Il 23 aprile 2026 Yeastar ha pubblicato un avviso di sicurezza per i suoi centralini P-Series, classificando il rischio come critico. Gli attaccanti usano strumenti automatici per scansionare indirizzi IP pubblici e porte alla ricerca di sistemi PBX, entrano nel portale di gestione del PBX e poi fanno chiamate in uscita non autorizzate. Questa è la frode telefonica (toll fraud): qualcun altro fa chiamate costose, e la bolletta arriva a te. Ecco cosa dice l'avviso, e le abitudini più generali che proteggono qualsiasi PBX.
Cosa dice l'avviso di Yeastar
Secondo l'avviso di Yeastar:
- Coinvolti: P-Series Cloud Edition, Software Edition e Appliance Edition.
- Non coinvolti: i PBX VoIP S-Series — lì non serve alcun intervento.
- Il rischio: chiamate in uscita fraudolente "with substantial financial loss", e possibili interruzioni del servizio.
Yeastar indica tre configurazioni a rischio più alto:
- PBX Software Edition su piattaforme cloud pubbliche con un indirizzo IP pubblico diretto.
- Installazioni su piattaforme cloud pubbliche senza regole firewall rigorose.
- PBX in cui il portale di gestione usa i numeri di interno come nomi utente.
La soluzione: aggiornare a Yeastar P-Series V23.3 GA
La soluzione indicata nell'avviso è aggiornare a P-Series V23.3 GA, build x.22.0.139. Sulla Cloud Edition corrisponde al firmware 84.22.0.139, rilasciato il 21 aprile 2026 — vedi le note di rilascio di Yeastar. La build GA precedente, la 84.22.0.138, aveva già portato quelli che Yeastar ha definito robusti aggiornamenti di sicurezza, con una forte raccomandazione ad aggiornare.
Per un singolo PBX, l'aggiornamento si fa in Maintenance › Upgrade nel pannello di amministrazione. I fornitori di servizi aggiornano i PBX Cloud Edition a gruppi da Yeastar Central Management.
Oltre all'aggiornamento: cosa raccomanda l'avviso
Yeastar è chiara: il firmware da solo non basta. L'avviso raccomanda di:
- Proteggere l'accesso di rete — evitare il port forwarding e bloccare gli IP non autorizzati.
- Rafforzare l'autenticazione — credenziali robuste e un controllo degli accessi dettagliato per i login degli interni.
- Limitare le chiamate in uscita per prevenire attività fraudolente.
Per approfondire rimanda alle buone pratiche di sicurezza VoIP di Yeastar.
Prevenire le frodi telefoniche VoIP: una checklist per qualsiasi PBX
La frode telefonica è vecchia e ben conosciuta. Queste abitudini aiutano su qualsiasi centralino, Yeastar o no:
- Usa password robuste e uniche per ogni interno, PIN della segreteria e account amministratore. Non lasciare mai quelle predefinite.
- Non usare i numeri di interno come nomi di accesso al portale di gestione — Yeastar lo indica come rischio più alto.
- Attiva l'autenticazione a due fattori per gli accessi amministrativi, ovunque il tuo PBX la offra.
- Limita chi può raggiungere il portale di amministrazione, per indirizzo IP se puoi.
- Limita le regole di instradamento in uscita. Blocca le destinazioni internazionali e a tariffa maggiorata che non chiami mai, e consentile solo agli interni che ne hanno bisogno.
- Chiedi al tuo provider di trunk SIP dei limiti — un tetto di spesa, il blocco delle chiamate internazionali o avvisi sul traffico insolito. Se qualcosa va storto, un limite contiene il danno.
- Elimina gli interni inutilizzati e revoca gli accessi quando qualcuno lascia l'azienda.
- Tieni d'occhio i registri delle chiamate. Chiamate di notte, verso Paesi insoliti o a raffica sono il segnale classico.
Niente di tutto questo è esotico, e ogni passo chiude una porta che gli attaccanti provano per prima.
Cosa fare se sospetti una frode telefonica
Se i registri delle chiamate mostrano chiamate che nessuno del tuo team ha fatto, agisci in fretta — il costo cresce di minuto in minuto:
- Blocca le chiamate in uscita verso le destinazioni coinvolte. Disattiva le regole di instradamento internazionali in uscita, o gli interni coinvolti, nel pannello di amministrazione del PBX.
- Chiama il tuo provider di trunk SIP. Chiedigli di bloccare per ora le chiamate internazionali e a tariffa maggiorata sul tuo account, e di dirti quale traffico ha visto.
- Cambia le password — prima gli account amministratore, poi gli interni che hanno fatto le chiamate, poi i PIN della segreteria.
- Controlla chi ha accesso. Cerca utenti amministratori o interni che non riconosci, e rimuovili.
- Conserva i registri. Esporta i registri delle chiamate del periodo. Il tuo provider, la tua assicurazione o la polizia potrebbero chiederteli.
Poi segui la checklist qui sopra, così la stessa porta non si può usare due volte.
Chi fa cosa su PBXfactory
Su un PBX Yeastar P-Series Cloud di PBXfactory, il lavoro è diviso con chiarezza:
- Noi facciamo girare il PBX sul nostro cloud, installiamo gli aggiornamenti firmware e di sicurezza di Yeastar — quelli di routine in finestre di manutenzione annunciate, le correzioni di sicurezza urgenti prima — e controlliamo che funzioni.
- Tu decidi come è configurato il PBX: password degli interni, chi può chiamare all'estero, regole di instradamento in uscita. È il tuo PBX, configurato nel pannello di amministrazione di Yeastar.
- Il tuo provider di trunk SIP trasporta le chiamate. Noi non vendiamo trunk né numeri, quindi tetti di spesa e blocco delle chiamate internazionali si concordano con lui.
Se preferisci rivedere queste impostazioni insieme a qualcuno, i nostri pacchetti di supporto includono l'aiuto alla configurazione e un'opzione gestita. La documentazione di Yeastar spiega ogni impostazione nel dettaglio.