「無料のブロードバンドアップグレード」「ネットワーク最適化」「機器メンテナンス」といった日常的な訪問作業が、通信詐欺の侵入口になることはないでしょうか。電源とEthernetにつないだ小型機器が、海外からの詐欺電話を地域の電話番号のように見せかける手段になる可能性はないでしょうか。企業や個人がVoIPへの依存を強めるなか、発信者番号表示だけで、その着信を信頼できると判断してよいのでしょうか。
最近の不正対策事例では、中国聯通の撫順支社が通常監視の中で不審な通信を検知し、その後、通信詐欺に関係する隠されたVoIP機器を発見しました。重要なのは、いわゆる「ブラックボックス」が置かれていたことだけではありません。この種の機器が一般的なブロードバンド回線、ネットワークインターフェース、音声変換機能を利用し、一見正常なIPトラフィックの中に不正な通信を紛れ込ませられる点です。
この事例は、VoIPの普及に伴って重要性が増しているセキュリティ上の課題を示しています。 電話が固定回線からIPネットワークへ移行すると、通信セキュリティは電話番号や物理回線だけを守ればよいものではなくなります。ユーザーアカウント、エンドポイント、ゲートウェイ、SIPトランク、呼ルーティング、そして音声通信全体の信頼チェーンまで保護する必要があります。
本質的な問題は、VoIPそのものが安全か危険かという二者択一ではありません。VoIPはすでに、企業電話、クラウドPBX、コンタクトセンター、リモートワーク、ユニファイドコミュニケーションを支える中核技術です。変えるべきなのは、その周囲のセキュリティ設計です。どの機器の接続を許可するか、どのアカウントの登録を認めるか、ユーザーがどの宛先へ発信できるか、通話がどのゲートウェイを通過できるか、どのような通信挙動を即時のセキュリティアラートにつなげるかを、組織が明確に管理できる必要があります。
音声ネットワークに接続できる機器を制御する
VoIPセキュリティで見落とされやすい層の一つは、SIP登録が始まる前にあります。IP電話、ATA、音声ゲートウェイ、その他のネットワーク接続型音声機器は、スイッチポート、IPアドレス、到達可能なネットワーク経路を得るだけで、通信を確立できる可能性があります。
そのため、組織は完全な 音声資産台帳を維持する必要があります。すべてのIP電話、SIPゲートウェイ、SBC、IP PBX、会議端末、関連する音声機器について、機種、MACアドレス、IPアドレス、設置場所、管理責任者、業務目的を記録します。新しい機器は、単にネットワークへ接続されたから信頼するのではなく、事前承認を必要とすべきです。
大規模な環境では、VoIP端末を専用の音声VLANに配置し、802.1X、NAC、MAC認証、スイッチポートポリシーと組み合わせて未知の機器を制限できます。オフィスPCにインターネットアクセスを許可しているからといって、同じ物理ポートから任意の音声ゲートウェイが外部SIPサーバーへ接続できるようにする必要はありません。
支店、無人の機器室、配線室、公共エリアから触れられるネットワークポートには、特に注意が必要です。「現地メンテナンス」や「無料ネットワークアップグレード」を口実にした最近の詐欺手口は、 通信セキュリティがサイバーセキュリティと物理アクセス制御の両方にまたがることを示しています。
第一の防御層では、少なくとも次の単純な問いに答えられるべきです。 現在ネットワークに接続されているすべての音声機器は誰が設置し、なぜそこにあるのか？
SIPアカウントの保護をパスワード管理だけで終わらせない
機器がネットワークに接続された後、次のリスク層はSIPアカウントです。多くのVoIP攻撃では、高度なソフトウェア脆弱性を悪用する必要すらありません。長期間変更されていない内線パスワード、初期設定の管理者アカウント、退職者のまま有効になっているソフトフォンアカウントだけで侵入口になる場合があります。
したがって、SIP内線を単なる「電話番号とパスワード」として管理すべきではありません。組織のIDライフサイクルの一部として扱う必要があります。アカウントの作成、権限付与、利用、無効化に明確な管理ルールを設け、退職、職務変更、委託業務の終了に応じて音声通信の権限も変更します。
インターネットから利用できるソフトフォン、リモートエージェント、管理者アカウントは、多要素認証、デバイスバインディング、クライアント証明書、送信元アドレス制限、VPNアクセスなどでさらに保護できます。WebインターフェースからIP PBXやSBCを管理する管理者アカウントも、通常のSIP内線とは分離し、管理アクセスを信頼済みネットワークに限定すべきです。
パスワードポリシーは複雑さだけに注目してはいけません。複数端末が同じ認証情報を長期間共有することも避け、異常な登録挙動を監視する必要があります。1つのアカウントが突然、複数の国、見慣れない自律システム、複数の未知端末から登録されるようになった場合、それだけでも追加調査を行う理由になります。
目的はSIP登録を不要に複雑化することではなく、追跡可能な関係を作ることです。 アカウント、ユーザー、承認済み端末の関係です。
すべての外部音声トラフィックを管理された境界の内側に置く
企業電話システムは通常、通信事業者のSIPトランク、クラウドUCサービス、リモート拠点、モバイルユーザーに接続します。IP PBXが広範囲のSIPサービスを公開インターネットへ直接公開すると、内部音声環境の攻撃対象領域は急速に広がります。
そのためSBCは、音声ネットワーク境界の主要な制御点として機能すべきです。企業へ出入りできるSIPセッションを判定し、送信元アドレス、SIPメソッド、同時セッション数、セッションレート、番号範囲を検査し、外部ネットワークから内部SIPトポロジーを隠蔽できます。
適切な境界設計には、ファイアウォールACL、レート制限、DoS対策も含める必要があります。公開する業務上の理由がない管理ポートは外部へ開放すべきではありません。SIPサービスが特定の通信事業者やクラウドプラットフォームとの通信だけを必要とするのであれば、インターネット全体からセッションを受け付ける理由はほとんどありません。
特に注意すべき典型的な誤りがあります。「まず電話を動かす」ために一時的に大量のポートを開放し、本番稼働後もそのルールを残してしまうことです。一時的なトラブルシューティング例外が、恒久的なセキュリティ上の弱点になる可能性があります。
SBCの本当の価値は、SIPをNAT越しに通しやすくすることだけではありません。組織に明確な音声セキュリティ境界を与える点にあります。
内部音声ネットワーク
→ 管理されたSIP境界
→ 承認済み通信事業者またはクラウドプラットフォーム
→ PSTNおよび外部通信ネットワーク
この経路を迂回する必要がある外部音声セッションには、明確かつ文書化された業務上の理由が必要です。
通話権限に最小権限の原則を適用する
多くの組織はアカウントとネットワークを保護していても、VoIPにおける非常に直接的なリスクを見落としています。アカウントの登録に成功した後、そのアカウントは実際にどの宛先へ発信できるのでしょうか。
すべての内線に、国内長距離、国際電話、高額課金番号、任意のSIP URIへの発信を初期状態で許可している場合、一般ユーザーのアカウントを1つ侵害されただけで、攻撃者に組織の外線発信能力全体を事実上与えることになります。
より適切なのは、部門や業務ロールに応じて サービスクラス を定義することです。国内通話しか必要としない管理部門のユーザーに国際ルートは不要です。特定市場を担当するコンタクトセンターのエージェントは、関連する番号範囲に発信先を限定できます。指定された制御室への連絡しか必要としない無人端末には、宛先ホワイトリストを利用できます。
時間や利用量の制限も追加の保護になります。通常は少数の通話しかしないオフィス内線が深夜に突然何百件もの国際電話を発信し始めた場合、認証情報が正しいという理由だけで、そのまま通信を許可し続けるべきではありません。
ダイヤルプランとSIPトランクのルーティングも定期的に見直す必要があります。業務要件の変化に伴ってルーティングルールは蓄積しがちです。数年後には、使用されていないトランク、テスト用プレフィックス、一時的に設定した国際ルートが誰にも認識されないまま残っている可能性があります。
すべての通話ポリシーは、少なくとも次の3つの問いに答えられるべきです。
なぜこのユーザーにこの通話権限があるのか？
なぜこの宛先がこのトランク経由で許可されているのか？
どの時点でシステムは通話を遮断する、またはアラートを生成すべきか？
通話権限が実際の業務要件に近いほど、アカウントが侵害された場合の潜在的な影響は小さくなります。
暗号化でSIPシグナリングと音声メディアを保護する
端末ID、アカウントアクセス、ルーティングの制御を整えた後も、通信そのものを保護する必要があります。暗号化されていないSIPシグナリングは電話番号、Call-ID、その他のセッション情報を露出させる可能性があり、暗号化されていないRTPは音声メディアを盗聴のリスクにさらします。
対応している環境では、企業はTLSでSIPシグナリングを保護し、SRTPでメディアストリームを保護できます。これらは、公開ネットワークを経由するリモート従業員、支店、クラウド音声接続で特に重要です。
ただし、TLSの導入はポートを5060から5061へ変えるだけではありません。証明書の信頼性、有効期限、サーバーIDの検証、秘密鍵の保護、SIPトランクごとの暗号化対応状況まで検討する必要があります。
SRTPでは鍵ネゴシエーションと相互接続性にも注意が必要です。通話経路にSBC、メディアプロキシ、通信事業者との相互接続がある場合、1本のエンドツーエンド通話が複数のセキュリティ区間に分割されることがあります。端末に「Secure Call」と表示されても、PSTNを含む経路全体が同じ暗号化レベルで保護されていることを自動的に証明するものではありません。
一つの境界は明確にしておく必要があります。 暗号化が保護するのはシグナリング、メディア、伝送です。アカウント認証、端末認可、通話権限の代わりにはなりません。 盗まれたアカウントでも、有効な認証情報であれば暗号化された不正通話を確立できてしまいます。
通信挙動が正常かどうかを監視する
従来のセキュリティ対策は、スキャン、総当たりによる登録試行、不正形式のSIPメッセージ、過剰な接続試行の検知に有効です。しかし実際のVoIP詐欺では、プロトコル上は完全に正当と見える通信を利用するケースが増えています。
未承認の音声機器が使われた最近の詐欺事例では、機器故障やユーザーからの苦情を待つのではなく、継続的な通信監視によって不審な活動が検出されました。同じ考え方は企業VoIPにも当てはまります。
セキュリティシステムは、CDR、SIP登録ログ、発信番号、着信番号、通話時間、同時通話数、失敗率、時間帯パターン、エンドポイントの接続元を継続的に分析できます。これらの指標が過去の通常業務から大きく逸脱した場合、不正調査のワークフローへ移すべきです。
たとえば、営業時間中は通常十数件しか発信しない内線が、深夜0時以降に突然連続発信を始めることがあります。固定設置のオフィス電話が通常とは異なるネットワーク場所から現れることもあります。1つのアカウントが短時間に複数の端末を何度も切り替える場合もあります。ほとんど使われていない国際SIPトランクに、大量の短時間通話が突然流れることもあります。
これらの兆候は、単独では必ずしも詐欺を証明しません。しかし複数を組み合わせると、異常な挙動を示す有力な証拠になります。
AIや不正検知モデルは、この防御層に適しています。その役割は、SIP INVITEが構文的に正しいかを判定するだけではなく、 一見正当な通話の集合が、通常の業務活動という文脈で合理的かどうかを判断することです。
したがって次世代のVoIPセキュリティには、相互に補完する2つの能力が必要です。
プロトコルセキュリティは通信セッションを技術的に確立してよいかを判断し、振る舞いセキュリティはその通信自体がそもそも存在すべきかを判断します。
ログ、アラート、インシデント対応で被害をすばやく抑える
不審な活動が発生したとき、最初の課題は「どう直すか」ではなく「何が実際に起きたか」であることが少なくありません。電話システムに基本的な通話記録しかなく、SIP登録履歴、アカウントログイン記録、ルーティング変更ログが残っていなければ、インシデントの再構成は非常に難しくなります。
CDRでは少なくとも、発信者、着信先、タイムスタンプ、通話時間、トランク、結果コードを調査担当者が関連付けられる必要があります。SIPプラットフォームは必要な登録・認証ログを保持し、SBC、ファイアウォール、管理システムも関連するセキュリティログと管理者操作ログを保存すべきです。
すべてのシステムでNTP時刻も同期させる必要があります。IP PBXが10:03、SBCが10:07、ファイアウォールが09:59として同じ事象を記録すると、調査担当者は実際の発生順序を正しく再構成できなくなる可能性があります。
さらに重要なのは、アラートを実際の対応につなげることです。異常な国際通話料金がしきい値を超えた場合、システムはメールを送るだけでしょうか、それともそのアカウントの国際発信を直ちに制限するでしょうか。異常な登録を検知したとき、内線をそのまま有効にするのか、再認証を要求するのか。未知の音声ゲートウェイを発見したとき、誰が現地確認を担当するのか。
高リスク環境では、事前にインシデント対応フローを定めておけます。
不審な活動を検知
→ アカウントまたはトランクを一時的に制限
→ ログと現地証拠を保全
→ 端末とユーザーのIDを確認
→ 影響範囲を評価
→ 未承認設定を削除
→ サービスを復旧しセキュリティ対策を再確認
多くの通信インシデントが高額な損失につながるのは、検出不可能だったからではなく、検出後に組織が十分な速さで活動を封じ込められなかったためです。
ソーシャルエンジニアリングも音声セキュリティの一部として扱う
最近のVoIP詐欺事例は、技術対策だけでは解決できない問題も示しています。十分に保護されたネットワークでも、誰かが未知の機器の設置を自ら許可してしまえば、侵入経路が生まれる可能性があります。
通信事業者の技術者、機器ベンダー、ネットワークサービス担当者になりすます行為は、新しいソーシャルエンジニアリングではありません。変化したのは、VoIPをはじめとするネットワーク接続機器が広く普及したことで、その手口から恒常的なネットワーク侵入口を作りやすくなった点です。
したがって現地メンテナンスは、正規のサービスチケットと対応していなければなりません。従業員は制服、IDカード、訪問者から提示された電話番号だけを信用すべきではありません。依頼内容は、通信事業者の公式サポート窓口、既知のベンダー担当者、または組織内のIT部門を通じて確認する必要があります。
配線室やサーバールームへ入室したり、企業スイッチへ機器を接続したりする外部技術者についても、記録と監督が必要です。一時的なテストゲートウェイ、ノートPC、ATA、診断機器は作業終了時に撤去しなければなりません。
これは通信セキュリティの中でも難しい領域です。ネットワーク制御で未承認のIPアドレスは遮断できますが、従業員が正規の技術者だと思い込んだ人物に機器室を開ける行為までは止められません。したがって技術的な対策と運用手順は一体で設計する必要があります。
VoIPセキュリティを継続的な防御システムとして運用する
VoIPは従来の電話を完全なIP通信環境へ変えました。そのため通信セキュリティを単一製品に依存させることはできません。SBCを導入する、TLSを有効にする、SIPパスワードを変更するといった対策は、いずれも問題の一部しかカバーしません。
より完全なセキュリティモデルは、次のような継続的なチェーンを形成すべきです。
機器を識別できる
→ ネットワークアクセスが制御される
→ ユーザーIDが信頼できる
→ SIP境界が定義される
→ 通話権限が最小権限の原則に従う
→ シグナリングとメディアが保護される
→ 通信挙動が継続的に監視される
→ ログで追跡可能性を確保する
→ 不審な活動を迅速に隔離できる
企業にとって、このアプローチの価値は「異常が絶対に起きない」と約束することではありません。狙いは、未承認機器が環境に入り込む可能性、不審な通信が過剰な権限を得る可能性、異常な活動が長期間検知されず継続する可能性の3つを下げることです。
最近の不正対策事例が示すように、今後の音声セキュリティでは、誰かがIP PBXを直接攻撃しているかどうかだけを見ていてはいけません。正規のネットワークポート、インターネット接続機器、技術的には正しい音声ルートであっても、未承認の形で組み合わされれば重大なリスクを生み出します。
したがって、信頼できるVoIPセキュリティアーキテクチャは2つのことを同時に実現する必要があります。 通常の業務通信はできる限り中断させずに継続しながら、想定されたID、端末、ルーティング、挙動のパターンから外れる通信は、可能な限り早期に検知、封じ込め、追跡できるようにすることです。
よくある質問
クラウドPBXを利用する場合、VoIPセキュリティはすべて事業者が管理してくれるのでしょうか？
いいえ。クラウド事業者は通常、プラットフォーム基盤と一部の境界機能を保護しますが、ユーザーアカウント、管理者権限、エンドポイント、通話権限、多くの社内ネットワーク設定は引き続き利用企業側が管理します。双方のセキュリティ責任は、サービス契約や運用契約で明確に定義すべきです。
VoIPシステムのセキュリティレビューはどのくらいの頻度で行うべきですか？
すべての環境に共通する単一の間隔はありません。内線、SIPトランク、リモートエンドポイントを頻繁に追加する組織では、定期的な設定監査を組み込み、大規模なソフトウェア更新、ネットワーク再設計、通信事業者の移行、セキュリティインシデントの後にも追加レビューを実施すべきです。
IP PBXを保守する外部ベンダーには、どのようにリモートアクセスを付与すべきですか？
より安全なのは、一時アカウント、VPNアクセス、または管理されたジャンプホストを使用し、接続元、利用可能時間、管理範囲を制限する方法です。保守が終わったらアクセスを無効化し、ログイン履歴と設定変更は監査用に保存します。長期間共有する管理者パスワードは避けるべきです。
企業はVoIPの完全なパケットキャプチャを長期間保存する必要がありますか？
通常は必要ありません。すべての音声トラフィックを継続保存すると、ストレージ、プライバシー、コンプライアンス上の負担が大きくなります。より現実的なのは、必要なログとCDRを長期保存し、障害解析やセキュリティインシデント調査の際に、対象インターフェース、セッション、時間帯を限定してパケットキャプチャを実施する方法です。
