achter elke analoge lijn (8 stuks) zit een postbus. Wanneer de telefoon na 12 seconden niet word opgepakt, word de beller doorgestuurd naar *540 (postbus / voicemail). Echter in plaats van de voicemail, werd de beller doorgeschakeld "Naar een collega", waarbij het nummer van de collega zelf in te voeren is. Daar was dus zelf een nummer ingevoerd: 00023190201408.

[ Voor 22% gewijzigd door Gé Brander op 19-03-2014 22:32 ]

[Trommelrem]

Was het een consumentenlijn, dan is het simpel: Vodafone had de klant moeten beschermen tegen misbruik en dan had Vodafone moeten ingrijpen.

Het probleem in deze is dat het een zakelijke lijn betreft. Dan werkt het allemaal iets anders.

[Fish]

Zit er niet toevallig een modem op een van de nummers waar mee je kan configureren uitvoeren.

Ik kan me herinneren dat wij ook een avaya hadden met een modempje er onder
no mike you should be home, was ook nog van toepassing.

[Anoniem: 586127]

Ik zal het proberen uit te leggen. (het is inderdaad een kromme constructie)

Voip Hardware: geleverd door KPN (Vox Novo Office centrale)

Voip lijn: geleverd door vodafone (ook nummerblokken / uitbellijn)

Analoog 1: voor de fax (weet niet waarom, maar deze is analoog bij KPN blijven hangen)

analoog 2: voor kantoor alarmsysteem. bij partij X (kan het zo ff niet voor de geest halen).

Dan hebben we nog 100 mobiele abbo's, ook bij vodafone.

Op de factuur hebben we dan 100 mobiele nummers met de daarbij behorende verbruikskosten, en 1 06-nummer met beschrijving "Vaste lijnen", hierop komen alle kosten van uitgaande gesprekken vanaf kantoor. Waarom die via een 06-vodafone nummer gaan is mij ook niet helder.

Overigens pijl ik uit jullie reacties dat wij op korte termein een onafhankelijk VOIP expert langs moeten laten komen om de boel te verhelderen.

En inderdaad, kilo1987 en pbxk.... etc..

[ Voor 11% gewijzigd door Anoniem: 586127 op 19-03-2014 22:43 ]

[Gé Brander]

Maar zijn die belletjes die tot de 22k geleid hebben nu wel of niet op de oude analoge lijnen gedaan? Want dat is mij niet duidelijk. Of hebben die analoge lijnen er niets mee te maken? Ik heb het dus niet over de fax en alarm lijnen hier.

[Anoniem: 586127]

Gé Brander schreef op woensdag 19 maart 2014 @ 22:46:
Maar zijn die belletjes die tot de 22k geleid hebben nu wel of niet op de oude analoge lijnen gedaan? Want dat is mij niet duidelijk. Of hebben die analoge lijnen er niets mee te maken? Ik heb het dus niet over de fax en alarm lijnen hier.

Nee, over VOIP.

De analoge lijnen staan hier compleet los van.

Vroeger was het analoog, dat is later omgezet naar VOIP. Alleen het alarm + fax zijn op analoog gebleven.

[Gé Brander]

Anoniem: 586127 schreef op woensdag 19 maart 2014 @ 22:47:
[...]


Nee, over VOIP.

De analoge lijnen staan hier compleet los van.

Vroeger was het analoog, dat is later omgezet naar VOIP. Alleen het alarm + fax zijn op analoog gebleven.

dan snap ik onderstaande stuk tekst niet. Dat heeft er dus ook niets mee te maken?

Achter elke analoge lijn (8 stuks) zit een postbus. Wanneer de telefoon na 12 seconden niet word opgepakt, word de beller doorgestuurd naar *540 (postbus / voicemail). Echter in plaats van de voicemail, werd de beller doorgeschakeld "Naar een collega", waarbij het nummer van de collega zelf in te voeren is. Daar was dus zelf een nummer ingevoerd: 00023190201408.

[Gekkenhuis]

Anoniem: 586127 schreef op woensdag 19 maart 2014 @ 22:47:
[...]
Vroeger was het analoog, dat is later omgezet naar VOIP. Alleen het alarm + fax zijn op analoog gebleven.

OK, op welk telefoonnummer zijn de kosten gemaakt, een nummer in de VoIP centrale of door de analoge fax/alarm lijn?

[biomass]

Wanneer is er voor het eerst met die doorschakeling gebeld naar +23? Als de centrale een oude doorschakel regel had van iemand die ooit fysieke toegang had tot het analoge toestel, is er alleen maar mond op mond reclame nodig om iemand te vinden die het gat excessief gaat misbruiken?

[Gekkenhuis]

biomass schreef op woensdag 19 maart 2014 @ 22:59:
Wanneer is er voor het eerst met die doorschakeling gebeld naar +23? Als de centrale een oude doorschakel regel had van iemand die ooit fysieke toegang had tot het analoge toestel, is er alleen maar mond op mond reclame nodig om iemand te vinden die het gat excessief gaat misbruiken?

Het is echt te vroeg voor aannames, dus doet dit alsjeblieft niet, laat eerst de situatie voor zover mogelijk duidelijk worden.

[biomass]

@Gekkenhuis: TS doet de aanname dat de centrale recent gehackt is. Dat is niet perse noodzakelijk voor dit misbruik?

[Anoniem: 586127]

10 maart is het bellen naar 0023 begonnen. Vanaf die datum tot vanmorgen zaten we op 22.000 euro.

De instellingen voor de analoge lijn stonden nog in de telefooncentrale, maar er zat geen fysieke analoge telefoon aan. en ook geen uitbel-nummer.

Het nummer was voor ons intern dus nog wel bereikbaar, maar werd automatisch gestopt omdat er geen toestel aan hing. (dit was dus eerder zo).

Als ik vanmorgen zou hebben gebeld naar 220, zou ik ook worden doorgeschakeld naar het nigeriaanse nummer. (omdat in de centrale stond ingesteld, na 12 seconden geen gehoor --> doorschakelen naar collega, namelijk: 0023...nigeria enz)

[biomass]

En in de, zeg, twee jaar daarvoor? Wanneer is de doorschakeling actief geworden? Kon de KPN monteur dat ook achterhalen?

[Anoniem: 586127]

Nee, heb ik wel gevraagd maar hij beweerde dat er geen logs beschikbaar zijn om dat terug te vinden.

[biomass]

Specificeert Vodafone het uitgaande belverkeer op de rekeningen nog uit naar 0900 en buitenland nummers? Misschien dat je dan kan zien of er al eerder naar het buitenland is gebeld via toestel 220?

[Anoniem: 586127]

Klopt, word gespecificeerd.

Zojuist gekeken, in februari is er niet anders dan benelux + duitsland + uk gebeld. We zijn een transportbedrijf hebben in deze landen veel klanten zitten. kan dus wel kloppen.

Rekening Maart is nog niet aanwezig.

Vaste lijnen januari: €361
Vaste lijnen Februari: €382

Dat gebruiken we dus 'gemiddeld' vanaf kantoor, per maand.

[base_]

Anoniem: 586127 schreef op woensdag 19 maart 2014 @ 22:02:
systeembeheer word gedaan door een externe partij. Op zich wel een groot bedrijf met know-how.

Die know-how wordt bijna niet gebruikt (of alleen als je een incident minstens 3 nivo's laat escaleren), zoals hier al eerder werd aangegeven laten ze vaak standaard functies zoals extern inbellen gewoon aanstaan en ook pincodes en admin passwords op default staan. Wat dat betreft heb ik meer vertrouwen in kleinere bedrijven die wel een reputatie hoog te houden hebben

Los daarvan: nummers die analoog binnenkomen of uitgaan is een log van bij de provider en van VOIP gesprekken zijn ook de binnenkomende nummers en de uitgaande nummers + bestemming gelogd bij de VOIP provider (voor zover ik weet verplicht en de NSA heeft ook nog wel ergens een kopietje). Als je pech hebt zijn het alleen maar prepaid mobiele nummers, als je geluk hebt een callshop met een adres in nederland of een mobiel nummer met een abonnement. Als er ingebroken is op het netwerk en de VOIP centrale niet goed beveiligd is kan het zijn dat er vanuit internet ingebroken en gebeld is, dit is veel lastiger te achterhalen.

[Gekkenhuis]

biomass schreef op woensdag 19 maart 2014 @ 23:17:
@Gekkenhuis: TS doet de aanname dat de centrale recent gehackt is. Dat is niet perse noodzakelijk voor dit misbruik?

De TS doet inderdaad die aanname, ik ben van mening dat we hier nog niet in mee kunnen gaan zonder dat we meer informatie hebben om tot deze zelfde conclusie te komen.

[base_]

Ik begrijp dat er met VOIP is weggebeld, als op die voip centrale geen uitgebreide logging aan stond dan wordt het lang zoeken vrees ik... Is er wel duidelijk of er al dan niet analoog ingebeld is? Reden voor die faxlijn is dat faxen over voip niet of langzaam werkt (daarom leveren veel voip providers een fax to email en email to fax dienst). Alarm heeft te maken met alarmcentrale: voor alarm over ip moet je vaak de hele alarmcentrale vervangen. Wel kunnen alarm en fax zonder probleem over 1 ISDN lijn lopen.

[Anoniem: 586127]

Klopt base_,

Wij bellen alles in + uit via VOIP. En fax + alarm zouden inderdaad die redenen kunnen zijn.
Ik ga me morgen nog eens verdiepen of er niet toch ergens wat gelogged is. Wellicht kan ik nagaan in delogs van de firewall welke vpn's er rond 10 maart verbinding hebben gemaakt, en waarvandaan.

[Anoniem: 586127]

http://www.tubantia.nl/re...medium=embed&utm_content=


Wij zijn dus niet de enige...

[Gekkenhuis]

base_ schreef op woensdag 19 maart 2014 @ 23:58:
[knip] als op die voip centrale geen uitgebreide logging aan stond dan wordt het lang zoeken vrees ik... Is er wel duidelijk of er al dan niet analoog ingebeld is? Reden voor die faxlijn is dat faxen over voip niet of langzaam werkt (daarom leveren veel voip providers een fax to email en email to fax dienst). Alarm heeft te maken met alarmcentrale: voor alarm over ip moet je vaak de hele alarmcentrale vervangen. Wel kunnen alarm en fax zonder probleem over 1 ISDN lijn lopen.

Bovenstaande klopt allemaal. De TS geeft aan dat over het nummer 220 naar buiten is gebeld. Als dat zo is dan zijn de fax en alarm-lijn inrelevant (dus moeten we dit snel vergeten).

Er zal bij het begin begonnen moeten worden, de hele situatie zal in stukken en gehakt en bekeken moeten worden. Anders is het echt onbegonnen werk.

[base_]

ok lijstje om alvast te verzamelen:
- logs telefooncentrale
- bron telefoonnummers (log centrale / server / firewall / provider)
- log analoge lijnen (provider)
- bestemmings telefoonnummers (log centrale / provider)
- configuratie telefooncentrale ( bij voorkeur voor en na bezoek monteur of overzicht van ALLE wijzigingen of backup van voor en na )
- check remote programmeermogelijkheden centrale (dmtf/modem/ethernet)

Wat betreft over via 220 naar buiten bellen: dat sluit niets uit m.b.t. waar e.e.a. binnenkomt? Kan goed dat er een inbel/doorschakelfunctie over 220 naar buiten ingesteld was.
Wat mij wel opvalt is dat er blijkbaar een bepaald nummer ingesteld was waar 220 naar doorschakelde?!
Als dit nummer vast geconfigureerd was is er dus waarschijnlijk op de centrale ingebroken. Configureren kan echter vaak via dmtf (analoge beltonen/cijferpad icm pin), modem, serieel en indien aanwezig ethernet/IP.

[Chip.]

Hoe komt dat dit uberhaupt nu pas aan t licht komt? Als ik TS begrijp stond namelijk altijd al zo ingesteld? Intern bellen -> geen gehoor -> doorschakelen. Wat dus ingesteld stond op een buitenlands nummer

[ Voor 13% gewijzigd door Chip. op 20-03-2014 02:14 ]

[Rockvee2]

Als er toen der tijd niet van gebruikt werdt van gemaakt en het niet wist dan is er niks aan de hand . Waarschijnlijk gewoon "vergeten" dat het er lag

[Anoniem: 197141]

Anoniem: 586127 schreef op donderdag 20 maart 2014 @ 00:15:
http://www.tubantia.nl/re...medium=embed&utm_content=


Wij zijn dus niet de enige...

Er zit dus ergens een flink lek waar op gezocht wordt.
Heleboel verkeer naar duur nummer die meteen casht.

[ Voor 6% gewijzigd door Anoniem: 197141 op 20-03-2014 03:25 ]

[Anoniem: 586127]

Ik hoop dat het voor de kenners hiermee duidelijk word:

Zo stond het nummer 220 ingesteld!

[Nakebod]

Wat er destijds bij onze centrale aan de hand was: (Externe?) voicemail boxen stonden dus (ongevraagd) aan, met een standaard wachtwoord.
Je kon dus schijnbaar bellen naar het telefoonnummer, en dan kon je het voicemail/postbus menu openen. En met het standaard wachtwoord konden ze ook doorschakelingen instellen.

Gaf ook een leuke rekening, en ik dacht dat hij hier uiteindelijk wel (gedeeltelijk) gecrediteerd was. Moest wel via/met aangifte bij de politie.

Dus ik vermoed dat iets vergelijkbaars aan de hand is.

_{Onze hele centrale is overigens prutswerk, geleverd door CSS Telecom namens KPN. Nu nog als we KPN bellen voor aanpassingen: "Oh zijn jullie die klant..." Ze hebben een goede indruk achtergelaten. KPN heeft de hele centrale ook al een aantal keer gedeeltelijk over de zeik gekregen, en dat waren nog maar basic aanpassingen Fijn! En niet dat ze dan maar eens de hele centrale goed/clean configureren...}

[Miepermans]

Dat is het grote nadeel van DISA lijnen ja,.. Het enige wat je eraan kan doen is dichtzetten, of een authenticatieslag inbouwen.

Aangifte doen kan altijd, de vraag is echter of je er wat mee opschiet.

[pielle007]

Anoniem: 586127 schreef op woensdag 19 maart 2014 @ 22:39:
Op de factuur hebben we dan 100 mobiele nummers met de daarbij behorende verbruikskosten, en 1 06-nummer met beschrijving "Vaste lijnen", hierop komen alle kosten van uitgaande gesprekken vanaf kantoor. Waarom die via een 06-vodafone nummer gaan is mij ook niet helder.

..

Vodafone is een mobiele provider, echter kunnen zij 088-nr's koppelen in hun systemen.
Administratief is er ten alle tijde een 06 nummer (in dit geval wordt dit gebruikt als PABX) nodig om deze koppeling te kunnen maken. Vandaar dat dit wordt gefactureerd op het 06-nr.

[emnich]

Wie doet het onderhoud van die box, doet KPN dat of hebben ze alleen de hardware geleverd en verder niets?

Ik denk dat je eerst vast moet stellen hoe ze binnen zijn gekomen. Pas als je dat weet kan je kijken of er een derde partij voor aansprakelijk is. Als ze op jullie eigen netwerk zitten dan kan KPN er waarschijnlijk niet zo veel aan doen maar als ze direct ingebeld hebben in die box dan lijkt me dat de installateur (KPN?) aansprakelijk kan zijn. Deze moet immers zorgen voor een `normale` beveiliging.

Daarnaast zou je je bij Vodafone af moeten vragen of ze niet iets van een zorgplicht hebben. Als je pas belt nadat je 7300% meer belt dan normaal én als dit gebeurt door verkeer naar bewezen dubieuze nummers dan lijkt het me dat ze veel eerder aan de bel hadden moeten trekken.

[pielle007]

emnich schreef op donderdag 20 maart 2014 @ 09:08:
Wie doet het onderhoud van die box, doet KPN dat of hebben ze alleen de hardware geleverd en verder niets?

Daarnaast zou je je bij Vodafone af moeten vragen of ze niet iets van een zorgplicht hebben. Als je pas belt nadat je 7300% meer belt dan normaal én als dit gebeurt door verkeer naar bewezen dubieuze nummers dan lijkt het me dat ze veel eerder aan de bel hadden moeten trekken.

Dit klopt overigens, wanneer een gebruiker meer verbruikt dan gemiddeld moet er bij een afdeling ingegrepen worden, zij zullen het nummer normaliter moeten blokkeren en hierna contact opnemen met de contactpersoon welke bij hun bekend staat.

[Anoniem: 586127]

emnich schreef op donderdag 20 maart 2014 @ 09:08:
Wie doet het onderhoud van die box, doet KPN dat of hebben ze alleen de hardware geleverd en verder niets?

Kpn heeft de hardware geleverd, en wij hebben een onderhoudscontract bij KPN voor het beheer van de telefooncentrale. KPN heeft destijds ook de omschakeling van analoog naar VOIP gedaan.

Vodafone levert alleen de telefoonlijnen.

[Simpele1986]

Ik denk dat het KPN en/of Vodafone niet veel uitmaakt.

Anyway... Vodafone kan toch achterhalen 'wanneer' er eventueel gebruik is gemaakt van het desbetreffende nummer. Dan zien ze toch ook in de logs of er een setting is gewijzigd?

Het is erg vervelend, maar toch denk ik dat het een stukje eigen verantwoording is, neemt niet weg dat Vodafone veel eerder had moeten ingrijpen.

[emnich]

en wij hebben een onderhoudscontract bij KPN voor het beheer van de telefooncentrale.

Onderhoud is op zich nog iets anders dan beheer maar het is in elk geval een mooie ingang. Zoals eerder gezegd zal je moeten vaststellen hoe de `hack` gedaan is pas dan kan je ergens een claim neer leggen.

Heb je jullie rechtsbijstandverzekering al gebeld?

[Anoniem: 586127]

Zegt iemand dit iets ?

MMC ?

[DJSmiley]

Is er soms een inkomend nummer gekoppeld aan remote access? Het lijkt erop dat het omc password pbxk1064 is, icm een toegewezen nummer aan remote access, zodat men in kan bellen tbv beheer.

Kijk eens bij subscribers - base stations list? Daar staan uit mn hoofd remote acc v34 en ISDN. Hangen aan die extensies ook inkomende nummers? (numbering - numbering plan - public numbering plan)

Mogelijk zit daar of een direct nummer op, of via een nummerblok? (als er een start en end gedefinieerd is wordt een blok afgevangen, beginnend bij extensie 'base', en dan opvolgend.

[Wortelsoep]

Wat een enorm nare situatie. Ik zou je in ieder geval willen aanraden om een zo gedetailleerd mogelijk dossier aan te leggen met alle correspondentie met KPN en Vodafone. Van ieder telefoongesprek datum+tijd noteren, met wie je hebt gesproken en een kort gespreksverslag. Mocht het later een juridische strijd worden is een goed dossier onmisbaar. Ook kan het geen kwaad om de contracten met KPN en Vodafone alvast op te zoeken.

[Anoniem: 586204]

Advies:
1) Hoffman recherche inschakelen (of een vergelijkbaar kantoor) om deskundigenrapport te laten opstellen. Dit i.v.m. bewijskracht.
2) z.s.m. schadebeperkende maatregelen nemen zodat de schade niet meer oploopt.
3) politie aangifte doen.
4) juridisch advies zoeken over aansprakelijkheid.

[ Voor 6% gewijzigd door Anoniem: 586204 op 20-03-2014 11:50 ]

[bregweb]

Anoniem: 586127 schreef op donderdag 20 maart 2014 @ 10:43:
Zegt iemand dit iets ?

MMC ?

The Man-Machine Conversation (MMC) by 4034/4035 station enables modification of the parameters
of the different system elements.
NOTE :
- only a single 4034/4035 station can be in MMC at a given moment.
- simultaneous access to the MMC by station and by PC is impossible.
The modifications are made in 2 ways :
- By introducing a digital value (number of the station for example) or an alphanumeric value.
- By choosing one of the predefined values presented on the display using the soft keys.
ACCESS TO THE MMC
Access to the MMC is enabled by :
- entering the code 70 (by default) or by using a key programmed with this code, or by pressing the
System
key (4035 station).
- choosing the session : 3 sessions are offered : INSTALLER (
INSTAL
key), ADMINISTRATOR (
ADMIN
key)
and OPERATOR (
OPERAT
key). These different levels of access to the parameterizable features thus
enable modifications to be authorized to cleared people only.
- entering the password corresponding to the chosen session.
NOTE :
* Only Installer and Administrator sessions are presented in this notice ; for the Operator ses
sion, refer to the Installation guide.
Password default values
INSTALLER session
ADMINISTRATOR session
1064
1987

[Anoniem: 586127]

DJSmiley schreef op donderdag 20 maart 2014 @ 10:53:
Is er soms een inkomend nummer gekoppeld aan remote access? Het lijkt erop dat het omc password pbxk1064 is, icm een toegewezen nummer aan remote access, zodat men in kan bellen tbv beheer.

Kijk eens bij subscribers - base stations list? Daar staan uit mn hoofd remote acc v34 en ISDN. Hangen aan die extensies ook inkomende nummers? (numbering - numbering plan - public numbering plan)

Mogelijk zit daar of een direct nummer op, of via een nummerblok? (als er een start en end gedefinieerd is wordt een blok afgevangen, beginnend bij extensie 'base', en dan opvolgend.

Hier een lijst met nummers, wat me opvalt is die 228 en 229:



Deze nummers worden volgens mij niet gebruikt in het nummerplan:


En tot slot nog diegene die toegang hebben.
Ik heb me laten vertellen door de kpn monteur, dat dit de nummers zijn van 'eindhoven' in geval van remote support.

[DJSmiley]

ow je hebt m op NL staan... _irritant

Anyway: kijk eens bij je 'doorkiesnummerplan'?
Dat is je normale nummerplan, die 'beperkt openbaar' is het restricted plan, welke actief is als de centrale in restricted mode draait (dus bv buiten kantoortijden of handmatig hierop gezet)

Remote support met een accesslistje is anno 2014 een beetje een wassen neus. Een caller-ID kun je heel simpel faken. Persoonlijk vind ik dat niet veel beter meer dan een mac-filtering op een wifi netwerk.. Terugbellen of via een IP verbinding (VPN) lijkt me veel verstandiger. Ik zou die remote access dan ook uitschakelen en aanzetten als het echt nodig is.

[Anoniem: 586127]

Zie hier:



Er gaat dus wel iets naar die 219, maar als ik er (met m'n mobiel) heen bel gaat hij alleen maar over. word niet opgepakt.

[Anoniem: 586231]

Beste Intrapoint,

Een vervelende situatie, vooral ook omdat Vodafone achterover lijkt te leunen.

Wij zijn zelf telecom operator en hebben vaker te maken gehad met dergelijke problemen.
Wat mij altijd opvalt is dat de grote operators het het probleem laten van de klant (staat tenslotte in de voorwaarden), terwijl juist zij de gene zijn die hier wat mee kunnen doen.

Het gaat om gesprekken naar buitenlandse betaalnummers. Als zij aangeven aan hun leverancier dat het betreffende verkeer misbruik is (jij dient hiervoor aangifte te doen bij de politie en Vodafone hier een afschrift van te sturen), dan kunnen ze de uitbetaling hiervan tegen houden.
Het is belangrijk om te achterhalen bij welke operator in Nigeria de gebelde nummers staan en Vodafone hier contact mee op te laten nemen (en bij voorkeur ook met alle tussenliggende operators) om aan te geven dat het misbruik betreft.

Met Nigeria heb ik nog geen ervaring, maar zij beschikken over een nationaal orgaan voor de telefonie: http://www.ncc.gov.ng

Daar dien je dit verhaal kenbaar te maken (laat de aangifte vertalen door een bedrijf wat hiervoor gecertificeerd is), zodat ook zij contact zoeken met de betreffende operator.

Als je je hierin vast bijt dan kun je wellicht nog weleens verbaasd zijn hoe effectief dit zal zijn.

Helaas steken de meeste (grote) operators er geen tijd in, waardoor dit soort misbruik over het algemeen lukt.
Wij hebben in het verleden verschillende misbruik gevallen weten terug te draaien volgens bovenstaande.

Succes.

Ps. wellicht een overbodige tip; zoek een voip-leverancier welke een uitgebreide misbruik detectie en opvolging heeft. Vele kleinere voip-aanbieders hebben dit volledig geautomatiseerd, de grote vaak alleen een afdeling welke de klant opbelt.

Met vriendelijke groet,

Ryan Kalkhoven
VoipQ

[Anoniem: 586352]

Jullie telefooncentrale is overgenomen/gehackt omdat deze zeer waarschijnlijk onvoldoende beveiligd was.
In jullie geval was de voicemail box zo te lezen niet, of met een zeer makkelijk PINcode beveiligd. Of jullie telefooncentrale beheerder hiervoor verantwoordelijk is hangt af van de afspraken die jullie met hen hebben gemaakt over de voicemailboxen en het beheer. Mocht het toch de onderhoudspoort zijn die met de standaard wachtwoorden of niet beveiligd was dan is jullie centrale beheerder zeker verantwoordelijk. En dergelijke nalatigheid van beveiliging betreft komt vaker voor dan je denkt.
Criminele bendes gebruiken een call generator (mbv auto-inbelsysteem) waarmee
telefoonnummers met kiestoon worden gezocht. Benadeelden zijn veelal bedrijven, waarvan de
onderhoudspoort van de telefooncentrale) PBX zonder pincode of andersoortige beveiliging open staat.
Criminele bendes en fraudeurs gebruiken veelal de analoge en onbeveiligde onderhoudspoort
van de PBX van de klant om op deze manier de configuratie van de PBX op zo’n manier te
modificeren dat er in het IVR of voicemail menu een extra optie wordt ingesteld, waarmee naar
externe en meestal exotische locatie kan worden gebeld. Als de crimineel/fraudeur dan inbelt kan
er via een aparte cijfercombinatie een buitenlijn worden gekozen. Anderzijds is er de DISA-functie
(Direct Inward System Access) op de telefooncentrale: medewerkers thuis kunnen hun nummer
op kantoor bellen en een pincode invoeren, waarna ze een kiestoon krijgen, waarna extern kan
worden uitgebeld.
Providers kunnen hier niks aan doen en zijn hiervoor niet verantwoordelijk en het vervelende is dat zij de kosten ook doorgefactureerd krijgen omdat het service nummers betreft en daarom de benadeelde klant wiens pbx is gehackt deze ook zal moeten betalen. Op het moment dat providers afwijkend gedrag opmerken is het altijd veel te laat omdat de bendes bij service nummers zelf tarieven kunnen bepalen (meestal gelden in landen wel maximum tarieven) en er vele gesprekken zijn opgezet.
Ik mag hier volgens mij geen telefoonnumemrs geven, maar je moet sowieso aangifte doen bij de Afdeling Communicatiefraude van de BRNON. Mochten de daders achterhaald worden dan kan d eschade darop verhaald worden, maar de pakkans is klien want die verschuilen zich achter meerdre BV's en ze zitten veelal in corrupte landen.
Succes!