電話不正利用とは何か、なぜIP-PBXが狙われるのか
電話不正利用（英語ではtoll fraud）とは、第三者があなたの回線や交換機を使って電話をかけ、その料金をあなたが支払わされるものです。IP-PBXは、クラウド型でも社内設置型でも、PBX（構内交換機）をインターネット上でSIP（セッション開始プロトコル）を使って動かすものです。SIPは電話機が登録や発信を行うための「言語」にあたります。そのため柔軟で低コストですが、設定に不備のあるシステムを探している人からも見えやすくなります。
決して小さな問題ではありません。通信分野の不正を調査する国際団体Communications Fraud Control Association（CFCA）は、2025年のグローバル調査で、業界が不正によって年間約418億2,000万ドル、売上の約2.46%を失っていると推計しました。同じ報告書は、国際トラフィックを使った不正が特定の地域に集中しつつ、今も現在進行形の問題であると指摘しています。
よくある手口
- IRSF（国際収益分配型不正）：犯罪者は、通常は被害者とは別の国にある高額料金の国際番号を入手し、1分ごとの課金額の一部を受け取ります。そして他人の交換機から、その番号へ何千件もの通話を発生させます。EuropolとTrend Microは2019年の報告書で、PBXへのハッキングがIRSFにつながる流れを説明しています。
- ワン切り（Wangiri）：日本語の「ワン切り」に由来し、「1回鳴らして切る」という意味です。自動システムが国際番号からあなたの携帯電話を1回だけ鳴らし、折り返すと高額な料金がかかり、その一部が詐欺師の手に渡ります。FTC（米国連邦取引委員会）の助言はシンプルです。知らない番号からワン切りの着信があっても、折り返さないこと。
- 内線やボイスメールへの侵入：「1234」のようなパスワードの内線や、初期設定のPINのままのボイスメールから外線発信できてしまうケースです。一度侵入されると、あなたの交換機が踏み台として使われます。
- SIP認証情報の盗用：自動化されたプログラムが、ユーザー名とパスワードの組み合わせを何百万通りも試し、有効なものを見つけ出します。攻撃者はそれを使って自分の「電話機」をあなたのアカウントに登録し、社員になりすまして発信します。
なぜ被害はほとんど夜間や週末に起きるのか
Europolの2019年の報告書ははっきりと説明しています。交換機を狙う攻撃者は、攻撃を長く続けてより多くの利益を得るため、営業時間外を選ぶ傾向があります。金曜の夜や連休は、誰も交換機を確認せず、アラートにも応答しない時間が長く続きます。そのため損失はこうした時間帯に集中し、対策は人が見ていなくても自動で働く必要があるのです。
請求書にはどう現れるか
不正利用は予告なく、突然現れます。典型的なのは、普段の何倍もの国際通話料が、取引のない国に向けて数時間に集中して発生するパターンです。CDR（通話詳細記録）と呼ばれる通話明細を見ると、似たような長さの通話が珍しい国番号に向けて同時に多数発生しており、それもオフィスが閉まっている時間帯に、同じ内線やトランクからかけられていることがよくあります。
たとえば：内線25本の物流会社が、金曜の午後6時に業務を終えます。月曜、経理担当がプロバイダーのポータルを開くと、数カ月分の電話代に相当する国際通話料が請求されていました。CDRを確認すると、土曜の未明から、すでに退職したインターンが使っていた内線が別の大陸の宛先へ何百回も発信しており、最大で10件が同時に通話していました。その内線のパスワードは内線番号と同じでした。誰も内線を削除しておらず、交換機には利用上限がなく、国際通話は全ユーザーに開放されていたのです。
注意すべき警告サイン
- 取引のない国への発信。
- オフィスに誰もいない時間帯の通話。
- 稼働中の社員数を超える同時通話の急増。
- 他国のIPアドレス（インターネット上の機器の「住所」）から登録している内線。
- 交換機のログに残る大量の登録失敗：誰かがパスワードを試しています。
- 電話をかけていないのに「回線が話し中」だという利用者からの苦情。
交換機を守るためのステップ
- 強力で使い回しのないパスワード：内線、ボイスメール、トランクのそれぞれに、長くランダムなパスワードを設定してください。内線番号や初期パスワードは絶対に使わないこと。Europolは、攻撃を受けた交換機の多くが初期設定または弱いパスワードでしか守られていなかったと警告しています。
- 使わない宛先はブロック：コロンビア、エクアドル、ペルーにしか電話しないなら、それ以外の国はすべて閉じましょう。国際発信は必要な人にだけ許可し、デフォルトでは開放しないでください。
- 利用額と同時通話数の上限：プロバイダーに国際通話料の1日または1カ月の上限と、内線ごと・トランクごとの最大チャネル数を設定してもらいましょう。侵入されても被害を限定できます。
- 時間帯制限：本当に必要な利用者を除き、営業時間外の国際通話を制限します。
- 自動アラート：利用額、通話件数、宛先が通常の範囲を外れたら、メールやメッセージで通知されるよう設定します。
- ファイアウォールとfail2ban：ファイアウォールは、許可したネットワークからのみ交換機へのアクセスを認めるべきです。Fail2banは、パスワードを連続して間違えたIPアドレスを自動的にブロックするツールです。最も広く使われているIP-PBXソフトウェアの一つであるAsteriskのドキュメントは、さらにアクセスリストで接続元を制限し、管理画面をVPN（仮想プライベートネットワーク）で保護することを推奨しています。
- 着信と発信を分ける：同じドキュメントは、外部からの着信が有料の発信サービスを使えるようにしてはならないと強調しています。よくある設定ミスです。
- アップデート：交換機、電話機、ルーターのソフトウェアを最新に保ちましょう。多くの侵害は、すでに修正済みの脆弱性を突いています。
- トランクとユーザーの見直し：トランクとは、交換機と通信事業者をつなぐ接続のことです。四半期ごとにどのトランク、内線、ボイスメールが存在するかを確認し、先の例のインターンの内線のように使われていないものは削除しましょう。
クラウド上の交換機であれば、これらの対策の多くは標準で含まれているはずです。19 80 TIC Cloudでは、エンジニアチームが自社のIP電話プラットフォームを運用しているため、上限設定やアラートが日々の運用でどれほど重要かを身をもって知っています。当社のクラウドPBXの仕組みや、必要な宛先だけを開放できる国際電話のオプションもぜひご覧ください。
すでに被害に遭ってしまったら
- すぐにトラフィックを止める：国際通話をブロックし、侵害された内線やトランクを無効にします。
- プロバイダーに連絡する：先方側でも該当する宛先をブロックしてもらい、対象期間のCDRを提供してもらいましょう。1時間ごとに被害が膨らみます。
- すべてのパスワードを変更する：被害に遭ったものだけではありません。一度侵入した攻撃者は、別の入り口を残している可能性があります。
- 証拠を保全する：交換機のログ、CDR、メール、スクリーンショット。被害届や各種の請求に役立ちます。
- 被害を届け出る：コロンビアでは国家警察のサイバー犯罪センター（Centro Cibernético Policial）または検察庁（Fiscalía）に、エクアドルとペルーでは各国当局のサイバー犯罪担当部署に届け出ることができます。
- 原因を修正する：サービスを再開する前に、前のセクションの対策を実施して再発を防ぎましょう。
交換機の設定の見直しをご希望でしたら、お問い合わせページからご連絡ください。
