ошенничество с SIM-боксами — также называемое обходом межсетевого соединения — заключается в том, что международный звонок перенаправляется через интернет и перенаправляется как местный мобильный звонок через стойку с потребительскими SIM-картами, избегая уплаты тарифа за завершение международного звонка, причитающегося оператору назначения. Оператор видит дешевый внутрисетевой трафик вместо входящего международного звонка и теряет доход от расчетов. Операторы обнаруживают это с помощью генерации тестовых звонков, анализа записей о звонках (CDR) и поведенческого анализа, аномалий в сигналах и классификации с помощью машинного обучения.
Это подробная модель угроз, лежащая в основе наших инструментов для операторов. Для получения подробной информации о продукте см. обнаружение SIM-боксов и более широкий набор решений для операторов.
Что такое SIM-бокс на самом деле
SIM-бокс — также известный как GSM-шлюз — это аппаратное устройство, в котором размещается от нескольких до нескольких сотен SIM-карт и которое передает IP-трафик (VoIP) в действующую мобильную сеть. Он представляет каждую SIM-карту сети как обычный телефон, поэтому звонки, совершаемые через него, выглядят как обычная абонентская активность. Сама технология является законной: предприятия используют GSM-шлюзы для маршрутизации с наименьшими затратами внутри АТС. Она становится мошенничеством, когда используется для завершения международных звонков как местных, что незаконно на большинстве рынков и является прямым нарушением соглашений об межоператорском взаимодействии.
Как работает мошенничество с обходом межсетевого соединения
Каждый трансграничный звонок имеет поминутную ставку за завершение международного звонка, которую оператор назначения обязан по договору получить за доставку звонка абоненту. Эта ставка представляет собой доход, который оператор получает за завершение международного трафика. Мошенничество с обходом ставки существует для того, чтобы компенсировать разницу между этой международной ставкой и практически нулевой стоимостью внутрисетевого местного звонка.
Механизм прост. Оператор, использующий обходной протокол, покупает оптом блоки международных минут, передает их через общедоступный интернет в формате VoIP на SIM-бокс, физически расположенный в стране назначения, и инициирует каждый звонок с местной SIM-карты. Звонок поступает вызываемому абоненту как обычный местный мобильный звонок с национальным идентификатором вызывающего абонента (CLI). Легитимный оператор никогда не видит входящий международный звонок — он видит внутрисетевой трафик, выставляет за него счета по местным (часто пакетным, почти нулевым) тарифам, а мошенник получает прибыль от арбитража. Чем выше стоимость завершения международного звонка в стране по сравнению со стоимостью внутреннего звонка, тем прибыльнее становится обходной протокол, поэтому он концентрируется в коридорах с высоким входящим трафиком и большим количеством диаспор — постоянная проблема утечки доходов для операторов стран Персидского залива и всего региона MENA, обрабатывающих большие объемы международного трафика.
Почему операторы проигрывают дважды
Обход блокировки — это не только потеря дохода от расчетов. Повторные вызовы также ухудшают качество обслуживания абонентов: реальный номер иностранного абонента заменяется меняющимся местным номером CLI, поэтому идентификация вызывающего абонента теряет смысл, а качество голосовой связи страдает на участке VoIP. Оператор несет репутационные издержки из-за плохого качества международных звонков, которое он не вызывал, в то время как абоненты, которые должны были бы платить комиссию за завершение вызова, ничего не платят.
Помимо голосовой связи: серые маршруты A2P SMS и перехват OTP.
Те же самые SIM-боксы легко перепрофилируются для обмена сообщениями. Вместо обработки голосовых вызовов, устройство обрабатывает SMS-сообщения, отправляемые между приложениями и пользователями (A2P) — коды подтверждения, оповещения, маркетинговые сообщения — как если бы это был трафик между пользователями, отправленный с мобильного телефона потребителя. Оператор выставляет счета по тарифам P2P (часто близким к нулю), а агрегатор получает прибыль от A2P-трафика. Это ветвь проблемы «серого маршрута» с использованием SIM-боксов, и она приводит к потере дохода от A2P-трафика точно так же, как обход голосовых вызовов приводит к потере дохода от обработки сообщений.
Это также влечет за собой издержки в плане безопасности. SIM-боксы, обрабатывающие трафик одноразовых паролей, могут использоваться для перехвата или отслеживания одноразовых паролей, а та же инфраструктура обеспечивает масштабный SMS-фишинг с использованием одноразовых локальных идентификаторов отправителя. Именно поэтому обнаружение обхода защиты и защита от мошенничества в мессенджерах должны быть взаимосвязаны — пути, по которым утекают доходы, часто являются путями, подвергающими опасности абонентов. Узнайте, как эти два аспекта связаны, в разделе антимошеннические SMS-сообщения для операторов.
Законный абонент против SIM-карты из SIM-бокса: поведенческая сигнатура.
Суть обнаружения заключается в том, что SIM-бокс, как бы хорошо он ни был спрятан, не может долгое время вести себя как обычный абонент. SIM-карта реального человека перемещается, принимает звонки, использует данные и звонит в небольшую повторяющуюся социальную сеть с нерегулярными интервалами, характерными для людей. SIM-бокс ничего этого не делает. Это поведенческое различие и есть отпечаток пальца.
| Сигнал | Законный подписчик | SIM-бокс SIM |
|---|---|---|
| Направление вызова | Сочетание входящих и исходящих звонков | Практически исключительно исходящий |
| Ежедневный объем звонков | От нескольких до десятков звонков | Сотни, а то и тысячи звонков |
| Мобильность / передача | Перемещается между клетками и ТАС. | Статический сигнал — одна и та же ячейка 24/7 |
| Направления | Повторные контакты, социальный граф | Длинный хвост несвязанных чисел, без ответных звонков. |
| Время между звонками | Неровные, человеческие щели | Обычный машинный, подряд |
| Устройство (IMEI) | Один телефон на одну SIM-карту | Множество SIM-карт сменяют друг друга, используя несколько IMEI-кодов шлюзов. |
| Использование данных / VAS | Просмотр веб-страниц, приложения, роуминг | Практически нет — только голосовая связь/SMS. |
Как операторы выявляют мошенничество с SIM-боксами
Ни один метод сам по себе не является достаточным; опытные команды по обеспечению дохода используют несколько методов параллельно и сопоставляют их, прежде чем заблокировать SIM-карту, чтобы избежать ложных срабатываний у реальных абонентов, таких как колл-центры или устройства M2M. Четыре метода, которые имеют значение:
- Генерация тестовых вызовов (TCG). Независимые партнеры-зонды совершают звонки в сеть из множества международных источников. Если вызов, отправленный как международный, поступает на тестовый телефон с местным номером A (или подавленным CLI), то SIM-карта, принимающая вызов, обходит межсетевое соединение, и CLI напрямую идентифицирует проблемную SIM-карту.
- Анализ записей детализации вызовов (CDR) и поведенческий анализ. Создание базового списка для каждого MSISDN на основе записей детализации вызовов и выявление характерных признаков SIM-бокса: только исходящие вызовы, аномально высокий суточный объем, отсутствие входящих вызовов, длинный список несвязанных направлений и регулярное время между вызовами, характерное для работы машины.
- Аномалии в работе сигнализации и сети. Обратите внимание на SIM-карты, которые никогда не обновляют свое местоположение, постоянно остаются подключенными к одной сотовой сети, не демонстрируют нормальной мобильности или используют один и тот же IMEI на нескольких SIM-картах — это закономерности, видимые на уровне сигнализации, которые могут быть выявлены межсетевым экраном SS7 и сетевыми зондами.
- Классификация с использованием машинного обучения. Кластеризация и оценка каждой SIM-карты по многофакторному вектору (объем, направление, мобильность, время, повторное использование IMEI, энтропия назначения), чтобы адаптивные мошенники, которые ограничивают объем трафика или меняют SIM-карты, имитируя действия людей, все равно были бы обнаружены с помощью правил, основанных на сложных шаблонах, которые их просто пропустили бы.
TCG доказывает, что конкретный маршрут используется в обход; CDR и ML обнаруживают SIM-карты в больших масштабах; сигнализация подтверждает поведение на уровне сети. Сочетание этих данных дает как доказательства для блокировки SIM-карты, так и уверенность в том, что не следует блокировать легитимную SIM-карту.
Оборона, правоприменение и регион Ближнего Востока и Северной Африки
После обнаружения SIM-бокса применяются многоуровневые меры: блокировка несанкционированных SIM-карт, ужесточение контроля за предоставлением SIM-карт для замедления их повторной активации (ограничения скорости новых активаций, проверка личности при оптовых закупках) и сопоставление данных о звонках (CDR) международных абонентов с ожидаемым объемом звонков для количественной оценки утечки. Обнаружение должно происходить непрерывно, поскольку операторы, использующие обходные пути, реагируют, меняя SIM-карты, ограничивая объем звонков на каждую SIM-карту и перемещая боксы между сотами — это замкнутый круг, в котором предпочтение отдается базовым показателям поведения, а не статическим правилам.
В регионе MENA и, в частности, в странах Персидского залива, большой объем входящих международных звонков, обширные коридоры для звонков из диаспоры и сравнительно высокие показатели завершения вызовов делают обходные звонки существенной статьей расходов операторов. Важно учитывать региональные особенности: местные модели звонков, нормы предоставления SIM-карт и топологии роуминга достаточно сильно отличаются от среднемировых показателей, поэтому универсальная модель может давать завышенные или заниженные результаты. Именно в этом региональном аспекте заключается ценность специализированной системы обнаружения, разработанной специально для региона MENA.
С 2003 года BroadNet отслеживает трафик операторов MENA на предмет обхода защиты и мошенничества A2P, используя комбинацию анализа поведенческих характеристик CDR, анализа тестовых вызовов, проверки сигналов и классификации с помощью машинного обучения для 1000+ подключений операторов. См. обнаружение SIM-боксов и антимошеннические SMS для получения информации об операторах.
Часто задаваемые вопросы
Что такое SIM-бокс?
SIM-бокс, или GSM-шлюз, — это аппаратное устройство, в котором размещается множество SIM-карт и которое передает VoIP-трафик в мобильную сеть, представляя каждую SIM-карту как обычный телефон. Эта технология имеет законное применение в АТС, но в мошеннических схемах она принимает международные звонки через интернет и перенаправляет их как местные мобильные звонки, в результате чего оператор видит дешевый внутрисетевой трафик вместо платного международного трафика и теряет плату за завершение вызова.
Как работает мошенничество с обходом межсетевого соединения?
За каждый международный звонок взимается поминутная плата за завершение вызова, которую должен оплатить оператору назначения. Оператор, использующий обходной протокол, покупает этот трафик оптом, передает его по VoIP на SIM-бокс внутри страны и инициирует каждый звонок с местной SIM-карты. Вызов завершается как дешевый внутрисетевой трафик с местным идентификатором вызывающего абонента; мошенник получает разницу между международной платой и стоимостью местной SIM-карты, а оператор теряет доход от расчетов.
Как операторы выявляют мошенничество с SIM-боксами?
С помощью четырех взаимосвязанных методов: генерации тестовых вызовов, когда международные звонки, поступающие с местными идентификаторами вызывающего абонента, выявляют SIM-карту, обходящую блокировку; анализа записей о звонках (CDR) и поведенческого анализа, который отмечает SIM-карты, предназначенные только для исходящих звонков, с большим объемом трафика и без мобильной связи; аномалий сигнализации, таких как статическое подключение к одной ячейке и повторное использование IMEI; и классификаторов машинного обучения, которые оценивают каждую SIM-карту по составному вектору признаков. Операторы объединяют все четыре метода, а также перекрестные проверки роуминга и HLR, для повышения уверенности перед блокировкой SIM-карты.
Ссылки
- GSMA — Группа по борьбе с мошенничеством и обеспечению безопасности (FASG): типологии мошенничества с обходом межсетевого соединения и мошенничеством с SIM-боксами: gsma.com
- GSMA — Руководство по борьбе с мошенничеством и гарантиям доходов для операторов мобильной связи: gsma.com
- BroadNet — Операторы: обнаружение SIM-бокса, защита от мошенничества по SMS и брандмауэр SS7.