Есть всегда вероятность человеческого backdoor через инсайдера внутри компании или через настройщика роялей.

svoy, хорошо, а если смотреть несколько иначе...
В логах есть наши звонки, то есть месяц мы сами замечательно звонили. Судя по детализации провайдера (через которого мы НЕ звонили) - звонки от нас наблюдались в течение всего месяца. То есть скрипт то умным оказался - он чистил одни звонки и оставлял другие.
Какие контексты нужно добавлять (если речь идет о конфигах)? Звонки (наши и чужие) шли с одного нашего номера, исходящие номера (наши и чужие) совершенно разные российские. Вы же не считаете, что был создан конфиг с 10 000 телефонами, на которые нужно позвонить и удалить следы в cdr?

ded, не исключаю такую возможность конечно же. Но пока от нее абстрагируюсь. Ищу другие варианты

А Вы не считаете, что конфиг этот состоит всего из двух строчек, отрабатываемых и маршрутизированых не по destination, а по source?
Если их расположить в куче стандартных макросов freePBX ручаюсь - не скоро найдёте.

а разве source в моем случае не один? Один и для злоумышленника (если он есть) и для меня

правильно, с вашего городского номера. Провайдеру ведь все равно сколько у вас внутренних номеров..
чтобы смотреть, кто из внутренних номеров назвонил лишнего, нужна ваша внутренняя система учета. У астериска это cdr. В которую по умолчанию пишутся почти все звонки.
Если записи нет, значит ее затерли. А для этого нужен доступ к серваку, либо чтобы изменить диалплан либо подчистить за собой. Ограничте доступ, поменяйте пароли на все экстеншены (рекомендуется не меньше 10 символов) и будьте осторожны в будущем.

Проблема себя исчерпала. Все оказалось проще, на уровне наших внутренних процессов.
Благодарю всех за содействие, извлек несколько полезных уроков.

поделились бы уроком..

В плане уроков я подразумевал советы, которые тут дали, для защиты * извне. Правда, сейчас мы его посадили за Керио с жесткой маршрутизацией на ip провайдера, запрещая другие соединения. Но пароли, тем не менее, сменили