# Frode tramite SIM box (bypass dell'interconnessione): come funziona e come la rilevano gli operatori

> La frode delle SIM box reindirizza le chiamate internazionali come traffico mobile locale, causando perdite di entrate per gli operatori. Come funziona il bypass dell'interconnessione e come rilevarlo.

- URL canonico: https://www.broadnet.me/it/blog/sim-box-interconnect-bypass-fraud
- Lingua: it
- Ultimo aggiornamento: 2026-10-20
- Editore: BroadNet (https://www.broadnet.me)

- Pubblicato il: 2026-08-03
- Autore: BroadNet Operator Solutions

La frode SIM box, nota anche come bypass dell'interconnessione, consiste nell'instradare una chiamata internazionale attraverso internet e riconvertirla in una chiamata locale mobile tramite una rete di schede SIM consumer, eludendo così la tariffa di terminazione internazionale dovuta all'operatore di destinazione. L'operatore riceve traffico interno a basso costo anziché una chiamata internazionale in entrata, perdendo così i relativi introiti. Gli operatori possono rilevare questa frode tramite la generazione di chiamate di prova, l'analisi dei dati di chiamata (CDR) e del comportamento degli utenti, l'individuazione di anomalie di segnalazione e la classificazione tramite apprendimento automatico.

> Questo è il modello di minaccia esteso alla base dei nostri strumenti per gli operatori. Per una panoramica del prodotto, consultare [Rilevamento SIM box](https://www.broadnet.me/operators/sim-box) e la suite più ampia di [soluzioni per gli operatori](https://www.broadnet.me/operators).

## Cos'è effettivamente una SIM box

Una SIM box, nota anche come gateway GSM, è un dispositivo hardware che ospita da poche a diverse centinaia di schede SIM e instrada il traffico IP (VoIP) su una rete mobile attiva. Presenta ogni SIM alla rete come un normale telefono, in modo che le chiamate effettuate tramite essa appaiano come normali chiamate di un abbonato. La tecnologia in sé è legittima: le aziende utilizzano i gateway GSM per l'instradamento a costo minimo all'interno di un centralino PBX. Diventa una frode quando viene utilizzata per instradare il traffico internazionale come chiamate locali, il che è illegale nella maggior parte dei mercati e costituisce una violazione diretta degli accordi di interconnessione tra operatori.

## Come funziona la frode di bypass dell'interconnessione

Ogni chiamata transfrontaliera prevede una tariffa di terminazione internazionale al minuto, che l'operatore di destinazione è contrattualmente tenuto a corrispondere per la consegna della chiamata all'abbonato. Tale tariffa rappresenta il ricavo che l'operatore ottiene per la terminazione del traffico estero. La frode di bypass esiste per sfruttare la differenza tra questa tariffa internazionale e il costo pressoché nullo di una chiamata locale sulla stessa rete.

Il meccanismo è semplice. Un operatore che aggira le tariffe acquista pacchetti di minuti internazionali all'ingrosso, li trasmette tramite internet pubblico come VoIP a una SIM box fisicamente situata nel paese di destinazione e riassegna ogni chiamata da una SIM locale. La chiamata arriva al destinatario come una normale chiamata locale da cellulare con un identificativo del chiamante (CLI) nazionale. L'operatore legittimo non vede mai una chiamata internazionale in entrata: vede traffico sulla propria rete, lo fattura alle tariffe locali (spesso a pacchetto, quasi nulle) e il truffatore si tiene il profitto. Più la tariffa di terminazione internazionale di un paese è superiore al costo delle chiamate nazionali, più redditizio diventa l'aggiramento delle tariffe, motivo per cui si concentra nei corridoi ad alto traffico in entrata e ad alta diaspora: un problema persistente di perdita di entrate per gli operatori del GCC e del più ampio MENA che gestiscono grandi volumi di traffico internazionale.

### Perché gli operatori perdono due volte

Il bypass non si traduce solo in mancati introiti derivanti dalla liquidazione delle chiamate. Le chiamate riprogrammate peggiorano anche l'esperienza dell'abbonato: il numero reale di un chiamante straniero viene sostituito da un numero locale variabile, rendendo l'identificativo del chiamante inutile, e la qualità della voce risente della connessione VoIP. L'operatore si accolla il costo reputazionale derivante dalla scarsa qualità delle chiamate internazionali, di cui non è responsabile, mentre il traffico che avrebbe dovuto pagare una tariffa di terminazione non paga nulla.

## Oltre la voce: percorsi grigi degli SMS A2P e intercettazione degli OTP

Le stesse SIM box vengono facilmente riutilizzate per la messaggistica. Invece di terminare le chiamate vocali, il dispositivo termina gli SMS da applicazione a persona (A2P) – codici di verifica, avvisi, marketing – come se fossero traffico da persona a persona inviato da un telefono cellulare. L'operatore fattura il servizio alle tariffe P2P (spesso prossime allo zero) e l'aggregatore intasca il margine A2P. Questa è la branca del problema del traffico non autorizzato relativa alle SIM box, e comporta una perdita di entrate A2P esattamente come il bypass delle chiamate vocali comporta una perdita di entrate per la terminazione delle chiamate.

Comporta anche un costo in termini di sicurezza. Le SIM box che gestiscono il traffico OTP possono essere utilizzate per intercettare o osservare le password monouso, e la stessa infrastruttura permette lo smishing su larga scala utilizzando identità di mittenti locali temporanee. Ecco perché il rilevamento delle elusioni e la difesa dalle frodi tramite messaggistica vanno di pari passo: i canali che generano perdite di entrate sono spesso gli stessi che mettono a rischio gli abbonati. Scopri come i due aspetti si collegano nella sezione [anti-fraud SMS](https://www.broadnet.me/operators/anti-fraud-sms) per gli operatori.

## Abbonato legittimo vs SIM box: la firma comportamentale

Il punto cruciale del rilevamento è che una SIM box, per quanto ben nascosta, non può comportarsi a lungo come un abbonato umano. La SIM di una persona reale si muove, riceve chiamate, utilizza i dati e chiama una piccola rete sociale ripetuta a intervalli irregolari, tipica degli utenti umani. Una SIM box non fa nulla di tutto ciò. La lacuna comportamentale è rappresentata dall'impronta digitale.

| Segnale | Abbonato legittimo | SIM-box SIM |
|---|---|---|
| Direzione della chiamata | Misto di arrivi e partenze | Quasi esclusivamente in uscita |
| Volume giornaliero delle chiamate | Da poche a decine di chiamate | Da centinaia a migliaia di chiamate |
| Mobilità / passaggio di consegne | Si sposta tra le cellule e i TAC | Statico: stessa cella 24 ore su 24, 7 giorni su 7 |
| Destinazioni | Contatti ripetuti, un grafico sociale | Lunga coda di numeri non correlati, nessuna chiamata di ritorno |
| Tempi tra le chiamate | Lacune irregolari, umane | Macchina regolare, schiena contro schiena |
| Dispositivo (IMEI) | Un telefono per ogni SIM | Molte SIM che passano attraverso pochi IMEI del gateway |
| Utilizzo dei dati/servizi a valore aggiunto | Navigazione, app, roaming | Poco o niente: solo chiamate vocali/SMS. |

## Come gli operatori rilevano le frodi con le SIM box

Nessun singolo metodo è sufficiente da solo; i team esperti di revenue assurance ne utilizzano diversi in parallelo e li correlano prima di bloccare una SIM, per evitare che i falsi positivi raggiungano abbonati legittimi come i call center o i dispositivi M2M. I quattro metodi che contano sono:

1. Generazione di chiamate di prova (TCG). Partner di prova indipendenti effettuano chiamate nella rete da numerose origini internazionali. Se una chiamata inviata come internazionale arriva al telefono di prova con un numero A locale (o un CLI soppresso), la SIM di terminazione ha bypassato l'interconnessione e il CLI identifica direttamente la SIM box incriminata.
2. Analisi CDR e comportamentale. Definizione di una baseline per ogni MSISDN dai registri dei dettagli delle chiamate e segnalazione della firma SIM-box: chiamate solo in uscita, volume giornaliero anormalmente elevato, nessuna chiamata in entrata, una lunga coda di destinazioni non correlate e intervalli tra le chiamate regolari come quelli della macchina.
3. Anomalie di segnalazione e di rete. Cercate le SIM che non aggiornano mai la posizione, rimangono connesse a una singola cella in modo continuativo, non mostrano una mobilità normale o condividono un IMEI tra più SIM: si tratta di schemi visibili a livello di segnalazione che un firewall SS7 e le sonde di rete possono rilevare.
4. Classificazione tramite apprendimento automatico. Raggruppa e assegna un punteggio a ogni SIM su un vettore multi-caratteristica (volume, direzione, mobilità, tempistica, riutilizzo dell'IMEI, entropia di destinazione) in modo che i truffatori adattivi che limitano il volume o ruotano le SIM per imitare gli esseri umani vengano comunque individuati dalle sole regole basate su modelli compositi.

TCG dimostra che un percorso specifico viene aggirato; CDR e ML individuano le SIM su larga scala; la segnalazione conferma il comportamento a livello di rete. La combinazione di questi elementi fornisce sia le prove per bloccare una SIM, sia la certezza di non bloccare una SIM legittima.

## Difesa, applicazione della legge e la prospettiva del Medio Oriente e Nord Africa

Una volta individuata una SIM box, le misure di contrasto si articolano su più livelli: si bloccano le SIM incriminate, si inaspriscono i controlli di attivazione delle SIM per rallentarne il riavvio (limiti di velocità sulle nuove attivazioni, verifica dell'identità per gli acquisti in blocco) e si confrontano i dati di traffico in entrata internazionali con i volumi di terminazione previsti per quantificare la perdita di dati. Il rilevamento deve essere continuo, perché gli operatori che aggirano le restrizioni reagiscono ruotando le SIM, limitando il volume di traffico per singola SIM e spostando le SIM box tra le celle: un circolo vizioso che premia i comportamenti di riferimento rispetto alle regole statiche.

In particolare nella regione MENA e nei Paesi del Consiglio di Cooperazione del Golfo (GCC), gli elevati volumi di chiamate internazionali in entrata, gli ampi corridoi di chiamata della diaspora e i tassi di terminazione relativamente alti rendono il bypass una voce di spesa significativa per la garanzia dei ricavi degli operatori. La definizione di una base di riferimento specifica per la regione è fondamentale: i modelli di chiamata locali, le norme di assegnazione delle SIM e le topologie di roaming differiscono sufficientemente dalle medie globali da far sì che un modello generico sovrastimi o sottostimi le anomalie. È proprio in questa base di riferimento regionale che uno stack di rilevamento nativo per la regione MENA si rivela utile.

> Dal 2003 BroadNet analizza il traffico degli operatori MENA per individuare frodi di tipo bypass e A2P, combinando dati di riferimento comportamentali CDR, informazioni provenienti da chiamate di prova, controlli di segnalazione e classificazione tramite apprendimento automatico su 1,000+ connessioni di operatori. Per ulteriori informazioni sugli operatori, consultare le sezioni [Rilevamento SIM box](https://www.broadnet.me/operators/sim-box) e [SMS antifrode](https://www.broadnet.me/operators/anti-fraud-sms).

## Domande frequenti

### Cos'è una SIM box?

Una SIM box, o gateway GSM, è un dispositivo hardware che ospita numerose schede SIM e instrada il traffico VoIP su una rete mobile, presentando ogni SIM come un normale telefono. Questa tecnologia ha usi legittimi nei centralini PBX, ma nelle frodi riceve chiamate internazionali tramite internet e le reindirizza come chiamate locali su rete mobile, in modo che l'operatore veda traffico interno a basso costo invece di traffico internazionale a pagamento e perda la tariffa di terminazione.

### Come funziona la frode di bypass dell'interconnessione?

Ogni chiamata internazionale prevede una tariffa di terminazione al minuto dovuta all'operatore di destinazione. Un operatore che aggira la tariffa internazionale acquista questo traffico all'ingrosso, lo instrada tramite VoIP verso una SIM box all'interno del paese e ri-instrada ogni chiamata da una SIM locale. La chiamata termina come traffico interno a basso costo con un ID chiamante locale; il truffatore trattiene la differenza tra la tariffa internazionale e il costo della SIM locale, e l'operatore perde l'incasso derivante dalla transazione.

### Come fanno gli operatori a individuare le frodi con le SIM box?

Attraverso quattro metodi correlati: generazione di chiamate di prova, in cui le chiamate internazionali in arrivo con ID chiamante locale rivelano la SIM che aggira il blocco; analisi CDR e comportamentale che segnala le SIM utilizzate solo in uscita, ad alto volume e senza mobilità; anomalie di segnalazione come l'attivazione statica di una singola cella e il riutilizzo dell'IMEI; e classificatori di apprendimento automatico che assegnano un punteggio a ogni SIM in base a un vettore di caratteristiche composito. Gli operatori combinano tutti e quattro i metodi, con controlli incrociati di roaming e HLR, per avere un livello di affidabilità sufficiente prima di bloccare una SIM.

## Riferimenti

- GSMA — Gruppo per la lotta alle frodi e la sicurezza (FASG): tipologie di frode tramite bypass dell'interconnessione e SIM box: [gsma.com](https://www.gsma.com/)
- GSMA — Manuale antifrode e linee guida per la garanzia dei ricavi per gli operatori di telefonia mobile: [gsma.com](https://www.gsma.com/)
- BroadNet — Operatori: [Rilevamento SIM box](https://www.broadnet.me/operators/sim-box), [SMS antifrode](https://www.broadnet.me/operators/anti-fraud-sms) e [firewall SS7](https://www.broadnet.me/operators/ss7-firewall).