IP-PBXの乗っ取り手口
IP-PBXの乗っ取り手口にはどのようなものがあるのでしょうか。代表的な２つの手口を解説します。
遠隔メンテナンス機能の悪用により内線端末を増やす
IP-PBXにはインターネットを介して設定を変更できる遠隔メンテナンス機能があります。基本的にはIDとパスワードの入力によりアクセスできます。つまり、多くのWebサービスと同様に、万が一ID・パスワードが第三者の手に渡ると、容易に不正アクセスされ得るということです。
不正アクセスした第三者は、設定を変更して自身が持つ端末をIP-PBXの内線端末にできます。そして、その端末から海外の有料サービスに電話をかけるのです。その結果、被害に遭った企業は高額な情報料を課されることになります。攻撃者は海外の通話事業者と手を組んでおり、被害者から徴収したお金の一部を受け取って利益を得ます。
スマホ内線化機能の悪用により海外発信を行う
もう１つの手口として、スマホ内線化機能を使うものもあります。スマホ内線化機能とは、スマホから取引先などに電話をかける際、一度自社のIP-PBXを介する機能です。これにより、スマホの通話料金が発生せずに済みます。
この機能も、IDやパスワードによる認証を利用しています。つまり、ID・パスワードを入手した第三者は自身のスマホを内線化できるということです。ここからは先述した手口と同様で、海外の有料サービスに電話をかけて利用料を発生させます。
IP-PBXの乗っ取りを防ぐ対策
IP-PBXの乗っ取りから自社を守るにはどうすれば良いのでしょうか。対策方法を３つ紹介します。
パスワードの変更・設定の複雑化
先述した手法はいずれも、不正ログインによってIP-PBXを乗っ取る方法です。つまり、不正ログインを防げれば乗っ取りを防止できます。
そのためには、ログインパスワードを頻繁に変更しましょう。被害に遭った企業の多くは、パスワードを初期設定のままにしていたと言われています。初期設定のパスワードは一定の法則に基づいて決められていることが多いため、第三者に推測されるリスクが高いです。できれば１～２ヵ月程度の頻度でパスワードを変更しましょう。
また、設定するパスワードはできるだけ複雑で、第三者から推測されにくいものにすることが大切です。頻繁に変更すると覚えるのが大変なため、つい単純なパスワードに設定しがちですが、それなら変更しないほうがまだ安全です。最低でも８文字以上にし、大文字・小文字や数字、記号などを組み合わせて複雑なパスワードを設定しましょう。
海外発信規制サービスの利用
IP-PBXの乗っ取りによる被害は、海外に発信されることで生じます。したがって、国際電話を規制することで被害を防げます。
通信事業者が海外発信規制サービスを提供しているのであれば、それを利用しましょう。大手の通信事業者なら基本的に提供しているサービスですが、自社が契約している通信事業者について確認してみましょう。
海外発信規制サービスを利用すると、通常のビジネス目的で海外に発信することもできなくなります。しかし、ビジネスで国際電話を日常的に利用している企業は多くありません。特にIP-PBX乗っ取りのターゲットとされやすい中小企業においては、海外発信規制はデメリットよりもメリットのほうが大きいでしょう。
SBCの活用
SBC（Session Border Controller）とは、IP電話ネットワークにおいて、別のネットワークとの接合点に設置されるゲートウェイ装置です。セキュリティ機能を備えているため、これを利用することでIP-PBXの乗っ取り被害を防げます。
具体的には、不正アクセス・侵入防御、DDos攻撃防御、パケット暗号化などの機能が備わっています。海外ではIP-PBXと組み合わせて使うのが一般的です。
ただし、日本国内では企業向けのSBCはあまり多くありません。また、製品によって通信事業者への対応が異なり、扱いにくさが導入のネックとなっています。まずはこれまで紹介した２つの対策方法から着手したほうが良いでしょう。
しっかり対策してIP-PBXの乗っ取りを防ごう
IP-PBXの乗っ取り手口は以下のとおりです。
- ■遠隔メンテナンス機能の悪用
- ■スマホ内線化機能の悪用
攻撃者は上記のステップを経て海外に電話をかけ、高額な利用料金を発生させます。 一方、IP-PBXの被害を防ぐ方法は以下のとおりです。
- ■パスワードの変更・複雑化
- ■海外発信規制サービスの利用
- ■SBCの活用
以上を踏まえ、自社のIP-PBXを守りましょう。
