# Cortafuegos SMS y fraude SS7: contra qué se defienden realmente los operadores > La terminación de la SIM-box, la suplantación de identidad del remitente de SMS y los ataques a la capa SS7 provocan fugas de ingresos A2P y ponen en peligro a los suscriptores. Un análisis exhaustivo del modelo de amenazas y las medidas de control. - URL canónica: https://www.broadnet.me/es/blog/sms-firewall-ss7-fraud-protection-operators - Idioma: es - Última actualización: 2026-10-01 - Editor: BroadNet (https://www.broadnet.me) - Publicado: 2026-04-15 - Autor: BroadNet Operator Solutions Cuando los operadores nos piden que diseñemos un firewall de SMS, la conversación suele comenzar con los ingresos y terminar con la seguridad, ya que ambos aspectos son inseparables. Las mismas rutas grises que generan fugas de ingresos A2P son las que se utilizan para el smishing, los señuelos de interceptación de OTP y el fraude con remitentes falsificados. Un firewall es, al mismo tiempo, un producto que garantiza los ingresos y protege a los suscriptores. Este es el modelo de amenazas que debe cubrir. ## Amenaza 1: Terminación A2P del SIM box Un agregador compra tarjetas SIM de consumidores, las instala en una pasarela GSM y gestiona el tráfico A2P como si se tratara de SMS ordinarios entre personas. El operador detecta el tráfico P2P, factura según las tarifas P2P (a menudo casi nulas) y el agregador se embolsa el margen A2P. La detección se basa en la comparación de comportamientos: los suscriptores reales no envían miles de mensajes casi idénticos por hora desde un único MSISDN, no envían solo mensajes salientes sin recibir ninguno entrante y no presentan una sincronización entre mensajes predecible. ## Amenaza 2: Suplantación de identidad del remitente de SMS En la capa SS7 MAP, la dirección de origen de un SMS puede configurarse con una cadena arbitraria. Este es el mecanismo que permite el envío masivo de mensajes fraudulentos (smishing) de suplantaciones de identidad bancarias, que aparecen en el mismo hilo que los mensajes bancarios legítimos. La medida de seguridad consiste en la aplicación del identificador del remitente: un registro que indica qué identificadores de remitente están autorizados en qué rutas, bloqueando o poniendo en cuarentena cualquier mensaje no registrado o que llegue por una ruta incorrecta. ## Amenaza 3: Abuso de la interconexión SS7 - Las solicitudes no autorizadas de SendRoutingInfoForSM (SRI-SM) recopilan datos IMSI del suscriptor y datos del servidor MSC, lo que constituye un reconocimiento para ataques dirigidos. - Inyección MT-ForwardSM desde socios de interconexión que omite por completo el SMSC de origen y cualquier acuerdo A2P. - Consultas de seguimiento de ubicación (anyTimeInterrogation, ProvideSubscriberInfo) que no tienen un propósito legítimo de roaming desde la red solicitante. Estos problemas se abordan en la capa de señalización con un cortafuegos SS7: filtrado de mensajes MAP basado en categorías, límites de velocidad por interconexión y comprobaciones cruzadas (por ejemplo, rechazar un MT-ForwardSM para un abonado que la red sabe que no está en itinerancia en la red visitada declarada). Las normas GSMA FS.11 y FS.19 codifican las categorías recomendadas; un cortafuegos SS7 competente las implementa en lugar de reinventarlas. ## Por qué las reglas por sí solas ya no son suficientes Los motores de reglas puros fallan frente a adversarios que se adaptan: cambian los identificadores de remitente, modifican el contenido de los mensajes y modifican los socios de interconexión cada hora. Los firewalls modernos combinan reglas deterministas (registro, categoría, reputación de ruta) con aprendizaje automático conductual que correlaciona patrones de rendimiento, similitud de contenido y señales de superposición de destinatarios en diferentes identificadores de remitente y rutas. Las reglas detectan lo conocido; el aprendizaje automático detecta lo adaptativo. Se necesitan ambas capas. > El cortafuegos de BroadNet se ha entrenado con el tráfico de operadores de la región MENA desde 2003. Los datos de entrenamiento específicos de la región son importantes: los patrones de fraude, las convenciones de identificación del remitente y las topologías de roaming en el Golfo difieren lo suficiente de los promedios mundiales como para que un modelo genérico tenga un rendimiento inferior. ## Cómo se ve un despliegue Un programa típico se ejecuta en modo de solo monitoreo durante dos a cuatro semanas para establecer una línea base del tráfico y ajustar los umbrales sin bloquear nada, y luego pasa a la aplicación activa de las políticas. Los resultados del primer año siguen un patrón constante: tráfico A2P de rutas grises devuelto a rutas facturadas, una fuerte caída en el smishing reportado por los suscriptores y, lo que los operadores no siempre anticipan, una imagen de datos mucho más clara sobre quién envía qué a través de la red.