# Firewall SMS e frodi SS7: da cosa si difendono realmente gli operatori

> Terminazione della SIM box, spoofing del mittente degli SMS e attacchi a livello SS7: tutte queste tecniche comportano la perdita di ricavi A2P e mettono a rischio gli abbonati. Un'analisi approfondita del modello di minaccia e delle relative misure di controllo.

- URL canonico: https://www.broadnet.me/it/blog/sms-firewall-ss7-fraud-protection-operators
- Lingua: it
- Ultimo aggiornamento: 2026-10-01
- Editore: BroadNet (https://www.broadnet.me)

- Pubblicato il: 2026-04-15
- Autore: BroadNet Operator Solutions

Quando gli operatori ci chiedono di valutare un firewall SMS, la conversazione spesso inizia con le entrate e si conclude con la sicurezza, perché i due aspetti sono inseparabili. Le stesse rotte non tracciabili che causano la perdita di entrate A2P sono le stesse utilizzate per il smishing, l'intercettazione di codici OTP e le frodi con mittente falsificato. Un firewall è al tempo stesso un prodotto per la garanzia delle entrate e per la protezione degli abbonati. Ecco il modello di minaccia che deve contrastare.

## Minaccia 1: terminazione A2P della SIM box

Un aggregatore acquista schede SIM per utenti privati, le inserisce in un gateway GSM e instrada il traffico A2P come se fosse un normale SMS da persona a persona. L'operatore rileva il traffico P2P, addebita le tariffe P2P (spesso prossime allo zero) e l'aggregatore intasca il margine di profitto derivante dal traffico A2P. Il rilevamento si basa su un'analisi comportamentale: i veri abbonati non inviano migliaia di messaggi quasi identici all'ora da un unico MSISDN, non inviano solo messaggi in uscita senza riceverne in entrata e non presentano intervalli di tempo tra i messaggi regolari come quelli di una macchina.

## Minaccia 2: falsificazione del mittente degli SMS

Al livello SS7 MAP, l'indirizzo di origine di un SMS può essere impostato su una stringa arbitraria. Questo è il meccanismo alla base dello smishing "della tua banca" che appare nella stessa conversazione di messaggi bancari legittimi. La difesa consiste nell'applicazione dell'ID mittente: un registro degli ID mittente autorizzati su quali percorsi, con il blocco o la quarantena di qualsiasi messaggio non registrato o in arrivo sul percorso sbagliato.

## Minaccia 3: abuso dell'interconnessione SS7

- Richieste non autorizzate di SendRoutingInfoForSM (SRI-SM) per la raccolta di dati IMSI dell'abbonato e dati MSC di servizio: attività di ricognizione per attacchi mirati.
- Iniezione MT-ForwardSM da parte dei partner di interconnessione che bypassa completamente l'SMSC di origine e qualsiasi accordo A2P.
- Query di tracciamento della posizione (anyTimeInterrogation, ProvideSubscriberInfo) che non hanno uno scopo di roaming legittimo dalla rete richiedente.

Questi aspetti vengono gestiti a livello di segnalazione con un firewall SS7: filtraggio dei messaggi MAP basato su categorie, limiti di velocità per interconnessione e controlli incrociati (ad esempio, il rifiuto di un MT-ForwardSM per un abbonato che la rete sa non essere in roaming sulla rete dichiarata come visitata). Gli standard GSMA FS.11 e FS.19 codificano le categorie raccomandate; un firewall SS7 competente le implementa anziché reinventarle.

## Perché le regole da sole non bastano più

I motori basati esclusivamente su regole falliscono contro avversari che si adattano, come ad esempio quelli che cambiano ID mittente, contenuti dei messaggi variabili o partner di interconnessione ogni ora. I firewall moderni combinano regole deterministiche (registro, categoria, reputazione del percorso) con l'apprendimento automatico comportamentale, che correla i modelli di throughput, la similarità dei contenuti e i segnali di sovrapposizione dei destinatari tra ID mittente e percorsi. Le regole individuano ciò che è noto; l'apprendimento automatico individua ciò che si adatta. Sono necessari entrambi i livelli.

> Il firewall di BroadNet viene addestrato sul traffico degli operatori della regione MENA dal 2003. I dati di addestramento specifici per la regione sono importanti: i modelli di frode, le convenzioni di identificazione del mittente e le topologie di roaming nel Golfo differiscono sufficientemente dalle medie globali da rendere inefficace un modello generico.

## Come si presenta un'implementazione

Un tipico intervento prevede una fase di monitoraggio di due o quattro settimane per definire i parametri di riferimento del traffico e calibrare le soglie senza bloccare nulla, per poi passare all'applicazione attiva delle restrizioni. I risultati del primo anno seguono uno schema coerente: traffico A2P delle rotte grigie riportato su rotte fatturate, un netto calo delle segnalazioni di smishing da parte degli abbonati e – aspetto che gli operatori non sempre prevedono – un quadro dei dati molto più chiaro su chi sta effettivamente inviando cosa attraverso la rete.