Trong bối cảnh chuyển đổi số, hầu hết doanh nghiệp Việt Nam đã chuyển từ tổng đài analog sang tổng đài VoIP để tiết kiệm chi phí và linh hoạt hơn trong vận hành. Tuy nhiên, đi kèm với lợi ích đó là những rủi ro về bảo mật tổng đài VoIP mà không phải ai cũng lường trước.

Các cuộc tấn công SIP, khai thác lỗ hổng giao thức, đánh cắp tài khoản và toll fraud đang gia tăng, gây thiệt hại hàng trăm triệu đồng cho nhiều doanh nghiệp. Bài viết này tổng hợp các biện pháp bảo mật tổng đài VoIP thực tế, từ mã hóa cuộc gọi, chống tấn công toll fraud đến sao lưu và cập nhật hệ thống định kỳ.

Bảo mật tổng đài VoIP – Cẩm nang bảo vệ cho doanh nghiệp

Mã hóa cuộc gọi — bước đầu trong bảo mật tổng đài VoIP

Giao thức SIP và dữ liệu thoại mặc định truyền dạng văn bản thuần (plain text), nghĩa là bất kỳ ai có quyền truy cập vào đường truyền đều có thể nghe lén cuộc gọi hoặc giả mạo tín hiệu. Đây là lỗ hổng phổ biến nhất trong bảo mật tổng đài VoIP.

Giải pháp là kích hoạt TLS (Transport Layer Security) cho kênh báo hiệu SIP và SRTP (Secure Real-time Transport Protocol) cho dữ liệu thoại. TLS mã hóa toàn bộ gói tin SIP, ngăn chặn tấn công giả mạo (SIP spoofing) và đánh cắp thông tin đăng nhập. SRTP mã hóa luồng âm thanh, đảm bảo không ai có thể ghi âm hay nghe lén cuộc gọi ngay cả khi bắt được gói tin.

Hầu hết các dòng tổng đài IP của Yeastar, Grandstream, và các thiết bị SBC đều hỗ trợ TLS 1.2/1.3 và SRTP. Khi triển khai, cần cài đặt chứng chỉ SSL hợp lệ và cấu hình đồng bộ giữa tổng đài và các đầu cuối SIP trunk, điện thoại IP.

Xem thêm: Tính năng tổng đài IP đầy đủ cho doanh nghiệp — bài viết liệt kê chi tiết các khả năng bảo mật trên từng dòng thiết bị.

Ngăn chặn tấn công toll fraud

Toll fraud (gian lận cước) là hình thức tấn công nhắm vào tổng đài VoIP để thực hiện cuộc gọi đường dài quốc tế qua tài khoản của nạn nhân. Một số vụ việc ghi nhận thiệt hại lên tới 200–500 triệu đồng chỉ trong một đêm, khi kẻ tấn công chiếm quyền điều khiển tổng đài qua SIP trunk lộ mật khẩu hoặc qua cổng quản trị không được bảo vệ.

Biện pháp phòng chống toll fraud gồm:

• Giới hạn quốc gia gọi đến: chỉ cho phép đầu số nội địa nếu doanh nghiệp không có nhu cầu quốc tế.
• Đặt ngưỡng cước (call barring) và cảnh báo real-time: phát hiện lưu lượng bất thường ngay khi tổng đài có dấu hiệu bị chiếm quyền.
• Sử dụng mã PIN cho cuộc gọi đường dài và quốc tế.
• Kích hoạt tính năng Anti-Toll-Fraud trên tổng đài Yeastar, Grandstream UCM hoặc SBC đầu vào.

Bài viết Sự cố tổng đài VoIP thường gặp: Nguyên nhân và cách xử lý đi sâu vào tình huống toll fraud thực tế và quy trình xử lý khi phát hiện.

Tường lửa SIP và Session Border Controller (SBC)

Khác với tường lửa mạng thông thường, tường lửa SIP hiểu được giao thức SIP và có khả năng kiểm tra tầng ứng dụng (application-layer inspection). Nó phát hiện các gói tin SIP bất thường, ngăn chặn tấn công SIP flooding, register hijack và INVITE attack.

Session Border Controller (SBC) là thiết bị chuyên dụng đặt giữa tổng đài VoIP và nhà cung cấp SIP trunk. SBC thực hiện nhiều lớp bảo vệ: che IP nội bộ (topology hiding), kiểm soát băng thông, chống tấn công DoS và chuẩn hóa tín hiệu SIP. Đây là thiết bị gần như bắt buộc nếu doanh nghiệp có từ 20 nhân viên trở lên hoặc kết nối nhiều SIP trunk.

Sao lưu cấu hình tổng đài định kỳ

Khi tổng đài bị tấn công hoặc cấu hình sai sau cập nhật, bản sao lưu là phao cứu sinh. Mỗi tổng đài Yeastar, Grandstream và các dòng IP PBX khác đều có chức năng xuất file cấu hình (backup config). Doanh nghiệp nên:

• Sao lưu hàng tuần hoặc ngay sau mỗi thay đổi lớn (thêm extension, cấu hình trunk mới).
• Lưu file backup ở ít nhất hai nơi: một trên máy chủ nội bộ và một trên cloud.
• Mã hóa file backup bằng mật khẩu mạnh.
• Kiểm tra khả năng khôi phục (restore) ít nhất mỗi quý một lần.

Dịch vụ bảo trì tổng đài của Wise Tech đưa sao lưu cấu hình vào quy trình kiểm tra hàng tháng, đảm bảo doanh nghiệp luôn có bản khôi phục khi xảy ra sự cố.

Cập nhật firmware và quản lý bản vá bảo mật

Nhà sản xuất Yeastar, Grandstream, Cisco thường xuyên phát hành bản vá lỗi bảo mật cho tổng đài VoIP. Nhiều doanh nghiệp Việt Nam bỏ qua bước này vì sợ downtime hoặc không có nhân sự vận hành. Đây là con đường ngắn nhất để hacker xâm nhập qua các CVE đã công bố công khai.

Lộ trình cập nhật an toàn:

1. Kiểm tra phiên bản firmware hiện tại và ghi nhận changelog của bản mới.
2. Cập nhật firmware trên thiết bị thử nghiệm hoặc ngoài giờ làm việc.
3. Kiểm tra tính tương thích với SIP trunk và thiết bị đầu cuối.
4. Triển khai đại trà nếu không phát hiện lỗi.

Theo khuyến nghị của NIST SP 800-58 — Security Considerations for Voice Over IP Systems, việc duy trì firmware và bản vá là biện pháp cơ bản nhất để giảm thiểu rủi ro bảo mật trên hệ thống VoIP.

Quản lý mật khẩu và phân quyền người dùng

Đa phần các vụ hack tổng đài VoIP bắt đầu từ mật khẩu yếu hoặc tài khoản mặc định không đổi. Quy tắc tối thiểu:

• Đổi ngay mật khẩu admin mặc định khi bàn giao thiết bị.
• Dùng mật khẩu dài tối thiểu 12 ký tự, hỗn hợp chữ hoa/thường/số/ký tự đặc biệt.
• Không dùng chung mật khẩu quản trị cho nhiều thiết bị.
• Phân quyền: kỹ thuật viên chỉ được quyền quản lý extension, không có quyền thay đổi trunk hay bảo mật.
• Tắt các tài khoản không dùng đến, kích hoạt log truy cập.

Xem thêm hướng dẫn chọn thiết bị phù hợp: Báo giá tổng đài IP: chi phí và bảng giá chi tiết.

Câu hỏi thường gặp

Toll fraud là gì? Làm sao phát hiện sớm?

Toll fraud là hành vi kẻ tấn công chiếm quyền tổng đài VoIP để thực hiện cuộc gọi quốc tế với cước phí cao. Dấu hiệu phát hiện sớm gồm: lưu lượng gọi quốc tế bất thường ngoài giờ, nhiều cuộc gọi ngắn liên tiếp, hoặc tài khoản SIP đăng nhập từ IP lạ. Doanh nghiệp nên cấu hình cảnh báo real-time và kiểm tra log SIP hàng ngày.

Mã hóa SRTP có làm chậm chất lượng cuộc gọi không?

SRTP thêm một lớp xử lý mã hóa nhưng tác động đến độ trễ (latency) không đáng kể — thường dưới 5 ms trên tổng đài Yeastar hoặc Grandstream UCM hiện tại. Với băng thông nội bộ từ 100 Mbps trở lên, chất lượng thoại (MOS) hầu như không thay đổi. Lợi ích bảo mật vượt xa chi phí hiệu năng.

Tường lửa SIP khác gì tường lửa mạng thông thường?

Tường lửa mạng (network firewall) chỉ lọc theo IP/port, trong khi tường lửa SIP phân tích sâu nội dung gói tin SIP, phát hiện các cuộc tấn công như SIP INVITE flood, register hijack và malformed packet. Một số SBC như Yeastar SBC và Grandstream SBC tích hợp cả firewall SIP, IDS và giới hạn tốc độ cuộc gọi trong một thiết bị.

Có nên dùng tổng đài đám mây thay vì tổng đài vật lý để an toàn hơn?

Tổng đài đám mây (cloud PBX) giảm một phần trách nhiệm bảo mật về phía nhà cung cấp, nhưng không loại bỏ hoàn toàn rủi ro. Doanh nghiệp vẫn cần quản lý mật khẩu tài khoản, cấu hình SIP trunk an toàn và giám sát lưu lượng. Lựa chọn giữa cloud và on-premise nên dựa trên ngân sách, năng lực vận hành và yêu cầu kiểm soát dữ liệu.

Cập nhật lần cuối: 12/10/2026 · Biên soạn: Đội ngũ kỹ thuật Wise Tech