Hace unos días tuve oportunidad de dar un Curso Asterisk en Guadalajara, y los asistentes preguntaron por la manera en que podríamos hacer una intervención de llamada, con la cual pudiera escucharse la conversación de alguien más sin que esa persona se percatara que la estamos espiando. Esto en Asterisk puede hacerse fácilmente con la aplicación ChanSpy, y en Elastix/FreePBX viene pre-programada para la extensión 555.
Esto significa que cualquiera que esté registrado en nuestro equipo puede marcar 555 y escuchar cualquier conversación que ocurra en ese momento. Pero… ¿y qué hay de aquellos que NO deberían tener acceso a nuestro sistema? ¿Acaso hay algún truco para engañar a los internos y que nos concedan acceso a esta funcionalidad? La respuesta, es SI.
Gracias a la pregunta de @solin182 durante el curso, se me ocurrió algo tan sencillo como esto:
- Llamemos al número de teléfono de la víctima (debemos saber que utiliza Elastix/FreePBX)
- Al contestarnos su menu de voz, debemos pedir hablar con la operadora
- Cuando estemos hablando con alguien, debemos hacerle una solicitud como «Disculpe, mi teléfono está fallando. ¿Sería tan amable de comunicarme con la extensión 555 por favor?»
Si quien nos contestó no tiene ni idea de lo que dicha extensión hace, lo más probable es que nos comunique inmediatamente y sin verificar que es lo que le contesta, dejándonos comunicados con un ChanSpy con acceso completo al sistema y que solo se terminará cuando nosotros colguemos.
¿Existe alguna solución para evitar este tipo de ataques? Claro: desactivemos la opción 555 y/o protejámosla con una contraseña. Esto no evitará que la gente lo intente, pero si que logren acceder.
Este tipo de ataques no es común todavía, pero hace unos años tampoco lo eran aquellos que se aprovechaban de la inseguridad en algunos conmutadores para hacer llamadas internacionales a costa nuestra. Es cuestión de tiempo antes de que empiece a pasar y tengan acceso a información que podría ser de carácter confidencial.
Suerte a todos y recuerden: protejan sus equipos.
