Dúvidas sobre algum produto?
Segurança no PABX IP: como evitar fraude na UCM Grandstream
RESPOSTA DIRETA
Fraude de ligação é quando alguém de fora usa o seu PABX IP para ligar para outros países, e a conta chega para você. Na UCM Grandstream, ela entra por senha fraca de ramal, interface exposta na internet ou rota de saída aberta a todos. As defesas já vêm na central: Fail2ban, bloqueio de destinos por país, permissão por ramal, limite de duração e alerta por e-mail. Falta conferir e ligar cada uma.
O guia segue o UCM6xxx Security Manual (12/03/2026), o guia de segurança da Grandstream, e o manual da UCM630x, com os menus do firmware oficial 1.0.33.42, o atual em 21/10/2026. Tudo vale também para a série Audio (UCM6300A).
Como a fraude de ligação acontece?
O golpe usa o seu tronco, a linha da operadora que entra na central, para fazer ligações caras na conta da empresa. O guia de segurança da Grandstream resume: ligações internacionais e interurbanas não autorizadas podem gerar contas altas antes que alguém perceba. As portas de entrada:
- •Senha de ramal fraca. Um programa testa combinações de ramal e senha até registrar um aparelho na sua central, a força bruta que o Fail2ban existe para barrar.
- •Senha do admin fraca ou compartilhada. Quem entra como admin, o Super Admin, cria tronco, rota e ramal.
- •Interface exposta. Com a porta 8089 aberta no roteador, a tela de login fica ao alcance de qualquer um.
- •Rota de saída aberta a todos. No nível Internal, qualquer ramal usa a rota, e o manual alerta para esse risco.
- •Ninguém olhando. Sem limite de duração e sem alerta, a fraude só aparece na fatura.
Quais defesas a UCM já traz?
São duas famílias: as que protegem o acesso e as que limitam o prejuízo se alguém entrar. Na última coluna, a versão é a do firmware em que o recurso chegou. Edit Extension é a janela do ramal, em Extension/Trunk > Extensions.
Defesas da UCM para o acesso e a criptografia
| Recurso | O que faz | Onde fica | Padrão / versão |
|---|---|---|---|
| Fail2ban | Bane por 10 min o IP que erra demais a senha SIP ou o login web | System Settings > Security Settings > Fail2Ban | Ligado (1.0.29.11+); Blocklist manual: 1.0.31.7 |
| Login Security | Bloqueia o login web após erros em série; captcha desde o primeiro erro | Maintenance > Login Settings > Login Security | 5 erros, 5 min |
| IP Allowlist | Só os IPs da lista (até 10) abrem a interface web | System Settings > HTTP Server > Enable IP Address Allowlist | Opcional |
| Geo-IP Access Control | Recusa o acesso vindo de países bloqueados | System Settings > Security Settings > Geo-IP Access Control | 1.0.29.11; modo estrito desligado |
| Dynamic Defense | Bloqueia o IP que abre conexões demais (padrão: 100) | System Settings > Security Settings > Dynamic Defense | Desligado; exige modo Route |
| Static Defense | Firewall de regras fixas, com Ping e SYN-Flood Defense | System Settings > Security Settings > Static Defense | Confira Ping e SYN-Flood |
| Reject Non-Matching INVITE | Responde sempre “401” e esconde quais ramais existem | PBX Settings > SIP Settings > Misc | Desligado |
| Enable Random Password | Senha SIP aleatória no ramal novo | PBX Settings > General Settings | Confira se está ligado |
| SSH Access | Acesso de depuração | System Settings > Security Settings > SSH Access | Desligado |
| MFA (duas etapas) | Código além da senha: admin (app ou token) e Wave (app ou e-mail) | Maintenance > User Management (admin); Edit Extension > Wave Client (Wave) | Admin 1.0.11.10; Wave 1.0.27.23; e-mail 1.0.31.7 |
| SRTP | Criptografa o áudio; em Enabled and Enforced, aparelho sem SRTP não completa a ligação | Edit Extension > Media > RTP Encryption | Desligado em ramal e tronco |
| TLS | Criptografa a sinalização SIP; cada aparelho precisa ser configurado | PBX Settings > SIP Settings > TCP/TLS | Ligado no servidor (porta 5061); troncos saem em UDP |
Defesas da UCM contra a conta alta
| Recurso | O que faz | Onde fica | Padrão / versão |
|---|---|---|---|
| Call Privileges | Nível do ramal, de Internal a International; só usa rota de nível igual ou menor | Edit Extension > Basic Settings | Internal |
| Privilege Level da rota | Nível mínimo ou lista de ramais (Source Caller ID) | Extension/Trunk > Outbound Routes > (rota) > Outbound Permission | “Disable”: só a lista usa |
| Senha e PIN Groups | A rota pede senha ou PIN antes de ligar | Outbound Routes > (rota) > Outbound Permission; Outbound Routes > PIN Groups | PIN com 4 dígitos ou mais |
| Outbound Blacklist | Barra destino por número, padrão ou código de país, em todas as rotas | Extension/Trunk > Outbound Routes > Outbound Blacklist | Você monta a lista |
| Limite de duração na rota | Máximo por chamada e total por mês ou trimestre | Outbound Routes > (rota) > Per-Call Duration Limit e Total Call Duration Limit | 1.0.31.7 |
| Limite no tronco | Total de minutos de saída por mês ou trimestre | VoIP Trunks > (tronco) > Total Time Limit For Outbound Calls | 1.0.15.13 |
| Outgoing Call Frequency Limit | Barra o ramal que liga demais em pouco tempo | Edit Extension > Features > Call Settings | 5 por minuto, quando ativado |
| Alertas | E-mail (até 10 endereços), SMS ou HTTP; por exemplo, User Login Failed e Excessive Outbound Calls | Maintenance > System Events | Alerta por e-mail exige Email Settings |
A criptografia protege o que trafega, mas não substitui senha, permissão e limite.
Bloqueio por país: Geo-IP ou Outbound Blacklist?
A UCM tem dois recursos “por país”, e cada um fecha uma porta diferente.
- •Geo-IP Access Control olha a origem. Recusa interface web, API, sinalização SIP e registro de ramal vindos dos países bloqueados. No modo normal, responde com erro; no Strict Defend Mode, desligado de fábrica, descarta o tráfego sem responder. O modo estrito chegou na beta 1.0.33.7 e está no firmware oficial atual.
- •Outbound Blacklist olha o destino. Barra números, padrões ou códigos de país em todas as rotas de saída: é ela que segura a conta internacional. Se a lista atingir o código do seu país, o campo Local Country Code da rota o libera.
Um não substitui o outro: o Geo-IP não vê para onde a ligação vai, e a Outbound Blacklist não vê de onde vem o acesso.
Atenção: antes de salvar o Geo-IP ou a lista de IPs da interface, confira que a rede de onde você administra está liberada. É o erro que tranca o administrador do lado de fora. Ligar ou desligar o modo estrito também pode recarregar a interface e derrubar a sessão.
Pelo manual, a UCM aplica as camadas nesta ordem: Static Defense, Geo-IP estrito, Dynamic Defense, Fail2ban, listas de acesso (ACL) e, por último, Geo-IP normal. Por isso, um IP liberado numa lista de acesso passa pelo Geo-IP normal, mas não pelo estrito.
O que configurar depois de instalar a UCM?
Se a central ainda está na configuração inicial, comece pela configuração básica da UCM63xx, com vídeo. Depois, siga a lista:
- Troque a senha do admin em Maintenance > Login Settings > Change Password (10 a 30 caracteres). Com mais de um administrador, crie usuários Admin em Maintenance > User Management em vez de dividir a senha do Super Admin.
- Configure o e-mail em System Settings > Email Settings e ligue o MFA do admin em Maintenance > User Management. É por esse e-mail que você desliga o MFA se perder o celular.
- Ligue Enable Strong Password e Enable Random Password (PBX Settings > General Settings) e use a senha SIP que a UCM gera. Ramal que só trabalha na empresa pode aceitar registro apenas da rede local, no campo ACL Policy (Edit Extension > Advanced Settings), opção Allow Whitelist IP Address com a faixa da rede local.
- Não exponha a interface. Para administrar de fora, use VPN (rede privada até o escritório) ou o GDMS, a nuvem de gestão da Grandstream, que para isso pede plano pago do RemoteConnect (veja os planos). Se tiver de abrir a porta 8089 no roteador, limite a interface à lista de até 10 IPs e desligue Redirect From Port 80 (System Settings > HTTP Server).
- Em System Settings > Security Settings, confira: Fail2ban ligado, Ping e SYN-Flood Defense marcados no Static Defense, SSH desligado. Em rede pública, não ligue o AMI (Integrations > AMI) sem restringir o acesso: o manual avisa que ele permite originar chamadas.
- Monte a Outbound Blacklist com os países que a empresa não usa e teste: ligação local, para celular e interurbana completam; destino da lista, não.
- Deixe os ramais em Internal ou no nível que o trabalho pede (International só para quem liga para fora) e proteja a rota internacional com nível, lista de ramais, senha ou PIN (veja as regras de entrada e saída).
- Ponha teto na rota internacional com Per-Call Duration Limit e Total Call Duration Limit (firmware 1.0.31.7 ou superior) e, no ramal, com Outgoing Call Frequency Limit.
- Cadastre os e-mails em Maintenance > System Events > Alert Contact e ative, em Alert Events List, User Login Failed, Fail2ban Blocking, Excessive Outbound Calls e Register SIP trunk failed.
- Use o firmware oficial mais recente (1.0.33.42 em 21/10/2026; a 1.0.35.8 é beta), com o passo a passo para atualizar, e agende backup em Maintenance > Backup > Schedule Backup.
Como saber se a central foi invadida?
Sinais de invasão na UCM e onde conferir
| Sinal | O que aparece | Onde ver |
|---|---|---|
| Ligação estranha | Destino que ninguém reconhece, horário sem expediente, duração longa | CDR > CDR, com Display Filter por período e ramal |
| Login suspeito | Senha errada em série ou login de um lugar novo | Alertas User Login Failed e Remote Login; Maintenance > Login Settings > Remote Login |
| Força bruta | IPs bloqueados por tentativas repetidas | Blocklist do Fail2ban e alerta Fail2ban Blocking |
| Excesso de ligações | Um ramal ligando sem parar | Alerta Excessive Outbound Calls |
| Mudança sem dono | Tronco, rota ou usuário que ninguém criou | Maintenance > User Management > Operation Log (só o Super Admin vê) |
Suspeita de invasão: o que fazer primeiro?
- Corte a saída: Disable This Trunk no tronco SIP (a UCM avisa a operadora que o registro acabou) ou Disable This Route na rota internacional, que para e guarda a configuração.
- Peça à operadora o bloqueio de destinos internacionais e informe as ligações que você não reconhece.
- Exporte o relatório de chamadas: em CDR > CDR, filtre o período em Display Filter e clique em Download Search Result(s).
- Troque as senhas do admin, dos usuários Admin e as SIP dos ramais suspeitos, e atualize os aparelhos.
- No Operation Log (Maintenance > User Management), veja o que cada usuário fez, com IP e local, e remova tronco, rota ou usuário que ninguém criou.
- Ponha os IPs suspeitos na Blocklist do Fail2ban e só religue tronco e rota depois de aplicar o checklist acima.
Atenção: não clique em Delete All na página do CDR: o botão apaga todo o histórico de chamadas.
E a proteção fora da central?
A rede é a outra camada. NAT e portas, quando precisar mexer, estão no guia da linha da operadora na UCM, com o Max Concurrent Calls, o limite de chamadas simultâneas do tronco, que também limita o prejuízo.
Para separar a borda da rede num equipamento próprio, há o GCC6010, descrito na ficha como roteador VPN, firewall NGFW (de nova geração), PBX IP e switch PoE (ver disponibilidade). E se a operadora oferecer bloqueio internacional ou limite de gasto no tronco, ative: é uma trava fora da central.
Perguntas frequentes
Qual é a senha padrão da UCM?
Na UCM6300, o usuário de fábrica é admin, e a senha é aleatória, impressa na etiqueta traseira. O IP, pego por DHCP, aparece no display da frente, e a interface abre em https://IP-da-central:8089. Desde o firmware 1.0.29.11, a UCM nova ou resetada só funciona depois que você define uma senha nova, de 10 a 30 caracteres; com Enable Strong Password ligado (passo 3 do checklist), ela exige maiúscula, minúscula, número e caractere especial.
A UCM pode ser invadida?
Pode, como qualquer PABX IP (central VoIP) ligado à internet, e a Grandstream pede atenção aos riscos de pôr a UCM em rede pública. Nenhuma configuração zera o risco, mas a soma das defesas reduz a chance e o prejuízo: senha forte, interface fora da internet, Fail2ban, permissão por rota, limite de duração e alerta.
O que é o Fail2ban da UCM?
É a proteção que bloqueia por um tempo o IP que erra a autenticação demais, no registro SIP e no login web da UCM. Nas versões atuais, vem ligado e bane por 600 segundos (10 minutos); com o valor 0, o bloqueio é permanente. Fica em System Settings > Security Settings > Fail2Ban.
Como bloquear ligações internacionais na UCM?
Use a Outbound Blacklist (Extension/Trunk > Outbound Routes) com os códigos de país que a empresa não usa; ela vale para todas as rotas de saída da UCM. Dê o nível International só a quem liga para fora e ponha senha ou PIN e limite de duração na rota internacional. O Geo-IP não faz isso: ele barra o acesso, não o destino da ligação.
Preciso abrir a UCM para a internet para o ramal remoto funcionar?
Não. Com o UCM RemoteConnect, o Wave e os telefones IP de fora da empresa se registram pelo endereço da central na nuvem da Grandstream, sem redirecionar portas. O plano Basic é gratuito, com os limites explicados no guia do ramal no celular.
Chegou conta com ligação internacional que não fiz: e agora?
Corte a saída: desative o tronco ou a rota internacional na UCM e peça à operadora o bloqueio de destinos internacionais. Depois, exporte o relatório de chamadas (CDR) do período, troque as senhas do admin e dos ramais e confira no Operation Log quem mexeu na central.
As defesas deste guia estão em toda a linha UCM6300 com o firmware oficial atual. A UCM6308 atende até 3.000 usuários e 450 chamadas simultâneas; a UCM6301, 500 usuários e 75 chamadas (ver disponibilidade). Para clientes Lojamundi, o suporte técnico é gratuito antes e depois da compra.
Ver a UCM6308Fontes oficiais (consultadas em 21/10/2026): UCM6xxx Security Manual (12/03/2026) · Manual da UCM630x · Nota da versão 1.0.29.21 (inclui a 1.0.29.11) · Nota da versão 1.0.31.7 · Nota da versão 1.0.33.42 (inclui a 1.0.33.7)
GUIA UCM GRANDSTREAM:
Ramal no celular com o Wave · Migrar da UCM6200 para a UCM6300 · Tronco WhatsApp na UCM · Linha da operadora na UCM · UCM6300 ou UCM6300A · Do 3CX para a UCM
ENTRE EM CONTATO COM A LOJAMUNDI.
