Phreaking : piratage téléphonique coûte 43000€ au Conseil Départemental des Deux-Sèvres

Phreaking – Le piratage téléphonique, le phreaking, touche de nombreuses personnes, de nombreuses entreprises. L’une de ces attaques consiste à mettre la main sur le mot de passe de gestion du standard téléphonique afin de passer des appels sur le compte de la victime. Le départemental des Deux-Sèvres vient d’en faire les frais.

5000€ pour la MJC de Nancy, 15000€ par les communes de Pessac et de Licques… la liste des entreprises et collectivités piégées par le phreaking, le piratage téléphonique ne cesse de s’allonger. Nouvelle victime en date, le conseil départemental des Deux-Sèvres qui se retrouve avec une facture salée : 43000€ d’appels téléphoniques frauduleux. Attaque malheureusement facile. Un peu de social engineering (quel type de standard utilisé), le numérique de téléphone de l’établissement (et appuyer par exemple sur la touche #) et le mode d’emploi du matériel informatique utilisé pour le standard (on y retrouve le mot de passe usine). Le pirate n’a plus qu’à rentrer le précieux sésame pour prendre la main sur le standard. Bilan, il suffit que le malveillant commercialise dans le blackmarket cette nouvelle source et le tour est joué. Les acheteurs utilisent ensuite ce code d’accès pour enclencher des escroqueries pour des lignes surtaxées [permet de blanchir l’argent détourné par les appels frauduleux], exploité dans des cybercafés un peu partout dans le monde (Afrique, Asie, …). Pour le département, des appels nombreux et long vers l’Afrique pour un montant de 43000 euros ! La police judiciaire de Niort est sur trois autres affaires allant de 416€ de facture à 1400 appels pour un global de 15000€.

Le phreaking

La légende du phreaking, Docteur Crunch [je suis à ses côtés dans la photo ci-dessous, NDR]. Un doux dingue bidouilleur. Il était d’ailleurs en France, en juin dernier. Pour le petit rappel historique, Cap’n Crunch [John Draper], éponyme de la marque américaine de céréales [Quaker Oats] pour le petit déjeuner, avait découvert comment passer des appels téléphoniques gratuitement après avoir soufflé dans le sifflet jouet offert dans la boîte de céréales. Le sifflet émettait une tonalité de 2600 hz. Tonalité, à l’époque, utilisée par BELL pour ses appels longue distance.

Rencontrer LA légende du HACK et du Phreaking … lors du confessionnal @Protocole_ZATAZ #ndh2k15 @hackerzvoice pic.twitter.com/jLplDLSRZt

— ZATAZ.COM Officiel (@zataz) June 20, 2015

Le phreaking peut prendre plusieurs formes, comme le cas du détournement téléphonique de la société CarGlass. Une modification permettant de lancer des appels téléphoniques malveillants sur le compte de l’entreprise connue pour ses réparations de pare-brises. L’idée des pirates, perturber par une forme de DDoS téléphonique une cible choisie.

Ce que dit la loi

Pour les pirates, la loi est claire : piratage, escroquerie, … entre 5 et 7 ans de prison et jusqu’à 350000 euros d’amende. Pour l’entreprise impactée, il est dorénavant possible de se retourner contre le prestataire de service, l’entreprise qui a pris en charge l’installation du standard. Une jurisprudence condamne les intégrateurs dans la mesure où ces derniers n’ont pas informé et formé leurs clients. Oublier de leur expliquer comment changer le mot de passe usine du standard ou oublier de mettre en place les patchs de sécurité devient une faute. Un arrêt de la cour d’appel de Versailles et du tribunal de commerce de Nanterre a condamné un de ses intégrateurs pour faute par négligence. Le tribunal a obligé la société de maintenance à payer la somme volée, soit plus de 12000€ : « Il revient à l’utilisateur de gérer la sécurité de son matériel, à condition toutefois qu’il ait été informé de cette nécessité et qu’on lui ait montré comment procéder ».