Detección de fraude en telecomunicaciones: cómo los operadores detectan el fraude en tiempo real

El fraude en telecomunicaciones drena miles de millones de dólares de la industria cada año, y casi nada es detectado por los sistemas en los que la mayoría de los operadores confían para encontrarlo. Los análisis de facturación señalan el daño semanas después de que las llamadas se completan, cuando el dinero ya se ha movido a una cuenta de tarifa premium en otra jurisdicción. Para entonces, la detección es realmente solo contabilidad.

La detección de fraude en telecomunicaciones es la práctica de reconocer la actividad de llamadas fraudulentas con la suficiente anticipación para actuar, idealmente mientras la llamada aún se está estableciendo. Abarca varias disciplinas a la vez: los análisis de patrones que modelan el tráfico normal y destacan lo anormal, los servicios de calificación en tiempo real que evalúan el riesgo de una llamada antes de que se conecte, y el elemento de red que realmente puede detener una llamada sospechosa en el borde. Lograr que los tres funcionen juntos es lo que separa una estrategia de fraude que previene pérdidas de una que solo las mide.

En este artículo, le guiaremos a través de las principales categorías de fraude en telecomunicaciones, cómo la detección ha pasado de los análisis posteriores al hecho a la interceptación en tiempo real, qué señales son realmente visibles durante el establecimiento de la llamada, y dónde encaja el Session Border Controller (SBC) como punto de aplicación en el borde de la red. Si usted es un proveedor de servicios, MSP o ingeniero de red responsable de la exposición al fraude de voz, esto le ayudará a ver dónde la detección puede ocurrir con la suficiente rapidez para marcar la diferencia.

Qué se considera fraude en telecomunicaciones

El fraude en telecomunicaciones abarca cualquier esquema que extrae dinero o servicio de una red de voz sin autorización. La industria pierde decenas de miles de millones de dólares al año, y los esquemas evolucionan constantemente, pero la mayor parte del daño financiero se concentra en un puñado de tipologías recurrentes. Comprenderlas es el punto de partida para la detección de fraude en la industria de las telecomunicaciones, porque cada una deja una huella diferente en el tráfico.

International Revenue Share Fraud (IRSF)

IRSF es la categoría más costosa. Un atacante obtiene acceso a un medio para originar llamadas, ya sea un PBX hackeado, credenciales SIP robadas o una cuenta minorista comprometida, y bombea tráfico hacia rangos de números internacionales de tarifa premium. Un socio que controla esos rangos cobra las tarifas de terminación y comparte las ganancias. Las llamadas son reales, se completan y duran mucho tiempo, que es exactamente la razón por la que el análisis de facturación posterior las detecta demasiado tarde.

Wangiri y estafas de devolución de llamada

Wangiri invierte la dirección del fraude. En lugar de originar directamente las llamadas costosas, el atacante distribuye miles de llamadas perdidas de un solo timbre desde números de tarifa premium y espera a que las víctimas curiosas devuelvan la llamada. La devolución se conecta a una trampa de reparto de ingresos que mantiene al llamante en la línea. La señal de detección aquí reside en el patrón entrante: una avalancha de llamadas de corta duración desde un conjunto reducido de rangos internacionales.

Hackeo de PBX y fraude de peaje (toll fraud)

El hackeo de PBX sigue siendo uno de los puntos de entrada más comunes para el fraude de peaje. Un sistema telefónico expuesto o un conjunto de credenciales de registro SIP débiles se ve comprometido, y el atacante lo utiliza para realizar grandes volúmenes de llamadas internacionales, casi siempre fuera del horario laboral para retrasar el descubrimiento. Una empresa que se entera el lunes por la mañana puede enfrentarse a una factura de cinco cifras acumulada en un solo fin de semana. Para un tratamiento más profundo de cómo estas llamadas se detectan en el momento del establecimiento, consulte la guía sobre prevención de fraude de peaje del SBC en tiempo real.

Suplantación de identificador de llamadas y robocalls

La suplantación es el habilitador detrás de la mayoría del fraude de robocalls y llamadas fraudulentas. Debido a que el SIP heredado permite que un llamante declare prácticamente cualquier número en los encabezados From y P-Asserted-Identity, los estafadores disfrazan su origen, suplantan instituciones de confianza y evaden las listas de bloqueo simples. La suplantación rara vez causa pérdidas de peaje directas por sí sola, pero sustenta los esquemas que sí lo hacen, y es el problema específico que la autenticación de llamadas fue diseñada para combatir. Nuestra descripción general de por qué las llamadas de spam siguen ocurriendo rastrea cómo la telefonía IP escaló este problema.

Traffic pumping y arbitraje

El traffic pumping infla artificialmente el volumen de llamadas hacia destinos que pagan tarifas de acceso por minuto, dividiendo los ingresos resultantes con el estafador. El arbitraje mayorista aprovecha las brechas entre las tarifas de interconexión. Ambos son más silenciosos que el IRSF y a menudo domésticos, lo que los hace fáciles de pasar por alto sin análisis de tráfico ajustados a los destinos específicos involucrados.

Por qué falla la detección posterior al hecho

Durante años, la detección de fraude en telecomunicaciones significaba sistemas de gestión de fraude que ingerían CDR y ejecutaban análisis sobre ellos. Ese modelo aún tiene un rol, pero posee una debilidad estructural: los CDR se generan cuando una llamada termina, por lo que cualquier detección basada en ellos es inherentemente retrospectiva. Una plataforma de gestión de fraude puede indicarle que un evento de IRSF ocurrió anoche. No puede evitar que la siguiente llamada del mismo evento se conecte ahora mismo.

La economía hace que la brecha temporal sea devastadora. IRSF y Wangiri generan dinero mientras la llamada permanezca conectada, por lo que cada minuto de retraso en la detección es dinero que sale de la red. Un evento de fraude que se ejecuta durante horas antes de que un proceso por lotes nocturno lo señale ya ha causado su daño. Para cuando un investigador humano abre la alerta, el atacante ya se ha movido.

Por eso la industria se ha desplazado hacia análisis de telecomunicaciones en tiempo real para la gestión de fraude, donde la calificación se ejecuta continuamente contra el tráfico en vivo en lugar de contra los registros de ayer. La detección en tiempo real no reemplaza los análisis históricos, los complementa. La capa por lotes modela cómo se ve lo normal y ajusta las reglas; la capa en tiempo real aplica esas reglas en el momento. El requisito crítico que la capa en tiempo real añade es un punto en la red con la visibilidad para calificar una llamada y la autoridad para detenerla antes de que se complete.

Las señales que el fraude deja en el tráfico en vivo

La detección en tiempo real funciona porque el tráfico fraudulento se ve diferente del tráfico legítimo, y gran parte de esa diferencia es visible antes de que una llamada se conecte. El SBC ve cada INVITE entrante en el borde de la red, lo que significa que la lógica de detección tiene un conjunto rico de señales contra las cuales calificar durante la ventana de establecimiento de llamada. Estas se agrupan en algunas familias.

Señales de destino

Las señales de destino provienen del número llamado. Las llamadas a rangos de tarifa premium, a códigos de país de alto riesgo que un cliente nunca marca normalmente, o a números que aparecen en listas conocidas de IRSF son el indicador más directo de fraude de peaje. Un número B que alcanza un destino con el que la fuente no tiene relación comercial es, a menudo, toda la historia.

Señales de velocidad y volumen

Las señales de velocidad capturan qué tan rápido llegan las llamadas. Un pico repentino de CPS desde una sola fuente, una ráfaga de llamadas concurrentes que excede el techo normal de un cliente, o una serie de intentos a rangos de números secuenciales apuntan a automatización en lugar de a un humano realizando llamadas. La velocidad es frecuentemente la señal visible más temprana de un evento en curso, apareciendo antes de que el patrón de destino sea siquiera claro.

Señales de comportamiento

Las señales de comportamiento surgen de comparar una llamada contra una línea base. Tráfico a las 3 a.m. desde una oficina que solo llama durante el horario laboral, una línea residencial que repentinamente genera minutos internacionales, o un answer-seizure ratio y una duración promedio de llamada que juntos coinciden con la firma de IRSF, todo describe un comportamiento que se aparta de la norma. Aquí es donde los análisis históricos alimentan la capa en tiempo real, al definir qué es normal para cada fuente.

Señales de identidad

Las señales de identidad provienen del número declarado por el llamante y su estado de autenticación. Una llamada cuya verificación STIR/SHAKEN falla, un número que aparece en una lista Do-Not-Originate, o un encabezado From que no puede reconciliarse con el troncal en el que llegó, son todas señales de alerta basadas en identidad. La autenticación convierte “creemos que este número está falsificado” en una respuesta criptográfica de sí o no.

Señales de origen y contexto

Las señales de origen vinculan la llamada con el punto donde ingresó a la red: la IP de origen, el troncal o cuenta, y su historial reciente. Un troncal que nunca ha enviado tráfico internacional y que repentinamente lo hace, o una IP de origen que aparece en una lista de bloqueo de reputación, añade contexto que agudiza todas las demás señales. Ninguna señal individual es concluyente por sí sola, razón por la cual la calificación en tiempo real las combina en un veredicto de riesgo único por llamada.

Dónde ocurren la detección y la prevención: el borde de la red

Saber que una llamada es fraudulenta solo es útil si algo puede actuar sobre ese conocimiento a tiempo. La razón por la que el SBC es central para la detección moderna de fraude en telecomunicaciones es que es el único elemento de red situado en la ruta de señalización SIP con la visibilidad para leer cada llamada y el presupuesto de latencia para tomar una decisión dentro de la ventana de establecimiento de llamada. Los firewalls de red operan demasiado abajo en la pila para interpretar un mensaje SIP. Los sistemas de facturación operan demasiado tarde en el flujo de trabajo para detener una llamada. El SBC es donde la detección y la aplicación pueden ser la misma operación.

Calificación en tiempo real en la ruta de llamada

Un SBC programable puede pausar un INVITE entrante, consultar un servicio externo de calificación de fraude con los parámetros de la llamada, y enrutar según el veredicto, todo antes de que suene el teléfono de la parte llamada. En ProSBC, esto se ejecuta a través de la cadena de filtros del motor de enrutamiento Ruby: un before_filter entrega la llamada a un socio de calificación como TransNexus, SecureLogix o YouMail, y el Reason Cause Mapping traduce la respuesta en una acción de enrutamiento. Un veredicto de alto riesgo detiene la llamada; un veredicto limpio la deja avanzar. Dado que la consulta ocurre durante la señalización, no añade latencia a la ruta de medios y los llamantes nunca la perciben. Los mecanismos para construir este pipeline se cubren en detalle en la guía de integración del SBC REST API con enrutamiento de llamadas.

Controles por capas en el borde

La calificación en tiempo real funciona junto con las demás defensas de borde del SBC en lugar de por sí sola. Las listas negras dinámicas bloquean fuentes conocidas como maliciosas, el greylisting basado en porcentajes limita el tráfico sospechoso sin cortarlo por completo, los límites de llamadas concurrentes y CPS limitan el radio de impacto de una cuenta comprometida, y la autenticación de llamadas verifica la identidad del llamante. Juntos, estos controles forman una postura de defensa en profundidad donde una llamada que pasa una capa se encuentra con otra. El panorama más amplio de estas capas aparece en la guía de amenazas de seguridad VoIP.

Autenticación de llamadas como entrada de detección

STIR/SHAKEN merece mención aparte porque convierte una afirmación no verificable en una señal utilizable. Cuando una llamada llega con una atestación fallida o faltante, eso se convierte en una entrada concreta para la calificación de riesgo en lugar de una suposición sobre suplantación. Combinado con una lista Do-Not-Originate, que marca cualquier tráfico que afirme provenir de un número que nunca debería originar llamadas, la autenticación cierra la vía de suplantación de identidad de la que dependen tantos esquemas de fraude. Las reglas de certificado propio de la FCC hacen de este marco un requisito regulatorio por derecho propio, como se detalla en la descripción general del programa de mitigación de robocalls.

Construir una práctica de detección funcional

La tecnología por sí sola no produce una práctica de detección de fraude. Los operadores que mantienen las pérdidas bajas tratan la detección como un ciclo operativo: vigilar las métricas correctas, responder de manera gradual y retroalimentar lo que sucede hacia las reglas.

Instrumentar las métricas que exponen el fraude

El monitoreo por troncal y por cliente de CPS, ASR, ACD y la mezcla de destinos internacionales proporciona la advertencia más temprana de un evento activo. Los tableros agregados ocultan el fraude en el ruido del tráfico total, por lo que la vista útil siempre está segmentada por fuente. El SBC es el punto de recopilación natural porque produce CDR por llamada, calificación MOS por llamada y un flujo de métricas en tiempo real desde un único punto de observación sobre cada llamada.

Responder de manera gradual

No toda llamada sospechosa justifica un bloqueo total. Un modelo de respuesta práctico tiene cuatro modos: bloquear la llamada cuando el veredicto es claro, desviarla a un anuncio o desafío cuando es ambiguo, limitar la fuente cuando el volumen es la preocupación pero las llamadas individuales parecen legítimas, y alertar a un operador cuando un patrón merece atención humana. Un motor de enrutamiento programable permite que cada tipología de fraude se asocie con la respuesta adecuada.

Cerrar el ciclo

Cada evento de fraude confirmado debería agudizar la siguiente detección. Los CDR enriquecidos que registran la calificación de riesgo y la decisión de enrutamiento junto con la llamada convierten cada bloqueo y cada fallo en datos de entrenamiento para las reglas. Con el tiempo, esta retroalimentación ajusta la línea base de la que depende la detección conductual, para que la capa en tiempo real siga el ritmo de esquemas que están en constante cambio. Para una visión más amplia de cómo el enrutamiento programable respalda esto, vea cómo el scripting personalizado transforma la gestión del tráfico de voz.

Preguntas frecuentes

Conclusión

La detección de fraude en telecomunicaciones ha pasado de ser un ejercicio de reportes a una disciplina en tiempo real. Los análisis históricos siguen siendo importantes para modelar el tráfico normal y ajustar las reglas, pero la prevención de pérdidas ocurre en la ventana de establecimiento de llamada, donde una llamada sospechosa puede detenerse antes de que le genere un centavo al atacante. Hacerlo bien significa combinar análisis de tráfico, calificación de riesgo en tiempo real y autenticación de llamadas en un punto de la red que pueda aplicar una decisión en vuelo.

Ese punto es el borde de la red. Un SBC con un motor de enrutamiento programable, controles de borde por capas e integración abierta con socios de calificación de fraude y autenticación convierte la detección en prevención, capturando IRSF, Wangiri, fraude de peaje impulsado por PBX y suplantación mientras las llamadas aún están en curso en lugar de en la conciliación del próximo mes.