Sécuriser un standard 3CX : fraude, accès, mises à jour

La réponse courte : un standard 3CX bien configuré est difficile à pirater, mais un standard mal configuré coûte cher, très vite. Le risque principal n’est pas l’écoute des appels : c’est la fraude téléphonique, des appels passés en masse par votre standard vers des numéros surtaxés à l’étranger, la nuit ou le week-end, à vos frais. 3CX intègre les protections nécessaires et les active par défaut pour la plupart ; les incidents viennent presque toujours de réglages assouplis « pour aller plus vite ». Ce guide reprend les recommandations officielles de 3CX pour la version 20 et la façon dont nous les appliquons.

Chez ALLSAFE SOLUTIONS, partenaire 3CX au Maroc, Bronze certifié Advanced, la sécurité fait partie de chaque installation, au même titre que la cybersécurité au Maroc de vos autres systèmes. Les fonctions citées ici sont décrites dans la documentation et sur le blog officiels de 3CX.

Comment se produit une fraude sur un standard IP

3CX décrit le scénario type dans un article consacré à la fraude : un tiers obtient un moyen de passer des appels par votre standard, souvent un identifiant faible ou un accès laissé ouvert, puis lance des milliers d’appels automatisés vers des numéros internationaux surtaxés qu’il contrôle. Il est rémunéré sur ces appels ; vous recevez la facture. Une autre forme consiste à revendre les identifiants volés.

3CX insiste sur un point : dans la plupart des cas observés, la fraude résulte d’un cumul de cinq erreurs, rarement d’une seule. C’est une bonne nouvelle, car chaque réglage ci-dessous ferme une porte.

Les cinq erreurs qui mènent à la fraude, selon 3CX

Erreur	Conséquence	Bon réglage
Identifiants faibles	Mots de passe devinés par essais successifs	Garder les identifiants aléatoires générés par 3CX
Enregistrements SIP distants autorisés	Un poste piratable depuis n’importe où	Laisser cochée l’option qui bloque les connexions distantes hors tunnel
Trop de pays autorisés	Appels possibles vers des destinations à risque	Limiter les codes pays à ceux réellement appelés
Règles sortantes « paresseuses »	N’importe quel poste appelle n’importe quel numéro	Règles strictes par préfixe, longueur et groupe de postes
Paramétrage E164 erroné	Le filtre par pays devient inopérant	Vérifier le code d’appel international (00 au Maroc)

Limiter les appels sortants : pays, règles, opérateur

Les pays autorisés. À l’installation, 3CX n’autorise que le pays choisi. La liste se trouve dans Avancé, Allowed Country Codes. Elle doit être limitée aux pays que vos équipes appellent vraiment ; tout autoriser est, selon 3CX, une mauvaise pratique qu’on ne corrige jamais ensuite.

Ses limites. Ce filtre ne contrôle que les numéros composés au format international, avec « + » ou « 00 ». Tout le reste est traité comme un numéro local et passe aux règles sortantes sans vérification de pays. D’où l’importance du paramétrage E164 et de règles sortantes précises.

Les règles sortantes. 3CX recommande de les écrire comme des règles de pare-feu : préfixes et longueurs de numéros précis, et groupes de postes autorisés. Un accueil n’a pas besoin d’appeler l’international ; un service export, oui, vers certains pays.

L’opérateur. 3CX le rappelle : le filtre par pays est une protection de base, qui doit être doublée au niveau de l’opérateur. Demandez à votre fournisseur de trunk SIP de restreindre l’international et, s’il le propose, de plafonner les dépenses. Nous l’abordons dans trunk SIP : conserver vos numéros.

Identifiants, double authentification et accès à la console

• Les identifiants des postes : à la création d’un poste, 3CX génère des valeurs aléatoires robustes pour l’authentification SIP, l’interface web du téléphone et le code de messagerie vocale. Gardez-les. 3CX signale par un avertissement les postes aux identifiants trop faibles hérités d’anciennes versions.
• La double authentification (2FA) : l’administrateur l’active pour chaque utilisateur depuis Admin, Utilisateurs, onglet Général ; l’utilisateur enregistre son application d’authentification à la première connexion. Activez-la en priorité pour tous les comptes qui ont des droits d’administration.
• La connexion unique (SSO) : si votre entreprise utilise déjà Microsoft 365 ou Google avec MFA, 3CX recommande le SSO pour appliquer les mêmes contrôles d’identité au standard. Les rôles 3CX continuent de définir ce que chacun peut faire. Voir notre guide déployer la MFA en entreprise.
• Les rôles : 3CX conseille de séparer les comptes d’administration des comptes utilisés pour téléphoner, de désactiver les comptes inactifs et de revoir régulièrement qui peut administrer.
• Les restrictions de console : dans Avancé, Console Restrictions, on limite l’accès à la console d’administration à des IP publiques connues et au réseau local. Vérifiez que votre propre adresse est autorisée avant d’appliquer la règle, pour ne pas vous bloquer. Cette restriction n’affecte pas le client web ni le provisionnement des postes.
• Les données sensibles : fichiers de provisionnement, QR codes de configuration, identifiants SIP et codes de messagerie se traitent comme des mots de passe.

Anti-intrusion, liste noire et pare-feu

3CX bloque automatiquement une adresse IP après plus de 10 mots de passe erronés ou plus de 5 enregistrements incorrects d’un téléphone, et l’inscrit dans la liste noire (Avancé, IP Blacklist). On peut y ajouter manuellement une adresse ou une plage à bloquer, ou au contraire une adresse de confiance. Prudence avec ces exceptions : une adresse en liste blanche échappe à tous les contrôles anti-intrusion.

La liste noire mondiale (Automatic Global IP Blacklist), dans la section Anti-Hacking, partage les adresses d’attaquants connues entre tous les systèmes 3CX participants. 3CX encourage à la laisser active.

Mais 3CX est explicite : ce mécanisme ne remplace pas un pare-feu. Le filtrage par pays d’origine des connexions, la limitation du port SIP aux adresses de votre opérateur ou la segmentation entre le standard et vos autres réseaux se font sur le pare-feu. Pour les installations sur site ou auto-hébergées, 3CX recommande aussi de désactiver le SIP ALG, de n’ouvrir que les ports nécessaires et de lancer son outil Firewall Checker après chaque changement réseau. Nous appliquons ces principes comme décrit dans les 10 réglages FortiGate à l’installation.

Hébergé par 3CX ou auto-hébergé : qui protège quoi

La répartition des responsabilités dépend du mode d’hébergement, et 3CX la précise dans sa liste de durcissement de la version 20 :

Domaine	Hébergé par 3CX	Auto-hébergé ou sur site
Système d’exploitation et mises à jour du serveur	Pris en charge par 3CX	Votre responsabilité (ou celle de votre infogérant)
Pare-feu, DNS, segmentation, exposition sur internet	Infrastructure gérée par 3CX	Votre responsabilité
Comptes, rôles, 2FA, restrictions de console	Votre responsabilité	Votre responsabilité
Règles sortantes et pays autorisés	Votre responsabilité	Votre responsabilité
Postes, applications, intégrations	Votre responsabilité	Votre responsabilité

Autrement dit, l’hébergement par 3CX réduit la surface à gérer, mais ne dispense pas des réglages les plus liés à la fraude : identités, rôles et règles d’appel.

Chiffrement des appels et sécurité des postes

3CX recommande le SIP sécurisé (TLS) pour la signalisation et le SRTP pour la voix, partout où toute la chaîne d’appel le permet. Au niveau du poste, le SRTP peut être « activé » pendant une période de transition, puis « imposé » une fois tous les équipements testés. Pour les téléphones, 3CX conseille de garder un firmware à jour, de protéger leur interface web et de ne jamais exposer d’interface d’administration sur internet. Les applications 3CX, elles, passent par un tunnel chiffré, ce qui permet de laisser bloqués les enregistrements SIP distants, voir l’application 3CX sur mobile, web et Windows.

Mises à jour, sauvegardes et alertes

• Mises à jour : 3CX recommande d’activer les mises à jour automatiques (Admin, Système, Mises à jour), avec la plage horaire de votre choix ; les mises à jour de sécurité de Debian sont alors appliquées aussi. Le retour à une version précédente n’est pas possible. En juin 2026, 3CX a publié un correctif de sécurité urgent pour les systèmes auto-hébergés ou sur site accessibles depuis internet ; les instances hébergées par 3CX avaient déjà été mises à jour.
• Sauvegardes : 3CX demande une destination de sauvegarde protégée, un responsable de la restauration et des tests réguliers. Voir la sauvegarde 3-2-1 immuable.
• Alertes : les alertes système (blocages anti-intrusion, panne de trunk, mises à jour disponibles, état des sauvegardes, espace disque) doivent arriver dans une boîte surveillée, avec un responsable désigné. 3CX peut aussi transmettre ses journaux de sécurité à un collecteur Syslog.

L’incident de mars 2023, ce qu’il faut en retenir

Fin mars 2023, 3CX a annoncé que certaines versions de son application de bureau Electron pour Windows et Mac contenaient un code malveillant, signalé par les antivirus. L’éditeur l’a qualifié d’attaque sur son produit et sur la chaîne d’approvisionnement, a mandaté Mandiant pour l’enquête, et a recommandé de désinstaller cette application et d’utiliser le client web installé comme application (PWA). 3CX indique aujourd’hui faire vérifier chaque version par ReversingLabs au niveau binaire, analyser son code source avec Coverity, faire tester ses évolutions majeures par Mandiant et mener un programme de prime aux failles avec HackerOne. La leçon pour une PME : installer les applications uniquement depuis les sources officielles et garder une capacité de réaction rapide quand l’éditeur publie une alerte.

En cas de doute sur un incident

Le conseil de 3CX : ne pas paniquer et, surtout, préserver les traces avant de modifier quoi que ce soit, en générant depuis le tableau de bord les informations de support, qui produisent une archive des journaux. Ensuite, couper la source des appels (identifiants, règles sortantes, international chez l’opérateur), réinitialiser les identifiants exposés et planifier le reprovisionnement des postes et applications concernés. Si votre antivirus ou votre EDR signale un composant 3CX, 3CX demande de le remonter à l’éditeur de l’antivirus et à votre partenaire 3CX sans attendre.

Checklist de sécurité 3CX

• Pays autorisés limités, règles sortantes par groupe de postes, E164 vérifié.
• Restriction de l’international et plafond de dépenses chez l’opérateur.
• Identifiants aléatoires conservés, aucun identifiant de test en production.
• 2FA ou SSO avec MFA, en priorité pour les administrateurs.
• Console d’administration limitée à des IP connues.
• Anti-intrusion et liste noire mondiale actifs, liste blanche minimale.
• Pare-feu configuré, SIP ALG désactivé, ports limités.
• TLS et SRTP là où la chaîne le permet.
• Mises à jour automatiques, sauvegardes testées, alertes surveillées.

Comment nous procédons

Nous commençons par un audit offert de votre standard : version, règles sortantes, pays autorisés, comptes, accès à la console, pare-feu et sauvegardes. Nous corrigeons les écarts, durcissons la configuration selon la liste officielle de 3CX, puis plaçons le standard sous supervision 24/7 : une alerte anti-intrusion ou une rafale d’appels internationaux est traitée comme un incident critique, pris en charge en moins de 15 minutes. Les causes de mauvaise qualité d’appel sont un autre sujet, traité dans les 10 erreurs qui dégradent la qualité des appels.

Découvrez notre offre de téléphonie IP au Maroc, puis demandez l’audit de votre téléphonie offert : nous vous répondons sous 24 h ouvrées.