Cómo proteger centralita de fraudes

Una llamada internacional que nadie realizó, extensiones bloqueadas de madrugada o un aumento inesperado en la factura pueden ser las primeras señales de un fraude telefónico. Saber cómo proteger centralita de fraudes no es solo una tarea técnica: es una decisión de continuidad operativa, control financiero y protección de la reputación de su empresa.

Las centralitas IP, especialmente las basadas en Asterisk, ofrecen flexibilidad para atender clientes, conectar sedes y habilitar trabajo remoto. Esa misma flexibilidad exige una configuración responsable. Cuando una PBX queda expuesta a Internet, conserva credenciales débiles o permite llamadas sin restricciones, puede convertirse en un objetivo para atacantes que buscan cursar tráfico costoso a través de ella.

Qué es el fraude en una centralita IP y por qué ocurre

El fraude telefónico consiste en el uso no autorizado de los recursos de telefonía de una empresa. El caso más conocido es el toll fraud: un tercero toma control de una extensión, troncal o cuenta SIP para generar llamadas hacia destinos internacionales, satelitales o de tarifa premium. La empresa asume el costo, aunque nunca haya originado esas comunicaciones.

No siempre se trata de un acceso total al servidor. A veces basta con comprometer una extensión remota, una contraseña reutilizada o una regla de marcado demasiado permisiva. Los atacantes automatizan intentos de registro SIP y prueban combinaciones comunes de usuarios y claves. Si encuentran una puerta abierta, pueden ejecutar cientos o miles de llamadas en pocas horas, normalmente fuera del horario laboral.

Las organizaciones con varias sedes, agentes remotos, proveedores de trunk SIP y atención 24/7 tienen una superficie de exposición mayor. Sin embargo, una pyme con pocas extensiones también puede sufrir un impacto serio si no dispone de límites de consumo y alertas oportunas.

Cómo proteger una centralita de fraudes desde la configuración

La seguridad no depende de una única función. Es el resultado de combinar controles de acceso, reglas de llamada, monitoreo y procedimientos claros. El objetivo es que, incluso si una credencial se compromete, el daño posible sea limitado y detectable.

Use credenciales únicas y difíciles de adivinar

Cada extensión, troncal SIP, usuario administrativo e integración debe contar con una contraseña diferente, larga y aleatoria. Evite combinaciones como el número de extensión, el nombre de la empresa, fechas o secuencias sencillas. También conviene eliminar cuentas que ya no se usan y revisar extensiones asignadas a antiguos colaboradores o dispositivos fuera de servicio.

Cambiar claves periódicamente ayuda, pero no compensa una mala arquitectura. El mayor valor está en no reutilizar contraseñas, restringir quién puede verlas y evitar que queden escritas en correos, chats o archivos compartidos sin protección.

El acceso administrativo a la PBX merece un tratamiento especial. Debe estar separado de las credenciales de las extensiones y protegido con autenticación multifactor cuando la plataforma o el entorno lo permitan. Un usuario que solo necesita contestar llamadas no requiere permisos para modificar rutas, troncales o planes de marcado.

Restrinja el acceso por red y reduzca la exposición

Una centralita no debería aceptar registros SIP desde cualquier dirección IP del mundo. Cuando las sedes, los teléfonos remotos o los proveedores tienen IP fija, es recomendable autorizar únicamente esos rangos. Para equipos móviles o usuarios que trabajan desde distintas redes, una VPN bien configurada suele ofrecer una capa adicional de seguridad.

También es necesario usar un firewall diseñado para la realidad de la telefonía IP. No basta con abrir puertos sin control. Las reglas deben permitir solo los protocolos, orígenes y destinos necesarios, y bloquear intentos repetitivos de autenticación. Herramientas de detección automática pueden identificar patrones de fuerza bruta y bloquear temporalmente las IP sospechosas.

Este punto requiere equilibrio. Una restricción excesiva puede afectar a trabajadores remotos o integraciones legítimas. Por eso conviene documentar qué aplicaciones, sedes y proveedores necesitan conectarse, en lugar de aplicar aperturas generales que luego nadie revisa.

Diseñe un plan de marcado con mínimos privilegios

No todas las extensiones necesitan llamar a todos los destinos. Un teléfono de recepción quizá requiera llamadas locales y nacionales; un área comercial puede necesitar móviles; una línea de soporte internacional puede requerir permisos adicionales. Convertir esas diferencias operativas en reglas de marcado reduce de forma considerable el riesgo.

El principio es simple: permitir solo lo que cada perfil necesita. Bloquee por defecto destinos internacionales, números premium, servicios satelitales y prefijos que no hagan parte de la operación. Cuando un equipo requiera acceso excepcional, asígnelo de manera controlada y revisable, no mediante una regla global para toda la compañía.

Las rutas salientes deben considerar también el proveedor de telecomunicaciones. Si la empresa trabaja con más de una troncal, defina qué tipo de tráfico puede cursar por cada una y evite que una falla o manipulación redirija automáticamente las llamadas hacia rutas más costosas.

Establezca límites de consumo y duración

Un atacante busca maximizar el valor de cada acceso comprometido. Por eso, los límites son una defensa práctica. Configure topes por extensión, por día, por tipo de destino o por cuenta de facturación, según las capacidades de la plataforma y del operador.

También es útil limitar la duración máxima de ciertas llamadas. No todas las empresas pueden aplicar el mismo valor: un centro de soporte técnico puede requerir conversaciones extensas, mientras que una organización con llamadas comerciales breves puede fijar controles más estrictos. La decisión debe responder a los patrones reales de uso, no a una cifra genérica.

Solicite a los proveedores de trunk SIP mecanismos de bloqueo preventivo, límites de crédito o alertas por consumo extraordinario. La centralita controla una parte del riesgo, pero el operador puede detener tráfico anómalo antes de que la factura crezca durante toda la noche.

Monitoree la operación para detectar anomalías a tiempo

La prevención reduce posibilidades; el monitoreo permite reaccionar cuando algo no se comporta como debería. Revise los registros de llamadas y los eventos de autenticación con una frecuencia acorde a la criticidad de la operación. Una centralita bien administrada entrega información útil sobre quién llamó, a qué destino, por cuánto tiempo, desde qué extensión y mediante qué ruta.

Las alertas deben enfocarse en comportamientos, no solo en errores técnicos. Por ejemplo, conviene notificar cuando se presenten muchos registros fallidos desde una misma IP, llamadas internacionales fuera del horario habitual, picos de minutos por extensión o intentos de usar códigos de país bloqueados.

Para una clínica, una alerta relevante puede ser tráfico nocturno desde teléfonos administrativos. Para un BPO o mesa de servicio con operación continua, el criterio debe ser más preciso: volumen inusual por agente, destinos no habituales o crecimiento súbito frente al promedio. El contexto de negocio es el que convierte un dato en una señal de riesgo.

Mantenga Asterisk, dispositivos y procesos bajo control

Las vulnerabilidades conocidas se aprovechan con mayor facilidad en servidores sin actualizaciones. Mantenga al día el sistema operativo, Asterisk, los módulos instalados, las interfaces de administración y el firmware de teléfonos IP, gateways y routers. Antes de actualizar producción, valide compatibilidad y cuente con respaldo y plan de reversión.

Las copias de seguridad son esenciales, pero deben protegerse igual que la PBX. Un respaldo con contraseñas, configuraciones de troncales y datos de usuarios no puede quedar expuesto en una carpeta pública o en un equipo sin controles. Cifre los respaldos, pruebe su restauración y limite los permisos de acceso.

La seguridad también requiere un proceso interno. Defina quién autoriza nuevas extensiones, cómo se aprueban permisos internacionales, qué hacer cuando una persona sale de la empresa y quién recibe las alertas críticas. Sin responsables claros, una configuración correcta puede deteriorarse con cada cambio operativo.

Qué hacer ante una sospecha de fraude

Si detecta llamadas desconocidas o actividad irregular, actúe primero para detener el impacto. Bloquee temporalmente la extensión o troncal afectada, suspenda las rutas internacionales si no son imprescindibles y contacte al proveedor para solicitar bloqueo de destinos o tráfico saliente. No espere a tener una investigación completa para frenar las llamadas.

Después, preserve registros de llamadas, eventos SIP, cambios de configuración y direcciones IP relacionadas. Esta información permite identificar si el acceso vino de una extensión, un usuario administrativo, un dispositivo remoto o una regla de marcado. Cambie las credenciales comprometidas, revise permisos y evalúe si otras cuentas presentan señales similares.

No conviene asumir que el problema se resuelve solo al cambiar una contraseña. Si el atacante ingresó por una regla de firewall abierta, software desactualizado o acceso administrativo expuesto, podría volver a intentarlo por la misma vía. La respuesta debe corregir la causa, no únicamente el síntoma.

En Avenet, el enfoque de seguridad para telefonía IP parte de revisar la operación completa: infraestructura, configuración, proveedores, hábitos de uso y necesidades reales de cada área. Proteger una centralita no significa dificultar el trabajo de los equipos; significa darles una herramienta confiable para comunicarse, atender mejor y operar con costos bajo control.

La mejor señal de una centralita segura no es que tenga muchas restricciones, sino que la empresa sabe quién puede llamar, hacia dónde, con qué costo y qué ocurre cuando un comportamiento se sale de lo esperado.