uando gli operatori ci chiedono di valutare un firewall SMS, la conversazione spesso inizia con le entrate e si conclude con la sicurezza, perché i due aspetti sono inseparabili. Le stesse rotte non tracciabili che causano la perdita di entrate A2P sono le stesse utilizzate per il smishing, l'intercettazione di codici OTP e le frodi con mittente falsificato. Un firewall è al tempo stesso un prodotto per la garanzia delle entrate e per la protezione degli abbonati. Ecco il modello di minaccia che deve contrastare.
Minaccia 1: terminazione A2P della SIM box
Un aggregatore acquista schede SIM per utenti privati, le inserisce in un gateway GSM e instrada il traffico A2P come se fosse un normale SMS da persona a persona. L'operatore rileva il traffico P2P, addebita le tariffe P2P (spesso prossime allo zero) e l'aggregatore intasca il margine di profitto derivante dal traffico A2P. Il rilevamento si basa su un'analisi comportamentale: i veri abbonati non inviano migliaia di messaggi quasi identici all'ora da un unico MSISDN, non inviano solo messaggi in uscita senza riceverne in entrata e non presentano intervalli di tempo tra i messaggi regolari come quelli di una macchina.
Minaccia 2: falsificazione del mittente degli SMS
Al livello SS7 MAP, l'indirizzo di origine di un SMS può essere impostato su una stringa arbitraria. Questo è il meccanismo alla base dello smishing "della tua banca" che appare nella stessa conversazione di messaggi bancari legittimi. La difesa consiste nell'applicazione dell'ID mittente: un registro degli ID mittente autorizzati su quali percorsi, con il blocco o la quarantena di qualsiasi messaggio non registrato o in arrivo sul percorso sbagliato.
Minaccia 3: abuso dell'interconnessione SS7
- Richieste non autorizzate di SendRoutingInfoForSM (SRI-SM) per la raccolta di dati IMSI dell'abbonato e dati MSC di servizio: attività di ricognizione per attacchi mirati.
- Iniezione MT-ForwardSM da parte dei partner di interconnessione che bypassa completamente l'SMSC di origine e qualsiasi accordo A2P.
- Query di tracciamento della posizione (anyTimeInterrogation, ProvideSubscriberInfo) che non hanno uno scopo di roaming legittimo dalla rete richiedente.
Questi aspetti vengono gestiti a livello di segnalazione con un firewall SS7: filtraggio dei messaggi MAP basato su categorie, limiti di velocità per interconnessione e controlli incrociati (ad esempio, il rifiuto di un MT-ForwardSM per un abbonato che la rete sa non essere in roaming sulla rete dichiarata come visitata). Gli standard GSMA FS.11 e FS.19 codificano le categorie raccomandate; un firewall SS7 competente le implementa anziché reinventarle.
Perché le regole da sole non bastano più
I motori basati esclusivamente su regole falliscono contro avversari che si adattano, come ad esempio quelli che cambiano ID mittente, contenuti dei messaggi variabili o partner di interconnessione ogni ora. I firewall moderni combinano regole deterministiche (registro, categoria, reputazione del percorso) con l'apprendimento automatico comportamentale, che correla i modelli di throughput, la similarità dei contenuti e i segnali di sovrapposizione dei destinatari tra ID mittente e percorsi. Le regole individuano ciò che è noto; l'apprendimento automatico individua ciò che si adatta. Sono necessari entrambi i livelli.
Il firewall di BroadNet viene addestrato sul traffico degli operatori della regione MENA dal 2003. I dati di addestramento specifici per la regione sono importanti: i modelli di frode, le convenzioni di identificazione del mittente e le topologie di roaming nel Golfo differiscono sufficientemente dalle medie globali da rendere inefficace un modello generico.
Come si presenta un'implementazione
Un tipico intervento prevede una fase di monitoraggio di due o quattro settimane per definire i parametri di riferimento del traffico e calibrare le soglie senza bloccare nulla, per poi passare all'applicazione attiva delle restrizioni. I risultati del primo anno seguono uno schema coerente: traffico A2P delle rotte grigie riportato su rotte fatturate, un netto calo delle segnalazioni di smishing da parte degli abbonati e – aspetto che gli operatori non sempre prevedono – un quadro dei dati molto più chiaro su chi sta effettivamente inviando cosa attraverso la rete.