a frode sulla condivisione internazionale dei ricavi (International Revenue Share Fraud, IRSF) è una truffa nel settore delle telecomunicazioni in cui i truffatori ottengono numeri a tariffa premium internazionale (International Premium Rate Numbers, IPRN) e poi inviano traffico artificiale verso di essi, tramite centralini PBX hackerati, SIM box o callback Wangiri, in modo che l'operatore di origine paghi tariffe di interconnessione e regolamento gonfiate, mentre il truffatore e un fornitore di numeri complice si spartiscono i ricavi derivanti dalla terminazione delle chiamate a tariffa premium.
IRSF è la controparte vocale del traffico gonfiato artificialmente. Se avete letto la nostra analisi di SMS pumping e frode AIT, il meccanismo economico vi sembrerà familiare: automatizzare un evento a pagamento, interromperlo al raggiungimento di un intervallo di prezzo da cui si ricava un profitto e lasciare che la vittima paghi il conto.
Cos'è l'IRSF e perché persiste
Al centro di ogni schema IRSF c'è un numero a tariffa premium internazionale (IPRN). Gli IPRN sono legittimi nella loro origine: sono l'equivalente internazionale di una linea premium nazionale, utilizzata per contenuti a pagamento, votazioni e poligoni di tiro per test tecnici, e prevedono una tariffa di terminazione superiore alla norma, che viene ripartita con chi noleggia il numero. Questo meccanismo di condivisione dei ricavi è il punto cruciale: un fornitore di IPRN paga a un partner una percentuale della tariffa per ogni minuto terminato verso il poligono. La frode inizia quando il traffico viene generato artificialmente e a pagarne il costo è l'operatore di origine, non un chiamante volontario.
Il fenomeno IRSF persiste perché il pagamento avviene al minuto, il pagamento è automatico e la perdita è spesso invisibile fino all'arrivo della fattura all'ingrosso settimane dopo. A differenza di un telefono rubato o di una SIM clonata, non c'è una singola vittima evidente che lancia l'allarme durante l'attacco: il denaro si diffonde silenziosamente attraverso la catena di regolamento internazionale che collega i partner di interconnessione voice.
La catena di ripartizione dei ricavi: chi viene pagato
L'IRSF è da intendersi come uno schema di condivisione dei ricavi mascherato da normale traffico internazionale. Ogni parte della catena ha un chiaro incentivo, ad eccezione di quella che effettua il pagamento. La tabella seguente mostra come il denaro si sposta dall'operatore vittima al truffatore.
| Festa | Ruolo nel programma | Come ne traggono profitto |
|---|---|---|
| Truffatore / promotore di traffico | Genera chiamate o richiamate artificiali verso la gamma premium | Quota di ricavo della penale per la rescissione del premio |
| Fornitore IPRN | Affitta il numero internazionale a tariffa premium e ne condivide i ricavi. | Margine su ogni minuto terminato all'intervallo |
| Operatore di terminazione complice | Ospita la gamma premium e fattura i minuti terminati | Ricavi gonfiati derivanti dalla terminazione internazionale |
| Operatore della vittima o centralino aziendale | Genera il traffico, di solito inconsapevolmente | Niente: paga la fattura gonfiata per l'interconnessione e la liquidazione. |
| Operatori di transito | Trasmettere le chiamate in buona fede lungo la catena di regolamento | Spese di trasporto ordinarie, più rischio di controversia e di reputazione. |
La struttura spiega perché sia così difficile annullare l'IRSF a posteriori. Quando l'operatore di destinazione ha fatturato all'operatore di transito e quest'ultimo ha fatturato all'operatore di origine, il premio è già stato ripartito e trasferito. Recuperarlo significa avviare una controversia transattiva in diverse giurisdizioni, ed è proprio per questo che la prevenzione sul lato di origine è ciò che permette agli operatori di ottenere il loro ritorno.
Come i truffatori aumentano il traffico verso le fasce di prezzo più elevate
L'IRSF necessita di una fonte di traffico indirizzata verso la rete del truffatore. Le tecniche descritte di seguito sono le più comuni: alcune sfruttano la rete di terzi, altre inducono un abbonato reale a effettuare la chiamata, e diverse vengono utilizzate in combinazione per far apparire il traffico come autentico.
- Frode PBX/dial-through: gli aggressori forzano l'accesso alla segreteria telefonica, al protocollo SIP o DISA di un PBX aziendale scarsamente protetto e chiamano numeri a tariffa maggiorata, in genere durante la notte o nel fine settimana, in modo che la fattura arrivi prima che qualcuno se ne accorga.
- I dispositivi SIM box e i dispositivi compromessi – gruppi di SIM o telefoni cellulari infetti da malware – effettuano chiamate automatiche verso gli intervalli di numeri del truffatore, distribuendo il volume su molte origini in modo da eludere le semplici soglie di controllo per singola linea.
- Wangiri: una singola chiamata persa a squillo singolo induce l'abbonato a richiamare un numero internazionale a pagamento; il minuto di conversazione ricevuto rappresenta il compenso. Wangiri è un classico esempio di truffa IRSF, l'equivalente vocale dell'attivazione automatica utilizzata nelle frodi tramite messaggi.
- Abuso di roaming: un truffatore utilizza una SIM rubata o acquisita fraudolentemente all'estero per effettuare chiamate a pagamento; l'operatore del paese di origine si accorge del costo solo settimane dopo, attraverso la procedura di compensazione del roaming, un ritardo nella liquidazione che gli operatori dei centri di servizi di pagamento del GCC monitorano attentamente.
- Numeri di prova e intervalli non assegnati: le bande criminali sfruttano gli intervalli di numeri riservati ai test o non ancora in servizio commerciale, dove i sistemi di monitoraggio e i database degli intervalli non sono aggiornati rispetto alla realtà della rete.
Le frodi telefoniche tramite dial-through meritano un'attenzione particolare perché sono le più prevenibili: la stragrande maggioranza dei centralini PBX compromessi viene violata tramite una password predefinita o debole su un servizio di segreteria telefonica o SIP esposto a Internet. Un singolo centralino di filiale configurato in modo errato può generare perdite a cinque cifre in un solo fine settimana, motivo per cui la protezione dei PBX è un elemento imprescindibile di ogni serio piano di difesa.
Perché l'IRSF è una delle più grandi categorie di frode nelle telecomunicazioni
Le indagini sulle frodi nel settore classificano costantemente l'IRSF tra le tipologie di frode più dannose per gli operatori. La Communications Fraud Control Association (CFCA), la cui Global Telecom Fraud Loss Survey coinvolge operatori di tutto il mondo, ha ripetutamente posizionato l'IRSF ai primi posti tra i metodi di frode segnalati, stimando perdite totali per il settore nell'ordine di decine di miliardi di dollari all'anno. Anche la GSMA considera l'IRSF una categoria di frode fondamentale nelle sue linee guida sulla sicurezza per gli operatori.
Il motivo per cui IRSF rimane al vertice è di natura strutturale, non casuale. La tariffa viene addebitata al minuto, l'intervallo di numeri può essere generato verso una destinazione sconosciuta più velocemente di quanto un database possa segnalarlo, e la vittima spesso scopre la perdita solo quando riceve l'estratto conto. Contenerlo su un percorso significa che il traffico si sposta semplicemente su un altro intervallo di numeri: ecco perché il rilevamento deve monitorare il comportamento, non limitarsi a bloccare un elenco statico.
Come gli operatori individuano e si difendono dalle IRSF
Nessun singolo controllo è in grado di fermare l'IRSF. Il suo contenimento si basa sulla sovrapposizione di monitoraggio comportamentale in tempo reale, intelligence di prossimità, rigidi limiti commerciali e rafforzamento della sicurezza perimetrale: lo stesso modello di difesa multilivello che gli operatori applicano alle frodi di segnalazione e messaggistica. Il playbook seguente descrive l'ordine in cui la maggior parte dei team di revenue assurance lo implementa.
- Monitora in tempo reale i modelli di chiamata e gli intervalli di destinazione: valuta ogni chiamata rispetto a parametri di riferimento per destinazione, durata, simultaneità e ora del giorno, e ricevi avvisi in caso di improvvisa concentrazione verso intervalli di chiamate costosi o raramente utilizzati.
- Effettua una verifica incrociata con i database IPRN e con quelli ad alto rischio: gli elenchi commerciali e di settore relativi alle fasce di prezzo e di condivisione dei ricavi note ti consentono di bloccare o sospendere il traffico verso destinazioni che nessun abbonato legittimo ha motivo di chiamare.
- Applicare limiti di credito, velocità e spesa: limitare le chiamate internazionali simultanee, la spesa per abbonato e la velocità per destinazione, in modo che un centralino PBX compromesso o una SIM in roaming non possano accumulare una bolletta illimitata prima che scatti l'allarme.
- Rafforzate la sicurezza dei sistemi PBX e SIP: disabilitate le chiamate in uscita DISA e la segreteria telefonica non utilizzate, imponete credenziali complesse, limitate le chiamate internazionali tramite policy e limitate la frequenza dei tentativi di registrazione; la maggior parte delle frodi con accesso tramite chiamata sfrutta una password predefinita.
- Analizzare le anomalie di regolamento e interconnessione: confrontare il traffico con i modelli di regolamento previsti, poiché un picco di minuti verso una destinazione sconosciuta nella fattura all'ingrosso è spesso la prima prova concreta di un'esecuzione IRSF.
La questione relativa alla regione MENA e al GCC è di grande attualità. Gli operatori del Golfo si trovano su alcuni dei corridoi voce internazionali più trafficati al mondo, con un elevato traffico di roaming in entrata e ingenti volumi di chiamate da parte di lavoratori migranti, il che offre all'IRSF sia il traffico in cui nascondersi sia la complessità dei sistemi di pagamento da sfruttare. I team antifrode regionali abbinano sempre più spesso il monitoraggio delle destinazioni con lo scambio di dati di roaming quasi in tempo reale, in modo che un'ondata di frodi all'estero venga intercettata in poche ore anziché a fine mese. Operando dal 2003 in 200+ paesi e con 1,000+ connessioni con operatori, BroadNet ha la visibilità transfrontaliera necessaria per definire come si presenta effettivamente il traffico normale verso ciascuna destinazione.
IRSF, Wangiri e SMS pumping rappresentano lo stesso attacco economico su diversi portanti: un evento a pagamento terminato su un intervallo da cui il truffatore trae profitto. Il sistema di punteggio e firewall antifrode di BroadNet, di livello operativo, controlla il comportamento di base della messaggistica e della segnalazione, bloccando il traffico anomalo prima che diventi un onere finanziario. Se si utilizza l'interconnessione, si integra direttamente con la propria infrastruttura di garanzia dei ricavi.
Domande frequenti
Cos'è l'IRSF?
L'IRSF (International Revenue Share Fraud) è una frode nel settore delle telecomunicazioni in cui i criminali ottengono numeri internazionali a tariffa maggiorata che pagano una quota della loro tariffa di terminazione, per poi instradare traffico artificiale verso tali numeri. L'operatore di origine paga tariffe di interconnessione e di regolamento gonfiate per chiamate che nessun abbonato reale intendeva effettuare, mentre il truffatore e il fornitore del numero si dividono i ricavi a tariffa maggiorata.
Come funziona la frode internazionale sulla ripartizione dei ricavi?
Un truffatore si allea con un fornitore di numeri internazionali a tariffa maggiorata che condivide i suoi ricavi al minuto, quindi indirizza il traffico verso tali numeri, ad esempio hackerando un centralino per effettuare chiamate in uscita, utilizzando SIM box o sfruttando le chiamate perse di Wangiri per indurre gli abbonati a richiamare. Ogni minuto terminato fa scattare la tariffa maggiorata, che viene poi ripartita attraverso la catena di pagamento tra il truffatore e il fornitore del numero.
Come fanno gli operatori a rilevare gli IRSF?
Gli operatori rilevano le IRSF (Initial Reduction Scope Functions) tramite il monitoraggio in tempo reale dei modelli di chiamata e degli intervalli di destinazione, che segnala un'improvvisa concentrazione verso numeri ad alto costo o raramente chiamati, effettuando controlli incrociati con database IPRN e ad alto rischio, e applicando limiti di credito e velocità che limitano l'esposizione per abbonato e destinazione. L'analisi delle anomalie di pagamento individua quindi eventuali anomalie sfuggite al controllo, come minuti inaspettati verso destinazioni sconosciute che compaiono nella fattura all'ingrosso.
Qual è il legame tra IRSF, Wangiri e il fenomeno del "muffin" tramite SMS?
Tutte e tre sono frodi basate sulla condivisione dei ricavi, ma con diversi portatori di traffico. Wangiri è una tecnica che alimenta le IRSF (Income-Revenue Fraud Fraud): una chiamata persa che induce l'abbonato a richiamare un numero a pagamento. Il pumping di SMS (AIT) applica la stessa logica alla messaggistica, automatizzando l'invio di codici OTP (One-Time Password) a numeri da cui il truffatore trae profitto. Il filo conduttore è un evento a pagamento terminato, in cui l'aggressore incassa una percentuale.
Riferimenti
- GSMA — Risorse per la prevenzione delle frodi e la sicurezza per gli operatori: gsma.com
- Communications Fraud Control Association (CFCA) — Indagine globale sulle perdite dovute a frodi nelle telecomunicazioni: cfca.org
- i3forum — Frodi internazionali da parte degli operatori e migliori pratiche di interconnessione: i3forum.org
- BroadNet — Soluzioni per operatori e antifrode: operatori, antifrode, voce.