A invasão de um PABX não aparece na tela de ninguém. Ela aparece na conta telefônica, semanas depois.

Escritório vazio à noite com os computadores ligados

Imagine a cena: a empresa fecha na sexta-feira antes de um feriado prolongado. O escritório fica vazio, mas o sistema telefônico continua ligado. Durante o feriado, ele faz centenas de ligações para números internacionais caros, sem que ninguém perceba. A descoberta só vem com a fatura da operadora.

Esse golpe tem nome: fraude em PABX. Segundo a CFCA, associação internacional de combate à fraude em telecomunicações, as perdas do setor com fraude foram estimadas em US$ 38,95 bilhões em 2023, com a fraude em PABX entre os métodos mais citados. O assunto costuma ficar com a TI, mas quem sente o prejuízo é o caixa. Por isso, este texto é para quem decide, não para quem configura.

E o calendário dos próximos meses joga a favor de quem aplica esse golpe. Finados cai numa segunda-feira (2/11), o Dia da Consciência Negra numa sexta (20/11), e Natal e Ano Novo também numa sexta. São quatro feriados prolongados até a virada do ano, com muitos escritórios vazios e sistemas ligados.

Neste artigo, você vai descobrir:

  • Como funciona a fraude em PABX, sem jargão técnico
  • Quando o risco é maior e quem paga a conta
  • Os sinais de alerta que o gestor pode acompanhar
  • O que fazer antes de fechar o escritório para o feriadão
  • As perguntas certas para fazer à sua TI ou ao seu parceiro

Como Funciona a Fraude em PABX?

O criminoso consegue acesso ao sistema telefônico da empresa e passa a ligar para números internacionais de tarifa alta. Parte do valor dessas chamadas volta para quem controla esses números, por meio de um mecanismo de divisão de receita. É a fraude de compartilhamento de receita internacional (IRSF, na sigla em inglês), que um estudo apresentado no NDSS, um dos principais simpósios de segurança digital do mundo, aponta como um dos esquemas de fraude mais comuns em telefonia.

A porta de entrada raramente é sofisticada. O NCSC, centro nacional de cibersegurança do governo britânico, aponta entre os pontos fracos explorados senhas padrão que nunca foram trocadas, portas abertas sem necessidade e firewalls mal gerenciados ou inexistentes. Segundo o Get Safe Online, iniciativa britânica de segurança digital, recursos como o acesso remoto ao correio de voz e o desvio de chamadas também podem ser explorados.

Quando o Risco é Maior e Quem Paga?

O risco cresce quando a empresa está fechada, mas o telefone continua funcionando. Não por acaso, o NCSC recomenda restringir as ligações fora do expediente, à noite, nos fins de semana e nos feriados, e ficar de olho em mudanças no padrão de chamadas nesses horários. Sem ninguém olhando, números caros podem ser discados centenas ou até milhares de vezes, e o Get Safe Online fala em prejuízos que podem chegar a seis dígitos.

E a conta fica com a empresa. O NCSC é direto: como dono do negócio, você deverá pagar a fatura. As regras variam conforme o país e o contrato, então vale perguntar à sua operadora como ela trata esses casos e deixar as responsabilidades claras no contrato, como o próprio NCSC recomenda. Com quatro feriadões pela frente, a hora de fazer essa conversa é agora.

Gestor analisando faturas de PABX

Sinais de Alerta

Você não precisa entender de protocolos para perceber que algo está errado:

  • Destinos estranhos: ligações para países com que a empresa não tem negócios
  • Horários estranhos: chamadas externas quando ninguém está trabalhando
  • Picos repentinos: volume de ligações ou fatura muito acima do normal
  • Alertas sem dono: avisos de segurança que chegam e ninguém trata

Notou algo assim? Fale com a operadora imediatamente, acione quem cuida do sistema, troque senhas e PINs e guarde os registros de chamadas como evidência.

Antes de Fechar o Escritório Para o Feriadão

Três cuidados simples para a sexta-feira antes do feriado:

  • Restrinja as ligações externas durante o período fechado, principalmente as internacionais, se a empresa não precisa delas
  • Defina quem recebe os alertas do sistema e da operadora enquanto o escritório estiver vazio
  • Confira o relatório de chamadas na volta, procurando destinos e horários fora do padrão

Sete Perguntas Para Fazer ao Seu T.I.

Você não precisa configurar nada. Basta fazer as perguntas certas e saber qual resposta esperar:

Perguntas que todo gestor deveria fazer sobre o PABX
Pergunta Por que importa Resposta que você quer ouvir
Para quais países o nosso sistema consegue ligar? O destino é o que gera o prejuízo Só para os países com que a empresa realmente fala
O sistema faz ligações externas com o escritório fechado? É quando ninguém está olhando Só o necessário, com bloqueio ou alerta fora do expediente
Os PINs do correio de voz ainda são os de fábrica? Senha padrão é porta de entrada conhecida Não, todos foram trocados por PINs fortes
Quem tem acesso de administrador? Acesso esquecido é risco ativo Uma lista curta, revisada e sem ex-funcionários
Quando o sistema foi atualizado pela última vez? Falta de manutenção abre brechas Recentemente, e existe uma rotina para isso
Quem recebe os alertas de segurança? Alerta sem dono é alerta ignorado Uma pessoa definida, que sabe o que fazer
Temos limite ou alerta de gasto com a operadora? Limita o tamanho do estrago Sim, e sabemos quem é avisado

Como a 3CX Ajuda a Fechar Essas Portas

Várias respostas da tabela dependem de recursos do próprio sistema. Na 3CX, é possível definir para quais códigos de país as ligações são permitidas e restringir as regras de saída. O anti-hacking nativo bloqueia automaticamente origens com falhas de autenticação, as Restrições do Console limitam a administração a IPs confiáveis, os alertas avisam sobre bloqueios e falhas, e os relatórios de chamadas mostram para onde, quando e de qual ramal cada ligação saiu.

No Hospedado pela 3CX, a infraestrutura fica com a 3CX, mas usuários, permissões e aparelhos continuam sob responsabilidade da empresa.

Para o time técnico, o passo a passo de cada área está na Lista de Verificação para Reforço de Segurança do 3CX V20, publicada há algumas semanas. Este artigo mostra o porquê, e a lista mostra o como.

Como a 3CX te Ajuda

Perguntas Frequentes

Empresa pequena também é alvo?

Sim. Segundo o Get Safe Online, os criminosos usam discagem automática para encontrar sistemas vulneráveis, e o tamanho da empresa importa menos do que a brecha. Para pequenas empresas, o prejuízo pesa ainda mais.

PABX na nuvem está livre desse risco?

Não totalmente. A nuvem reduz a infraestrutura a manter, mas senhas fracas e usuários esquecidos continuam sendo porta de entrada em qualquer modelo.

A operadora pode bloquear ligações internacionais?

Vale perguntar. O NCSC recomenda desativar as ligações internacionais quando a empresa não precisa delas, e o Get Safe Online lembra que alguns provedores oferecem monitoramento de picos e corte de serviço acima de um limite combinado. Se você usa troncos SIP, confira a opção com o provedor.

Conclusão: Segurança do PABX é Decisão de Gestão

Proteger o PABX não exige que o gestor vire técnico. Exige saber que o risco existe, acompanhar alguns sinais e fazer as perguntas certas antes do próximo feriado. O resto é configuração, e as ferramentas de segurança da 3CX estão aí para isso.

🚀 Experimente o 3CX gratuitamente e conheça na prática os recursos de segurança do sistema.

Quer uma revisão da sua instalação antes do feriado? Fale com nossos Parceiros Certificados.