Hola,
hay programas que escanean puertos abiertos del router. Cuando detectan un 5060 quiere decir que tienes VoIP. Luego lanzan un programa que automáticamente va haciendo combinaciones de Extension 100 Contraseña 100, cosas así, sencillas.
Los que no tienen buenas contraseñas son hackeados y hacen llamadas a números propios del tipo Premium en los que cobran por llamarse.
Con las contraseñas que trae 3CX, no hay problema y si vas bloqueando IP´s vas descartando que te repitan el ataque.
Saludos.