Le 23 avril 2026, Yeastar a publié une alerte de sécurité pour ses systèmes téléphoniques P-Series et a classé le risque critique. Des attaquants utilisent des outils automatisés pour scanner les adresses IP et les ports publics à la recherche de PBX, entrent dans le portail de gestion du PBX, puis passent des appels sortants non autorisés. C'est la fraude téléphonique : quelqu'un d'autre passe des appels coûteux, et c'est toi qui reçois la facture. Voici ce que dit l'alerte, et les bonnes habitudes plus générales qui protègent n'importe quel PBX.
Ce que dit l'alerte de Yeastar
Selon l'alerte de Yeastar :
- Concernés : P-Series Cloud Edition, Software Edition et Appliance Edition.
- Non concernés : les PBX VoIP S-Series — aucune action nécessaire.
- Le risque : des appels sortants frauduleux « with substantial financial loss » (avec des pertes financières importantes), et une possible interruption de service.
Yeastar cite trois configurations plus à risque :
- Les PBX Software Edition sur des plateformes cloud publiques avec une adresse IP publique directe.
- Les déploiements sur des plateformes cloud publiques sans règles de pare-feu strictes.
- Les PBX dont le portail de gestion utilise les numéros d'extension comme noms d'utilisateur.
Le correctif : passer à Yeastar P-Series V23.3 GA
Le correctif de l'alerte est de passer à P-Series V23.3 GA, build x.22.0.139. Sur la Cloud Edition, c'est le firmware 84.22.0.139, publié le 21 avril 2026 — voir les notes de version de Yeastar. La version GA précédente, la 84.22.0.138, avait déjà apporté ce que Yeastar appelait des mises à jour de sécurité robustes, avec une forte recommandation de mise à jour.
Pour un PBX isolé, la mise à jour se fait sous Maintenance › Upgrade dans le panneau d'administration. Les fournisseurs de services mettent à jour les PBX Cloud Edition par lots depuis Yeastar Central Management.
Au-delà de la mise à jour : ce que recommande l'alerte
Yeastar est clair : le firmware seul ne suffit pas. L'alerte recommande de :
- Sécuriser l'accès réseau — éviter la redirection de ports et bloquer les IP non autorisées.
- Renforcer l'authentification — des identifiants solides et un contrôle d'accès fin pour les connexions des extensions.
- Restreindre les appels sortants pour empêcher les activités frauduleuses.
Elle renvoie aux bonnes pratiques de sécurité VoIP de Yeastar pour aller plus loin.
Prévenir la fraude téléphonique VoIP : une checklist pour tout PBX
La fraude téléphonique est ancienne et bien connue. Ces habitudes aident sur n'importe quel système téléphonique, Yeastar ou non :
- Utilise des mots de passe forts et uniques pour chaque extension, code de messagerie vocale et compte admin. Ne laisse jamais les valeurs par défaut.
- N'utilise pas les numéros d'extension comme identifiants du portail de gestion — Yeastar le signale comme plus risqué.
- Active l'authentification à deux facteurs pour les connexions admin partout où ton PBX la propose.
- Limite qui peut atteindre le portail d'administration, par adresse IP si tu peux.
- Restreins les routes sortantes. Bloque les destinations internationales et surtaxées que tu n'appelles jamais, et ne les autorise que pour les extensions qui en ont besoin.
- Demande des limites à ton fournisseur de trunk SIP — un plafond de dépenses, un blocage de l'international ou des alertes sur le trafic inhabituel. Si quelque chose tourne mal, une limite plafonne les dégâts.
- Supprime les extensions inutilisées et retire les accès quand quelqu'un part.
- Surveille tes journaux d'appels. Des appels la nuit, vers des pays inhabituels ou en longues rafales sont le signe classique.
Rien de tout cela n'est exotique, et chaque étape ferme une porte que les attaquants essaient en premier.
Que faire si tu soupçonnes une fraude téléphonique
Si tes journaux d'appels montrent des appels que personne dans ton équipe n'a passés, agis vite — le coût grimpe à chaque minute :
- Arrête les appels sortants vers les destinations concernées. Désactive les routes sortantes internationales, ou les extensions impliquées, dans le panneau d'administration du PBX.
- Appelle ton fournisseur de trunk SIP. Demande-lui de bloquer pour l'instant les appels internationaux et surtaxés sur ton compte, et de te dire quel trafic il a vu.
- Change les mots de passe — d'abord les comptes admin, puis les extensions qui ont passé les appels, puis les codes de messagerie vocale.
- Vérifie qui a accès. Cherche des utilisateurs admin ou des extensions que tu ne reconnais pas, et supprime-les.
- Garde les traces. Exporte les journaux d'appels de la période. Ton fournisseur, ton assureur ou la police peuvent te les demander.
Ensuite, reprends la checklist ci-dessus, pour que la même porte ne serve pas deux fois.
Qui fait quoi chez PBXfactory
Sur un PBX Yeastar P-Series Cloud de PBXfactory, le travail est clairement réparti :
- Nous faisons tourner le PBX sur notre cloud, installons les mises à jour de firmware et de sécurité de Yeastar — les mises à jour courantes dans des fenêtres de maintenance annoncées, les correctifs de sécurité urgents plus tôt — et surveillons qu'il fonctionne.
- Toi, tu décides de la configuration du PBX : mots de passe des extensions, qui peut appeler à l'étranger, routes sortantes. C'est ton PBX, paramétré dans le panneau d'administration de Yeastar.
- Ton fournisseur de trunk SIP transporte les appels. Nous ne vendons ni trunks ni numéros, donc les plafonds de dépenses et le blocage de l'international se règlent avec lui.
Si tu préfères que quelqu'un revoie ces réglages avec toi, nos forfaits de support incluent l'aide au paramétrage et une option gérée. La documentation de Yeastar détaille chaque réglage.