FBI: Penjahat Memanggil-Otomatis Dengan Sistem VoIP yang Diretas

Penjahat mengambil keuntungan dari bug di sistem telepon Internet Asterisk yang memungkinkan mereka memompa ribuan panggilan telepon penipuan dalam satu jam, Biro Investigasi Federal AS memperingatkan Jumat.

FBI tidak mengatakan versi Asterisk mana yang rentan terhadap bug, tetapi menyarankan pengguna untuk meng-upgrade ke versi terbaru dari perangkat lunak. Asterisk adalah produk open-source yang memungkinkan pengguna mengubah komputer Linux menjadi pertukaran telepon VoIP (Voice over Internet Protocol).

Dalam apa yang disebut serangan vishing, scammers biasanya menggunakan sistem VoIP untuk mendirikan pusat panggilan palsu dan kemudian gunakan email phising untuk mengelabui korban agar menghubungi pusat. Sesampai di sana, mereka diminta untuk memberikan informasi pribadi. Tapi dalam penipuan yang dijelaskan oleh FBI, mereka tampaknya mengambil alih sistem Asterisk yang sah untuk memanggil korban secara langsung.

[Bacaan lebih lanjut: Kotak NAS terbaik untuk streaming media dan cadangan]

"Versi awal perangkat lunak Asterisk diketahui memiliki kerentanan, "kata FBI dalam sebuah saran yang diposting Jumat ke Pusat Penganiayaan Kejahatan Internet. "Kerentanan dapat dimanfaatkan oleh penjahat cyber untuk menggunakan sistem sebagai dialer otomatis, menghasilkan ribuan panggilan telepon ke konsumen dalam satu jam."

Perangkat lunak, yang dikembangkan oleh Digium, telah tersedia selama hampir satu dekade, dan sejumlah kekurangan kritis telah ditemukan dalam perangkat lunak. Pada bulan Maret, para peneliti di Mu Security melaporkan bug yang dapat memungkinkan penyerang untuk mengendalikan sistem Asterisk.

Digium tidak yakin apa kerentanan FBI yang merujuk pada penasehatnya. Namun John Todd, direktur komunitas open source dari perusahaan Asterisk, percaya bahwa itu mungkin adalah bug bulan Maret ini. Kerentanan itu "pada dasarnya memungkinkan Anda mengambil alih akun satu orang," katanya. "Dalam kasus terburuk, Anda dapat membuat ribuan panggilan dalam satu jam."

Namun, serangan yang digambarkan oleh FBI akan sangat sulit untuk dilakukan, Todd mengatakan.

Kebanyakan sistem Asterisk dilindungi oleh firewall atau perangkat lunak keamanan lainnya dan bahkan jika seseorang dapat diakses oleh visher, administrator biasanya membatasi jumlah panggilan yang dapat dibuat satu akun secara bersamaan, jelasnya. "Sebagian besar waktu Anda tidak akan dapat membuat ribuan panggilan dalam satu jam."

Cacat mempengaruhi versi lama Asterisk tetapi bukan versi terbaru 1.6, katanya.