Fino ad oggi gli attacchi ai sistemi VoIP si sono limitati sostanzialmente all'exploit di vulnerabilità di device e software specifici, come quelle di Asterisk (CVE-2006-2898, CVE-2006-4345, CVE-2006-4346, CVE-2006-5444) o di Cisco Unified Call Manager (CVE-2006-0368, CVE-2006-3594).
Alcuni trojan inoltre cercano di sfruttare Skype per propagarsi, ma al momento ci riescono solo mediante l'invio di messaggi di testo e link - una minaccia equiparabile quindi al malware già noto per i sistemi di messaggistica istantanea.
In questo articolo di IT-Observer si teorizza invece sulla possibilità di nuovi malware che sfruttino proprio l'architettura del servizio VoIP, come ad esempio un worm che si auto-trasmette durante una telefonata da un sistema VoIP all'altro:
Imagine a dataflow across an audio channel (perhaps at a frequency that is not audible to humans) that could crash the voice system, causing a denial of service. Or that this dataflow could be used to create a system status that would allow execution of malicious code.
O un malware che non interferisce direttamente con il flusso VoIP, ma che modifica la rubrica in modo tale da favorire un attacco di social engineering:
A user has an IP telephony system on his computer (both at home and at work). In his address book on the computer there is an entry, under the name “Bank”, with the number 123-45-67. Now, a hacker launches a mass-mailing attack on thousands or millions of email addresses using code that simply enters users’ address books and modifies any entry under the name “Bank” to 987-65-43. The problem has now been created.
If any of these users receives a message saying that there is a problem in their account, and asking them to call their bank (a typical phishing strategy), they may not be suspicious, as they are not clicking on a link in an email (as they have been advised not to do to avoid this type of fraud) nor calling a number in the email (another typical ploy). If they use their VoIP system to call the ‘bank’, they will be calling the modified number, where a friendly automated system will record all their details.
Usando sistemi nuovi siamo tutti più vulnerabili. Oggi una buona parte dell'utenza sa cosa fare e cosa non fare riguardo all'uso dell'e-mail o sull'apertura di allegati eseguibili, ma sei o sette anni fa la situazione era ben diversa: la posta elettronica era una novità ancora per molti, e quasi nessuno conosceva o rispettava anche le più elementari regole di sicurezza.
Quando - nel giro di 2 o 3 anni - i sistemi VoIP avranno raggiunto una buona penetrazione nella società, aspettiamoci attacchi di massa anche su queste piattaforme.
A riguardo già nel 2005 l'agenzia tedesca per la sicurezza informatica ha rilasciato un documento (in tedesco) che illustra i potenziali attacchi al VoIP.
