Firewall SMS e sicurezza dell'operatore

Un firewall SMS è un elemento di rete che ispeziona il traffico di messaggistica A2P e P2P in ingresso per proteggere i ricavi di un operatore mobile e i suoi abbonati. Si colloca nel percorso della messaggistica ed applica sia la politica di sicurezza sia la politica commerciale sui mittenti aziendali.

Il caso commerciale è diretto: la messaggistica A2P è un flusso di ricavi significativo per l'operatore, e l'elusione tramite rotte grigie lo erode. Il compito del firewall è rilevare tale elusione, bloccarla e forzare il traffico su canali ufficiali e fatturati.

Altrettanto importante è la protezione degli abbonati: filtrare spam, smishing e spoofing del sender ID preserva la fiducia nella rete dell'operatore. Le linee guida GSMA (la famiglia IR.70/IR.71 e la serie di sicurezza FS) delineano i controlli che un firewall deve implementare.

La rotta grigia / MT-bypass è tipicamente la perdita singola più consistente: traffico A2P consegnato come P2P, oppure iniettato a livello di segnalazione, per evitare le tariffe di terminazione. Rilevarla significa riconoscere traffico che si comporta come un mittente aziendale ma arriva attraverso un percorso da persona a persona.

Lo spoofing del sender ID e l'impersonificazione di brand consentono ai truffatori di inviare messaggi che sembrano provenire da una banca o da un servizio noto. Lo smishing — il phishing via SMS — sfrutta questo meccanismo, usando sender ID convincenti e URL malevoli per rubare credenziali.

L'abuso tramite SIM box e lo spam aggiungono minacce basate sul volume: fan-out elevato, contenuti ripetuti e picchi di velocità che un firewall deve distinguere dal legittimo traffico P2P ad alto volume. Le anomalie a livello di segnalazione — probing SRI-SM, indirizzi MSC contraffatti — vengono gestite facendo riferimento ai controlli di categoria GSMA FS.11.

La modalità inline (proxy MT dell'SMSC) colloca il firewall direttamente nel percorso del messaggio, così da poter bloccare in tempo reale. Offre l'applicazione più forte, ma si trova sul percorso critico, quindi alta disponibilità e bassa latenza sotto carico non sono negoziabili.

La modalità offline o passiva rispecchia il traffico per l'analisi senza bloccarlo. È utile per stabilire una base di riferimento e mettere a punto le regole di rilevamento prima dell'applicazione, e per produrre prove, ma non può fermare un messaggio da sola.

L'home-routing è la distribuzione che chiude il gap dell'elusione nel modo più decisivo, e merita una lezione a parte per come cambia il flusso di segnalazione.

Nella consegna classica su SS7, una rete mittente interroga prima la rete del destinatario con un SRI-SM (Send Routing Info for Short Message) per scoprire dove si trova l'abbonato, poi consegna il messaggio direttamente a quella posizione. Il bypass sfrutta questo meccanismo iniettando messaggi MT direttamente, aggirando la fatturazione e i controlli dell'operatore.

L'home-routing intercetta l'SRI-SM e restituisce l'indirizzo del firewall al posto della vera posizione dell'abbonato. Tutto il traffico terminante MT viene quindi forzato attraverso il firewall, che lo ispeziona, lo fattura e lo inoltra — chiudendo il percorso di iniezione diretta.

Ecco perché l'home-routing è centrale per la revenue assurance dell'A2P: rende il firewall un punto di controllo inevitabile per ogni messaggio terminante, anziché uno che un'elusione ben congegnata può aggirare.

Bloccare l'elusione è solo metà del valore; l'altra metà consiste nel convertire il traffico recuperato in ricavi. Una volta che il traffico su rotta grigia viene forzato su canali ufficiali, diventa A2P fatturabile — l'argomento commerciale principale per implementare un firewall.

I programmi solidi eseguono prima le nuove regole in modalità shadow / simulazione contro il traffico reale, così che un cambio di politica non causi falsi positivi che incidono sui ricavi al momento del go-live. Le modifiche alle regole dovrebbero essere versionate, verificabili e controllate tramite accesso basato su ruoli.

Le prove chiudono il cerchio: report esportabili, riconciliazione per rotta che quantifica la perdita recuperata, e tracce di segnalazione che supportano le controversie con i partner wholesale. I prodotti firewall lato operatore e SS7-firewall di BroadNet implementano questi controlli, supportati dalle certificazioni ISO 27001 e SOC 2 Type II.