Detecção de Fraude em Telecomunicações: Como Operadoras Detectam Fraude em Tempo Real

A fraude em telecomunicações drena estimadamente dezenas de bilhões de dólares da indústria a cada ano, e quase nenhuma é detectada pelos sistemas nos quais a maioria dos operadores confia para encontrá-la. Análises de faturamento sinalizam o prejuízo semanas após as chamadas terminarem, quando o dinheiro já foi transferido para uma conta de tarifa premium em outra jurisdição. Nesse ponto, a detecção é realmente apenas contabilidade.

Detecção de fraude em telecomunicações é a prática de reconhecer atividade fraudulenta de chamadas cedo o suficiente para agir, idealmente enquanto a chamada ainda está sendo configurada. Ela abrange várias disciplinas ao mesmo tempo: as análises de padrões que modelam tráfego normal e destacam o anormal, os serviços de scoring em tempo real que classificam o risco de uma chamada antes que ela se conecte, e o elemento de rede que pode realmente parar uma chamada suspeita na borda. Fazer os três funcionarem juntos é o que separa uma estratégia de fraude que previne perdas de uma que apenas as mede.

Neste artigo, abordaremos as principais categorias de fraude em telecomunicações, como a detecção migrou de análises pós-fato para interceptação em tempo real, quais sinais são realmente visíveis durante a configuração da chamada, e onde o Controlador de Borda de Sessão (SBC) se encaixa como ponto de aplicação na borda da rede. Se você é um provedor de serviços, MSP ou engenheiro de rede responsável pela exposição a fraude de voz, isso ajudará a visualizar onde a detecção pode acontecer cedo o suficiente para importar.

O que conta como fraude em telecomunicações

Fraude em telecomunicações cobre qualquer esquema que extrai dinheiro ou serviço de uma rede de voz sem autorização. A indústria perde dezenas de bilhões de dólares por ano com isso, e os esquemas evoluem constantemente, mas a maior parte do dano financeiro se concentra em um punhado de tipologias recorrentes. Entendê-las é o ponto de partida para detecção de fraude na indústria de telecomunicações, porque cada uma deixa uma assinatura diferente no tráfego.

International Revenue Share Fraud (IRSF)

IRSF é a categoria mais cara. Um atacante obtém acesso a uma forma de originar chamadas, seja um PBX hackeado, credenciais SIP roubadas ou uma conta de varejo comprometida, e bombeia tráfego para faixas de números internacionais de tarifa premium. Um parceiro que controla essas faixas coleta as taxas de terminação e as compartilha de volta. As chamadas são reais, elas completam e duram muito tempo, que é exatamente por que análises de faturamento pós-fato as detectam tarde demais.

Wangiri e golpes de retorno de chamada

Wangiri inverte a direção da fraude. Em vez de originar as chamadas caras diretamente, o atacante semeia milhares de chamadas perdidas de um toque a partir de números de tarifa premium e espera que vítimas curiosas retornem a ligação. O retorno conecta a uma armadilha de compartilhamento de receita que mantém o chamador na linha. O sinal de detecção aqui está no padrão de entrada: uma inundação de chamadas de curta duração de um conjunto restrito de faixas internacionais.

Hacking de PBX e fraude telefônica

Hacking de PBX permanece um dos pontos de entrada mais comuns para fraude telefônica. Um sistema telefônico exposto ou um conjunto de credenciais de registro SIP fracas é comprometido, e o atacante o usa para realizar altos volumes de chamadas internacionais, quase sempre fora do horário comercial para atrasar a descoberta. Uma empresa que descobre na segunda-feira de manhã pode estar diante de uma conta de cinco dígitos acumulada em um único fim de semana. Para um tratamento mais aprofundado de como essas chamadas são detectadas no momento da configuração, veja o guia sobre prevenção de fraude telefônica em tempo real no SBC.

Spoofing de Caller ID e robocalls

Spoofing é o habilitador por trás da maioria das fraudes de robocall e chamadas de golpe. Como o SIP legado permite que um chamador afirme quase qualquer número nos cabeçalhos From e P-Asserted-Identity, fraudadores disfarçam sua origem, personificam instituições confiáveis e evadem listas de bloqueio simples. Spoofing raramente causa perda de tarifa direta por si só, mas sustenta os esquemas que causam, e é o problema específico que a autenticação de chamadas foi projetada para atacar. Nossa visão geral de por que chamadas de spam ainda acontecem rastreia como a telefonia IP escalou este problema.

Traffic pumping e arbitragem

Traffic pumping infla artificialmente o volume de chamadas para destinos que pagam taxas de acesso por minuto, dividindo a receita resultante com o fraudador. Arbitragem wholesale explora as lacunas entre taxas de interconexão. Ambos são mais silenciosos que IRSF e frequentemente domésticos, o que os torna fáceis de perder sem análises de tráfego ajustadas para os destinos específicos envolvidos.

Por que a detecção pós-fato falha

Por anos, detecção de fraude em telecomunicações significou sistemas de gerenciamento de fraude que ingeriam CDRs e rodavam análises contra eles. Esse modelo ainda tem um papel, mas possui uma fraqueza estrutural: CDRs são gerados quando uma chamada termina, então qualquer detecção construída sobre eles é inerentemente retrospectiva. Uma plataforma de gerenciamento de fraude pode informar que um evento de IRSF aconteceu ontem à noite. Ela não pode parar a próxima chamada no mesmo evento de conectar agora.

A economia torna a lacuna temporal punitiva. IRSF e Wangiri ganham dinheiro enquanto a chamada permanece conectada, então cada minuto de atraso na detecção é dinheiro saindo da rede. Um evento de fraude que roda por horas antes de um job batch noturno sinalizá-lo já causou seu dano. Quando um investigador humano abre o alerta, o atacante já seguiu em frente.

É por isso que a indústria migrou para análises de telecomunicações em tempo real para gerenciamento de fraude, onde o scoring roda continuamente contra tráfego ao vivo em vez de contra os logs de ontem. Detecção em tempo real não substitui análises históricas, ela as complementa. A camada batch modela como o normal se parece e ajusta as regras; a camada em tempo real aplica essas regras no momento. O requisito crítico que a camada em tempo real adiciona é um lugar na rede com a visibilidade para avaliar uma chamada e a autoridade para pará-la antes que ela complete.

Os sinais que a fraude deixa no tráfego ao vivo

Detecção em tempo real funciona porque tráfego fraudulento se parece diferente de tráfego legítimo, e muito dessa diferença é visível antes de uma chamada sequer conectar. O SBC vê cada INVITE de entrada na borda da rede, o que significa que a lógica de detecção tem um conjunto rico de sinais para avaliar durante a janela de configuração da chamada. Esses se dividem em algumas famílias.

Sinais de destino

Sinais de destino vêm do número chamado. Chamadas para faixas de tarifa premium, para códigos de país de alto risco que um cliente normalmente nunca disca, ou para números que aparecem em hot-lists conhecidas de IRSF são o indicador mais direto de fraude telefônica. Um número B alcançando um destino com o qual a fonte não tem relação comercial frequentemente é toda a história.

Sinais de velocidade e volume

Sinais de velocidade capturam quão rápido as chamadas chegam. Um pico súbito de CPS de uma única fonte, uma rajada de chamadas simultâneas que excede o teto normal de um cliente, ou uma sequência de tentativas para faixas numéricas sequenciais apontam para automação em vez de um humano fazendo chamadas. Velocidade é frequentemente o sinal visível mais precoce de um evento ao vivo, aparecendo antes mesmo que o padrão de destino esteja claro.

Sinais comportamentais

Sinais comportamentais emergem da comparação de uma chamada contra uma linha de base. Tráfego às 3 da manhã de um escritório que só faz chamadas durante o horário comercial, uma linha residencial subitamente gerando minutos internacionais, ou um answer-seizure ratio e average call duration que juntos correspondem à assinatura de IRSF descrevem comportamento que se desvia da norma. É aqui que as análises históricas alimentam a camada em tempo real, definindo o que é normal para cada fonte.

Sinais de identidade

Sinais de identidade vêm do número afirmado pelo chamador e seu status de autenticação. Uma chamada cuja verificação STIR/SHAKEN falha, um número que aparece em uma lista Do-Not-Originate, ou um cabeçalho From que não pode ser reconciliado com o tronco em que chegou são todos alertas baseados em identidade. Autenticação transforma “achamos que este número está falsificado” em uma resposta criptográfica de sim ou não.

Sinais de origem e contexto

Sinais de origem vinculam a chamada de volta a onde ela entrou na rede: o IP de origem, o tronco ou conta, e seu histórico recente. Um tronco que nunca enviou tráfego internacional subitamente fazendo isso, ou um IP de origem que aparece em uma lista de bloqueio de reputação, adiciona contexto que aguça todos os outros sinais. Nenhum sinal único é conclusivo por si só, razão pela qual o scoring em tempo real os combina em um veredicto de risco único por chamada.

Onde detecção e prevenção acontecem: a borda da rede

Saber que uma chamada é fraudulenta só é útil se algo puder agir sobre esse conhecimento a tempo. A razão pela qual o SBC é central para a detecção moderna de fraude em telecomunicações é que ele é o único elemento de rede situado no caminho de sinalização SIP com a visibilidade para ler cada chamada e o orçamento de latência para tomar uma decisão dentro da janela de configuração da chamada. Firewalls de rede operam baixo demais na pilha para interpretar uma mensagem SIP. Sistemas de faturamento operam tarde demais no fluxo de trabalho para parar uma chamada. O SBC é onde detecção e aplicação podem ser a mesma operação.

Scoring em tempo real no caminho da chamada

Um SBC programável pode pausar um INVITE de entrada, consultar um serviço externo de scoring de fraude com os parâmetros da chamada e rotear com base no veredicto, tudo antes do telefone da parte chamada tocar. No ProSBC, isso roda através da cadeia de filtros do motor de roteamento Ruby: um before_filter entrega a chamada a um parceiro de scoring como TransNexus, SecureLogix ou YouMail, e o Reason Cause Mapping traduz a resposta em uma ação de roteamento. Um veredicto de alto risco para a chamada; um veredicto limpo a deixa avançar. Como a consulta acontece durante a sinalização, ela não adiciona latência ao caminho de mídia e os chamadores nunca a percebem. Os mecanismos de construção deste pipeline são cobertos em detalhe no guia de integração de roteamento de chamadas via REST API do SBC.

Controles em camadas na borda

Scoring em tempo real funciona junto com as outras defesas de borda do SBC e não isoladamente. Lista de bloqueio dinâmica bloqueia fontes reconhecidamente ruins, greylisting baseada em porcentagem limita tráfego suspeito sem cortá-lo totalmente, limites de chamadas simultâneas e CPS limitam o raio de explosão de uma conta comprometida, e autenticação de chamadas verifica a identidade do chamador. Juntos, esses controles formam uma postura de defesa em profundidade onde uma chamada que escapa de uma camada encontra outra. A visão mais ampla dessas camadas aparece no guia de ameaças de segurança VoIP.

Autenticação de chamadas como entrada para detecção

STIR/SHAKEN merece sua própria menção porque converte uma afirmação não verificável em um sinal utilizável. Quando uma chamada chega com uma atestação falhando ou ausente, isso se torna uma entrada concreta para a pontuação de risco em vez de um palpite sobre spoofing. Combinada com uma lista Do-Not-Originate, que sinaliza qualquer tráfego alegando vir de um número que nunca deveria originar chamadas, a autenticação fecha a via de spoofing de identidade da qual tantos esquemas de fraude dependem. As regras de certificado próprio da FCC tornam este framework um requisito regulatório por si só, conforme detalhado na visão geral do programa de mitigação de robocalls.

Construindo uma prática de detecção funcional

Tecnologia sozinha não produz uma prática de detecção de fraude. Operadores que mantêm as perdas baixas tratam a detecção como um ciclo operacional: observam as métricas certas, respondem de formas graduais e alimentam o que acontece de volta nas regras.

Instrumente as métricas que expõem fraude

Monitoramento por tronco e por cliente de CPS, ASR, ACD e mix de destinos internacionais fornece o alerta mais precoce de um evento ativo. Dashboards agregados escondem fraude no ruído do tráfego total, então a visualização útil é sempre segmentada por fonte. O SBC é o ponto de coleta natural porque produz CDRs por chamada, scoring MOS por chamada e um fluxo de métricas em tempo real a partir de um único ponto de observação sobre cada chamada.

Responda de formas graduais

Nem toda chamada suspeita justifica um bloqueio total. Um modelo de resposta prático tem quatro modos: bloquear a chamada quando o veredicto é claro, desviá-la para um anúncio ou desafio quando é ambíguo, limitar a fonte quando o volume é a preocupação mas chamadas individuais parecem legítimas, e alertar um operador quando um padrão merece olhos humanos. Um motor de roteamento programável permite que cada tipologia de fraude mapeie para a resposta que se encaixa.

Feche o ciclo

Cada evento de fraude confirmado deve aguçar a próxima detecção. CDRs enriquecidos que registram a pontuação de risco e a decisão de roteamento junto com a chamada transformam cada bloqueio e cada falha em dados de treinamento para as regras. Com o tempo, esse feedback aperta a linha de base da qual a detecção comportamental depende, para que a camada em tempo real acompanhe esquemas que estão constantemente mudando. Para uma visão mais ampla de como o roteamento programável suporta isso, veja como scripting personalizado transforma o gerenciamento de tráfego de voz.

Perguntas frequentes

Conclusão

Detecção de fraude em telecomunicações migrou de um exercício de relatórios para uma disciplina em tempo real. Análises históricas ainda importam para modelar tráfego normal e ajustar as regras, mas a prevenção de perdas acontece na janela de configuração da chamada, onde uma chamada suspeita pode ser parada antes de render um centavo ao atacante. Fazer isso bem significa combinar análises de tráfego, scoring de risco em tempo real e autenticação de chamadas em um ponto da rede que pode aplicar uma decisão em voo.

Esse ponto é a borda da rede. Um SBC com motor de roteamento programável, controles de borda em camadas e integração aberta a parceiros de scoring de fraude e autenticação transforma detecção em prevenção, detectando IRSF, Wangiri, fraude telefônica via PBX e spoofing enquanto as chamadas ainda estão em andamento, e não na reconciliação do próximo mês.