Gestão de fraude em telecomunicações: construindo um programa de fraude de classe operadora

Fraude não é um problema que se resolve uma vez. É um custo recorrente que uma rede de voz ou gerencia para reduzir ou paga indefinidamente. A Communications Fraud Control Association há anos estima as perdas globais com fraude em telecomunicações na casa das dezenas de bilhões de dólares por ano, e esse número não cai sozinho. O que separa operadoras que perdem um erro de arredondamento daquelas que perdem margem real não é um único produto. É se elas mantêm um programa de gestão de fraude.

Gestão de fraude em telecomunicações é a prática contínua de detectar, prevenir, investigar e recuperar perdas causadas por fraude em uma rede de voz. Um sistema de gestão de fraude (FMS) é o ferramental que suporta essa prática: os pipelines de dados, os motores de pontuação, a gestão de casos e os pontos de enforcement que transformam uma política em uma chamada bloqueada. A distinção importa porque comprar um FMS e operar um programa de fraude não são a mesma coisa, e tratar o primeiro como se fosse o segundo é a forma mais comum de operadoras acabarem com um painel caro que ninguém acompanha.

Neste artigo, vamos apresentar o que um programa de gestão de fraude em telecomunicações abrange, a taxonomia de fraudes contra a qual você está se defendendo (incluindo fraude de subscrição, que fica a montante de quase todo o resto), como um sistema de gestão de fraude é realmente construído, e onde o Controlador de Borda de Sessão (SBC) se encaixa como a camada de enforcement em tempo real dentro do programa maior. Se você é uma operadora, MSP ou carrier construindo ou avaliando uma prática de fraude, este é o nível de altitude em que as decisões são tomadas.

O que realmente é gestão de fraude em telecomunicações

Um programa de gestão de fraude opera em ciclo, não em checklist. O ciclo tem quatro estágios, e toda operadora madura percorre todos eles continuamente.

Detecção é a identificação de tráfego suspeito, seja pelos sinais de uma única chamada, por um padrão de janela móvel em muitas chamadas, ou por um feed externo de inteligência. Prevenção abrange os controles que bloqueiam tráfego suspeito antes que ele gere custo: listas de bloqueio, limites de velocidade, política por tronco e pontuação em tempo real na borda da rede. Investigação cuida dos casos que a detecção levanta mas que a prevenção não conseguiu tratar com confiança, transformando alertas brutos em fraude confirmada, regras refinadas e evidências. Recuperação é o trabalho comercial e jurídico de reaver perdas, ajustar liquidações e perseguir agentes maliciosos por canais regulatórios e de operadoras.

Um FMS suporta cada estágio, mas não executa o ciclo sozinho. O ciclo precisa de pessoas que revisem casos, um processo que promova regras de “alerta” para “bloqueio” conforme ganham confiança, e uma estrutura de governança que defina a postura de risco da operadora. Por isso, o melhor preditor de uma prática de fraude funcional é organizacional, não técnico: uma operadora com um motor de regras modesto e uma revisão semanal disciplinada supera uma operadora com uma plataforma de machine learning que ninguém ajusta.

A gestão de fraude também se sobrepõe à conformidade regulatória sem ser a mesma coisa. Frameworks de autenticação de chamadas como o framework STIR/SHAKEN exigido pela FCC (cujas mecânicas na camada SBC o guia de autenticação de chamadas cobre) e obrigações de mitigação de robocalls reduzem categorias específicas de abuso e produzem sinais que um programa de fraude pode usar, mas representam um piso de conformidade e não uma estratégia de fraude. Um programa que para na conformidade está defendido contra a fraude que o regulador se preocupou e exposto a todo o resto.

A taxonomia de fraude em telecomunicações: contra o que você está se defendendo

Um programa de fraude é tão bom quanto seu mapa da ameaça. Fraude em telecomunicações é uma família de esquemas que compartilham um objetivo, converter a rede ou identidade de outra pessoa em receita para o atacante, e cada um tem uma assinatura distinta que determina como um sistema de gestão de fraude detecta e responde.

A taxonomia é uma ferramenta de gestão, não curiosidade. Ela indica qual camada de controle é responsável por cada ameaça e expõe as lacunas: uma operadora com um pipeline de pontuação em tempo real forte mas sem verificação de identidade no cadastro está totalmente exposta a fraude de subscrição, e uma operadora com onboarding rigoroso mas sem enforcement na borda está totalmente exposta a IRSF de contas comprometidas. As duas tipologias mais danosas, fraude de subscrição e IRSF, são tratadas em extremos opostos da rede, que é exatamente por que um programa precisa abranger todo o ciclo de vida. As mecânicas de parar as tipologias baseadas em tráfego em tempo real são cobertas no guia de prevenção de fraude telefônica em tempo real com SBC, onde traffic pumping e arbitragem de acesso recebem tratamento próprio entre as tipologias de fraude telefônica.

Fraude de subscrição em telecomunicações

Fraude de subscrição é o ato de obter serviço de telecomunicações usando informações de identidade que o fraudador não tem direito de usar, sem intenção de pagar pelo que consome. É a tipologia mais silenciosa e, em muitos programas, a mais subestimada, porque uma conta adquirida fraudulentamente se comporta exatamente como uma legítima para todos os sistemas a jusante do onboarding.

A identidade em si vem em três variantes. Roubo de identidade usa credenciais reais roubadas de uma pessoa para abrir uma conta em seu nome. Identidade sintética mescla dados reais e fabricados (um número de identificação nacional válido combinado com nome e endereço fictícios) para criar uma pessoa que não existe mas passa em uma verificação superficial. Fraude de aplicação manipula o próprio processo de cadastro, usando bots para abrir contas em escala ou explorando verificação fraca em portais de autoatendimento. Todas as três produzem uma conta que parece limpa no primeiro dia.

Fraude de subscrição é perigosa porque fica a montante das outras tipologias. Uma conta aberta com identidade roubada é a plataforma de lançamento para IRSF, para campanhas Wangiri, para revenda de minutos roubados via arbitragem wholesale. Parar o tráfego em tempo real no SBC ainda deixa a operadora com uma conta não paga e um registro de identidade comprometido. O dano econômico é uma combinação de uso irrecuperável, o custo da investigação de fraude e a exposição regulatória de ter cadastrado um cliente fraudulento.

Os sinais que capturam fraude de subscrição existem no cadastro, não no caminho da chamada. Verificação de identidade contra fontes autoritativas, fingerprinting de dispositivo e rede, verificações de velocidade de aplicação (muitas aplicações de um mesmo dispositivo ou IP) e análise comportamental da sessão de onboarding alimentam uma pontuação de fraude de aplicação antes de a conta ser provisionada. Um sistema de gestão de fraude que ingere dados de provisionamento junto com dados de chamada também pode capturar o padrão mais lento: uma conta que verifica corretamente e depois se comporta de forma anormal nas primeiras horas após a ativação, que é a assinatura de uma identidade boa o suficiente para passar no onboarding mas que nunca foi um cliente real. Esta é a única parte do programa de fraude que um controle de borda de rede não pode assumir, e é a parte que as operadoras mais frequentemente ignoram.

Anatomia de um sistema de gestão de fraude em telecomunicações

Um sistema de gestão de fraude abrange três planos. Cada plano tem uma função distinta, um conjunto de dados distinto e um lugar distinto na rede. Entender essa divisão é o que permite a uma operadora comprar os componentes certos em vez de um monolito que faz bem um plano e os outros mal.

Plano 1: Ingestão de dados

A análise é tão boa quanto os dados que a alimentam. Um FMS completo ingere registros detalhados de chamadas para análise de padrões pós-chamada, dados de sinalização ao vivo para decisões em tempo real, e dados de provisionamento e faturamento para detecção de fraude de subscrição. A parte mais difícil de construir um FMS geralmente não é a análise; é obter dados limpos, oportunos e correlacionados de uma rede que nunca foi projetada para entregá-los em um único lugar. O SBC é uma fonte privilegiada aqui porque vê a mensagem SIP completa e pode emitir CDRs, traps SNMP e métricas de qualidade por chamada do ponto exato onde o tráfego cruza a fronteira da rede.

Plano 2: Análise e pontuação

Este plano transforma dados em um veredito. Combina regras determinísticas (listas de bloqueio, limiares de velocidade, política por tronco) com modelos estatísticos e de machine learning que revelam padrões que nenhuma regra antecipou, e com feeds externos de inteligência de parceiros especializados em pontuação de fraude. Regras dão velocidade e explicabilidade; modelos dão cobertura de padrões inéditos; feeds externos dão inteligência que você nunca conseguiria construir sozinho, como as faixas de destino IRSF em constante rotação que um serviço global de pontuação rastreia em milhares de operadoras. Um FMS sério usa os três em vez de apostar em um só.

Plano 3: Enforcement e resposta

Um veredito que não pode ser executado é apenas um relatório. O plano de enforcement converte pontuações em resultados: bloquear a chamada, desviá-la para uma fila de investigação, limitar uma fonte suspeita ou gerar um alerta para revisão humana. O enforcement precisa acontecer em um ponto da rede com autoridade e orçamento de latência para agir. Para fraude de voz em tempo real, esse ponto é o SBC, porque é o único elemento que está no caminho de sinalização durante o estabelecimento da chamada. Para fraude de subscrição, o enforcement acontece na porta de provisionamento, antes de a conta ser ativada.

Onde o SBC se encaixa no sistema de gestão de fraude

O SBC é o ponto de enforcement em tempo real para fraude baseada em tráfego, e é a razão pela qual um programa de fraude consegue parar uma chamada fraudulenta antes que qualquer custo de tarifação seja acumulado. Ele está no caminho de sinalização SIP com autoridade para rejeitar uma chamada e orçamento de latência para tomar a decisão dentro da janela de estabelecimento. Um firewall de rede opera em camada muito baixa da pilha para ler a mensagem SIP, e um sistema de faturamento opera tarde demais no fluxo para parar a chamada. O SBC é o único lugar onde um veredito de fraude e uma ação de roteamento acontecem na mesma operação.

Dentro de um SBC programável, esse enforcement roda como parte da lógica de roteamento de chamadas. O ProSBC processa cada INVITE de entrada através de uma cadeia de roteamento Ruby, e a pontuação de fraude em tempo real é uma operação before_filter por design, executando antes de uma rota de saída ser selecionada. Uma cadeia típica elimina chamadas contra listas locais de bloqueio e permissão primeiro, depois consulta um serviço externo de pontuação como TransNexus ClearIP (SecureLogix, YouMail, JeraSoft e Neustar também são suportados), então aplica Reason Cause Mapping para converter a resposta SIP do serviço em uma ação de roteamento, e finalmente executa verificações de velocidade e concorrência contra os contadores internos do SBC. Proteção contra fraude em tempo real é um dos casos de uso primários do ProSBC, não um complemento, e as mecânicas de integração são cobertas no guia de integração de roteamento de chamadas via API REST do SBC.

Duas capacidades do SBC são especificamente relevantes para um programa de fraude, além de uma única chamada. Greylisting baseado em percentual permite que a operadora corte a receita de uma fonte suspeita bloqueando uma fração configurável de suas chamadas, que é a resposta certa quando a fonte pode ser parcialmente legítima e um bloqueio total quebraria tráfego real. E a saída de CDR do SBC é o ciclo de feedback que fecha o programa: análises pós-chamada transformam padrões CDR em novas entradas de lista de bloqueio e limiares de regras, que retornam ao before_filter para parar o restante de uma onda de fraude. O guia de segurança SBC cobre a pilha completa de cinco camadas que o SBC fornece em torno desse papel de fraude.

O que o SBC não faz é gerar pontuações de fraude por conta própria. Ele compõe vereditos de serviços externos de pontuação com sinais locais, listas de bloqueio, contadores de velocidade e política de tronco, e transforma o resultado combinado em uma ação. A vantagem dessa arquitetura é a flexibilidade de parceiros: uma operadora escolhe a inteligência de pontuação que se adequa ao seu mix de tráfego e a integra pelo motor de roteamento em vez de ficar presa à lógica de fraude embutida de um fornecedor.

Medindo um programa de fraude: os KPIs que importam

Um programa de fraude que não é medido não pode ser melhorado, e as métricas erradas fazem um programa ruim parecer saudável. Quatro KPIs dão uma imagem honesta.

O primeiro é a perda de fraude por milhão de minutos, o dano financeiro residual que escapou de todos os controles, normalizado pelo volume de tráfego. Este é o único KPI que fala em termos de negócio, e é o número que um executivo deveria ver. Um programa que reduz a perda de fraude de cinquenta dólares por milhão de minutos para cinco está funcionando, independente do que os outros números digam.

O segundo é o par de bloqueio e falso positivo, que deve sempre ser lido em conjunto. Taxa de bloqueio sozinha não tem significado (você pode bloquear tudo e reportar um número triunfante), então é pareada com a taxa de falso positivo, a fração de chamadas bloqueadas que se revelam legítimas. Uma prática funcional mantém falsos positivos abaixo de um por cento em troncos empresariais e mais perto de um décimo de por cento em troncos wholesale, onde bloquear tráfego legítimo é contratualmente caro.

O terceiro é a latência de detecção, o tempo mediano entre o início de um evento de fraude e a primeira ação contra ele. Para fraude capturada na janela de estabelecimento da chamada, esta é a latência da consulta, algumas centenas de milissegundos; para fraude capturada por análise de janela móvel, é o tempo que o pipeline pós-chamada leva para produzir uma nova regra. A mediana é a medida honesta, porque alguns eventos lentos na cauda distorcem a média e escondem um caso típico saudável.

O quarto é a taxa de recuperação, a fração da perda confirmada de fraude que a operadora reave por ajuste de liquidação, estorno ou ação legal. Recuperação é o KPI menos glamoroso e o que mais programas ignoram, mas em casos de IRSF e bypass de interconexão de alto valor é frequentemente onde os maiores valores são de fato economizados.

Construindo o programa: um guia prático

Os componentes acima só importam se uma operadora os executa como prática. A prática é um ciclo semanal sobre uma base estável de pessoas, processos e tecnologia.

Em tecnologia, o programa mínimo viável é um SBC aplicando controles em tempo real no caminho de sinalização, um portão de verificação de identidade no onboarding, um pipeline de CDR alimentando análise de janela móvel, e pelo menos um feed externo de pontuação. Sofisticação é adicionada depois; cobertura dos três planos vem primeiro. Em processos, o núcleo é a revisão semanal: amostrar os alertas da última semana, confirmar quais eram fraude e quais eram ruído, promover regras que consistentemente capturaram fraude no nível de alerta para throttle e depois para bloqueio, aposentar regras que não disparam mais, e atualizar listas de bloqueio de parceiros. Em pessoas, um programa de fraude precisa de pelo menos um responsável com autoridade para definir a postura de risco e mandato para agir. Operadoras sem headcount interno para uma prática de fraude 24×7 cada vez mais compram esse serviço, que é parte do motivo pelo qual um serviço gerenciado de SBC que inclui monitoramento e resposta é um caminho comum para operadoras menores e MSPs.

A camada regulatória opera ao lado do ciclo em vez de substituí-lo. Autenticação de chamadas e obrigações de mitigação de robocalls são requisitos de conformidade por si mesmos, e os sinais que produzem (uma verificação STIR/SHAKEN falha, um número em uma lista de não-originação) são entradas úteis para fraude. Trate-os como um feed no plano de pontuação, não como a estratégia de fraude em si. Monitoramento contínuo de VoIP é o que torna todo o ciclo observável, revelando os picos de CPS, colapsos de ASR e anomalias de ACD que são os primeiros sinais de um evento de fraude ativo.

O programa nunca está terminado. Atacantes rotacionam faixas de destino a cada poucas horas, ciclam novos números de chamada em cada onda Wangiri e distribuem sessões de hacking de PBX entre troncos para ficar abaixo dos limiares. Um sistema de gestão de fraude é o substrato; o ciclo semanal é o trabalho que mantém o substrato afiado contra um adversário que também está iterando.

Perguntas frequentes