a truffa Wangiri è una truffa basata su chiamate perse (in giapponese "uno squillo e riattacca") in cui i truffatori effettuano chiamate a squillo singolo da numeri a tariffa maggiorata o internazionali, scommettendo che gli abbonati incuriositi richiamino e ottengano una chiamata a un numero a tariffa maggiorata, che addebita loro importi elevati e paga al truffatore una percentuale sui ricavi. È la variante vocale della truffa IRSF (Inter-Retail Free Scope), e gli operatori la contrastano con l'analisi in tempo reale dei modelli di chiamata e il blocco delle chiamate a tariffa maggiorata.
Cos'è Wangiri e da dove deriva il nome.
Wangiri (ワン切り) è un termine giapponese che significa "uno squillo e riattacca": un termine coniato in Giappone all'inizio degli anni 2000 per indicare una truffa che da allora si è diffusa in tutto il mondo. Lo schema è volutamente minimale: un sistema di chiamata automatica effettua una chiamata a un abbonato, lascia squillare il telefono una sola volta e riattacca prima che qualcuno possa rispondere. L'abbonato vede una chiamata persa da un numero internazionale sconosciuto o dall'aspetto a pagamento e, spinto dalla curiosità o da un senso di obbligo, richiama, cadendo dritto nella trappola delle chiamate a tariffa maggiorata. Wangiri non è in realtà una falla tecnica della rete; è una falla nella persona che tiene in mano il telefono, ed è per questo che è sopravvissuto a ogni aggiornamento delle reti.
Come funziona la truffa della richiamata dopo un solo squillo
L'aspetto economico della truffa si basa interamente sulla fase di richiamata. I truffatori noleggiano numeri a tariffa premium internazionale (IPRN), ovvero intervalli di numeri che prevedono un costo di terminazione gonfiato, una parte del quale viene restituita a chiunque generi traffico su tali numeri. La campagna di chiamate a chiamata singola serve unicamente a generare quel traffico. Quando l'abbonato richiama, la chiamata viene instradata verso l'intervallo premium del truffatore, spesso con un espediente studiato per tenerlo in linea: un lungo squillo di attesa, un finto sistema IVR, musica d'attesa, una voce registrata che gli chiede di aspettare. Questo perché il guadagno aumenta in base alla durata della chiamata e alla sua connessione. L'operatore dell'abbonato paga la tariffa di terminazione gonfiata lungo la catena di interconnessione, fattura all'abbonato e la quota di ricavi torna al truffatore. È la controparte vocale della frode relativa alla messaggistica descritta in artificially inflated-traffic-ait-detection-defense: un canale di fatturazione legittimo gonfiato con un volume di chiamate artificiale e privo di valore.
Il collegamento a IRSF
Wangiri è la parte front-end, rivolta al pubblico, della frode internazionale sulla condivisione dei ricavi (IRSF). L'IRSF è il meccanismo all'ingrosso – le gamme premium, i generatori di chiamate di prova e gli accordi di condivisione dei ricavi nascosti in lunghe catene di interconnessione – che monetizza qualsiasi chiamata diretta verso una destinazione premium. Wangiri è semplicemente il modo più efficace per generare queste chiamate su larga scala senza prima compromettere un PBX o una SIM: invece di hackerare una fonte di traffico, il truffatore convince migliaia di abbonati a generarle volontariamente. Le stesse informazioni IPRN, gli elenchi di numeri a rischio e i controlli di garanzia dei ricavi che proteggono dalla classica IRSF sono quindi la spina dorsale della difesa contro Wangiri, ed è per questo che trattare i due problemi come uno solo, e non come due, è l'approccio che funziona davvero per gli operatori.
Perché Wangiri arriva a ondate
Gli operatori percepiscono Wangiri come picchi improvvisi piuttosto che come un rumore di fondo costante, e la ragione è di natura operativa. Le campagne vengono eseguite tramite sistemi di composizione automatica contro intervalli MSISDN sequenziali o generati casualmente, consumando un blocco di numeri target in poche ore prima che gli intervalli di origine e quelli premium vengano inseriti nella blacklist e sostituiti. Un'ondata colpisce in genere un Paese o la base di abbonati di un singolo operatore tutta in una volta, spesso in concomitanza con le ore serali o i fine settimana, quando gli uffici antifrode sono meno operativi, e può ripetersi giorni dopo con nuovi intervalli. I Paesi del Consiglio di Cooperazione del Golfo (GCC) e la più ampia regione MENA (Medio Oriente e Nord Africa) sono soggetti a ondate ricorrenti dirette a basi di abbonati con ARPU (ricavo medio per utente), spesso falsificando prefissi regionali o di Paesi limitrofi per aumentare il tasso di richiamata. Poiché ogni ondata è breve e si auto-termina, il rilevamento che si basa sulla revisione umana a posteriori è sempre troppo tardi; il controllo deve essere automatizzato e integrato.
Il danno è più ampio del conto
Il danno visibile è rappresentato dagli aumenti improvvisi delle bollette degli abbonati e dai conseguenti storni e reclami: un costo in termini di assistenza e reputazione che l'operatore si assume a prescindere dal fatto che rinunci o meno all'addebito. Il danno meno visibile è di natura strutturale: controversie sui pagamenti di interconnessione quando le tariffe di terminazione gonfiate vengono contestate a monte, erosione della fiducia degli abbonati nella numerazione della rete stessa e maggiore controllo normativo nei mercati in cui gli enti regolatori – la TDRA negli Emirati Arabi Uniti, la CST in Arabia Saudita e i loro omologhi regionali – considerano la tolleranza delle frodi come una violazione della tutela dei consumatori. Un operatore che lascia operare Wangiri sta compromettendo la fiducia a lungo termine degli abbonati per addebitare alcuni importi maggiorati che molto probabilmente finirà per riaccreditare comunque. Gestire correttamente questa situazione è un'attività fondamentale per la garanzia dei ricavi di un operatore, non un caso limite.
Rilevamento: i segnali che mettono in luce Wangiri
- Brevi raffiche di chiamate in entrata: una raffica di tentativi di chiamata a squillo singolo, della durata inferiore a due secondi, verso numerosi abbonati in una finestra temporale ristretta, provenienti da un numero limitato di numeri telefonici. La caratteristica principale è proprio il fenomeno del "squillo e riattacca": elevato volume di tentativi, durata della risposta prossima allo zero.
- Concentrazione di numeri premium nella fase di richiamata: le chiamate in uscita dalla base di abbonati si concentrano su destinazioni IPRN note o sospette e su prefissi premium ad alto costo, in particolare intervalli senza una precedente cronologia di chiamate organiche.
- Anomalie di velocità e costi: tassi di origine o di terminazione in un intervallo che nessun servizio legittimo produce e tassi di richiamata verso una destinazione che aumentano vertiginosamente rispetto alla norma in pochi minuti.
- Intelligenza incrociata dei numeri IRSF: vengono confrontati sia gli intervalli di numeri di origine che le destinazioni di richiamata con database condivisi di numeri di emergenza e IPRN, in modo che un intervallo di numeri utilizzato su una rete venga bloccato sulla vostra prima dell'arrivo della successiva ondata di chiamate.
- Controlli relativi a CLI falsificati e instradamento impossibile: numeri sorgente che non superano la convalida, presentano intervalli non allocati o di test, oppure dichiarano un'origine incoerente con l'interconnessione su cui sono effettivamente arrivati.
La catena di attacco e il controllo che interrompe ogni anello
| Fase di attacco | Controllo operatore |
|---|---|
| Il dialer effettua chiamate a squillo singolo provenienti da intervalli collegati a IPRN. | L'analisi in linea dei modelli di chiamata segnala i burst in entrata di breve durata e blocca gli intervalli di origine |
| L'abbonato vede una chiamata persa da un numero sconosciuto | Informazioni per gli abbonati e avvisi in rete sui prefissi internazionali sospetti |
| L'abbonato richiama una destinazione a tariffa maggiorata | Liste di blocco premium in tempo reale e verifica della richiamata sui prefissi ad alto rischio |
| La chiamata viene tenuta aperta per massimizzare la fatturazione premium | Rilevamento di anomalie di durata e velocità di costo con soglie di interruzione automatiche |
| La ripartizione dei ricavi salda la catena di interconnessione | Trattenuta a garanzia delle entrate e verifica incrociata delle informazioni dell'IRSF prima della liquidazione |
| Le gamme vengono ruotate per l'ondata successiva | Condivisione dei feed dei numeri di telefono più richiesti e verifica dei partner in modo che gli intervalli a rotazione siano pre-bloccati |
Difesa: un manuale operativo
- Implementa l'analisi dei modelli di chiamata in linea al confine della sessione e dell'interconnessione, non in un batch notturno: le ondate di Wangiri si concludono prima che venga eseguito il report del giorno successivo. Valuta il traffico in entrata in base al volume dei tentativi, alla durata e alla concentrazione dell'intervallo in tempo reale.
- Gestire e applicare le liste di blocco per le chiamate a pagamento, aggiornate continuamente dai feed di intelligence GSMA e IRSF/IPRN del settore, e bloccare o contestare le chiamate di ritorno verso le destinazioni segnalate prima che vengano connesse.
- Imposta soglie di velocità e di anomalia dei costi per intervallo di origine e per destinazione, con interruzione automatica: in questo modo, un intervallo che genera tassi di tentativo impossibili o chiamate di ritorno a un prefisso premium improvvisamente molto richiesto si autolimita invece di eseguire l'intera ondata.
- Confronta i numeri di origine e di destinazione con i database condivisi dei numeri più utilizzati, in modo che gli intervalli di numeri utilizzati sulle reti peer siano pre-bloccati e la rotazione perda il suo vantaggio.
- Informare costantemente gli abbonati: fornire avvisi proattivi per non rispondere alle chiamate provenienti da numeri internazionali sconosciuti e un modo semplice per segnalare sospetti casi di Wangiri, in modo che i dati aggiornati vengano immediatamente trasmessi al sistema di rilevamento.
- Integrare la comunicazione vocale nello stesso sistema antifrode utilizzato per la messaggistica: la disciplina basata sul punteggio comportamentale e sull'intelligence di portata che blocca le frodi via SMS e le frodi IRSF è lo stesso strumento, e gestire i prodotti vocali e gli SMS come un unico programma antifrode colma il divario che i truffatori sfruttano.
BroadNet esegue test di frode comportamentale e raccoglie informazioni sui numeri IRSF su tutte le rotte che gestisce, e implementa gli stessi controlli – che abbracciano voce e messaggistica a un unico livello – all'interno dei programmi antifrode degli operatori. Wangiri e i suoi omologhi per gli SMS vengono valutati insieme, in tempo reale, anziché da due postazioni separate.
Domande frequenti
Cos'è la frode Wangiri?
La truffa Wangiri è una truffa basata su chiamate perse (il nome in giapponese significa "uno squillo e riattacca") in cui i truffatori effettuano brevi chiamate a squillo singolo a numerosi abbonati da numeri a tariffa maggiorata o internazionali. L'obiettivo è indurre i destinatari, incuriositi, a richiamare, per poi essere reindirizzati a un numero a tariffa maggiorata che addebita loro una somma esorbitante, di cui una parte viene versata al truffatore.
Come funziona la truffa della richiamata a un solo squillo?
Un sistema di chiamata automatica fa squillare il telefono di ciascun bersaglio una sola volta e poi riaggancia, lasciando una chiamata persa da un numero sconosciuto. Quando l'abbonato richiama, la chiamata viene interrotta su un numero internazionale a tariffa maggiorata (IPRN) controllato dal truffatore, spesso tenuto aperto con falsi sistemi IVR o musica d'attesa per allungarne la durata. L'operatore telefonico dell'abbonato paga e fattura l'importo gonfiato, e il truffatore incassa la sua quota di ricavi.
Come fanno gli operatori a fermare Wangiri?
Gli operatori bloccano Wangiri con controlli automatizzati e in linea: analisi dei modelli di chiamata che segnala brevi picchi di chiamate in entrata, liste di blocco per le fasce di prezzo più elevate e verifiche di richiamata aggiornate grazie alle informazioni sui numeri di GSMA e IRSF, soglie di anomalia di velocità e costo con interruzione automatica e formazione degli abbonati. Poiché le ondate sono brevi e si auto-terminano, la difesa deve essere eseguita in tempo reale al confine della rete, anziché in un'analisi a posteriori.
Riferimenti
- GSMA — Gruppo per le frodi e la sicurezza (FASG): IRSF, Wangiri e linee guida sulle frodi nelle telecomunicazioni: gsma.com
- GSMA — risorse di intelligence sulle frodi e numeri di emergenza in rete per gli operatori: gsma.com
- BroadNet — programmi antifrode degli operatori per SMS e chiamate vocali.
- BroadNet — traffico gonfiato artificialmente: rilevamento e difesa.