会社の電話で起きるセキュリティ問題の多くは、映画のようなハッキングではありません。電話システムの管理画面で使い回したパスワード、0000のままの留守番電話の暗証番号、他人のSIMカードへ番号を移すよう騙された携帯電話会社の担当者、会社の番号を表示して顧客に電話する詐欺師などです。いずれも防止でき、対策の多くは午後の数時間で実施できます。
このガイドでは、VoIPや携帯電話回線を使う中小企業が実際に受ける脅威、その兆候、対処法を説明します。最後にチェックリストと、電話プロバイダーに確認すべき質問をまとめます。以下の規則と日付は、2026年10月19日に確認したFCCの公式ページに基づきます。一般的な情報であり、法的助言ではありません。
VoIPに独自のセキュリティ対策が必要な理由
VoIP電話システムは、インターネット上のソフトウェアです。ユーザーアカウント、管理ポータル、スマートフォンやパソコンのアプリ、公衆電話網への接続があります。そのため、不正通話やソーシャルエンジニアリングといった従来の電話のリスクに、パスワードの盗難や脆弱な端末といったインターネットのリスクが加わります。対策もなじみのあるものです。安全なサインイン、必要最小限の権限、監視、対応計画が役立ちます。
1. 通話料金の不正利用
どのようなものか：電話システムやアカウントに侵入し、会社負担で電話をかける行為です。多くは高額な国際番号や有料サービス番号への発信で、誰も見ていない夜間や週末に行われます。気づく前に請求が届くことがあります。
侵入経路：推測または盗まれた管理者パスワード、初期暗証番号のまま外線発信できる留守番電話、外部に公開されたオンプレミスPBX、騙されて発信者を外線につないだ従業員などです。FCCは長年、これらの経路について企業に注意を促しています。「90#電話詐欺に遭わないために」というガイドでは、外線の利用権を渡すコードを従業員に入力させる手口を説明しています。留守番電話のハッキングに関するガイドは、初期暗証番号がよくある弱点だと警告し、使わない遠隔通知、自動受付、転送、外部への通知発信機能をオフにするよう勧めています（FCCの90#詐欺ガイド、いずれも2026年10月19日確認）。
- 不要な発信をブロックする：使わない国際通話や有料サービス番号への発信はオフにしてください。特定の国だけを許可できるプロバイダーも多くあります。
- 料金アラートと上限を設定する：利用量の通知と、通話料金の厳格な上限をプロバイダーに依頼してください。
- 留守番電話を保護する：長く固有の暗証番号を使い、留守番電話からの外線発信機能は無効にしてください。
- 受付担当者を教育する：知らない発信者を外線につないだり、頼まれたからといってコードを入力したりしないでください。
2. アカウントの乗っ取り
どのようなものか：電話システムのユーザーまたは管理者アカウントに他人がサインインすることです。管理者アカウントなら、SMSの閲覧、録音の再生、着信経路の変更、ユーザーの追加、連絡先のエクスポートが可能になります。通常のユーザーアカウント一つでも、その従業員になりすまして顧客に連絡できます。
- すべてで2段階認証を使う：すべての管理者、できればすべてのユーザーに認証アプリのコードを必須にしてください。SMSコードもないよりは安全ですが、後述するSIMスワップに弱い方法です。
- 可能ならシングルサインオンを使う：プロバイダーがGoogleやMicrosoftでのサインインに対応しているなら、10か所ではなく1か所でアクセスを停止できる方が安全です。
- 退職した日にアクセスを解除する：退職者の電話システムへのアクセス、アプリのセッション、個人の携帯電話への番号の転送設定を解除してください。
- 管理者を少なくする：管理者権限を持つ人数を最小限にし、四半期ごとに一覧を見直してください。
3. SIMスワップと不正な番号転出
どのようなものか：犯罪者が携帯電話会社を騙し、電話番号を自分の管理するSIMカードに移すSIMスワップ、または別の携帯電話会社に移す不正な番号転出です。その後、サインインコードを含む電話とSMSは犯罪者に届きます。企業では、経営者の番号、ウェブサイトに掲載した番号、銀行口座にひもづく番号が対象になることがあります。
FCCは2023年11月15日、SIM変更や番号転出の前に安全な方法で顧客を認証し、依頼があったらすぐ顧客に通知することを無線通信事業者に求める規則を採択しました（FCCの報道発表、2026年10月19日確認）。FCCは遵守期限に関する通知を別途公表しているため、最新の状況はFCCサイトを確認してください。いずれの場合も、自社での防御が重要です。
- 番号転出用の暗証番号や番号ロックを追加する：米国の大半の携帯電話会社では、アカウントや番号移行用の暗証番号を設定できます。番号ロックを提供する会社もあります。契約先に確認し、経営者の個人用携帯電話を含むすべての業務用回線で利用可能な保護を有効にしてください。
- SMS以外でサインインコードを受け取る：メール、銀行、電話システム自体の認証には、認証アプリやセキュリティキーを使ってください。
- 警告の兆候を知る：通常は圏内の場所で突然「圏外」や「SOSのみ」と表示された場合、番号が移されている可能性があります。すぐに別の電話から携帯電話会社へ連絡してください。
- 番号移行の書類を非公開にする：アカウント番号と番号移行用暗証番号は、犯罪者が必要とする情報です。パスワードと同様に扱ってください。番号移行ガイドでそれぞれの役割を説明しています。
4. 発信者番号の偽装とSTIR/SHAKEN
どのようなものか：発信者番号表示に出る番号を偽る行為です。詐欺師は電話に出てもらうために近隣の番号を偽装し、実在の企業の番号で顧客を騙すこともあります。FCCの発信者番号偽装ガイドによると、Truth in Caller ID Actでは、詐欺、加害、不正な利益獲得を目的として、誤解を招くまたは不正確な発信者情報を送ることは違法で、1件あたり最大US$10,000の罰則があります。すべての番号変更が違法なわけではありません。医師が個人の電話からかける際に診療所の番号を表示するのは正当な用途です（2026年10月19日確認）。
STIR/SHAKENは、電話会社が通話に電子署名し、発信者が表示番号を使う権限を持つことを保証する業界の仕組みです。FCCは音声サービス事業者に、ネットワークのインターネット（IP）部分への導入を2021年6月30日までに求め、小規模事業者には2023年6月30日までの延長を認めました。現在は、ゲートウェイ事業者や中継事業者を含む大半のプロバイダーに、運ぶ通話の発信者番号認証を求めています（FCCの発信者番号認証ページ、2026年10月19日確認）。用語集のSTIR/SHAKENもご覧ください。
- 信頼できるプロバイダーを選ぶ：発信通話にどう署名し、どの認証レベルが付くのか確認してください。プロバイダーが保証できる番号からの通話は、迷惑電話と表示されにくくなります。
- SMS用の登録を行う：市内番号での業務用SMSには10DLC登録が必要で、フリーダイヤルには確認手続きが必要です。登録済みの通信はより信頼されます。10DLCガイドとフリーダイヤル確認ガイドをご覧ください。
- 絶対に求めない情報を顧客に伝える：たとえば「電話やSMSでカード番号全桁やログインコードをお尋ねすることはありません」と案内します。サイトや注文メールに掲載してください。
- 苦情を確認する：かけていないのに「御社からの電話があった」と顧客が報告した場合は、FCCに通報し、顧客にも注意を促してください。番号の偽装自体を止めることはできなくても、詐欺を信じにくくできます。
5. 盗聴
どのようなものか：ネットワーク上を流れる通話音声や接続設定データを第三者が取得することです。主なリスクは共有ネットワーク上の暗号化されていない通信だったため、現代のホステッドシステムではまれです。それでも確認する価値はあります。
- 暗号化について確認する：通話のシグナリングにはTLS、音声自体にはSRTPが使われ、保存された録音や留守番電話も暗号化されているか確認してください。
- 社内ネットワークを分離する：固定電話機とゲスト用Wi-Fiを別のネットワークにし、ルーターと電話機の初期パスワードを変更してください。
- 公共Wi-Fiには注意する：機密性の高い通話には、モバイルデータまたは信頼できるネットワークでプロバイダーのアプリを使ってください。
6. 録音、留守番電話、メッセージ履歴
電話システムには、録音、留守番電話、文字起こし、住所や注文内容、ときには健康や支払いの情報を含むSMSなど、多くの個人情報が集まります。リスクは外部の人だけではありません。まだサインインできる元従業員や、理由もなく何年も保存された録音もリスクになります。
- 方針を決めてから録音する：発信者の所在地で適用される同意ルールを把握してください。通話録音の同意ガイドでは、連邦のルールと全員の同意が必要な州を説明しています。
- 保存期間を設定する：不要になった録音や留守番電話を、決めたスケジュールで削除してください。
- 聞ける人を制限する：全ユーザーが全録音にアクセスする必要はありません。誰が何を再生またはダウンロードしたか記録するシステムを優先してください。
- 音声やSMSでカード番号を受け取らない：代わりに顧客をチェックアウトや安全な決済ページへ案内してください。
7. 自社チームを狙うソーシャルエンジニアリング
最も安上がりな攻撃は、信じられそうな電話です。「IT担当です。今SMSで送ったコードを教えてください」「注文した者ですが、引っ越したので配送先を変更して再送してください」といった手口です。対応文を用意すると役立ちます。コードの共有、確認なしの振込先や配送先の変更、外線への転送など、着信時に絶対にしないことを事前に決め、断った従業員を支えてください。
VoIPセキュリティのチェックリスト
- サインイン：全管理者と全ユーザーで2段階認証を有効化。可能ならシングルサインオンを使用。ログイン情報を共有しない。
- 人員：管理者一覧を四半期ごとに確認。退職当日にアクセスを解除。受付担当者に転送やコードを使った詐欺を教育。
- 電話番号：経営者の携帯電話を含む全回線で番号転出用暗証番号または番号ロックを設定。番号移行情報はパスワード同様に保管。
- 通話：不要な国際通話と有料サービス番号への発信を無効化。料金アラートと上限を設定。
- 留守番電話：長く固有の暗証番号を使用。不要な遠隔機能を無効化。
- データ：録音方針を文書化。保存期間を設定。アクセスを制限し記録。
- SMS：10DLC登録またはフリーダイヤル確認を完了。同意の記録を保存。
- 対応計画：誰が通信事業者に連絡し、誰がプロバイダーに連絡するか、顧客への通知方法、アカウント暗証番号の保管場所を1ページに整理。
電話プロバイダーへの確認事項
- サインイン：2段階認証とシングルサインオンに対応していますか。全ユーザーに必須にできますか。
- 不正利用対策：国際通話や有料サービス番号への発信をブロックし、料金アラートや上限を設定できますか。
- 暗号化：通話のシグナリングと音声は転送中に暗号化されますか。録音と留守番電話は保存時に暗号化されますか。
- 発信者番号：STIR/SHAKENに基づいて、発信通話にどう署名しますか。
- 番号の保護：無断で番号が転出されないよう、どのように保護しますか。
- ログ：誰がサインインし、設定を変更し、録音にアクセスしたか確認できますか。
- 認証：SOC 2など、どの第三者監査を受けていますか。報告書を閲覧できますか。
Chargezenが担当する範囲での対応
ChargezenはVoIP回線やPBXではないため、固定電話機や海外への発信経路など、上記の一部は対象外です。担当する範囲では、次のように対応します。
- 個人の携帯電話ではなく会社の番号：顧客は会社の番号に電話やSMSを送り、担当者はFinnやブラウザーから返信します。そのため、顧客が知る番号が従業員個人の番号になることはありません。これが重要な理由をご覧ください。
- 2段階認証：各メンバーは、自分のChargezenへのサインインに2段階認証を有効にできます。
- 自社のルールに基づく録音：番号ごとに自社の方針を設定します。録音開始前に発信者に案内を流し、保存期間を選択でき、再生とダウンロードはすべて理由とともに記録されます。通話録音をご覧ください。
- 電話とSMSに使える米国の会社用番号：米国の市内番号やフリーダイヤルを取得できます。電話番号のページで市外局番から空き番号を探すか、今の番号を持ち込めます。ChargezenがSMSに必要な10DLCまたはフリーダイヤルの登録を申請します。会社の電話番号をご覧ください。
- 変更は承認を待つ：返金やクレジットなど、Conciergeが単独で行うことと、人の対応を待つことを自分で決められます。承認をご覧ください。
Chargezenが提供しないものも明確にします。VoIP回線、固定電話機、PBXは販売していません。IVRや電話メニュー、着信グループ、個人の電話への転送や同時呼び出し、営業時間別の振り分け、内線、米国外の番号はありません。提供するのは米国（+1）の市内番号とフリーダイヤルのみです。これらの機能が必要なら、それに対応した電話システムを購入し、Chargezenは適した用途で使ってください。
Concierge Starterは月額US$20で20,000クレジットが含まれます。Proは月額US$199で199,000クレジット、または年額US$1,990です。SMSは1セグメントあたりUS$0.02、通話は利用量に応じた請求で、ユーザー単位の料金はありません。料金をご覧ください。
関連用語：STIR/SHAKEN、番号ポータビリティ、通話録音への同意、10DLC。関連ガイド：VoIPプロバイダーの選び方、Wi-Fi通話とは、電話番号を移行する方法。
よくある質問
VoIPは固定回線より安全性が低いのですか？
本質的に低いわけではありません。暗号化と2段階認証を備え、適切に運用されるホステッドVoIPは、何年も更新していない古い社内PBXより安全な場合があります。リスクの種類が異なります。VoIPにはインターネット型のアカウントリスクが加わるため、サインインの安全性がより重要です。
中小企業でよく起こるVoIPへの攻撃は何ですか？
アカウントや留守番電話の侵害による通話料金の不正利用と、従業員を狙うソーシャルエンジニアリングが典型例です。SIMスワップは経営者の携帯電話番号を狙い、多くの場合、銀行やメールのアカウントへのアクセスが目的です。
会社の番号を偽装されるのを防げますか？
完全には防げません。STIR/SHAKENによって通信事業者は偽装通話を見つけて表示しやすくなりますが、偽装ツールに自社の番号を入力されること自体は止められません。顧客への注意喚起、FCCへの通報、自社が絶対に求めない情報の案内を行ってください。
STIR/SHAKENはすべての自動音声電話を止めますか？
いいえ。発信者に表示番号の利用権限があるかを確認する仕組みです。その電話が望まれているかは判断しません。また、古い非IPネットワークを通る通話では、署名が伝わらない場合があります。
