Voipro, de Benelux specialist op het gebied van hosted communicatieoplossingen, concludeert op basis van een uitgebreide marktanalyse van MarketCap International dat het hacken van ´traditionele´ telefooncentrales op jaarbasis een schade van vele miljoenen bij het Nederlandse bedrijfsleven veroorzaakt.
De diverse telecom providers trachten deze aanzienlijke schade te bagatelliseren. Aangezien bij het inbreken in een ´traditionele´ telefooncentrale de kosten voor rekening van de klant zijn, lijkt dit probleem een direct pleidooi voor Hosted Voice diensten te zijn.
Naar aanleiding van diverse berichten de voorbije weken heeft Voipro door MarketCap International een marktanalyse laten uitvoeren naar de jaarlijkse kosten voor het Nederlandse bedrijfsleven veroorzaakt door het hacken van telefooncentrales. Uit de MarketCap analyse blijkt dat het niet om enkele tientallen bedrijfscentrales gaat, maar dat het aantal gehackte centrales op jaarbasis minimaal 700 is. De hackers zorgen er voor dat, met buitgemaakte inlogcodes, de telefoonlijnen naar hun eigen buitenlandse betaalde telefoonnummers nachtenlang open blijven. Men routeert als het waren het eigen telefoonverkeer over de gehackte telefooncentrales. Op deze manier incasseert men wel de inkomsten van de eigen klanten, doch rekent men zelf niet af met de telecom providers. Als bij een telefooncentrale ingebroken wordt, kan de hacker ongeoorloofde telefoongesprekken voeren, bijvoorbeeld naar een duur eigen informatienummer. De kosten zijn voor rekening van het bedrijf. De schade varieert per organisatie tussen enkele duizenden en enkele tienduizenden euro´s. Het gaat per gehackte centrale om gemiddeld circa 16.000 euro, aldus de uitgebreide MarketCap analyse. Dit betekent dat het Nederlandse bedrijfsleven en de overheidsorganisaties jaarlijks ‘opgelicht’ worden voor minimaal 11 miljoen euro.
Alfred den Besten van MarketCap International geeft aan dat het aannemelijk is dat de schade in werkelijkheid veel hoger zal uitvallen. "Veel organisaties zullen er niet trots op zijn dat er ingebroken is in de telefooncentrale, het imago wordt hiermee ook geschaad. Verder zal lang niet elke grote organisatie direct merken als de rekening wat hoger uitvalt. Het gaat namelijk zeker niet altijd om schades van 30.000 euro of meer. En bij een multi-national organisatie zal men een verschil van 20.000 euro per maand zeker niet direct traceren. Het is dan ook onze inschatting dat de werkelijke schade zeker boven de 15 miljoen per jaar uitkomt."
Rob Kurver, directeur van Voipro over het hacking probleem: "Het AD melde onlangs dat een Rotterdamse ondernemer in twee nachten voor dertigduizend euro door hackers was benadeeld. In een reactie hierop gaf KPN Telecom aan van de hackers praktijken op de hoogte te zijn. De telecom aanbieder stelde dat gedupeerde bedrijven de telefoonrekening gewoon moeten betalen. KPN Telecom gaf als commentaar dat zij gewoon kosten gemaakt hadden voor het afhandelen van het telefoonverkeer. KPN Telecom adviseert zijn zakelijke klanten om een pincode op de centrale in te stellen die ‘moeilijk te raden’ is. Als je dat leest, dan val je echt van je stoel van ongeloof. Zoals bekend werken de meeste klanten van KPN Telecom met een bedrijfstelefooncentrale die eveneens door KPN geleverd is. Het is dan ook erg goedkoop om je er zo vanaf te maken.
Binnen hosted voice toepassingen gaat de beveiliging echt wel verder dan een pincode. Uiteraard is een hosted voice omgeving niet 100 procent beschermd tegen hackers, maar de beveiliging is wel in handen van experts. De kluis van De Nederlandse Bank zal ook best wel gekraakt kunnen worden, maar toch zou ik daar liever mijn geld opbergen dan in een oude sok onder mijn matras. Waarom? Simpel, de beveiliging is geregeld door experts. De hosted voice voice oplossing van Voipro kent bijvoorbeeld drie lagen beveiliging: een firewall (IP-adres beveiliging), een username password combinatie (niet alleen pincode) en een limitering van belbudget (per persoon instelbaar)."
Vooral centrales die op afstand kunnen worden bediend kunnen een prooi zijn voor potentiële hackers. Als bedrijven vergeten de standaardpincode te wijzigingen, dan is inbreken voor een kwaadwillende een makkelijke klus. Volgens Den Besten van MarketCap is echter ook bij een veranderde pincode inbreken nog steeds goed mogelijk: "Ten eerste is de zwakste schakel altijd de mens. Bij de meeste bedrijven is de centrale geïnstalleerd door een telecom reseller die veelal ook het onderhoud op de centrale pleegt. Dit betekent dat men remote (op afstand) in de centrale moet kunnen komen en dus de toegangscode bekend is bij de technische staff van de bewuste reseller. De codes kunnen dus eenvoudig op deze wijze worden doorgespeeld aan de mogelijke hackers."
Alfred den Besten van MarketCap International geeft aan dat volgens gecommuniceerde cijfers van KPN Telecom hackers zichzelf jaarlijks zo’n 25 keer toegang tot bedrijfstelefooncentrales verschaffen. Den Besten: "Vanuit KPN Telecom wordt gemeld dat men per jaar zo’n 25 tot 30 meldingen krijgt en dat dit weinig is op tienduizenden Nederlandse bedrijven. Dit aantal is dus niet realistisch, de Nederlandse markt omvat namelijk niet enkele tienduizenden bedrijven, maar omvat inclusief de (semi) overheidsinstellingen zeker 150.000 vestigingen met een eigen bedrijfstelefooncentrale. Men doet zich hier naar mijn mening veel te gemakkelijk van af. Maar het zijn uiteraard niet alleen de KPN klanten die kwetsbaar zijn, de klanten van andere providers zijn net zo kwetsbaar."
Rob Kurver van Voipro vult aan: "KPN signaleert naar eigen zeggen het afwijkend gedrag. Op het moment dat men een belpatroon van een bedrijf vindt afwijken, wordt dat de klant medegedeeld. Maar wat is volgens KPN afwijkend belgedrag? Wat beschouwt KPN als pro-actief monitoren, hoe doet men dat? De meeste inbraken vinden plaats in het weekend, zelfs als KPN op maandag het afwijkende gedrag constateert, dan is het al te laat. Uit de praktijk blijkt echter dat het afwijkende belgedrag pas geconstateerd wordt bij het opmaken van de periodieke afrekening. Dat blijft onduidelijk. Het afwijken van het belpatroon kan volgens KPN Telecom allerlei redenen hebben, het kan ook zijn dat een personeelslid regelmatig naar het buitenland belt. Persoonlijk vind ik dat KPN Telecom de zaak bagatelliseert, het fenomeen is niet iets van de laatste maanden, maar speelt al veel langer. Verder dienen in onze opinie de telecom providers een veel meer proactieve rol in deze te hebben c.q. nemen. Men heeft nu een soort benadering van ‘ach de klant vindt de rekening erg hoog, laten we eens kijken naar de oorzaak´. Wanneer een bedrijf de abonnementskosten vooraf aan een telecom provider moet afdragen, dan is een actieve rol in deze toch het minste. Dit betekent wel dat de telecom providers met beter business intelligence en analyse tools zullen moeten gaan werken. Ze hebben nu veelal al moeite om het normale belgedrag van klanten goed te voorspellen."
Naar de mening van MarketCap wordt met het openbare van dit serieuze probleem een lans gebroken voor de (over) stap naar hosted voice toepassingen. Den Besten: "Ten eerste bestaat het risico dat de klant de kosten van het hacken moet betalen bij een hosted voice oplossing dus niet. De hosted voice dienstverlener is verantwoordelijk voor de gehele hosted toepassing, en dus ook voor de beveiliging van het geheel. Bij alle artikelen over inbraak in telefoon-centrales ligt de nadruk op ‘pincodes’. Dit is wel heel eenzijdig verwoord, bij de meeste MKB bedrijven is de beveiliging sowieso niet goed geregeld. Zelfs als de ‘pincode’ veranderd zou zijn, dan is deze vaak eenvoudig te ontdekken door inbraak in de server omgeving. Wanneer je dan bedenkt dat men tevens geen eigen centrale meer behoefte aan te schaffen, de flexibiliteit enorm toeneemt en de ‘normale belkosten’ eveneens aanzienlijk afnemen, dan lijkt de stap naar hosted voice een logische."
