概要
CCアーキテクト株式会社は2026年6月16日、同社が提供するクラウドPBXサービス「3CXクラウドサービス」が2026年5月17日に不正アクセスを受けたと発表しました。外部の海外システム監視サービスに登録していたアカウント情報が流出し、第三者が管理画面に侵入。一部顧客のSIPトランク認証情報が閲覧・悪用され、不正な国際電話発信の被害が確認されています。ユーザー認証情報やデータエクスポートへの不正利用は確認されていませんが、クラウドPBXを利用する組織は認証情報管理と多要素認証の徹底を改めて確認すべき事案です。
目次
1. 何が起きたか
CCアーキテクト株式会社は2026年6月16日付の公式発表において、同社が提供するクラウドPBXサービス「3CXクラウドサービス」への不正アクセスを確認したと明らかにしました。
タイムライン
| 日付 | 出来事 |
|---|---|
| 2026年5月17日 | 第三者が海外サーバから3CXクラウドサービスの管理画面へ不正アクセス |
| 2026年6月16日 | CCアーキテクトが公式発表。管理アカウント・SIPトランク認証情報の変更完了 |
| 2026年6月17日 | 公式発表内容の更新（詳細追記） |
不正アクセスの発生（5月17日）から公式発表（6月16日）まで約1ヶ月を要しており、その間にフォレンジック調査・顧客への個別通知・是正措置が進められていました。
2. 被害の内容と影響範囲
確認された被害
| 項目 | 内容 |
|---|---|
| SIPトランク認証情報の閲覧 | 一部顧客環境の管理画面上で閲覧可能だったSIPトランク認証情報が、第三者に参照された可能性あり |
| 不正国際電話発信 | 流出した認証情報を悪用し、外部サーバから国際電話等への不正発信が実際に発生 |
確認されなかった被害
以下については、調査の結果、不正行為の痕跡は確認されていません。
- ユーザー認証情報（ログインID・パスワード）の閲覧・流出
- データエクスポート機能の不正利用
- システム設定の大規模な変更
影響を受けた顧客
3CXクラウドサービスを利用している顧客（一部）が対象。CCアーキテクトは影響が確認された顧客に対して個別に案内を送付済みです。
3. 攻撃の経緯——外部監視サービスが侵入口に
今回の不正アクセスの根本原因は、CCアーキテクト自身が利用していた第三者の海外システム監視サービスにあります。
侵入経路のメカニズム
- CCアーキテクトが利用していた海外の外部システム監視サービスのアカウント情報が漏えい
- 攻撃者がその情報を使い、海外サーバから3CXクラウドサービスの管理画面に不正ログイン
- 管理画面上で一部顧客のSIPトランク認証情報を閲覧
- 閲覧したSIPトランク認証情報を悪用し、外部サーバから国際電話を不正発信
CCアーキテクトの公式発表によると、監視用途で利用していたアカウントについて、以下の管理が不十分だったことが原因とされています。
- 監視用アカウントの権限管理（必要最小限の権限付与）が不十分
- 多要素認証（MFA）の未適用
- 認証情報の保護・管理の不備
「委託先サービスの利用および管理を含めた弊社の管理責任を重く受け止めております。」（CCアーキテクト公式発表より）
SIPトランク認証情報悪用の危険性
SIPトランクとは、IP電話システムにおいて電話回線を提供する通信経路のことです。SIPトランクの認証情報が漏洩すると、正規ユーザーになりすました不正な電話発信が可能になります。特に国際電話への不正発信は通話料金の直接的な損失につながるため、実害が即座に生じる深刻な被害類型です。
4. CCアーキテクトの対応
CCアーキテクトは本件発覚後、以下の対応を実施しています。
| 対応内容 | 詳細 |
|---|---|
| 認証情報の変更 | 関係する管理アカウントおよびSIPトランク認証情報を変更 |
| アクセス制限 | 管理画面へのアクセスを制限 |
| 多要素認証の適用 | 管理画面への多要素認証（MFA）を導入 |
| 監査ログの確認 | 監査ログを精査し、不正行為の全容を調査 |
| 環境設定の点検 | 各顧客環境の設定を点検 |
| 個別顧客対応 | 影響が確認された顧客環境への個別対応・是正措置を完了 |
また、被害が確認されていない顧客に対しても、以下を推奨しています。
- 管理アカウントへの多要素認証の設定
- SIPトランク認証情報を初期パスワードから変更すること
5. 企業・担当者が取るべき対策
本件は「サービス提供者が利用する外部ツール・SaaSの認証情報管理」の甘さが直接の原因です。情シス担当者として自社のクラウドサービス利用状況を見直す契機として、以下の対策を確認してください。
5-1. クラウドPBX・SIPトランクを使っている場合
- SIPトランク認証情報の棚卸し——初期パスワードのまま放置されていないか、定期的に変更されているか確認
- 管理画面へのアクセス制限——管理画面へのアクセスをIP制限・VPN経由のみに限定する
- 多要素認証（MFA）の有効化——管理画面のログインにMFAを設定する
- 監査ログの定期確認——不審なログインや設定変更がないか定期的に監査ログを確認
5-2. 外部監視・管理ツールの認証情報管理
今回の侵入口は「外部の監視サービスに登録したアカウント」でした。社内で利用している監視ツール・外部SaaSについて以下を確認してください。
- 外部サービスに登録しているサービスアカウント・管理アカウントの棚卸し
- 各サービスへの最小権限（Least Privilege）の徹底——監視・運用用途のアカウントに管理者権限を付与しない
- 外部サービスにおけるMFAの有効化状況の確認
- 退職者・担当変更に伴うアカウントの速やかな無効化・削除
5-3. サプライチェーン・委託先リスクの把握
- 自社のサービス提供に関わる外部委託先・SaaSプロバイダーのセキュリティ要件の確認
- クラウドサービスのインシデント通知を受け取る設定（ステータスページ購読、セキュリティアドバイザリのメール登録）
- 委託先のインシデント発生時に自社環境への影響を迅速に評価できる体制の整備
5-4. 不正電話発信への備え
クラウドPBX・SIPトランクを利用している場合、認証情報の流出は直接的な通話料金被害につながります。
- 発信先・発信量の異常検知——短時間の大量発信・海外向け国際電話の急増を検知するアラート設定
- SIPトランクへの発信制限——不要な国際通話を制限するポリシーをSIPプロバイダーと確認
- 通話料金の定期確認——月次または週次で発信記録・通話料金を確認するオペレーションの確立
6. まとめ
CCアーキテクトの3CXクラウドサービス不正アクセス事案は、サービス提供者が利用する外部監視ツールのアカウント管理の甘さが直接の侵入口となった典型的なサプライチェーン型インシデントです。被害はSIPトランク認証情報の流出と不正国際電話発信に限定されており、ユーザー認証情報の大規模流出には至っていませんが、実際の金銭的被害が発生した点は見逃せません。
情シス担当者として今すぐ確認すべきは、自社が利用しているクラウドPBX・SIPサービスの管理画面にMFAが設定されているか、そして外部ツール・SaaSに登録している管理アカウントの権限が最小化されているかです。外部サービスを経由した認証情報流出リスクは、大企業・小規模組織を問わず普遍的な脅威です。