La VoIP est généralement abordée sous l’angle de la performance : qualité des appels, mobilité, intégration avec les outils métiers. La sécurité, elle, reste souvent traitée comme un sujet secondaire, presque annexe au projet de téléphonie.
C’est une erreur de perspective. Une fois basculée sur IP, la téléphonie n’est plus un système isolé et protégé par sa propre nature technique, comme pouvait l’être une ligne téléphonique traditionnelle. Elle devient un flux de données comme un autre, qui transite par le même réseau que la messagerie, les applications métiers ou les accès cloud de l’entreprise — et qui hérite donc des mêmes risques.
Pourquoi la VoIP est devenue une surface d’attaque à part entière
Une ligne téléphonique classique reposait sur un réseau dédié, physiquement séparé du système d’information. La compromettre nécessitait un accès physique ou des compétences très spécifiques, rarement à la portée d’un attaquant opportuniste.
La VoIP change cette donne. Les communications transitent par le réseau IP de l’entreprise, s’appuient sur des comptes utilisateurs, des identifiants et des interfaces d’administration accessibles à distance — exactement comme n’importe quelle autre application connectée. Un attaquant qui parvient à accéder à ces éléments n’a plus besoin d’intercepter un signal physique : il lui suffit de compromettre un compte ou une interface exposée, au même titre qu’il le ferait pour n’importe quel autre service numérique de l’entreprise.
Cette bascule explique pourquoi les mêmes principes de cybersécurité qui s’appliquent au reste du système d’information doivent désormais s’appliquer à la téléphonie.
→ Pourquoi passer à la VoIP en entreprise
La fraude téléphonique (toll fraud) : un risque financier direct
C’est l’un des risques les plus spécifiques à la VoIP, et l’un des moins connus des dirigeants de PME. Le toll fraud consiste, pour un attaquant, à détourner une ligne téléphonique de l’entreprise pour émettre des appels vers des numéros surtaxés, souvent à l’international, générant une facture qui peut atteindre plusieurs milliers d’euros en quelques heures seulement.
Le scénario le plus fréquent repose sur la compromission d’identifiants SIP — les identifiants qui permettent à un terminal ou un logiciel de s’authentifier auprès du système de téléphonie. Ces identifiants sont parfois laissés à leur valeur par défaut, faiblement protégés, ou exposés sur une interface accessible depuis Internet sans restriction suffisante. Une fois en possession de ces identifiants, l’attaquant peut émettre des appels au nom de l’entreprise, sans que rien ne le distingue immédiatement d’un usage légitime, jusqu’à ce que la facture arrive.
Ce risque est d’autant plus insidieux qu’il ne vise pas à voler des données ou à interrompre l’activité : il génère directement une perte financière, souvent découverte a posteriori, une fois le mal fait.
La compromission de comptes utilisateurs et de softphones
Comme tout compte numérique, un compte VoIP peut être compromis par phishing, réutilisation d’un mot de passe déjà fuité ailleurs, ou attaque par force brute sur une interface insuffisamment protégée. Une fois ce compte compromis, l’attaquant peut écouter les communications de l’utilisateur, usurper son identité pour passer des appels en son nom, ou utiliser cet accès comme point d’appui pour progresser plus largement dans le système d’information.
Ce scénario rejoint directement une logique déjà bien documentée côté cybersécurité : celle de la compromission d’identité comme porte d’entrée principale des attaques modernes. Les mêmes protections qui s’appliquent aux comptes Microsoft 365 ou aux accès VPN de l’entreprise doivent s’appliquer aux comptes de téléphonie.
→ MFA : indispensable ou contraignant ?
L’interception des flux non chiffrés
Sans protection adaptée, une conversation VoIP peut être interceptée sur le réseau, de la même manière que n’importe quel autre flux de données non protégé. Un attaquant positionné sur le réseau — via un Wi-Fi compromis, un poste infecté ou un accès distant mal sécurisé — peut potentiellement écouter des échanges qui n’ont pas été chiffrés correctement.
Deux protocoles permettent de limiter ce risque : le chiffrement TLS pour sécuriser la signalisation (l’établissement de l’appel) et le protocole SRTP pour chiffrer le flux audio lui-même. Sans ces protections, la voix circule en clair sur le réseau, exactement comme le ferait un email non chiffré transitant sur un canal non sécurisé.
Les interfaces d’administration exposées
C’est l’un des points de vulnérabilité les plus fréquents et les plus simples à corriger. De nombreuses solutions de téléphonie — en particulier les IPBX gérés en interne — disposent d’une interface d’administration accessible pour la configuration, la gestion des utilisateurs ou le suivi des appels.
Lorsque cette interface est directement exposée sur Internet, sans restriction d’accès ni authentification renforcée, elle devient une cible de choix pour des campagnes automatisées qui scannent en permanence Internet à la recherche de ce type de point d’entrée. Un mot de passe faible, une version non mise à jour ou une vulnérabilité connue et non corrigée suffisent alors à ouvrir un accès complet à la configuration de la téléphonie de l’entreprise — et, par extension, à l’ensemble des comptes et des flux qu’elle gère.
Pourquoi ce sujet reste sous-traité dans les projets VoIP
Plusieurs raisons expliquent que la sécurité de la téléphonie IP reste souvent secondaire dans les projets de migration. La VoIP est généralement pilotée par les équipes en charge des télécoms ou de l’expérience utilisateur, avec un objectif de performance et de qualité d’appel, pendant que la cybersécurité reste perçue comme un sujet propre aux postes de travail, à la messagerie ou au réseau. Cette séparation organisationnelle, qui avait du sens à l’époque de la téléphonie traditionnelle, ne correspond plus à la réalité technique d’une téléphonie devenue un flux IP parmi d’autres.
À cela s’ajoute un biais de perception : un problème de qualité d’appel se voit immédiatement, tandis qu’une interface d’administration mal protégée ou des identifiants SIP faibles ne posent aucun problème visible… jusqu’au jour où ils sont exploités.
→ Les erreurs à éviter lors d’un projet VoIP en entreprise
Les mesures concrètes pour sécuriser sa téléphonie IP
Sécuriser une infrastructure VoIP ne nécessite pas une refonte complète du projet. Cela repose sur quelques principes de durcissement, largement inspirés de ceux déjà appliqués au reste du système d’information :
– Changer systématiquement les identifiants par défaut de tous les comptes SIP et de l’interface d’administration, et appliquer une politique de mots de passe robuste sur ces comptes comme sur n’importe quel autre.
– Ne jamais exposer directement l’interface d’administration du PBX ou de l’IPBX sur Internet. Un accès via VPN ou une restriction d’adresses IP autorisées limite considérablement la surface d’attaque.
– Activer le chiffrement des flux (TLS pour la signalisation, SRTP pour l’audio) plutôt que de laisser les communications transiter en clair sur le réseau.
– Restreindre les destinations d’appels sortants lorsque c’est possible, en particulier vers l’international ou les numéros surtaxés, pour limiter l’impact financier d’une éventuelle fraude.
– Surveiller les volumes et les horaires d’appels inhabituels. Un pic d’appels sortants vers un pays inhabituel, en dehors des heures d’ouverture, est souvent le premier signal d’une fraude en cours.
– Maintenir à jour le firmware et les logiciels de la solution VoIP, au même titre que n’importe quel autre équipement connecté au système d’information.
Le pont avec le reste de la stratégie de cybersécurité
Ce qui distingue une entreprise qui traite correctement ce sujet, ce n’est pas l’accumulation de mesures spécifiques à la VoIP, mais l’intégration de la téléphonie dans sa stratégie de cybersécurité globale, au même titre que les postes de travail, la messagerie ou les accès cloud.
Concrètement, cela veut dire que les comptes de téléphonie doivent être protégés par les mêmes exigences d’authentification que le reste des accès de l’entreprise, que les connexions inhabituelles sur ces comptes doivent être visibles par une supervision active, et que l’accès aux interfaces d’administration doit suivre les mêmes principes de moindre privilège que n’importe quel autre outil sensible.
→ SOC cybersécurité : à quoi ça sert vraiment ?
→ Zero Trust en PME : comment l’appliquer concrètement
Ce point devient encore plus important lorsque la téléphonie s’appuie directement sur l’environnement Microsoft 365 de l’entreprise, via des solutions de type Teams Phone. Dans ce cas, la sécurité de la téléphonie ne peut plus être dissociée de celle des identités Microsoft 365 elles-mêmes : un compte Entra ID compromis donne potentiellement accès aussi bien à la messagerie et aux fichiers qu’aux communications téléphoniques de l’utilisateur.
→ Comment sécuriser Microsoft 365 en entreprise
Ce qu’il faut retenir
La VoIP a apporté à la téléphonie d’entreprise une flexibilité et des fonctionnalités que l’ancien modèle ne permettait pas. Elle lui a aussi transmis, presque mécaniquement, les mêmes vulnérabilités que celles qui touchent le reste du système d’information : comptes compromis, interfaces exposées, flux interceptables.
Traiter la sécurité de la téléphonie comme un sujet à part, déconnecté du reste de la stratégie cyber de l’entreprise, revient à laisser une porte ouverte sur un pan entier du système d’information. À l’inverse, l’intégrer dès la conception du projet — au même titre que les postes de travail ou la messagerie — ne demande pas d’effort disproportionné, mais évite des conséquences qui, elles, peuvent être immédiates et coûteuses.