クラウドPBXのセキュリティは安全？対策と優良5社【2026年版】

※本記事は2026年06月時点の情報に基づいています。

クラウドPBXは通信の暗号化とデータセンターでの常時監視により、適切なサービス選定と運用ルールを守れば、従来の電話システムと同等かそれ以上の安全性を確保できます。インターネット経由であること自体が危険なのではなく、「対策の有無」が安全性を決める仕組みです。

この記事の要点

• クラウドPBXの主なリスクは「ログイン情報の乗っ取り」「マルウェア感染」「通話の盗聴」「顧客データの漏洩」の4系統で、暗号化と多要素認証で大半は防止できます
• 通信はTLSやSRTPで暗号化されるため、物理回線を傍受できるアナログ電話より通信経路上の盗聴は困難です
• オンプレミス型より、専門家が24時間365日監視するクラウドPBXのほうが安全なケースが多くあります
• サービス選定の判断軸は総務省「クラウドサービス提供における情報セキュリティ対策ガイドライン」が示す責任分界点です
• ユーザー側の必須対策はパスワード管理・多要素認証・フリーWi-Fi回避・端末の遠隔ロック設定の4点です

「インターネットを介するクラウドPBXは、本当にセキュリティ対策が万全なのか」と懸念される企業さまは少なくありません。

この記事では、クラウドPBXに潜むセキュリティリスクと、ベンダー側・ユーザー側それぞれが講じるべき対策を、2026年の最新データをもとに解説します。セキュリティに定評のある優良サービスも紹介しますので、ぜひ参考にしてください。

クラウドPBXのセキュリティは安全？結論は「対策次第で高い安全性」

クラウドPBXは、適切なサービスを選び正しく運用すれば、極めて高い安全性を確保できる電話システムです。インターネット経由という点だけを捉えて「危険」と判断するのは誤りといえます。

そもそもクラウドPBXとは、これまで自社内に設置していた物理的なPBX（電話交換機）をクラウド上に構築し、インターネット経由で電話機能を利用できるシステムを指します。スマートフォンやPCを内線端末として使えるため、テレワークや複数拠点運営との相性が良いのが特徴です。

安全性の根拠は、通信の暗号化にあります。クラウドPBXの通話データは、Webアクセスを保護するTLS（Transport Layer Security）や、音声通信を暗号化するSRTP（Secure Real-time Transport Protocol）によって守られています。

SRTPとは、リアルタイム通信データを暗号化し、ネットワーク上での盗聴や改ざんを防ぐためのプロトコルです。物理的な配線に機器をつなげば傍受できてしまうアナログ電話と比べ、暗号化されたクラウドPBXの通信を解読することは技術的に極めて困難です。

つまり、クラウドPBXのセキュリティは「インターネットを使うかどうか」ではなく、「どのような暗号化・認証・監視体制が整っているか」で決まります。リスクと対策を正しく理解することが、安全な導入の第一歩です。

クラウドPBXのセキュリティリスクとは？主な5つの脅威

クラウドPBXで特に懸念されるリスクは、以下の5点です。いずれも対策が可能なものですが、放置すれば高額請求や情報漏洩につながります。

• ログイン情報の乗っ取り・不正利用
• デバイスからのマルウェア感染
• 社内ネットワークへの不正アクセス（ハッキング）
• 通話の盗聴・不正傍受
• 顧客データの情報漏洩

ここからは、それぞれのリスクを具体的に解説します。

ログイン情報の乗っ取り・不正利用

クラウドPBXは、ユーザーがどこにいても使えるよう、IDとパスワードでアクセスする仕組みです。裏を返せば、IDとパスワードが流出するとログイン情報を乗っ取られ、クラウドPBXが不正利用されてしまいます。

最も深刻な被害が、不正利用による高額な国際通話料金の請求です。悪意のある第三者が深夜に大量の海外発信を行い、気づいたときには数十万円〜数百万円の通話料が発生していたというケースも報告されています。

デバイスからのマルウェア感染

マルウェア（Malware）感染とは、悪意のある第三者が作成したソフトウェアによってデバイスが侵される事象です。代表的なものに「トロイの木馬」や「スパイウェア」があり、感染すると次のようなリスクが生じます。

• スマートフォンやPCの乗っ取り
• キーロガーによるIDやパスワードの盗難
• ネットワーク通信の盗聴・傍受
• 端末やサーバー内の電話帳データの漏洩

マルウェアは感染した端末だけでなく、ネットワークを通じて他の端末へ広がる性質を持つため、被害が連鎖的に拡大しやすい点が厄介です。

社内ネットワークへの不正アクセス（ハッキング）

クラウドPBXは、インターネットを介して社内ネットワークと連携しています。そのためクラウドPBXのセキュリティが突破されると、テレワーク中の社員のスマートフォンだけでなく、オフィス内のPCにまで不正アクセスが及ぶ危険があります。

IPA（独立行政法人情報処理推進機構）が公表した「情報セキュリティ10大脅威 2026（組織編）」では、第1位が「ランサム攻撃による被害」、第2位が「サプライチェーンの弱点を悪用した攻撃」でした。さらに、生成AIなどを悪用した「AIの利用をめぐるサイバーリスク」が第3位に初めてランクインしています（出典：情報セキュリティ10大脅威 2026）。

ランサムウェアとは、感染端末のデータを暗号化し、復号キーと引き換えに身代金を要求する悪意のあるソフトウェアです。攻撃の高度化が進む今、電話システムを含むあらゆる業務インフラに堅牢なセキュリティが求められています。

通話の盗聴・不正傍受

誰とどのような商談をしているのか、新商品の開発がどこまで進んでいるのか——こうした社外秘の情報を、通話の盗聴・不正傍受から守る必要があります。とりわけ通話を録音データとして保存している場合は、保存先への不正アクセス対策が必須です。

前述のとおり、クラウドPBXの通話はSRTPやTLSで暗号化されているため、通信経路上での盗聴リスクは大幅に抑えられます。ただし、暗号化に対応していない一部のサービスや、後述するフリーWi-Fi経由の利用では、リスクが高まる点に注意が必要です。

顧客データの情報漏洩

クラウドPBXを導入する法人や個人事業主にとって、最も懸念されるのが顧客データの情報漏洩です。クラウドPBXが管理するWeb電話帳には、社員情報だけでなく取引先や顧客の連絡先も含まれるため、万全の対策が欠かせません。

東京商工リサーチが公表した「2025年 上場企業の個人情報漏えい・紛失事故」調査によると、2025年の漏えい人数は3,063万6,910人分にのぼり、前年比93.1%増（約2倍）に急増しました。事故原因の最多は「ウイルス感染・不正アクセス」で116件（構成比64.4%）、漏えい媒体の最多は「社内システム・サーバー」で140件（77.7%）でした（出典：株式会社東京商工リサーチ）。

注目すべきは、漏洩の大半が「サーバー」を経由している点です。これは、自社サーバーで顧客情報を抱え込むよりも、専門のデータセンターで監視されたクラウド上に置くほうが、むしろ被害を抑えられる可能性を示唆しています。

クラウドPBXとオンプレミス型はどちらが安全？比較表で解説

結論として、専門家が24時間体制で監視するクラウドPBXのほうが、自社管理のオンプレミス型より安全なケースが多いといえます。「外部とつながっていないから安全」というオンプレミス型のイメージは、実態と必ずしも一致しません。

オンプレミス型PBXは社内に設置するため一見閉じた環境に見えますが、実際には保守用のネットワークやVPN回線が外部とつながっており、そこを起点に侵入される事例があります。

さらに、セキュリティ監視・ソフトウェア更新・障害復旧のすべてを自社で担う必要があり、専門人材のいない中小企業ほど対策が手薄になりがちです。

以下の表で、クラウドPBXとオンプレミス型PBXのセキュリティ面を比較します。

BCP（事業継続計画）とは、地震や火災などの緊急事態に事業資産の損害を最小限にとどめ、中核事業を継続・早期復旧するための計画です。オンプレミス型は自社の設備が被災すると電話機能が止まりますが、クラウドPBXはデータセンターが分散されていれば事業を継続できます。この点でも、クラウドPBXの優位性は明確です。

クラウドPBXのセキュリティ対策は？ベンダー側の体制

優良なクラウドPBXは、ユーザーが意識しないところで、以下のような高度なセキュリティ対策を講じています。これらの体制が整っているかどうかが、サービスの安全性を左右します。

• 通信データの暗号化（TLS・SRTP）
• データセンターでの24時間365日の常時監視
• クラウド上でのデータ一元管理
• データセンターの分散によるBCP対策
• ソフトウェアの継続的なアップデート

通信の暗号化（TLS・SRTP）

クラウドPBXのベンダーは、通話やデータ通信をTLS・SRTPで暗号化し、盗聴・改ざんを防いでいます。TLSはWeb管理画面へのアクセスを、SRTPは音声通話そのものを保護する役割を担います。

導入を検討する際は、この2つの暗号化方式に対応しているかを、ヒアリングや資料で必ず確認しましょう。暗号化の記載が見当たらないサービスは、それだけでセキュリティ面の優先度を下げる判断材料になります。

データセンターでの常時監視と高い準拠基準

クラウドPBXのサーバーは、データセンターで24時間365日体制で監視されています。万が一サイバー攻撃を受けても速やかに検知でき、被害を最小限に抑えたうえで復旧作業まで任せられるのが強みです。

さらに、信頼性の高いクラウドPBXのデータセンターは、FISC（金融情報システムセンター）基準やPCI DSS（クレジットカード業界のセキュリティ基準）といった厳格な基準に準拠しているケースがあります。金融機関やカード業界レベルの基準を満たす施設で顧客データが守られていれば、自社サーバーで管理するより安心といえるでしょう。

クラウド上でのデータ一元管理

クラウドPBXは顧客データをクラウド上で一元管理することで、セキュリティ対策を効率化しています。万が一不正アクセスが発生しても、改ざんされたデータを一括削除し、常に最新の状態を保てます。

この仕組みの大きな利点は、端末側にデータを残さないことです。スマートフォンやPCが破損・紛失・盗難に遭っても、データ本体はクラウド上にあるため守られます。後述する遠隔ロックと組み合わせれば、端末紛失時の情報漏洩リスクをほぼ封じ込められます。

データセンターの分散によるBCP対策

データセンターを複数拠点に分散し、BCP対策を強化しているのも優良クラウドPBXの特徴です。地震や津波などの大規模災害で1か所が被災しても、別拠点でサービスを継続できます。

ただし、リスクヘッジとしてデータセンターを分散しているクラウドPBXは限られます。災害時の事業継続を重視する企業は、契約前にデータセンターの分散状況を必ず確認しておきましょう。

安全なクラウドPBXの選び方は？総務省ガイドライン基準の判断軸

安全なクラウドPBXを選ぶ最大の判断軸は、総務省「クラウドサービス提供における情報セキュリティ対策ガイドライン（第3版）」が示す対策基準と「責任分界点」です。このガイドラインを基準にすると、感覚ではなく根拠に基づいてサービスを比較できます。

総務省のガイドラインは、クラウドサービスにおいて「どこまでがベンダーの責任で、どこからがユーザーの責任か」という責任分界点を明確化しています。この考え方を踏まえると、ベンダー任せにできる範囲と、自社で守るべき範囲が整理できます。

サービス選定時に確認すべき項目を、以下の表にまとめました。

通話品質については、総務省の基準により「クラスA」「クラスB」「クラスC」に分類されます。クラスAが最も高品質で、緊急通報や安定した音声を重視する場合の目安になります。セキュリティと通話品質は別の指標ですが、基準を明示しているサービスほど運用体制が整っている傾向があり、信頼性の参考になります。

多要素認証（MFA）とは、パスワードに加えてSMS通知や生体情報など、2つ以上の異なる要素を組み合わせて認証する仕組みです。パスワードが万一漏れても、もう1つの要素がなければログインできないため、ログイン情報の乗っ取りを大幅に防げます。MFA対応の有無は、必ず確認したい項目です。

セキュリティに強いクラウドPBXのおすすめは？優良5社を比較

セキュリティを重視するなら、官公庁導入実績やプライベートクラウド構成、高い通話品質基準などの実績を持つサービスを選ぶのが堅実です。ここでは、セキュリティに定評のある5サービスを紹介します。

まず、各サービスのセキュリティ上の特徴を以下の表で比較します。

官公庁の実績で選ぶなら「MOT/TEL（モッテル）」

MOT/TEL（モッテル）は、株式会社バルテックが提供するクラウドPBXです。特許庁や群馬県庁などの官公庁への導入実績があり、厳しい基準を求められる公的機関に採用されている点が信頼性の裏付けになっています。

料金は20内線まで月額5,980円からと、小規模法人でも導入しやすい価格帯です。「実績ある安心感を重視したい」「初めてクラウドPBXを導入する」という企業に向いています。

強固な独立環境で選ぶなら「IZUMO-PBX」

IZUMO-PBXは、株式会社フィールトラストが提供するクラウドPBXで、プライベートクラウド構成を採用しています。複数の利用者でサーバーを共有するパブリッククラウドと異なり、自社専用の環境を確保できるため、他社の影響を受けにくい強固なセキュリティを実現します。

機密性の高い情報を扱う企業や、「他社と環境を共有することに不安がある」という企業に適した選択肢です。

既存設備を活かすなら「ConnecTalk」

ConnecTalkは、ソフトバンク株式会社が提供するクラウドPBXです。既存のPBXとの接続に対応しており、すべてを一度に置き換えず段階的に移行できる点が強みです。基本料金は10,000円／契約で、利用する機器・回線に応じた従量課金制となっています。

すでにオンプレミス型PBXを運用していて、「いきなり全面切り替えはリスクが高い」と考える企業や、複数拠点を順次移行したい企業に向いています。

セキュリティと実用機能を兼ね備えるなら「03plus」

03plusは、株式会社グラントンが提供するクラウドPBXです。海外詐欺ブロックなど、セキュリティ面で実用的な機能が揃っている点が特徴。料金は1台あたり月額1,280円で、かけ放題プランも用意されています。

導入時の工事が不要で、申し込みから利用開始までスピーディに進められるため、すぐにでもセキュリティ対策を強化したい企業にも取り入れやすくなっています。

コストを抑えつつも、詐欺電話対策などの実用的なセキュリティ機能を求める企業や、通話量の多いコールセンター・問い合わせ対応業務に適しているクラウドPBXです。

▼03plusの基本情報

リスク分散を重視するなら「TramOneCloud」

TramOneCloudは、トラムシステム株式会社が提供するクラウドPBXです。データセンターでの厳重な管理とリスク分散を特徴としており、災害やシステム障害への耐性を重視する企業に向いています。

BCP対策を経営の優先課題と位置づける企業や、複数拠点で事業を止められない企業にとって、有力な候補となるでしょう。

自社でできるクラウドPBXのセキュリティ対策は？6つの実践策

クラウドPBXのセキュリティは、ベンダー任せでは完結しません。総務省ガイドラインの責任分界点が示すとおり、パスワード管理や端末のマルウェア対策はユーザー側の責任です。ここでは、自社で実践すべき6つの対策を解説します。

• 高セキュリティのサービスを選ぶ
• ログイン情報を徹底管理する
• パスワードを定期的に見直し、多要素認証を導入する
• フリーWi-Fiに接続しない
• アプリやソフトを最新バージョンに保つ
• セキュリティルールを社員全員で共有する

高セキュリティのサービスを選ぶ

最も重要なのは、入り口であるサービス選定です。クラウドPBXはベンダーによってセキュリティレベルに差があり、なかには深刻なトラブルに発展した例も存在します。

選定時は、口コミで過去の情報漏洩の有無を確認し、ヒアリングの場でセキュリティ対策への取り組みを具体的に説明してもらいましょう。前章で紹介した「総務省ガイドライン基準の判断軸」を持参して質問すると、抽象的な営業トークに流されず、的確に比較できます。

ログイン情報を徹底管理する

ログイン情報の管理は、最も基本的でありながら最も効果の高い対策です。一度漏洩すると不正アクセスを簡単に許すだけでなく、トラブルが起きるまで気づきにくく、被害範囲の特定も困難になります。

IDやパスワードを安全に管理するには、以下の方法が有効です。

• ログイン情報を記した付箋を、第三者の目に触れる場所に貼らない
• 一覧表は施錠して保管し、閲覧者を限定する
• データで残す場合はロック機能つきのメモアプリを使う
• UTMを導入し、会社全体の脅威管理を一元化する

UTM（Unified Threat Management）とは、ファイアウォール・アンチウイルス・不正侵入検知・Webフィルタリング・アンチスパムなど、複数のセキュリティ機能を集約した機器です。

通信ネットワーク全体の脅威をまとめて管理できるため、社内ネットワーク全体の防御力を底上げできます。

パスワードを定期的に見直し、多要素認証を導入する

パスワードの強化と多要素認証（MFA）の導入は、ログイン乗っ取りを防ぐ二本柱です。次のようなパスワードは不正アクセスのリスクが高いため避けましょう。

• 「1234」や会社の設立年月日など、推測されやすい単純なもの
• 複数サービスで使い回しているもの

推奨されるのは、クラウドPBX専用のパスワードを設定し、大文字・小文字・数字・記号を組み合わせ、できるだけ長い文字列にすることです。そのうえで多要素認証（MFA）を有効にすれば、パスワードが漏れても不正ログインを防げます。

前章で触れたとおり、MFA対応はサービス選定の重要な条件でもあります。

フリーWi-Fiに接続しない

外出先でクラウドPBXを使う際、暗号化されていないフリーWi-Fiへの接続は避けてください。フリーWi-Fiは通信内容を傍受されるリスクが高く、駅前や商業施設など人が密集するエリアほど攻撃の標的になりやすい傾向があります。

どうしても外部ネットワークを使う場合は、VPN（仮想専用線）で通信を暗号化するか、キャリアのモバイル通信（4G・5G）を利用しましょう。スマートフォンのWi-Fi機能をオフにしておけば、危険なアクセスポイントへ自動接続される事故も防げます。

アプリやソフトを最新バージョンに保つ

プログラムの不具合や設計上のミスにより、セキュリティの欠陥（脆弱性）が見つかることは珍しくありません。ベンダーは脆弱性が見つかるたびにソフトウェアを更新しますが、ユーザー側が更新を怠れば、その穴は塞がれないまま放置されます。

アプリやOSの自動更新を有効にし、更新通知が来たら速やかに適用する運用を徹底しましょう。「あとで」と先送りした古いバージョンこそ、攻撃者に狙われる入り口になります。

セキュリティルールを社員全員で共有する

どれだけ高度な対策を導入しても、運用する社員一人ひとりの意識が低ければ意味がありません。パスワード管理やフリーWi-Fi禁止などのルールを明文化し、社員全員で共有・徹底することが欠かせません。

特に注意したいのが、シャドーITです。シャドーITとは、企業が把握・許可していない個人の端末やクラウドサービスを、従業員が独断で業務利用する状態を指します。便利だからと私物のアプリで顧客に連絡するような行為は、情報漏洩の温床になります。

「すべてのアクセスを信頼せず都度検証する」というゼロトラストの考え方を取り入れ、利用範囲を明確に定めましょう。

2026年のクラウドPBXを取り巻く動向は？NTT値上げとメタル回線廃止

2026年は、クラウドPBXへの移行を後押しする転換点です。NTTの固定電話を取り巻く環境が大きく変わり、従来のメタル回線を維持するコストとリスクが高まっています。

2026年4月1日より、NTT東西の固定電話（メタル回線）の基本料金が値上げされます。値上げ幅は事務用で月330円、住宅用で月220円です。複数回線を抱える企業ほど、維持コストの増加が経営に響きます。

さらに、2024年1月にNTTの局内設備のIP網移行が完了し、2035年頃にはメタル回線が完全に廃止される予定です。つまり、従来の固定電話はいずれ使えなくなり、IP網ベースのサービスへの移行は避けられません。

こうした流れのなかで、固定電話番号をそのままスマートフォンで発着信できるクラウドPBXは、コスト削減とセキュリティ強化を同時に実現する有力な選択肢です。前章で見たとおり、IPA「情報セキュリティ10大脅威 2026」や東京商工リサーチの調査が示すようにサイバー攻撃は拡大を続けています。

回線の切り替えを迫られる今だからこそ、セキュリティ基準を満たしたクラウドPBXを選ぶことが、将来のリスク回避につながります。

▼関連記事

クラウドPBXのセキュリティに関するよくある質問（FAQ）

最後に、クラウドPBXのセキュリティについて、よく寄せられる質問に回答します。

インターネットを使うクラウドPBXは、アナログ電話より盗聴されやすいですか？

いいえ、むしろ盗聴されにくいといえます。クラウドPBXの通信はSRTPやTLSで暗号化されており、通信経路上で解読することは極めて困難です。物理的な回線に機器をつなげば傍受できてしまうアナログ電話のほうが、構造上の盗聴リスクは高くなります。

スマートフォンを紛失したら、顧客の電話帳データが漏洩しますか？

適切に対応すれば漏洩は防げます。電話帳データは端末ではなくクラウドサーバー上に保存されるため、紛失に気づいた時点で端末の遠隔ロックやアカウント停止を行えば、第三者によるデータ流出を防止できます。日頃から遠隔ロックの設定を有効にしておくことが重要です。

セキュリティ対策は、すべてクラウドPBXのベンダーがやってくれますか？

いいえ、すべてではありません。総務省「クラウドサービス提供における情報セキュリティ対策ガイドライン」で責任分界点が示されており、暗号化やサーバー監視はベンダーの責任ですが、パスワード管理や端末のマルウェア対策はユーザー側の責任です。両者の対策がそろって初めて安全が確保されます。

オンプレミス型（物理PBX）のほうが、外部とつながっていない分だけ安全ですか？

必ずしもそうとは限りません。オンプレミス型でも保守用ネットワークなどから侵入されるリスクがあり、監視や更新をすべて自社で担う必要があります。専門家が24時間監視するクラウドPBXのほうが、安全性が高いケースが多くあります。

カフェのフリーWi-FiでクラウドPBXを使っても大丈夫ですか？

そのまま使うのは推奨できません。暗号化されていないフリーWi-Fiは通信内容を傍受されるリスクがあります。外出先で利用する場合は、VPNで通信を暗号化するか、キャリアのモバイル通信を使用してください。

まとめ：クラウドPBXは「正しく選び・正しく使えば」安全

クラウドPBXのセキュリティは、インターネットを使うこと自体が問題なのではなく、暗号化・認証・監視体制と、ユーザー側の運用ルールによって決まります。TLS・SRTPによる暗号化、データセンターでの24時間監視、データセンター分散によるBCP対策が整ったサービスを選べば、オンプレミス型と同等かそれ以上の安全性を確保できます。

サービス選定では、総務省「クラウドサービス提供における情報セキュリティ対策ガイドライン」の責任分界点を判断軸に、多要素認証（MFA）やFISC・PCI DSS準拠の有無を確認しましょう。そのうえで、パスワード管理・フリーWi-Fi回避・端末の遠隔ロック・社内ルールの共有といったユーザー側の対策を徹底することが、情報漏洩を防ぐ鍵となります。

2026年4月のNTT値上げ、2035年のメタル回線廃止という大きな転換期を迎えた今こそ、セキュリティ基準を満たしたクラウドPBXへの移行を検討する好機です。本記事で紹介した判断軸と優良サービスを参考に、自社に最適な一社を見極めてください。