скусственный интеллект обнаруживает мошенничество с A2P-SMS, изучая нормальное поведение трафика в сети и отмечая отклонения от него. Межсетевой экран SMS на основе машинного обучения определяет скорость, разветвленность и односторонность трафика для каждого отправителя, оценивает содержимое сообщений на предмет спама и фишинга, выявляет A2P-трафик, замаскированный под P2P, и блокирует его в замкнутом цикле — обнаруживая адаптивные атаки, которые пропускают фиксированные правила.
Почему межсетевых экранов, ограничивающихся только правилами, перестало быть достаточно.
Первое поколение SMS-брандмауэров представляло собой стену из статических правил: белые списки идентификаторов отправителей, списки заблокированных URL-адресов и ключевых слов, фиксированные пороговые значения скорости и списки репутации маршрутов, поддерживаемые вручную. Эта модель по-прежнему выявляет очевидные случаи, но имеет структурный недостаток — она может блокировать только тот шаблон, который кто-то уже видел, назвал и для которого написал правило. Мошенничество развивается быстрее, чем написание правил. Злоумышленники меняют идентификаторы отправителей, создают новые диапазоны номеров, перефразируют фишинговые приманки и распределяют трафик по множеству источников, чтобы не превысить лимиты на каждый источник. К тому времени, как появляется статическое правило, кампания уже переместилась на другой объект.
Именно поэтому современная безопасность обмена сообщениями сместилась в сторону обнаружения мошенничества в SMS-сообщениях с помощью ИИ, наложенного поверх детерминированных правил — не заменяя их, а обобщая за их пределы. В рекомендациях GSMA по безопасности обмена сообщениями межсетевой экран SMS рассматривается как контрольная точка оператора именно для этого: проверки каждого сообщения и оценки его соответствия базовым показателям сети, а не фиксированному списку. Межсетевой экран SMS на основе машинного обучения сохраняет быстрые, объяснимые правила для известного вредоносного трафика и добавляет статистические модели, которые выявляют неизвестный вредоносный трафик — трафик, который никогда ранее не встречался, но ведет себя совершенно не так, как реальная база абонентов.
Что именно анализирует межсетевой экран SMS на основе машинного обучения?
Межсетевой экран, дополненный машинным обучением, не рассматривает сообщение изолированно. Он оценивает каждое отправленное сообщение, сравнивая его с динамичной картиной поведения отправителя, маршрута и получателя, построенной на основе собственного трафика оператора. Большую часть работы выполняют четыре семейства сигналов.
Поведенческий фингерпринтинг трафика
Каждый добросовестный отправитель имеет свою структуру — характерное сочетание объема, времени отправки, распределения получателей и двустороннего взаимодействия. Массовое мошенничество и накачивание имеют другую структуру, и модель учится их различать. Наиболее важными поведенческими характеристиками являются:
- Скорость — количество сообщений в секунду от отправителя и то, насколько резко эта скорость увеличивается по сравнению с её историческим значением.
- Показатель веерного распространения — количество различных адресов, к которым обращается один отправитель или короткий код в пределах одного окна; трафик обоих каналов распространяется гораздо шире и быстрее, чем это делает человек, использующий мобильный телефон.
- Коэффициент одностороннего трафика — доля трафика, который только отправляется и не получает входящих ответов, что является характерной чертой A2P-трафика, маскирующегося под P2P.
- Перекрытие и концентрация получателей — скопление звонков на небольшом наборе префиксов или у одного иностранного оператора, не имеющего деловых оснований для обработки вашего объема.
- Нарушение регулярности сообщений — слишком равномерные интервалы между сообщениями или вспышки, которые следуют расписанию, а не суточному ритму человеческой жизни.
Выявление аномалий относительно базовых показателей
Поведенческие отпечатки имеют значение лишь относительно нормы. Модели обнаружения аномалий определяют базовый уровень для каждого маршрута, класса отправителя и времени суток, а затем измеряют, насколько сильно текущий трафик отклоняется от него. Поскольку базовый уровень определяется для каждого контекста и постоянно обновляется, система адаптируется к сезонности — например, к рекламной акции в розничной торговле, всплеску активности в дни матчей, объемам рассылок во время Рамадана в странах Персидского залива — вместо того, чтобы срабатывать на основе жесткого фиксированного порогового значения. Она отмечает не «большой объем», а «неправильный объем для этого отправителя, на этом маршруте, в это время», что и является именно тем обнаружением аномалий в SMS-трафике, которое отличает реальный всплеск рекламной кампании от атаки.
Классификаторы контента для спама и фишинга
Наряду с анализом поведения, модели классификации считывают тело сообщения. Обученные на размеченном спаме, фишинге (смишинге) и легитимном транзакционном трафике, они обобщают данные на приманки, которые они никогда раньше не встречали — завуалированные URL-адреса, схемы подделки брендов, уловки с омоглифами и фразы, используемые в социальной инженерии, — в то время как статический список блокировки ключевых слов пропустил бы этот вариант. В сочетании с репутацией URL-адреса и контекстом отправителя, оценка содержимого сообщает межсетевому экрану, пытается ли сообщение, которое выглядит структурно корректным, фишить подписчика.
Обнаружение злоупотреблений идентификатором отправителя
Зарегистрированные буквенно-цифровые идентификаторы отправителей являются излюбленной целью мошенников: они подделывают идентификатор доверенного бренда, чтобы обойти подозрения подписчиков в фишинге, или используют незарегистрированный идентификатор для переадресации «серого» трафика. Модели изучают легитимный след каждого идентификатора отправителя — его обычные маршруты, объемы, контент и адреса назначения — и отмечают, когда идентификатор внезапно появляется на неожиданном маршруте или содержит контент, непохожий ни на что из ранее отправленного. Это злоупотребление идентификаторами отправителей, которое невозможно обнаружить с помощью одного только реестра, поскольку сам идентификатор действителен; изменилось лишь его поведение.
Автоматическое обнаружение серых маршрутов
Самое ценное, что ИИ добавляет к межсетевому экрану оператора, — это обнаружение «серых маршрутов» без ожидания проверки человеком. «Серый маршрут» — это трафик A2P, проникающий в сеть как P2P-трафик потребителей — через SIM-боксы, сторонние бэкдоры HLR или незаявленные межсоединения — чтобы избежать платы за завершение A2P-соединения. Он невидим для списка правил, потому что в каждом сообщении выглядит обычным. Он раскрывается только в совокупности: высокоскоростной трафик, предназначенный только для отправки, из диапазонов, которые должны быть малозагруженными мобильными устройствами, с почти нулевым количеством входящих ответов и шаблонами назначения, которые не стали бы демонстрировать реальные абоненты.
Поведенческие модели созданы для того, чтобы точно определить эту совокупную сигнатуру. Сравнивая одностороннее распределение, разветвление и скорость трафика, поступающего в сеть, с поведением реальных P2P-абонентов, межсетевой экран постоянно выявляет подозрительные «серые маршруты» — обнаружение «серых маршрутов» происходит в фоновом режиме, а не в рамках ежеквартальной проверки. Для оператора это прямой возврат дохода: каждое правильно переклассифицированное A2P-сообщение — это плата за завершение соединения, которая предотвращает утечку через P2P-бэкдор. Именно так межсетевой экран BroadNet для SMS-сообщений защищает оптовую маржу по 1000+ подключениям операторов за платформой.
Выявление SMS-мошенничества и AIT с помощью машинного обучения
Накрутка SMS-трафика — искусственно завышенный трафик (AIT) — это мошенничество, которое, пожалуй, лучше всего способен выявлять ИИ, поскольку оно сильно отличается от поведения человека. Боты используют одноразовые пароли и формы подтверждения для генерации платных рассылок на номера, контролируемые сговорившимся лицом, и ни один человек никогда не читает код. Характерным признаком является резкое снижение соотношения отправленных кодов к фактически введенным, в сочетании с концентрацией получателей и машинной обработкой времени. Модель машинного обучения, отслеживающая конверсию, распространение и стоимость подтверждения среди отправителей, выявляет попытку накрутки на ранних этапах, когда статическое ограничение скорости замедляет только один источник, а распределенные атаки обходят его стороной. Мы подробно рассматриваем этот вопрос в статье Накрутка SMS-трафика и мошенничество с использованием AIT в 2026 году.
Поскольку пересылка сообщений является адаптивной, обнаружение также должно быть адаптивным. Модели BroadNet антимошеннические SMS одновременно коррелируют пропускную способность, сходство контента и совпадение получателей для множества отправителей и маршрутов, поэтому атака, остающаяся ниже каждого порогового значения для каждого источника, все равно выделяется как скоординированная схема на сетевом уровне. Именно эта межисточниковая корреляция является той частью, которую правила не могут воспроизвести.
Межсетевые экраны, использующие только правила, против межсетевых экранов, дополненных машинным обучением.
Эти два подхода дополняют друг друга, а не конкурируют. Детерминированные правила быстры, объяснимы и идеально подходят для заведомо вредоносного трафика; машинное обучение обобщается на новые и скоординированные ситуации. В наиболее эффективных системах используются оба подхода, при этом модель автоматически добавляет новые шаблоны в набор правил после того, как они становятся понятными.
| Возможности | Межсетевой экран, содержащий только правила. | Межсетевой экран, дополненный машинным обучением |
|---|---|---|
| Основа обнаружения | Статические списки блокировки, фиксированные пороговые значения | Получены базовые показатели для каждого отправителя, маршрута и часа. |
| Новые схемы атак | Упускается из виду, пока не будет написано правило. | Отмечены как аномалии при первом появлении |
| Открытие с помощью «серого маршрута» | Ручное расследование, периодическое | Автоматический и непрерывный, с нанесением отметок в линию. |
| Угрозы контенту | Списки заблокированных ключевых слов и URL-адресов | Классификаторы, обобщающие данные на невидимый спам и фишинг. |
| Распределенные / медленные атаки | Обходит ограничения на количество источников. | Выявлено с помощью межисточниковой корреляции |
| Ложные срабатывания при реальных вспышках | Тупой — блокирует реальные скачки | Учитывает контекст, адаптируется к сезонности |
| Обслуживание | Постоянная ручная настройка правил | Переобучение на основе отзывов аналитиков, замкнутый цикл. |
Блокировка с обратной связью: от обнаружения к действию
Обнаружение полезно только в том случае, если оно срабатывает в режиме реального времени, до того, как мошенническое или сомнительное сообщение будет аннулировано и комиссия будет потеряна. Межсетевой экран с замкнутым циклом выполняет полный цикл в режиме реального времени, без участия человека:
- При обработке каждого отправленного сообщения, оно оценивается сразу же после поступления в SMSC по таким параметрам, как поведение, содержание, идентификатор отправителя и репутация маршрута.
- Оценка — модель выдает оценку риска, которая объединяет эти характеристики в единую пороговую переменную принятия решения.
- Принимайте решения — политика сопоставляет оценку с действием: разрешить, ограничить, поместить на карантин для проверки или полностью заблокировать.
- Применение санкций — действие выполняется на межсетевом экране за миллисекунды, поэтому заблокированный трафик никогда не завершается и за него никогда не взимается плата.
- В процессе обучения решения аналитиков, а также результаты последующей доставки и конверсии используются для переобучения модели, что позволяет ужесточить базовый уровень по отношению к следующему варианту.
Эта обратная связь позволяет системе защиты от мошенничества на основе ИИ опережать адаптивные методы: каждая заблокированная кампания оттачивает модель для следующей. В системах, использующих только правила, такой петли нет — они ждут, пока аналитик заметит, диагностирует проблему и вручную напишет следующее правило.
Угол между операторами стран Ближнего Востока и Северной Африки, а также стран Персидского залива.
Для операторов в Саудовской Аравии, ОАЭ, Египте и регионе в целом экономическая ситуация очевидна. Высокодоходные международные A2P-терминалы в сетях стран Персидского залива делают эти маршруты привлекательной целью для арбитража и накачки трафика на «серых» маршрутах, а региональные регуляторы все чаще требуют регистрации идентификатора отправителя и использования межсетевых экранов в качестве условия монетизации A2P-трафика. Межсетевой экран с поддержкой машинного обучения одновременно выполняет обе функции: защищает доход от терминации, переклассифицируя замаскированный A2P-трафик, и обеспечивает контроль идентификатора отправителя и контента, который регуляторы ожидают от трафика, часто многоязычного и с использованием смешанных скриптов. BroadNet использует инфраструктуру обмена сообщениями операторского класса с 2003 года в 200+ странах с уровнем обслуживания 99,99%, имеет сертификаты ISO 27001, ISO 9001 и ISO 22301, а также сертификат SOC 2; те же модели, которые защищают эти маршруты, используют более широкую корпоративную платформу BroadNet AI для анализа контента и рисков.
Защита доходов операторов начинается на уровне передачи данных. Межсетевой экран BroadNet для SMS-сообщений оценивает каждое отправленное сообщение непосредственно в сети — поведенческие параметры, классификаторы контента, репутацию идентификатора отправителя и автоматическое обнаружение «серых» маршрутов — и блокирует их в замкнутом цикле до того, как мошенническое сообщение будет отправлено. Запросите оценку трафика на ваших приоритетных маршрутах.
Часто задаваемые вопросы
Как ИИ выявляет мошенничество с SMS-сообщениями?
Искусственный интеллект обнаруживает мошенничество с SMS-сообщениями, изучая нормальное поведение сетевого трафика и отмечая отклонения. Межсетевой экран на основе машинного обучения определяет скорость каждого отправителя, распределение, коэффициент односторонней рассылки и время отправки, сравнивает текущий трафик с базовым показателем для каждого маршрута и запускает классификаторы контента для выявления спама и фишинга. Он оценивает каждое сообщение непосредственно в тексте и блокирует то, что ведет себя не так, как реальная база подписчиков, выявляя новые закономерности еще до того, как сформируется статическое правило.
Может ли машинное обучение остановить распространение SMS-сообщений с целью накрутки?
Да, это один из самых эффективных инструментов против этого. Накачка генерирует машинно-регулируемый трафик с высокой частотой отправки одноразовых паролей (OTP) и резким снижением соотношения отправки к проверке, что модель обнаруживает гораздо раньше, чем установленное ограничение скорости. Важно отметить, что машинное обучение сопоставляет активность из множества источников одновременно, поэтому распределенные атаки, остающиеся в пределах лимитов для каждого источника, все равно проявляются как скоординированная схема. Наилучшие результаты достигаются в сочетании с ограничением скорости и проверкой количества паролей.
Как межсетевые экраны автоматически обнаруживают «серые маршруты»?
Анализируя совокупную сигнатуру A2P-трафика, замаскированного под P2P, можно обнаружить, что «серый» трафик выглядит обычным сообщением по отдельности, но в больших объемах демонстрирует высокую пропускную способность, направленность только на отправку, практически нулевое количество входящих ответов, широкое распространение и концентрацию адресов назначения, которые не генерирует ни один настоящий мобильный телефон. Поведенческие модели сравнивают входящий трафик с реальными базовыми показателями P2P и постоянно выявляют подозрительные «серые» маршруты, поэтому переклассификация и возврат средств происходят в режиме реального времени, а не в ходе периодической ручной проверки.
Ссылки
- GSMA — Ресурсы по безопасности сообщений, межсетевым экранам для SMS и борьбе с мошенничеством в сети A2P: gsma.com
- GSMA — Руководство по борьбе с мошенничеством и обеспечению безопасности (серия FS) для сетей обмена сообщениями: gsma.com
- BroadNet — Операторы: SMS-брандмауэр и система защиты от мошенничества SMS.
- BroadNet — Блог: Мошенничество с SMS-рассылками и AIT в 2026 году.