SMSファイアウォールとは？

メッセージング経路におけるコントロールポイント

SMSファイアウォールは、通信事業者のSMSCおよびメッセージ相互接続（インターコネクト）上、またはその傍らに配置され、ネットワークに流入するSMSを検査します。SS7ファイアウォールがシグナリングを制御するのに対し、SMSファイアウォールはメッセージングを制御します。具体的には、person-to-person (P2P)トラフィックと、企業が送信するOTP、アラート、マーケティングなどのapplication-to-person (A2P)トラフィックを分離し、商用ポリシーおよびセキュリティポリシーを適用します。この区別こそがシステムの経済的な核心です。A2Pの着信は、重要な収益源となりますが、詐欺師はA2PをP2Pに偽装することで、この収益を絶えず回避しようと試みています。

• 企業向けのSMPP、MAP、およびSIPベースのメッセージフローを検査します。
• P2PとA2P、およびコンテンツカテゴリ（OTP、トランザクション、プロモーション）による分類
• セキュリティポリシー（ブロック/許可/スロットリング）および商用ポリシー（A2Pを正しく請求）を適用します。
• 通常、A2P収益化/ハブ契約と統合されます。

SMSファイアウォールの仕組み

ファイアウォールはSMS相互接続において、インラインで配置されます。具体的にはSS7/SIGTRANシグナリングパスおよびSMPPアプリケーションパス上です。各メッセージに対し、送信元ID、内容、送信元、スループットを検査し、ピアごとのレピュテーションおよびポリシーに基づいてスコアリングを行い、通過、タグ付け、レート制限、または破棄を決定します。すべての決定は監査のためにログに記録されます。

通信事業者がSMSファイアウォールを導入する理由

主な商業的推進力は、A2P収益化です。企業は加入者にリーチするために費用を支払いますが、そのトラフィックがグレールートやSIMボックスを通じてP2Pとして紛れ込んだ場合、通信事業者はそれを無料で着信させ、収益を失うことになります。SMSファイアウォールは、偽装されたA2Pを検知し、承認された課金対象のルートへと強制的に誘導します。これは、収益が漏洩するメッセージングチャネルか、利益を生むチャネルかの分かれ目となります。世界のA2Pメッセージング市場は年間数百億ドル規模に達するため、わずかな漏洩率であっても、無視できない大きな収益損失を意味します。

• P2Pを装ったA2Pによる収益損失を回収。
• 法人向けトラフィックが、契約に基づいた課金対象の着信を使用するように強制します。
• A2Pのホールセール取引をサポートするための商用データ（誰が何を送信しているか）を提供します。

グレールートとSIMボックス — 2つの典型的な漏洩ベクトル

グレールートとは、技術的には機能するものの、商業的または法的に認められていない配信ルートのことです。多くの場合、A2Pの着信料金を回避するために、A2PがP2Pとして注入されます。SIMボックス（SIMファーム）は、その物理的な形態です。これは、法人向けSMSを一斉送信する際、あたかも一般の加入者であるかのように振る舞い、無料で着信させるためのSIMが設置されたラックです。SMSファイアウォールは、メッセージの送信速度（単一の「加入者」が数千件のほぼ同一のメッセージを送信するなど）、コンテンツのフィンガープリント（多くの送信者間で同じOTPテンプレートを使用するなど）、および送信元の異常を検知することで、これらを特定します。また、グレールートは、人工的に膨張させたトラフィック（AIT）が流れる主要なチャネルでもあります。

• グレールート：A2Pの料金を回避するためにA2PをP2Pに偽装したもの。法的地位が不明確です。
• SIMボックス：ローカルなP2Pとして大量のA2Pを注入するSIMファーム。
• 検知方法：送信速度、コンテンツのフィンガープリント、送信元/挙動の異常。
• グレールートは到達率が不安定であり、AITおよびインターセプトの主な経路となります。

送信元IDの強制適用 — なりすまし送信の防止

英数字および数字の送信元IDは、プロトコルレベルで容易に偽装が可能であり、これがフィッシングメッセージが銀行や配送会社から送信されたように見える原因となっています。SMSファイアウォールは、登録済みの法人向け送信元IDをホワイトリスト化し、未登録のIDをブロックまたは隔離し、保護されたブランドを装うメッセージを拒否するという送信元IDポリシーを適用します。規制当局による登録制度によって、これはより具体化されています。例えば、インドのTRAI DLTフレームワークでは、送信者とテンプレートの事前登録が義務付けられており、業界が運営するMEF SMS SenderID Protection Registryにより、ブランドや通信事業者はネットワークを横断して特定の送信元IDを保護できます。

• 登録済みの法人向けSMS送信元IDを許可リストに登録し、それ以外をブロックまたは隔離します。
• 保護されたブランド名に対してなりすまし防止を適用。
• 規制当局の制度（例：インドのTRAI DLT登録）をサポート。
• 利用可能な場合は、MEF SMS SenderID Protection Registryと統合してください。

スミッシングとコンテンツの脅威

スミッシング（SMSフィッシング）は、悪意のあるリンクをクリックさせたり、認証情報を入力させたりすることで加入者を欺きます。SMSファイアウォールは、URLの抽出とレピュテーションチェック、既知の悪質リンクのブロックリスト、キーワードおよびテンプレートマッチング、そしてシグネチャではなく構造によって新しいキャンペーンを検知する機械学習分類器といったコンテンツ制御を適用します。詐欺師はURLや文言を素早く変更するため、効果的なスミッシング対策には、静的なブロックリスト（高速かつ正確）と、行動/機械学習による検知（適応型）を組み合わせる必要があり、どちらか一方だけに頼ることはできません。

• 埋め込まれたURLの抽出とレピュテーションチェック。
• 既知の悪意のあるリンクやテンプレートをブロック
• 言い換えられたキャンペーンや新しいキャンペーンを検知するML分類。
• 確認されたスミッシングのパターンをルールベースにフィードバックします。

検知の仕組み — DPIと機械学習による解析

SMSファイアウォールは、ディープパケットインスペクション（DPI）と統計および機械学習分析を組み合わせています。DPIはメッセージとプロトコルフィールドを解析してP2PとA2Pを分類し、送信元IDとURLを抽出し、シグネチャルールを適用します。機械学習は行動レイヤーを追加します。送信元ごと、および配信ルートごとの通常のボリュームのベースラインを設定し、急増やパターンの変化をフラグ立てし、単一のメッセージでは判別できないグレールートやAIT（人為的に水増しされたトラフィック）の特徴を持つトラフィックをスコアリングします。シグネチャルールは精度とスピードを提供し、機械学習は絶えず変化する詐欺に対する適応性を提供します。

• DPI：プロトコル/コンテンツ解析、分類、シグネチャルール。
• ML：行動ベースライン、異常検知、および不正スコアリング。
• Fusion：ルールの精度とモデルの適応性の融合。

2つのプレーン：A2P/コンテンツvs SS7/シグナリング

完全なファイアウォールは2つのプレーンをカバーします。A2P（コンテンツ）ファイアウォールは、SMPPメッセージ本文、送信元ID、およびURLを検査します。シグナリングファイアウォールは、位置追跡や傍受を阻止するためにSS7 MAPおよびDiameter操作を検査します。ベストプラクティスは、両方をカバーし、加入者のレピュテーションを共有する単一のポリシーエンジンを使用することです。スタックが分かれていると、設定に乖離が生じます。詳細は/answers/gsma-fs07-fs11-signaling-firewallおよび/operators/ss7-firewallを参照してください。

デプロイメントと運用

SMSファイアウォールは、SMSC/インターコネクトに統合され、インライン（リアルタイムでのブロック）またはチューニング用の分析モードとして動作します。運用面では、通信事業者規模のスループットを処理し、不正対策チームやホールセールチーム向けに明確なレポートを提供し、脅威や規制の変化に合わせて常に最新の状態を維持する必要があります。多くの通信事業者は、パートナーが接続先のネットワーク到達範囲や送信元IDの登録も提供する、マネージドなA2P/ハブニング関係の一環としてこれを運用しています。これは、BroadNetの通信事業者向けSMSファイアウォールが通常提供される仕組みです。

• SMSC/interconnectでの統合。インラインでの強制適用および分析モード。
• キャリアグレードのスループットと可用性。
• セキュリティチームおよびホールセールチーム向けの、不正検知および商用レポート。
• 多くの場合、マネージドなA2P収益化サービスとして提供されます。

制限事項と運用の実態

ファイアウォールの性能は、チューニングの精度に依存します。ルールが過度に厳格すぎると、正当なA2Pをブロックする誤検知が発生し、逆にチューニングが不十分だと収益漏れを招きます。継続的なルールのメンテナンスと最新のレピュテーションフィードが必要です。また、暗号化されたOTTチャネルの内部を検査することはできません。WhatsAppおよびRCSのトラフィックは、完全にSMSファイアウォールの監視範囲外となります。詳細は/answers/what-is-ott-bypassを参照してください。