Манипуляция A-номером, позволяющая звонку ехать по дешёвому маршруту. B-номер говорит «международный»; A-номер говорит «локальный». Тарифная сетка платит по локальному. Мы ловим рефайл раньше, чем это заметит сетка.
Рефайлинг CLI — манипуляция A-номером звонка (calling line identity), при которой международный трафик выглядит локальным. Посредники эксплуатируют тарифы терминирования по происхождению, выставляя вызываемому оператору международные тарифы, которые трафик никогда не зарабатывал, либо забирая спред между локальным и международным расчётом. Детекция опирается на кросс-чеки с планами нумерации, целостность A-номера по хопам и базлайны паттернов коротких звонков.
Рефайлинг (он же рефайлинг A-номера или CLI) — практика изменения номера звонящего (A-номера), чтобы звонок выглядел пришедшим с более дешёвого транка. Международный звонок на бумаге становится локальным; международный тариф в счёте становится локальным. Разрыв расчёта и есть фрод.
Мы сравниваем A-номер, приходящий на каждый хоп, с A-номером, ушедшим с предыдущего. Рефайлинг виден как рассинхрон в цепочке.
A-номера сверяются с национальными планами нумерации. A-номер страны X, терминирующийся на плане набора Y — сигнатура рефайлинга.
Внезапные сдвиги распределения A-номеров на коридоре — обычно в сторону локальных диапазонов на трафике, который должен быть международным, — говорят, что рефайл-операция разогревается.
Прцип прост: вести A-номер сквозь цепочку звонка от края до края. Где он меняется — там произошёл рефайлинг. Реализация сложнее: нужна видимость на каждом хопе, а не только на своём коммутаторе.
Мы фиксируем A-номер в момент выхода из коммутатора-источника. Это эталон, с которым сравниваются все хопы ниже по течению.
В каждой точке интерконнекта, где у нас есть видимость, мы сверяем A-номер с эталоном источника. Рассинхрон логируется с хопом, таймстампом и маршрутом.
A-номер сверяется с планом нумерации назначения. Международные номера, наряженные в локальные, — самый частый паттерн рефайлинга.
Мы держим базлайн распределения A-номеров по коридорам. Дрейф к локальным диапазонам на трафике, который должен быть международным, флагует рефайл-операцию.
Если вы выставляете счёт за минуту по представленному A-номеру, рефайлинг — печатный станок. Единственные защиты: (1) сквозная проверка целостности A-номера или (2) признание, что часть выставленных минут тарифицирована неверно. Мы делаем (1).
Разбор
Международный звонок в страну Y. Тариф прямого маршрута: $0,18/мин. Локальный тариф терминирования: $0,022/мин.
Мошенник рефайлит A-номер в диапазоны Y, выставляет звонок по $0,022/мин в сетке, терминирует локально и кладёт в карман $0,158/мин.
10 миллионов отрефайленных минут в месяц на коридоре = $1,58 млн/мес потерянной расчётной выручки. Вот математика, под которую построен рефайлинг.
Полевая заметка
Рефайлинг — одна из старейших интерконнект-схем и до сих пор одна из самых доходных. Он живёт, потому что сквозная проверка A-номера требует кооперации нескольких операторов. Мы приносим эту видимость на коридоры, которыми управляем.
Где мы не видим каждый хоп, мы работаем с операторами-партнёрами под NDA, чтобы закрыть разрыв.
Манипуляция CLI приходит в wholesale-трафике в трёх разных формах, которые часто смешивают.Рефайлинг CLI переписывает A-номер международного трафика так, что он выглядит локальным, арбитражируя тарифы по происхождению.Маскинг CLI подавляет или деградирует идентичность звонящего, чтобы вызываемая сеть вообще не могла проверить происхождение, что ломает проверки плана нумерации и часто едет вместе с отрефайленным трафиком.Спуфинг CLI подставляет заведомо ложный A-номер — обычно для импersonации доверенного номера в вишинге и смишинге или чтобы нарядить трафик в номера более дешёвого тарифного ведра.
Три техники оставляют разные отпечатки в потоке CDR — поэтому наша обсерватория скорит их раздельно по коридорам, а не сваливает в общий котёл «фрода CLI».
| Техника | Что меняется | Типичный умысел | Главные сигналы детекции |
|---|---|---|---|
| Рефайлинг CLI | A-номер переписан в локальный | Арбитраж тарифов по происхождению | Локальный CLI на международных паттернах, обвал ACD, кластеризация A-номеров по коридорам |
| Маскинг CLI | Идентичность звонящего подавлена/ненадёжна | Ломать верификацию происхождения и проверки нумерации | Всплески доли no-CLI, доля restricted по коридорам, корреляция с короткими звонками |
| Спуфинг CLI | Ложный A-номер, импersonация | Вишинг и смишинг, уход от тарификации | Несоответствия плану нумерации, неправдоподобная однородность, жалобы или попадания в honeypot |
Где регулирование позволяет, пробелы attest STIR/SHAKEN добавляют сигнальный слой подтверждения: отрефайленные или подменённые A-номера стабильно не несут attest, согласованный с заявленным происхождением. На интерконнектах без attest надёжными контролёми остаются проверка A-номера по хопам и калиброванные тест-звонки.
Рефайлинг CLI — манипуляция номером звонящего (A-номером), из-за которой международный трафик выглядит originating локально. Он эксплуатирует тарификацию по происхождению: посредник отрефайлил номер, а вызываемый оператор всё равно рассчитывает звонок по неверному тарифу.
Спуфинг подделывает A-номер для фрода идентичности — скажем, импersonации банка. Рефайлинг систематически переписывает международные A-номера в локальные ради снижения стоимости терминирования. Механики пересекаются; умысел и финансовый эффект разные.
Маскинг подавляет или деградирует идентичность звонящего, чтобы вызываемая сеть не могла валидировать, откуда на самом деле пришёл звонок. Виден как всплески доли no-CLI по коридорам, коррелирует с паттернами коротких звонков; часто сопровождает отрефайленный трафик.
Проверенные сигналы: проверка согласованности A-номера хоп за хопом, кросс-чек A-номеров против плана нумерации назначения, аномально короткая средняя длительность, однородная кластеризация A-номеров на ёмких коридорах, отклонение от поведенческих базлайнов по коридорам.
Зависит от коридора. В разборе на этой странице маршрут, платящий $0,18/мин вместо правильных $0,022 по единственному рефайл-паттерну, даёт около $1,58 млн утечки в месяц на умеренных объёмах. Без системного мониторинга большинство операторов находит лишь долю этого.
Не одним блокированием: рефайл происходит выше по течению вашей сети. Работает: непрерывная CDR-аналитика с проверкой по хопам, калиброванные тест-звонки на подозрительных коридорах, коммерческое давление на несоответствующих партнёров и поквартальная перекалибровка порогов.
Пришлите образец записей звонков. Мы прогоним проверку целостности и отчитаемся о найденных разрывах.
