El 23 de abril de 2026, Yeastar publicó un aviso de seguridad para sus centralitas P-Series y calificó el riesgo de crítico. Los atacantes usan herramientas automáticas para escanear direcciones IP y puertos públicos en busca de centralitas, entran en el portal de administración de la PBX y hacen llamadas salientes no autorizadas. Eso es fraude telefónico: otra persona hace llamadas caras y la factura te llega a ti. Esto es lo que dice el aviso, junto con los hábitos generales que mantienen segura cualquier PBX.
Qué dice el aviso de Yeastar
Según el aviso de Yeastar:
- Afectadas: P-Series Cloud Edition, Software Edition y Appliance Edition.
- No afectadas: las centralitas VoIP S-Series; ahí no hace falta hacer nada.
- El riesgo: llamadas salientes fraudulentas "with substantial financial loss" (con pérdidas económicas considerables), y posibles interrupciones del servicio.
Yeastar señala tres configuraciones de mayor riesgo:
- PBX Software Edition en plataformas de nube pública con una dirección IP pública directa.
- Despliegues en plataformas de nube pública sin reglas de cortafuegos estrictas.
- PBX cuyo portal de administración usa números de extensión como nombres de usuario.
La solución: actualizar a Yeastar P-Series V23.3 GA
La solución del aviso es actualizar a P-Series V23.3 GA, build x.22.0.139. En Cloud Edition es el firmware 84.22.0.139, publicado el 21 de abril de 2026: consulta las notas de la versión de Yeastar. La versión GA anterior, la 84.22.0.138, ya incluía lo que Yeastar llamó actualizaciones de seguridad sólidas, con una firme recomendación de actualizar.
En una PBX individual, la actualización se hace en Maintenance › Upgrade, en el panel de administración. Los proveedores de servicios actualizan las PBX Cloud Edition por lotes desde Yeastar Central Management.
Más allá de la actualización: qué recomienda el aviso
Yeastar deja claro que el firmware por sí solo no es toda la respuesta. El aviso recomienda:
- Proteger el acceso de red: evitar la redirección de puertos y bloquear las IP no autorizadas.
- Reforzar la autenticación: credenciales robustas y un control de acceso detallado para los inicios de sesión de las extensiones.
- Restringir las llamadas salientes para evitar actividad fraudulenta.
Para más información, remite a las buenas prácticas de seguridad VoIP de Yeastar.
Prevención del fraude telefónico VoIP: una lista para cualquier PBX
El fraude telefónico es antiguo y bien conocido. Estos hábitos ayudan en cualquier centralita, sea Yeastar o no:
- Usa contraseñas robustas y únicas para cada extensión, PIN de buzón de voz y cuenta de administrador. No dejes nunca los valores por defecto.
- No uses números de extensión como nombres de usuario del portal de administración: Yeastar lo señala como un riesgo mayor.
- Activa la autenticación en dos pasos para los inicios de sesión de administrador siempre que tu PBX la ofrezca.
- Limita quién puede llegar al portal de administración, por dirección IP si puedes.
- Restringe las rutas salientes. Bloquea los destinos internacionales y de tarificación especial a los que nunca llamas, y permítelos solo a las extensiones que los necesitan.
- Pregunta a tu proveedor de troncal SIP por límites: un tope de gasto, el bloqueo de llamadas internacionales o alertas ante tráfico inusual. Si algo sale mal, un límite acota el daño.
- Borra las extensiones que no uses y retira el acceso cuando alguien se va.
- Vigila tus registros de llamadas. Llamadas de noche, a países desconocidos o en ráfagas largas son la señal clásica.
Nada de esto es exótico, y cada paso cierra una puerta que los atacantes prueban primero.
Qué hacer si sospechas un fraude telefónico
Si tus registros muestran llamadas que nadie de tu equipo hizo, actúa rápido: el coste crece minuto a minuto.
- Corta las llamadas salientes a los destinos afectados. Desactiva las rutas salientes internacionales, o las extensiones implicadas, en el panel de administración de la PBX.
- Llama a tu proveedor de troncal SIP. Pídele que bloquee por ahora las llamadas internacionales y de tarificación especial en tu cuenta, y que te diga qué tráfico ha visto.
- Cambia las contraseñas: primero las cuentas de administrador, después las extensiones que hicieron las llamadas y, por último, los PIN de buzón de voz.
- Comprueba quién tiene acceso. Busca usuarios administradores o extensiones que no reconozcas y elimínalos.
- Conserva los registros. Exporta los registros de llamadas del periodo. Puede que te los pidan tu proveedor, tu aseguradora o la policía.
Después, repasa la lista anterior, para que no puedan usar la misma puerta dos veces.
Quién hace qué en PBXfactory
En una PBX Yeastar P-Series Cloud de PBXfactory, el trabajo está claramente repartido:
- Nosotros gestionamos la PBX en nuestra nube, aplicamos las actualizaciones de firmware y de seguridad de Yeastar (las rutinarias, en ventanas de mantenimiento anunciadas; las correcciones de seguridad urgentes, antes) y vigilamos que funcione.
- Tú decides cómo se configura la PBX: contraseñas de las extensiones, quién puede llamar al extranjero, rutas salientes. Es tu PBX, configurada en el panel de administración de Yeastar.
- Tu proveedor de troncal SIP transporta las llamadas. No vendemos troncales ni números, así que los límites de gasto y el bloqueo de llamadas internacionales los acuerdas con él.
Si prefieres que alguien revise esos ajustes contigo, nuestros paquetes de soporte incluyen ayuda con la configuración y una opción gestionada. La documentación de Yeastar explica cada ajuste en detalle.