nternational Revenue Share Fraud (IRSF) ist ein Telekommunikationsbetrug, bei dem Betrüger internationale Premium-Rufnummern (IPRNs) erlangen und diese dann künstlich mit Datenverkehr über gehackte PBX-Anlagen, SIM-Boxen oder Wangiri-Rückrufe versorgen, sodass der Ursprungsbetreiber überhöhte Zusammenschaltungs- und Abrechnungsgebühren zahlt, während der Betrüger und ein mitschuldiger Nummernanbieter die Einnahmen aus der Premium-Terminierung unter sich aufteilen.
IRSF ist das sprachbezogene Pendant zu künstlich aufgeblähtem Datenverkehr. Wenn Sie unsere Analyse von SMS-Pumping und AIT-Betrug gelesen haben, wird Ihnen das wirtschaftliche Prinzip bekannt vorkommen: Automatisieren Sie ein abrechnungsfähiges Ereignis, beenden Sie es in einem Zeitraum, von dem Sie profitieren, und lassen Sie das Opfer die Rechnung bezahlen.
Was IRSF ist und warum es weiterhin existiert
Kernstück jedes IRSF-Betrugs ist eine internationale Premium-Rufnummer (IPRN). IPRNs sind legitim – sie sind das internationale Äquivalent einer nationalen Premium-Rufnummer und werden für kostenpflichtige Inhalte, Abstimmungen und technische Testnetze genutzt. Für sie fällt eine überdurchschnittliche Abschlussgebühr an, die mit dem Lizenznehmer geteilt wird. Genau dieser Mechanismus der Umsatzbeteiligung ist der Kern des Betrugs: Ein IPRN-Anbieter zahlt einem Partner einen Anteil der Gebühr für jede an die Rufnummer übermittelte Minute. Betrug entsteht, wenn der Datenverkehr künstlich erzeugt wird und der ursprüngliche Betreiber, nicht ein Anrufer, dafür bezahlt.
IRSF ist weiterhin verbreitet, da die Gebühren pro Minute berechnet werden, die Auszahlung automatisch erfolgt und der Verlust oft erst Wochen später mit der Rechnung des Großhändlers sichtbar wird. Anders als bei einem gestohlenen Mobiltelefon oder einer geklonten SIM-Karte gibt es kein einzelnes Opfer, das während des Angriffs Alarm schlägt – das Geld fließt unbemerkt durch die internationale Abrechnungskette, die die Interconnect-Partner von voice miteinander verbindet.
Die Umsatzbeteiligungskette: Wer erhält das Geld?
IRSF lässt sich am besten als Umsatzbeteiligungssystem verstehen, das als gewöhnlicher internationaler Reiseverkehr getarnt ist. Alle Beteiligten in dieser Kette haben ein klares Interesse, außer demjenigen, der zahlt. Die folgende Tabelle zeigt, wie das Geld vom geschädigten Verkehrsteilnehmer zum Betrüger fließt.
| Party | Rolle im Rahmen des Programms | Wie sie davon profitieren |
|---|---|---|
| Betrüger / Verkehrskiller | Generiert künstliche Anrufe oder Rückrufe an das Premium-Sortiment | Umsatzbeteiligung an der Prämienkündigungsgebühr |
| IPRN-Anbieter | Mietet die internationale Premium-Nummer und teilt deren Einnahmen. | Die Marge wurde jede Minute bis zum Ende des Bereichs angepasst. |
| Mitwirkender, abschaltender Betreiber | Bietet das Premium-Angebot an und berechnet die Gesprächsminuten. | Überhöhte internationale Terminierungsgebühren |
| Betroffener Betreiber oder Unternehmens-PBX | Verursacht den Datenverkehr, in der Regel unwissentlich | Nichts – bezahlt die überhöhten Verbindungs- und Abrechnungsgebühren. |
| Transit-Netzbetreiber | Die Anrufe werden in gutem Glauben entlang der Abwicklungskette weitergeleitet. | Übliche Beförderungsgebühren zuzüglich Streit- und Reputationsrisiko |
Die Struktur erklärt, warum die IRSF-Gebühr im Nachhinein so schwer rückgängig zu machen ist. Bis der terminierende Netzbetreiber dem Transit-Netzbetreiber und dieser wiederum dem Ursprungsnetzbetreiber in Rechnung gestellt hat, ist die Prämie bereits verteilt und anderweitig verwendet. Ihre Rückforderung erfordert einen Vergleichsstreit über mehrere Gerichtsbarkeiten hinweg. Genau deshalb erzielen Betreiber ihren Nutzen durch Prävention auf Absenderseite.
Wie Betrüger den Traffic auf Premium-Produktlinien lenken
Die IRSF benötigt eine Quelle für Datenverkehr, der auf die Reichweite des Betrügers gerichtet ist. Die folgenden Techniken sind gängige Methoden, um dies zu ermöglichen: Einige nutzen das Netzwerk eines anderen Teilnehmers, andere verleiten echte Teilnehmer zum Anruf, und mehrere werden kombiniert, um den Datenverkehr organisch erscheinen zu lassen.
- PBX-/Dial-Through-Betrug – Angreifer versuchen, Voicemail, SIP oder DISA einer schlecht gesicherten Unternehmens-PBX per Brute-Force zu knacken und wählen dann Premium-Ranges, typischerweise über Nacht oder am Wochenende, damit die Rechnung eintrifft, bevor es jemand merkt.
- SIM-Boxen und kompromittierte Geräte – SIM-Karten-Bänke oder mit Malware infizierte Mobiltelefone tätigen automatisierte Anrufe an die Rufnummernbereiche des Betrügers, wobei das Anrufvolumen auf viele Ursprünge verteilt wird, um einfache Schwellenwerte pro Leitung zu umgehen.
- Wangiri-Rückrufe – ein einziger verpasster Anruf mit einmaligem Klingeln verleitet den Abonnenten dazu, eine internationale Premium-Nummer zurückzurufen; die zurückgerufene Minute ist die Auszahlung. Wangiri ist ein klassischer IRSF-Feeder, das sprachliche Äquivalent der automatisierten Auslösung, die beim Messaging-Betrug vorkommt.
- Roaming-Missbrauch – ein Betrüger nutzt eine gestohlene oder betrügerisch erworbene SIM-Karte im Ausland, um Premium-Anrufe zu tätigen; der heimische Anbieter sieht die Kosten erst Wochen später durch den Roaming-Abrechnungsprozess, eine Abrechnungsverzögerung, die die GCC-Hub-Betreiber genau beobachten.
- Testnummern und nicht zugewiesene Nummernkreise – Betrügerbanden nutzen Nummernkreise aus, die für Testzwecke reserviert sind oder noch nicht im kommerziellen Betrieb sind, wo die Überwachungs- und Bereichsdatenbanken der Realität im Netzwerk hinterherhinken.
Durchwahlbetrug verdient besondere Aufmerksamkeit, da er am besten vermeidbar ist: Die überwiegende Mehrheit der gehackten Telefonanlagen wird durch ein Standardpasswort oder ein schwaches Passwort eines über das Internet erreichbaren Voicemail- oder SIP-Dienstes kompromittiert. Eine einzige falsch konfigurierte Nebenstellenanlage kann innerhalb eines Wochenendes fünfstellige Verluste verursachen. Daher ist die Absicherung von Telefonanlagen Bestandteil jedes ernstzunehmenden Sicherheitskonzepts.
Warum IRSF eine der größten Kategorien für Telekommunikationsbetrug ist
Branchenweite Betrugsumfragen stufen IRSF regelmäßig als eine der schädlichsten Betrugsarten ein, denen Telekommunikationsunternehmen ausgesetzt sind. Die Communications Fraud Control Association (CFCA), deren globale Umfrage zu Betrugsverlusten im Telekommunikationsbereich Betreiber weltweit befragt, hat IRSF wiederholt unter den häufigsten Betrugsmethoden platziert und schätzt die gesamten Betrugsverluste der Branche auf mehrere zehn Milliarden US-Dollar pro Jahr. Auch die GSMA behandelt IRSF in ihren Sicherheitsrichtlinien für Betreiber als zentrale Betrugskategorie.
Der Grund, warum IRSF weiterhin an der Spitze steht, ist strukturell bedingt und nicht zufällig. Die Gebühr wird pro Minute berechnet, der Nummernkreis kann an einem schwer zugänglichen Ort schneller eingerichtet werden, als eine Datenbank ihn erkennen kann, und das Opfer bemerkt den Verlust oft erst, wenn die Abrechnung eintrifft. Wird der Datenverkehr auf eine Route beschränkt, verlagert er sich einfach auf einen anderen Nummernkreis – deshalb muss die Erkennung das Verhalten überwachen und darf nicht nur eine statische Liste blockieren.
Wie Betreiber IRSF erkennen und sich dagegen verteidigen
IRSF lässt sich nicht durch eine einzelne Kontrollmaßnahme vollständig verhindern. Die Eindämmung erfolgt durch die Kombination von Echtzeit-Verhaltensüberwachung mit Bereichsinformationen, strikten kommerziellen Limits und Edge-Härtung – dasselbe mehrschichtige Sicherheitsmodell, das Betreiber auch gegen Signalisierungs- und Nachrichtenbetrug anwenden. Die folgende Vorgehensweise entspricht der Reihenfolge, in der die meisten Revenue-Assurance-Teams diese Maßnahmen implementieren.
- Führen Sie eine Echtzeit-Überwachung von Anrufmustern und Zielbereichsnummern durch – bewerten Sie jeden Anruf anhand von Referenzwerten für Ziel, Dauer, Gleichzeitigkeit und Tageszeit und geben Sie eine Warnung aus, wenn sich Anrufe plötzlich auf kostenintensive oder selten gewählte Nummernbereiche konzentrieren.
- Durch Abgleich mit IPRN- und Hochrisiko-Ranglisten – kommerziellen und branchenweit geteilten Listen bekannter Premium- und Umsatzbeteiligungs-Ranglisten ermöglichen Sie es Ihnen, den Datenverkehr zu Zielen zu blockieren oder zurückzuhalten, für die kein legitimer Abonnent einen Grund hat, sie anzurufen.
- Setzen Sie Kredit-, Geschwindigkeits- und Ausgabenlimits durch – begrenzen Sie gleichzeitige internationale Anrufe, die Ausgaben pro Teilnehmer und die Geschwindigkeit pro Zielort, damit eine gehackte PBX oder Roaming-SIM keine unbegrenzten Kosten verursachen kann, bevor die Warnung ausgelöst wird.
- Härten Sie die PBX- und SIP-Schnittstelle ab – deaktivieren Sie ungenutzte DISA- und Voicemail-Einwahlverbindungen, erzwingen Sie starke Anmeldeinformationen, beschränken Sie internationale Anrufe gemäß den Richtlinien und begrenzen Sie die Anzahl der Registrierungsversuche; die meisten Einwahlbetrugsfälle nutzen ein Standardpasswort aus.
- Analysieren Sie Abrechnungs- und Verbindungsanomalien – gleichen Sie den Datenverkehr mit den erwarteten Abrechnungsmustern ab, denn ein plötzlicher Anstieg der Minuten zu einem schwer erkennbaren Ziel in der Großhandelsrechnung ist oft der erste handfeste Beweis für einen IRSF-Run.
Der MENA- und GCC-Raum ist ein besonders relevantes Thema. Die Betreiber in der Golfregion liegen an einigen der weltweit am stärksten frequentierten internationalen Sprachkorridore mit hohem Roaming-Aufkommen und vielen Anrufen von Gastarbeitern. Dies bietet der IRSF sowohl die Möglichkeit, den Datenverkehr zu verschleiern, als auch die Komplexität der Abrechnung, die sie ausnutzen kann. Regionale Betrugsteams kombinieren zunehmend die Überwachung von Zielgebieten mit dem nahezu in Echtzeit erfolgenden Datenaustausch im Roaming-Bereich, sodass betrügerische Anrufe im Ausland innerhalb von Stunden und nicht erst bei der Monatsabrechnung erkannt werden. BroadNet ist seit 2003 in 200+ Ländern mit 1,000+ Betreiberverbindungen aktiv und verfügt daher über die notwendige Marktübersicht, um den tatsächlichen Datenverkehr zu jedem Zielort zu ermitteln.
IRSF, Wangiri und SMS-Pumping sind im Grunde dieselbe Art von Wirtschaftskriminalität, die über verschiedene Netzbetreiber abgewickelt wird – ein kostenpflichtiges Ereignis, das in einem Frequenzbereich abgewickelt wird, von dem der Betrüger profitiert. BroadNets Betrugserkennungssystem und Firewall auf Betreiberebene (Anti-Fraud-SMS) kontrollieren das grundlegende Verhalten beim Messaging und der Signalisierung, sodass anomaler Datenverkehr gestoppt wird, bevor er zu einer Abrechnungspflicht führt. Wenn Sie Interconnect nutzen, lässt sich BroadNet direkt mit Ihrer bestehenden Revenue-Assurance-Lösung integrieren.
Häufig gestellte Fragen
Was ist IRSF?
IRSF (International Revenue Share Fraud) ist ein Telekommunikationsbetrug, bei dem Kriminelle internationale Premium-Rufnummern erwerben, die einen Teil der Abschlussgebühr zahlen, und anschließend künstlich viel Datenverkehr auf diese Nummern lenken. Der ursprüngliche Netzbetreiber zahlt überhöhte Verbindungs- und Abrechnungsgebühren für Anrufe, die kein tatsächlicher Teilnehmer tätigen wollte, während sich Betrüger und Rufnummernanbieter die Premium-Einnahmen teilen.
Wie funktioniert internationaler Umsatzbeteiligungsbetrug?
Ein Betrüger kooperiert mit einem Anbieter internationaler Premium-Rufnummern, der seine Einnahmen pro Minute mit ihm teilt, und lenkt den Anrufverkehr in diese Rufnummernbereiche – beispielsweise durch das Hacken einer Telefonanlage, den Einsatz von SIM-Boxen oder mithilfe von Wangiri-Anrufbenachrichtigungen, um Anrufer zum Rückruf zu bewegen. Jede abgerechnete Minute löst die Premium-Gebühr aus, die über die Abrechnungskette zurückfließt und zwischen dem Betrüger und dem Rufnummernanbieter aufgeteilt wird.
Wie erkennen Betreiber IRSF?
Netzbetreiber erkennen IRSF mithilfe von Echtzeit-Anrufmuster- und Zielbereichsüberwachung. Dabei werden plötzliche Häufungen von Anrufen auf teure oder selten gewählte Nummern erkannt. Zusätzlich erfolgt ein Abgleich mit IPRN- und Hochrisiko-Datenbanken sowie Kredit- und Geschwindigkeitslimits, die das Risiko pro Teilnehmer und Zielort begrenzen. Eine Analyse von Abrechnungsanomalien deckt anschließend alle durchgerutschten Anrufe auf, wenn unerwartete Gesprächsminuten zu schwer erreichbaren Zielorten in der Großhandelsrechnung auftauchen.
In welchem Zusammenhang steht IRSF mit Wangiri und SMS-Pumping?
Alle drei Betrugsarten basieren auf Umsatzbeteiligungsbetrug mit unterschiedlichen Mobilfunkanbietern. Wangiri ist eine Vorwandstechnik für IRSF (Integrated Revenue Shared Fraud) – ein verpasster Anruf, der den Abonnenten dazu verleitet, eine kostenpflichtige Nummer zurückzurufen. SMS-Pumping (AIT) nutzt dieselbe Logik für Messaging-Dienste und automatisiert den Versand von Einmalpasswörtern (OTP) an Nummernkreise, von denen der Betrüger profitiert. Gemeinsames Merkmal ist ein abrechnungspflichtiges Ereignis, das beendet wird, wobei der Angreifer einen Teil seiner Einnahmen einstreicht.
Referenzen
- GSMA – Ressourcen zu Betrug und Sicherheit für Mobilfunkbetreiber: gsma.com
- Communications Fraud Control Association (CFCA) – Globale Umfrage zu Betrugsverlusten im Telekommunikationsbereich: cfca.org
- i3forum – Internationale Betrugsbekämpfung und bewährte Verfahren zur Zusammenschaltung von Telekommunikationsanbietern: i3forum.org
- BroadNet — Betreiberlösungen und Betrugsbekämpfung: operators, anti-fraud, voice.