fraude de SIM box — também chamada de bypass de interconexão — consiste em encaminhar uma chamada internacional pela internet e reoriginá-la como uma chamada móvel local através de um conjunto de cartões SIM de consumidores, evitando a tarifa de terminação internacional devida à operadora de destino. A operadora recebe tráfego local barato em vez de uma chamada internacional de entrada e perde a receita de liquidação. As operadoras detetam essa prática com geração de chamadas de teste, análise de CDR e comportamento, anomalias de sinalização e classificação por aprendizagem automática.
Este é o modelo de ameaças detalhado por trás das nossas ferramentas para operadores. Para obter uma visão geral do produto, consulte deteção de SIM box e o conjunto mais amplo de soluções para operadores.
O que é, de facto, um SIM box?
Um SIM box — também conhecido como gateway GSM — é um dispositivo que abriga de algumas a centenas de cartões SIM e faz a ponte entre o tráfego IP (VoIP) e uma rede móvel ativa. Ele apresenta cada SIM à rede como um aparelho comum, de modo que as chamadas feitas por meio dele parecem uma atividade normal do assinante. A tecnologia em si é legítima: empresas usam gateways GSM para encaminhamento de menor custo dentro de um PABX. Torna-se fraudulenta quando é usada para terminar tráfego internacional como chamadas locais, o que é ilegal na maioria dos mercados e uma violação direta dos acordos de interconexão entre operadoras.
Como funciona a fraude de bypass de interconexão
Cada chamada internacional possui uma tarifa de terminação internacional por minuto, que é o valor contratual devido à operadora de destino por entregá-la ao assinante. Essa tarifa representa a receita que a operadora recebe pela terminação do tráfego internacional. A burla de bypass existe para explorar a diferença entre essa tarifa internacional e o custo quase zero de uma chamada local dentro da mesma rede.
O mecanismo é simples. Um operador de bypass compra pacotes de minutos internacionais por grosso, transmite-os pela internet pública como VoIP para um dispositivo SIM localizado fisicamente no país de destino e reorigina cada chamada a partir de um cartão SIM local. A chamada chega ao destinatário como uma chamada móvel local comum, com um identificador de chamadas (CLI) nacional. A operadora legítima nunca vê uma chamada internacional de entrada — ela vê o tráfego na sua rede, cobra-o a tarifas locais (frequentemente agrupadas, próximas de zero) e o fraudador fica com a arbitragem. Quanto maior a taxa de terminação internacional de um país em relação ao custo de chamadas domésticas, mais lucrativo se torna o bypass, razão pela qual ele se concentra em corredores com alto tráfego de entrada e grande número de diásporas — um problema persistente de perda de receita para as operadoras do GCC e da região MENA em geral, que terminam grandes volumes de tráfego internacional.
Porque os operadores perdem duas vezes?
O bypass não se resume apenas à perda de receita com liquidações. Chamadas reoriginadas também degradam a experiência do assinante: o número real de um chamador estrangeiro é substituído por um número local rotativo, tornando o identificador de chamadas inútil e prejudicando a qualidade da voz devido à conexão VoIP. A operadora absorve o custo reputacional da baixa qualidade das chamadas internacionais que não causou, enquanto o tráfego que deveria ter pago uma taxa de terminação não paga nada.
Além da voz: rotas cinzentas de SMS A2P e interceção de OTP
Os mesmos bancos de SIM são facilmente reaproveitados para mensagens. Em vez de terminar chamadas de voz, o dispositivo termina SMS de aplicação para pessoa (A2P) — códigos de verificação, alertas, marketing — como se fosse tráfego de pessoa para pessoa enviado de um aparelho do consumidor. A operadora cobra tarifas P2P (frequentemente próximas de zero) e o agregador embolsa a margem A2P. Este é o ramo do problema das rotas cinzentas que envolve o dispositivo SIM, e ele desperdiça a receita A2P exatamente da mesma forma que o bypass de voz desperdiça a receita de terminação.
Isso também acarreta um custo de segurança. Os dispositivos SIM que lidam com tráfego OTP podem ser usados para intercetar ou observar palavras-passe de uso único, e a mesma infraestrutura permite ataques de smishing em larga escala sob identidades de remetentes locais descartáveis. É por isso que a deteção de bypass e a defesa contra fraudes em mensagens devem estar interligadas — as rotas que causam fuga de receita são frequentemente as rotas que colocam os assinantes em risco. Veja como as duas se conectam em anti-fraud SMS para operadoras.
Assinante legítimo vs. SIM box: a assinatura comportamental
A essência da deteção reside no facto de que um dispositivo SIM, por mais bem escondido que esteja, não consegue se comportar como um assinante humano por muito tempo. O SIM de uma pessoa real se move, recebe chamadas, usa dados e interage com uma pequena rede social recorrente em intervalos irregulares, típicos de pessoas reais. Um dispositivo SIM não faz nada disso. A lacuna comportamental é a impressão digital.
| Sinal | Assinante legítimo | SIM-box SIM |
|---|---|---|
| Direções para ligar | Combinação de tráfego de entrada e saída. | Quase exclusivamente para o exterior |
| Volume diário de chamadas | Algumas a dezenas de chamadas | Centenas a milhares de chamadas |
| Mobilidade / transferência | Move-se através de células e TACs | Estático — mesma célula 24 horas por dia, 7 dias por semana. |
| Destinos | Contactos repetidos, um gráfico social | Uma longa lista de números não relacionados, sem retorno de chamadas. |
| tempo entre chamadas | Lacunas irregulares, humanas | Regular à máquina, frente a frente |
| Dispositivo (IMEI) | Um aparelho por SIM | Vários SIMs alternando entre poucos IMEIs de gateway. |
| Uso de dados/VAS | Navegação, aplicações, roaming | Pouco ou nenhum — apenas voz/SMS |
Como as operadoras detetam fraudes com o SIM box
Nenhum método isolado é suficiente; equipas experientes em garantia de receita executam vários em paralelo e os correlacionam antes de bloquear um SIM, para evitar falsos positivos que afetem assinantes legítimos, como centrais de atendimento ou dispositivos M2M. Os quatro métodos que importam são:
- Geração de chamadas de teste (TCG). Parceiros de teste independentes fazem chamadas para a rede a partir de várias origens internacionais. Se uma chamada enviada como internacional chegar ao aparelho de teste com um número A local (ou um CLI suprimido), o SIM de destino contornou a interconexão — e o CLI identifica diretamente o SIM infrator.
- Análise de CDR e comportamento. Estabeleça uma linha de base para cada MSISDN a partir dos registos de detalhes de chamadas e identifique a assinatura do SIM box: chamadas somente de saída, volume diário anormalmente alto, nenhuma chamada de entrada, uma longa lista de destinos não relacionados e intervalos entre chamadas regulares, típicos de máquinas.
- Anomalias de sinalização e de rede. Procure por SIMs que nunca realizam atualizações de localização, permanecem conectados a uma única célula continuamente, não apresentam mobilidade normal ou partilham um IMEI entre vários SIMs — padrões visíveis na camada de sinalização que um firewall SS7 e sondas de rede podem detetar.
- Classificação por aprendizagem automática. Agrupa e pontua cada SIM com base num vetor de múltiplas características (volume, direção, mobilidade, tempo, reutilização de IMEI, entropia de destino), de forma que fraudadores adaptativos que reduzem o volume ou trocam de SIM para imitar humanos ainda sejam detetados pelas regras de padrão composto, que, por si só, não seriam identificados.
O TCG comprova que uma rota específica está a ser contornada; o CDR e o ML encontram os SIMs em larga escala; a sinalização confirma o comportamento em nível de rede. A combinação desses dados fornece tanto as evidências para bloquear um SIM quanto a segurança para não bloquear um SIM legítimo.
Defesa, aplicação da lei e a perspetiva do Médio Oriente e Norte de África
Uma vez identificado um dispositivo SIM, a aplicação de medidas é feita em camadas: bloqueio dos SIMs infratores, reforço dos controlos de aprovisionamento de SIMs para dificultar a reativação (limites de velocidade em novas ativações, KYC em compras em massa) e conciliação dos CDRs de chamadas internacionais recebidas com os volumes de terminação esperados para quantificar a fuga. A deteção precisa ser contínua, pois os operadores que burlam a segurança respondem rotacionando os SIMs, limitando o volume por SIM e movendo os dispositivos entre células — um ciclo vicioso que prioriza a definição de padrões de comportamento em detrimento de regras estáticas.
Na região MENA e, especificamente, no GCC, os altos volumes de chamadas internacionais recebidas, os extensos corredores de chamadas da diáspora e as taxas de terminação comparativamente altas fazem do bypass um item essencial na garantia de receita das operadoras. A definição de parâmetros específicos para cada região é crucial: os padrões de chamadas locais, as normas de aprovisionamento de SIM e as topologias de roaming diferem o suficiente das médias globais para que um modelo genérico possa superestimar ou subestimar a precisão. É nesse contexto regional que uma arquitetura de deteção nativa da região MENA se mostra eficaz.
Desde 2003, a BroadNet avalia o tráfego de operadoras da região MENA em busca de fraudes de bypass e A2P, combinando a análise comportamental de CDR, inteligência de chamadas de teste, verificações de sinalização e classificação por aprendizagem automática em 1,000+ conexões de operadoras. Consulte Deteção de SIM box e SMS antifraude para obter mais informações sobre as operadoras.
Perguntas frequentes
O que é um SIM box?
Um SIM box, ou gateway GSM, é um dispositivo que armazena vários cartões SIM e conecta o tráfego VoIP a uma rede móvel, apresentando cada SIM como um aparelho comum. Essa tecnologia tem usos legítimos em PBX, mas em fraudes, ela recebe chamadas internacionais pela internet e as retransmite como chamadas locais de telemóvel, fazendo com que a operadora veja tráfego local barato em vez de tráfego internacional faturável e perca a taxa de terminação.
Como funciona a fraude de bypass de interconexão?
Cada chamada internacional possui uma tarifa de terminação por minuto devida à operadora de destino. Um operador de bypass compra esse tráfego por grosso, o encaminha via VoIP para um dispositivo SIM dentro do país e reorigina cada chamada a partir de um SIM local. A chamada termina como tráfego local barato com um identificador de chamadas local; o fraudador fica com a diferença entre a tarifa internacional e o custo do SIM local, e a operadora perde a receita de liquidação.
Como as operadoras detetam fraudes com SIM boxes?
Por meio de quatro métodos correlacionados: geração de chamadas de teste, em que chamadas internacionais recebidas com identificadores de chamadas locais expõem o SIM de bypass; análise de CDR e comportamento que sinaliza SIMs somente para chamadas de saída, de alto volume e sem mobilidade; anomalias de sinalização, como conexão estática de célula única e reutilização de IMEI; e classificadores de aprendizagem automática que pontuam cada SIM num vetor de características composto. As operadoras combinam todos os quatro, com verificações cruzadas de roaming e HLR, para obter confiança antes de bloquear um SIM.
Referências
- GSMA — Grupo de Fraude e Segurança (FASG): tipologias de bypass de interconexão e fraude de SIM box: gsma.com
- GSMA — Manual de Fraude e orientações de garantia de receita para operadoras móveis: gsma.com
- BroadNet — Operadoras: deteção de SIM box, SMS antifraude e o firewall SS7.