VoIP – cybersécurité, risques et meilleures pratiques en 2025
La voix sur IP (VoIP) est au centre de toutes les interactions depuis son apparition dans le monde des centres de contact. La VoIP transmet les données d’un point à un autre en utilisant la commutation par paquets. En bref, la voix humaine est divisée en fragments plus petits pour voyager plus rapidement via le Cloud jusqu’à l’appelant final. Une fois sur place, les fragments sont rassemblés et émettent avec succès des données vocales.
VoIP offre d’innombrables avantages aux entreprises en termes de communication rapide, de meilleurs taux de résolution du service clientèle et une productivité accrue. La grande question que tout le monde se pose en 2021 est en rapport avec les attaques en cybersécurité, ce qui impact les contact center du monde dû à l’usage intensif de la téléphonie via VoIP Les cyberattaques en France ont quadruplé l’année dernière, obligeant les autorités à renforcer la chaîne de cyberdéfense de bout en bout. Environ 70 % des décideurs d’entreprise sont aujourd’hui plus que préoccupés par le risque élevé de cybersécurité auquel leurs entreprises sont confrontées. Qui are est visé par ces attaques ? Quel est le montant des dommages causés par ces attaques ? Quelles sont les mesures à prendre pour rester « à l’abri » de ces attaques ?
Plongeons dans le monde de la cybersécurité et voyons comment elle peut avoir un impact sur votre centre de contact. Les entreprises d’aujourd’hui se concentrent sur l’adoption rapide des dernières tendances et beaucoup de patrons d’entreprises ont négligé le simple aspect de la sécurité de la VoIP en ce qui concerne la violation des données jusqu’à un point de non-retour. Les grandes entreprises comme Target, qui ont vu leur réputation chuter d’environ 54 % un an après leur tristement célèbre violation de données de 2013, ont du mal à s’en remettre. Ainsi, si certains grands détaillants et marques connues peuvent se remettre d’une violation de données, votre entreprise n’aura probablement pas cette chance.
1. Sécurité VoIP et cryptage
Les téléphones VoIP sont plus sûrs que les téléphones fixes normaux pour la simple raison qu’ils disposent de capacités d’analyse et de surveillance, contrairement aux téléphones fixes normaux, qui sont plus coûteux en termes de maintenance et de mise en œuvre. Les conversations cryptées contiennent des claviers illisibles décomposés en échantillons vocaux qui sont transmis d’un point à un autre, ce qui les empêche d’être déchiffrés par des pirates. Même en cas d’interception, le cryptage garantit que les pirates ne seront pas en mesure de déchiffrer les messages au sein des conversations. Pour que le transfert soit sûr, le protocole SRPT (Secure Real Time Transport Protocol) est utilisé. Il contient l’AES (Advanced Encryption Standard) pour les échantillons de données tout en assurant l’authentification des messages et offre une sécurité supplémentaire contre un éventuel rejeu. En plus du SRPT, les solutions VoIP doivent être cryptées avec Transport Layer Security pour protéger les données telles que les numéros de téléphone, les noms des appelants et autres détails. Il s’abstient également d’altérer les messages et d’écouter les appels. TLS et AES sont tous deux nécessaires si vous souhaitez un chiffrement de bout en bout. Les serveurs, les fournisseurs d’accès à Internet, les pirates et les fournisseurs de services de télécommunications ne pourront pas accéder à vos communications, tant qu’elles sont cryptées de bout en bout.
➡️ Voici quelques commentaires sur les risques de sécurité ainsi que les mesures à appliquer afin de mettre fin aux dommages causés par les cyberattaques
a) Détection d’échantillons et attaques par trou noir
Le reniflage d’échantillons est l’une des attaques les plus courantes auxquelles sont confrontés les centres de contact (de petite ou moyenne taille). Il permet aux pirates d’accéder aux informations non cryptées contenues dans les paquets de données vocales pendant leur transit d’un point à un autre.
La perte de paquets se produit lorsque les données vocales n’atteignent pas leur destination. Les renifleurs d’échantillons cherchent à voler des informations via une attaque par abandon de paquets (également connue sous le nom d’attaque par trou noir). Des échantillons sont insérés intentionnellement dans vos flux de données et ils dépassent votre routeur, ce qui entraîne un ralentissement de la connexion ou une perte de données.
connection. L’utilisation d’un VPN VoIP contribue à rendre vos lignes Internet plus sûres. Le cryptage de bout en bout est également un autre moyen de sécuriser vos lignes VoIP. Leur mise en place peut prendre un certain temps, mais ils assurent une protection contre les connexions suspectes, les appareils non reconnus et bien d’autres choses encore, grâce à une surveillance constante du réseau.
b) Attaques DDoS
Les attaques DDoS (Distributed Denial of Service), quant à elles, se produisent lorsque les serveurs sont intentionnellement submergés, empêchant ainsi les entreprises d’utiliser leur propre VoIP. L’utilisation de botnets (robots manipulés et contrôlés à distance, créés par des pirates informatiques) est la principale cause des DDoS. Le modus operandi est très simple : Inonder tous les canaux de communication (sites web, serveurs et réseaux) de tant de données et de demandes qu’ils ne peuvent en gérer, provoquant une sorte de surcharge qui rend la VoIP inopérante.
Les signes courants sont :
- Pics de bande passante inattendus et prolongés
- Réponses d’erreur 503 HTTP
- Service ralenti
- Trafic inhabituel provenant d’appareils, d’adresses IP et de sources similaires.
Pour réduire les attaques DDoS, les VLAN (réseaux locaux virtuels) spécialement conçus pour les flux VoIP sont considérés comme la meilleure option à utiliser ici, car ils permettent de reconnaître plus facilement les flux de données injustifiés et bizarres. Pour les utilisateurs traversant un réseau étendu (WAN), le cryptage surveillé est le meilleur moyen de protéger votre entreprise contre les attaques DDoS.
c) Vishing
Le vishing est similaire au phishing La seule différence ici, c’est que les pirates utiliseront des méthodes de communication vocale pour amener l’utilisateur final à révéler des informations sensibles telles que des mots de passe, des informations sur les cartes de crédit, des codes de sécurité et bien plus encore. Les pirates utilisent une méthode appelée « Caller ID spoofing » (usurpation d’identité de l’appelant), qui consiste à faire passer vos identifiants d’appel pour légitimes. Il peut s’agir d’un appel de votre banque locale indiquant que votre compte a été compromis et qu’elle a besoin de votre mot de passe pour le sécuriser.
Des méthodes de vérification approfondie doivent être mises en place afin de vérifier l’identité de l’appelant et les demandes téléphoniques, même si elles semblent provenir d’un département informatique. Une autre tactique qui peut être utilisée ici serait de former correctement les agents. Les agents doivent être informés de ne pas divulguer d’informations confidentielles, sauf si elles ont été validées par un superviseur.
Les signes du Vishing sont :
- Numéros courts et inhabituels apparaissant sur l’écran d’affichage de l’appelant.
- Appels surprenants de sociétés connues ou célèbres
- Demande persistante de fournir des informations confidentielles à des fins de vérification.
- Un faux sentiment d’urgence créé par l’appelant.
Comment prévenir le Vishing:
- Ne fournissez pas d’informations confidentielles par téléphone à une personne que vous soupçonnez
- Inscrivez-vous à un registre de numéros de téléphone exclus
- Ne répondez pas aux messages vocaux par répondeur ou par téléphone.
d) Attaques de Phreaking
Les hackers entre dans VOIP votre réseau afin de changer de plan d’appel, de passer des appels internationaux et même d’ajouter des crédits d’appel supplémentaires, le tout par le biais de votre propre système et de votre compte bancaire. Ils volent les informations de facturation stockées, accèdent à votre messagerie vocale et configurent des stratégies de routage et de transfert d’appels à leur guise.
Comment ça fonctionne : Les pirates se connectent à votre système téléphonique et saisissent ensuite un code PIN pour accéder à une ligne extérieure tout en passant des appels et en vous les facturant.
Si vous remarquez une augmentation de vos factures de téléphone, des numéros inconnus dans l’historique des appels, des appels effectués en dehors des heures de bureau, c’est que vous êtes certainement victime de phreaking.
Cryptez votre SIP, changez régulièrement vos mots de passe, achetez des ransomwares et surtout, n’enregistrez pas les informations de facturation dans votre système.
e) Fraude au péage
Les hackers émettent un montant excessif d’appels internationaux depuis votre téléphone professionnel et ils prennent une partie des revenus générés par ces appels.
Les fournisseurs d’IPRN (International Premium Rate Number) achètent et vendent des numéros de téléphone auprès d’opérateurs ou de régulateurs nationaux. Les pirates génèrent une grande quantité de numéros à partir de ces listes et s’approprient ensuite les revenus. La prévention de la fraude au péage est assez simple. Il vous suffit d’activer le facteur d’authentification bidirectionnelle, de restreindre les autorisations de localisation en permettant aux utilisateurs de contacter un nombre limité de pays et, enfin, de fixer des limites à la durée des appels.
2. Comment savoir si votre voIP est sûr ?
Avant de choisir un prestataire VoIP, il est crucial de poser les bonnes questions pour vous assurer que ses infrastructures et ses pratiques sont à la hauteur des exigences en matière de cybersécurité, de conformité et de qualité de service.
a) Disponibilité et continuité du service
- Quel est le taux de disponibilité garanti (SLA) ? Recherchez un engagement d’au moins 99,99 %. Demandez aussi quelles sont les mesures mises en place pour minimiser les interruptions (redondance réseau, basculement automatique, etc.).
- Quels sont les délais moyens de résolution en cas d’incident ? Un bon fournisseur doit pouvoir vous fournir un historique clair de ses temps moyens de réponse et de rétablissement.
b) Cybersécurité et conformité
- Comment l’entreprise gère-t-elle les violations de sécurité ? Exigez des détails sur les procédures d’intervention, les alertes automatiques et le délai de reprise après un incident.
- Le fournisseur est-il certifié GDPR, HIPAA, PCI DSS ou ISO 27001 ? Ces normes sont des indicateurs importants de maturité en matière de cybersécurité. N’hésitez pas à demander des preuves ou rapports d’audit.
- Quels mécanismes sont en place pour sécuriser les serveurs sur site ? Cela inclut les pare-feux, la segmentation du réseau, les systèmes de détection d’intrusion (IDS) et la surveillance continue.
c) Risques spécifiques à la VoIP
- Quelles mesures sont prises contre les attaques ciblées : DNS spoofing, phishing, fraude aux péages, SIP trunk hijacking ? Le fournisseur doit disposer de protections actives et réactives contre ces menaces.
d) Intégration avec des services tiers
- Si des services tiers sont utilisés (CRM, helpdesk, etc.), quelles sont les politiques de sécurité applicables ? Demandez un aperçu des protocoles d’authentification, de chiffrement et de transmission de données en vigueur.
e) Chiffrement et qualité audio
- Les communications sont-elles chiffrées de bout en bout (SRTP, TLS) ? Et surtout, ce chiffrement impacte-t-il la qualité des appels ? Un bon prestataire doit offrir sécurité et performance sans compromis.
f) Support client et assistance technique
- Quelles sont les modalités d’assistance ? Demandez des précisions sur les canaux disponibles (téléphone, chat, e-mail), les plages horaires (24/7 ou horaires étendus), ainsi que les niveaux de support inclus selon la formule choisie.
3. Quelques bonnes pratiques à adopter en 2025 pour sécuriser votre VoIP
a) Renforcez la politique de mots de passe
Utilisez une gestion centralisée avec authentification multi-facteurs (MFA).
Interdisez les mots de passe faibles ou réutilisés, et forcez leur rotation automatique toutes les 30 à 60 jours via une politique Active Directory ou un gestionnaire de mots de passe d’entreprise.
b) Ne jamais utiliser de Wi-Fi public sans protection
Encouragez l’utilisation systématique de VPN sur les connexions non sécurisées.
Intégrez des solutions de Mobile Device Management (MDM) pour contrôler les connexions des terminaux mobiles.
c) Auditez régulièrement votre infrastructure VoIP
Programmez des tests d’intrusion spécifiques à la téléphonie IP.
Vérifiez les configurations des pare-feu SIP, tracez les appels anormaux et surveillez les logs d’accès.
d) Mettez à jour en continu vos systèmes
Automatisez les mises à jour de sécurité pour les softphones, PBX, firmware de routeurs VoIP, etc.
Vérifiez régulièrement que tous les composants logiciels et matériels sont à jour face aux vulnérabilités connues (CVE).
e) Formez vos équipes
Sensibilisez vos collaborateurs aux risques liés au phishing vocal et à l’ingénierie sociale.
Intégrez des scénarios VoIP dans vos formations cybersécurité annuelles.
4. En conclusion
Nous espérons que cet article vous a aidé à comprendre comment les hackers profitent des VOIP réseaux lorsque les risques existent. D’ailleurs, en parlant de risques, saviez-vous que l’Europe a défini une nouvelle liste de risques liés à l’IA ? La cyber-sécurité doit figurer en tête de votre liste de tâches en tant que responsable informatique. Dans les centres de contact, les données constituent le plus grand actif de tous et la sécurisation de vos données est la chose la plus importante à faire. Chez Nixxis, nous savons qu’il vaut mieux prévenir que guérir.
Pour aller plus loin : Sécurisez votre VoIP avec la
bonne solution d'hébergement. Choisirez-vous le Cloud ou l'On Premise ?
A propos de l'auteur
Président de Nixxis, Luc est un visionnaire de l’expérience client augmentée par l’intelligence artificielle. Au quotidien, il allie sa passion pour l’innovation et son sens aigu de la stratégie. Sous son impulsion, Nixxis s’impose comme un acteur de référence dans la transformation digitale de la relation client, en plaçant la technologie au service de l’humain et de la performance durable.
A propos de l'auteur
Président de Nixxis, Luc est un visionnaire de l’expérience client augmentée par l’intelligence artificielle. Au quotidien, il allie sa passion pour l’innovation et son sens aigu de la stratégie. Sous son impulsion, Nixxis s’impose comme un acteur de référence dans la transformation digitale de la relation client, en plaçant la technologie au service de l’humain et de la performance durable.
