ошенничество с разделением доходов от международных звонков (International Revenue Share Fraud, IRSF) — это телекоммуникационная афера, при которой мошенники получают международные номера с повышенной тарификацией (International Premium Rate Numbers, IPRN), а затем искусственно закачивают на них трафик — через взломанные АТС, SIM-боксы или обратные звонки Wangiri — так что оператор-источник платит завышенные межоператорские и расчетные сборы, в то время как мошенник и сообщник-провайдер номеров делят между собой доход от абонентской платы за завершение звонка.
IRSF — это аналог искусственно завышенного трафика в голосовой связи. Если вы читали наш анализ мошенничества с SMS и AIT, то экономическая схема здесь покажется вам знакомой: автоматизируйте платное событие, завершите его в диапазоне, на котором вы получаете прибыль, и пусть жертва оплатит счет.
Что такое IRSF и почему она существует?
В основе каждой схемы IRSF лежит международный платный номер (IPRN). IPRN имеют законное происхождение — это международный эквивалент внутренней платной линии, используемой для платного контента, голосования и технических тестовых полигонов, — и за их завершение взимается плата, превышающая стандартную, которая делится с тем, кто арендует номер. Суть механизма распределения доходов заключается в следующем: провайдер IPRN выплачивает партнеру часть платы за каждую минуту, затраченную на соединение с этим полигоном. Мошенничество начинается, когда трафик генерируется искусственно, и за него платит оператор, а не звонящий по собственной воле.
Система IRSF продолжает существовать, потому что плата взимается поминутно, выплаты производятся автоматически, а убытки часто остаются незаметными до тех пор, пока не придет общий счет через несколько недель. В отличие от украденного телефона или клонированной SIM-карты, здесь нет очевидной жертвы, поднимающей тревогу в разгар атаки — деньги незаметно утекают через международную расчетную цепочку, которая связывает партнеров по межсетевому взаимодействию voice.
Распределение доходов: кто получает оплату
IRSF лучше всего понимать как схему распределения доходов, замаскированную под обычный международный трафик. У каждой стороны в цепочке есть явный стимул, за исключением той, которая платит. В таблице ниже показано, как деньги перемещаются от оператора-жертвы к мошеннику.
| Вечеринка | Роль в схеме | Как они получают прибыль |
|---|---|---|
| Мошенник / накрутчик трафика | Генерирует искусственные звонки или обратные звонки в премиум-сегмент. | Доля выручки от премиальной платы за терминацию |
| IPRN-провайдер | Арендует международный платный номер и делится полученной прибылью. | Запас по минутам ограничивается указанным диапазоном. |
| Оператор завершения, связанный с явным присутствием | Предлагает услуги премиум-класса и взимает плату за минуты, потраченные после завершения сеанса. | Завышенные доходы от международной терминации |
| Пострадавший оператор или корпоративная АТС | Инициирует трафик, обычно неосознанно. | Ничего — оплачивает завышенные счета за межсетевое соединение и расчеты. |
| Транзитные операторы | Передавайте звонки добросовестно по всей цепочке расчетов. | Обычные транспортные сборы, плюс риски, связанные с разрешением споров и репутацией. |
Эта структура объясняет, почему так сложно отменить IRSF постфактум. К тому моменту, когда оператор конечного пункта выставляет счет транзитному оператору, а транзитный оператор — оператору исходного пункта, страховая премия уже распределена и переведена на другой пункт. Возврат средств означает урегулирование спора в нескольких юрисдикциях, и именно поэтому операторы получают прибыль за счет предотвращения подобных ситуаций на стороне исходного пункта.
Как мошенники накачивают трафик до премиум-сегмента
IRSF необходим источник трафика, направленный в зону действия мошенника. Ниже описаны распространенные методы, способствующие этому: некоторые используют перехват сети другой стороны, некоторые обманом заставляют реального абонента совершить звонок, а некоторые используются в комбинации, чтобы трафик выглядел естественным.
- Мошенничество с использованием АТС/прямого вызова — злоумышленники методом перебора взламывают голосовую почту, SIP или DISA на плохо защищенной корпоративной АТС и совершают исходящие звонки на платные номера, как правило, в течение ночи или выходных, чтобы счет пришел до того, как кто-либо это заметит.
- SIM-боксы и скомпрометированные устройства — группы SIM-карт или зараженные вредоносным ПО телефоны совершают автоматические звонки в зоны действия мошенника, распределяя объем звонков по множеству источников, чтобы обойти простые пороговые значения для каждой линии.
- Обратные звонки Wangiri — один пропущенный звонок с одним гудком заманивает абонента перезвонить на международный платный номер; эта возвращенная минута — выплата. Wangiri — это классический способ распространения мошенничества с использованием международных телефонных номеров, голосовой эквивалент автоматического запуска, наблюдаемого в мошенничестве с мессенджерами.
- Злоупотребление роумингом — мошенник использует украденную или незаконно приобретенную SIM-карту за границей для завершения платных звонков; домашний оператор видит стоимость только спустя несколько недель в процессе клиринга роуминга, задержку в расчетах, за которой внимательно следят операторы хабов в странах Персидского залива.
- Тестовые номера и незанятые диапазоны — мошеннические группировки используют диапазоны номеров, зарезервированные для тестирования или еще не введенные в коммерческую эксплуатацию, где системы мониторинга и базы данных диапазонов отстают от реальной ситуации в сети.
Мошенничество с дозвоном заслуживает особого внимания, поскольку его легче всего предотвратить: подавляющее большинство взломанных АТС происходит из-за использования пароля по умолчанию или слабого пароля в доступной через интернет голосовой почте или SIP-сервисе. Одна неправильно настроенная телефонная станция может привести к пятизначным убыткам за одни выходные, поэтому усиление защиты АТС включено в каждый серьезный план защиты.
Почему IRSF является одной из крупнейших категорий мошенничества в сфере телекоммуникаций
В отраслевых исследованиях мошенничества неуклонно указывается, что несанкционированное мошенничество в сфере телекоммуникаций (IRSF) входит в число наиболее опасных видов мошенничества, с которыми сталкиваются операторы. Ассоциация по борьбе с мошенничеством в сфере связи (CFCA), чье глобальное исследование потерь от мошенничества в телекоммуникациях проводит опросы операторов по всему миру, неоднократно ставила IRSF на первое место среди методов, приводящих к потерям от мошенничества, и оценивает общие потери от мошенничества в отрасли в десятки миллиардов долларов США в год. GSMA также рассматривает IRSF как основную категорию мошенничества в своих рекомендациях по безопасности операторов.
Причина, по которой IRSF остается на вершине, кроется в структурных факторах, а не в случайности. Плата взимается поминутно, диапазон номеров может быть создан в малоизвестном месте быстрее, чем база данных успевает его отметить, и жертва часто обнаруживает потерю только после получения выписки по расчетному счету. Если ограничить его одним маршрутом, трафик просто переместится в другой диапазон номеров — именно поэтому система обнаружения должна отслеживать поведение, а не просто блокировать статический список.
Как операторы обнаруживают и защищаются от IRSF
Ни один отдельный механизм не останавливает мошенничество с использованием чужих данных. Оно сдерживается путем наложения мониторинга поведения в реальном времени на разведывательные данные о дальности действия, жестких коммерческих ограничений и усиления защиты на периферии сети — той же многоуровневой модели защиты, которую операторы применяют против мошенничества с сигнализацией и сообщениями. Приведенный ниже сценарий — это порядок действий, в котором большинство групп обеспечения доходов применяют эти методы.
- Осуществляйте мониторинг структуры звонков и диапазонов номеров в режиме реального времени — оценивайте каждый звонок по базовым показателям: номер, продолжительность, количество одновременных звонков и время суток, и оповещайте о внезапном увеличении количества звонков в дорогостоящие или редко используемые диапазоны.
- Проверка по базам данных IPRN и диапазонам высокого риска — коммерческие и отраслевые списки известных диапазонов абонентской платы и доходов позволяют блокировать или приостанавливать трафик на адреса, на которые у законных абонентов нет причин звонить.
- Установите ограничения по кредиту, скорости и расходам — ограничьте количество одновременных международных звонков, расходы на одного абонента и скорость звонков в зависимости от пункта назначения, чтобы взломанная АТС или роуминговая SIM-карта не смогли довести счет до неограниченного лимита до срабатывания оповещения.
- Усильте защиту АТС и SIP-интерфейса — отключите неиспользуемые звонки DISA и голосовой почты, обеспечьте использование надежных учетных данных, ограничьте международные звонки с помощью политик и установите лимит на количество попыток регистрации; большинство случаев мошенничества с сквозными звонками используют пароль по умолчанию.
- Анализ аномалий в расчетах и межсетевых соединениях — сопоставление трафика с ожидаемыми схемами расчетов, поскольку скачок времени, затраченного на расчеты по малоизвестному пункту назначения в оптовом счете, часто является первым убедительным доказательством перегрузки системы IRSF.
Ситуация в странах Ближнего Востока и Северной Африки, а также в странах Персидского залива, весьма актуальна. Операторы связи в странах Персидского залива находятся на одних из самых загруженных международных голосовых коридоров в мире, с интенсивным входящим роумингом и большими объемами звонков от трудовых мигрантов, что предоставляет IRSF (Международной службе по борьбе с мошенничеством) как трафик для сокрытия, так и сложность расчетов для использования в своих целях. Региональные группы по борьбе с мошенничеством все чаще сочетают мониторинг диапазона направлений с обменом данными о роуминге в режиме, близком к реальному времени, что позволяет выявлять мошеннические всплески за рубежом в течение нескольких часов, а не в конце месяца. Работая с 2003 года в 200+ странах и имея 1000+ подключений к операторам, BroadNet обеспечивает межрыночную прозрачность, позволяющую определить, как на самом деле выглядит нормальный трафик в каждое направление.
IRSF, Wangiri и SMS-накрутка — это одна и та же экономическая атака на разных носителях — платное событие, завершающееся в диапазоне, из которого мошенник извлекает прибыль. Система защиты от мошенничества и брандмауэр BroadNet операторского уровня контролируют базовое поведение в отношении сообщений и сигнализации, поэтому аномальный трафик задерживается до того, как он станет обязательством по урегулированию. Если вы используете межсетевое соединение, оно напрямую интегрируется с вашей существующей системой обеспечения дохода.
Часто задаваемые вопросы
Что такое IRSF?
IRSF (International Revenue Share Fraud) — это мошенничество в сфере телекоммуникаций, при котором преступники получают международные платные номера, за которые платят часть платы за завершение вызова, а затем искусственно завышают трафик на эти номера. Оператор, вызывающий звонок, платит завышенные межоператорские и расчетные сборы за звонки, которые на самом деле не собирался совершать ни один абонент, в то время как мошенник и поставщик номера делят между собой доход от платных номеров.
Как работает мошенничество с распределением доходов в международном масштабе?
Мошенник сотрудничает с поставщиком международных платных номеров, который делится с ним своей поминутной выручкой, а затем направляет трафик в эти ценовые диапазоны — взламывая АТС для совершения исходящих звонков, используя SIM-боксы или приманки типа Wangiri, заставляющие абонентов перезванивать. Каждая потерянная минута влечет за собой начисление платы за услугу, которая возвращается по цепочке расчетов и распределяется между мошенником и поставщиком номеров.
Как операторы обнаруживают IRSF?
Операторы выявляют несанкционированные звонки с помощью мониторинга в реальном времени характера звонков и диапазона номеров, который отмечает внезапную концентрацию звонков на дорогостоящие или редко используемые номера, проверяет данные в базах данных IPRN и диапазонах высокого риска, а также устанавливает кредитные и скоростные лимиты, ограничивающие риски для каждого абонента и номера. Затем анализ аномалий расчетов выявляет все, что могло остаться незамеченным, когда в оптовом счете появляются неожиданные минуты для малоизвестных номеров.
Какова связь между IRSF и деятельностью Вангири и SMS-накачкой?
Все три метода представляют собой мошенничество с разделением доходов между разными абонентами. Wangiri — это метод, используемый для обмана абонента при пропущенном звонке, который заставляет его перезвонить на платный номер. SMS-накачка (AIT) применяет ту же логику к обмену сообщениями, автоматизируя отправку OTP-кодов в диапазоны номеров, от которых мошенник получает прибыль. Общим моментом является платное событие, завершающееся получением злоумышленником своей доли прибыли.
Ссылки
- GSMA — Ресурсы по борьбе с мошенничеством и обеспечению безопасности для операторов: gsma.com
- Ассоциация по борьбе с мошенничеством в сфере связи (CFCA) — Глобальное исследование потерь от мошенничества в телекоммуникационной отрасли: cfca.org
- i3forum — Передовые методы борьбы с мошенничеством со стороны международных операторов связи и организации межсетевых соединений: i3forum.org
- BroadNet — Решения для операторов и борьба с мошенничеством: operators, anti-fraud, voice.