Firewall de SMS e Segurança da Operadora

Uma firewall de SMS é um elemento de rede que inspeciona o tráfego de mensagens A2P e P2P recebido para proteger a receita de uma operadora móvel e os seus assinantes. Situa-se no caminho das mensagens e aplica tanto a política de segurança como a política comercial sobre os remetentes empresariais.

O argumento comercial é direto: as mensagens A2P são uma fonte de receita significativa para a operadora, e o desvio por rota cinzenta faz perder essa receita. A função da firewall é detetar esse desvio, bloqueá-lo e forçar o tráfego de volta para os canais oficiais e faturados.

O argumento de proteção do assinante é igualmente importante: filtrar spam, smishing e spoofing de sender ID preserva a confiança na rede da operadora. As orientações da GSMA (a família IR.70/IR.71 e a série de segurança FS) enquadram os controlos que se espera que uma firewall implemente.

A rota cinzenta / MT-bypass é normalmente a maior fuga isolada: tráfego A2P entregue como P2P, ou injetado ao nível de sinalização, para evitar taxas de terminação. Detetá-lo significa reconhecer tráfego que se comporta como um remetente empresarial mas chega através de um caminho pessoa para pessoa.

O spoofing de sender ID e a personificação de marca permitem que os fraudadores enviem mensagens que parecem vir de um banco ou de um serviço conhecido. O smishing — phishing por SMS — aproveita isto, usando sender IDs convincentes e URLs maliciosos para roubar credenciais.

O abuso de SIM-farm e o spam acrescentam ameaças baseadas em volume: fan-out elevado, conteúdo repetido e picos de velocidade que uma firewall tem de distinguir do tráfego P2P legítimo de alto volume. As anomalias ao nível da sinalização — sondagem SRI-SM, endereços de MSC falsificados — são tratadas com referência aos controlos por categoria do GSMA FS.11.

O modo inline (proxy MT do SMSC) coloca a firewall diretamente no caminho das mensagens para que possa bloquear em tempo real. Oferece a aplicação mais forte, mas situa-se no caminho crítico, pelo que a alta disponibilidade e a baixa latência sob carga não são negociáveis.

O modo offline ou passivo espelha o tráfego para análise sem bloquear. É útil para estabelecer uma base de referência e afinar as regras de deteção antes da aplicação, e para produzir prova, mas não pode, por si só, impedir uma mensagem.

O home-routing é a implementação que fecha a brecha de desvio de forma mais decisiva, e merece a sua própria lição pela forma como muda o fluxo de sinalização.

Na entrega clássica por SS7, a rede emissora consulta primeiro a rede do destinatário com um SRI-SM (Send Routing Info for Short Message) para saber onde o assinante está localizado, e entrega depois a mensagem diretamente nesse local. O desvio explora isto injetando mensagens MT diretamente, contornando a faturação e os controlos da operadora.

O home-routing interceta o SRI-SM e devolve o endereço da firewall em vez da localização real do assinante. Todo o tráfego de terminação MT é então forçado a passar pela firewall, que o inspeciona, fatura e reencaminha — fechando o caminho de injeção direta.

É por isso que o home-routing é central para a garantia de receita A2P: torna a firewall um ponto de controlo incontornável para cada mensagem de terminação, em vez de um que um desvio engenhoso possa contornar.

Bloquear o desvio é apenas metade do valor; a outra metade é converter o tráfego recuperado em receita. Uma vez que o tráfego por rota cinzenta é forçado para os canais oficiais, torna-se A2P faturável — o argumento comercial central para implementar uma firewall.

Os programas sólidos executam primeiro novas regras em modo sombra/simulação sobre o tráfego real, para que uma mudança de política não cause falsos positivos que afetem a receita no momento do arranque. As mudanças de regras devem ser controladas por versão, auditáveis e com controlo de acesso.

A prova fecha o ciclo: relatórios exportáveis, reconciliação por rota que quantifica a fuga recuperada, e registos de sinalização que apoiam disputas com parceiros grossistas. Os produtos de firewall do lado da operadora e de firewall SS7 da BroadNet implementam estes controlos, apoiados pela certificação ISO 27001 e SOC 2 Type II.