Каждый фрод в оптовом телекоме — одно и то же преступление в разном пальто: кто-то лжёт расчётной цепочке о том, чем на самом деле является звонок или сообщение, и кладёт разницу в карман. Это полная карта: четыре семейства фрода, что каждое крадёт, какие отпечатки оставляет и какой стек профилактики реально работает. Написано из операций, не из буклета.
Оптовый телеком-фрод — эксплуатация разрыва между тем, чем является трафик, и тем, чем расчётная цепочка его считает: международные звонки, наряженные в локальные (байпас), происхождения, переписанные на более дешёвые страны (рефайлинг), коммерческие сообщения по потребительским тарифам (серые маршруты), или объём, созданный из воздуха (pumping). Потери индустрии — десятки миллиардов долларов в год (оценки CFCA), а невыявленная доля — часть, которую никто не может сосчитать.
Преступление делают возможным три условия. Ценовые разрывы: один и тот же звонок или сообщение рассчитывается по wildly разным тарифам в зависимости от того, что цепочка думает о его происхождении, назначении и типе. Цепочка доверия: международный звонок пересекает три-шесть сетей, и ни одна не может полностью проверить заявления предыдущей. И отсутствие рефери: нет центральной власти, способной заставить оператора в другой юрисдикции играть честно. Сложите три — и каждый ценовой разрыв становится бизнес-планом. ITU-T в техотчёте 2024 года по OTT-байпасу отнёс байпас к крупнейшим угрозам assurance выручки операторов.
Следствие: фрод — не инцидент, а постоянная погодная система. Он масштабируется вместе с вашим трафиком, адаптируется к вашим защитам и облагает налогом каждый безнадзорный коридор. Операторы, относящиеся к детекции как к квартальному проекту, платят налог; относящиеся как к дисциплине — собирают его обратно.
Каждая техника, которую вы когда-либо встретите, укладывается в одно из четырёх семейств. Выучите семейства — и ни одна презентация вендора вас больше не запутает.
Международный звонок конвертируется в дешёвый локальный до того, как его увидит вызываемый оператор. Фрод SIM-боксов делает это механически банками локальных SIM; OTT-байпас — программно через приложения и шлюзы. Оператор теряет международный тариф терминирования; мошенник забирает спред. Отпечатки: обвал ACD, повторяемость B-номеров, SIM-поведение, которого не порождает ни один абонент.
При тарификации по происхождению цену задаёт заявленный источник — поэтому атакуют источник. Рефайлинг CLI переписывает международные A-номера в локальные ради арбитража тарифной сетки. Wangiri превращает в оружие сам обратный звонок с премиальной наживкой. Спуфинг и маскинг подделывают или подавляют идентичность, ломая валидацию и включая фрод доверия. Отпечатки: нестыковки с планом нумерации, кластеризация A-номеров, всплески доли no-CLI.
Серые маршруты несут A2P-трафик по P2P-тарифам. SMS pumping (AIT) изготавливает OTP-объём в сторону диапазонов, за терминирование которых кому-то платят. Эвазия файрвола ищет дыры в policy-слое. Отправитель платит полную цену за доставку, у которой никогда не было гарантий. Отпечатки: throughput, не порождаемый людьми, несогласованность sender ID, концентрация направлений с нулевой конверсией.
Самое тихое семейство: интерконнект-инвойсы, дрейфующие от CDR, разделение выручки Pay TV и VOD, рассчитываемое по цифрам дистрибьютора, устаревшие entitlements, аномалии агентов мобильных денег, манипулированные DLR, рапортующие доставку, которой не было. Хакер не нужен — лишь агрегация в масштабе и отсутствие сверки. Отпечатки: разрывы расчёт-vs-CDR, устаревание entitlements, несогласованность провенанса DLR.
| Семейство | Ложь | Крадёт у | Главный способ детекции |
|---|---|---|---|
| Голосовой байпас | «Этот международный звонок — локальный» | Тариф терминирования вызываемого оператора | CDR-базлайны по коридорам, тест-звонки |
| Манипуляция A-номером | «Источник — то, что я говорю» | Тарифные сетки операторов, доверие абонентов | Кросс-чеки плана нумерации, проверка по хопам |
| Фрод в месседжинге | «Этот A2P-трафик — P2P» | Отправители, бренды, честные агрегаторы | Аналитика sender/throughput, трекинг конверсий |
| Утечка расчётов | «Вот цифры» | Все, кто выше по течению отчёта | Сверка, провенанс DLR |
Каждая серьёзная программа сочетает адресные тест-звонки (доказывают, что коридор грязный, почти ничего не сэмплируя), статистическую CDR-аналитику (покрывает всё, требует калиброванных базлайнов) и инспекцию сигнализации (точна там, где видна; на транзите обычно не видна). Каждая в одиночку промахивается; вместе работают. Две цифры держат дисциплину честной: на машинно-меченом трафике без экспертной ревью ждите порядка трети ложных срабатываний, и перекалибровывайте пороги поквартально — паттерны прошлого квартала уже стареют. Машины предлагают, инженеры подтверждают.
Пять слоёв, намеренно скучных, эффективных в сочетании:
1. Базлайны по коридорам. Аналитика, знающая, как выглядит норма на каждое направление, чтобы дрейф всплывал за дни, а не за кварталы.
2. Верификация идентичности. Проверки A-номера по хопам, кросс-чеки плана нумерации, согласованность sender ID, провенанс DLR.
3. Собственный тестовый трафик. Аудит покупаемых маршрутов собственными звонками и сообщениями, чтобы узнать, каким путём они реально шли.
4. Коммерческие последствия. Переоценка с доказательствами и выход для партнёров, чьи маршруты текут. Аналитика без эскалации — музей.
5. Каденция перекалибровки. Поквартальная ревью порогов против свежих паттернов: фрод адаптируется быстрее, чем закупки.
1. Где потребляется вывод вашей фрод-детекции? Дашборд — не решение.
2. Какой был последний измеренный уровень ложных срабатываний по маркировке фрода и кто его ревьюил?
3. Как быстро меченый коридор доходит до человека и каково окно эскалации?
4. Что происходит коммерчески, когда вы ловите партнёра на утечке или рефайлинге?
5. Что вы поймали за прошлый квартал из того, что человек бы пропустил, и наоборот?
Если ответы расплывчаты — вы покупаете не защиту от фрода, а буклет.
Этот гид — карта. Обсерватории — территория.
