FCC の STIR/SHAKEN から 1 年以上が経ちましたが、アメリカには依然として巨大なロボコールの問題があります

連邦通信委員会 (FCC) の STIR/SHAKEN が、2021 年 6 月 30 日の最終的な実装の前に必死に要求されたのには、説得力のある理由があります。 2021年現在）。 そして、攻撃はより凶暴になっています。

STIR/SHAKEN は、詐欺の状況が変化する中で設計されました。 詐欺師は、もはや電気通信取引からお金をすくい取ろうとはしていません。 今日、それは個人データと財務データの収集に関するものです。 世界中の攻撃者が現在のテクノロジーの脆弱性を悪用して、エンド ユーザーを直接標的にする「ロボコール ビッグ バン」に入ります。

規制当局はこれを知っているため、STIR/SHAKEN はロボコールを取り締まることを目的とした一連の技術プロトコルとガバナンス フレームワーク標準であり、そのほとんどはスプーフィングされた Calling Line Identification (CLI) または Caller ID を持っています。 これは、詐欺師が米国の顧客に、米国にいない誰かから電話がかかってきていると信じ込ませる方法です。 通話を発信する通信事業者が各通話に「署名」し、正当なものであることを確認することになっていることを考えると、STIR/SHAKEN はエンドユーザーと終端の通信事業者 (通話の最終宛先 – この場合は米国) に信頼をもたらすはずでした。 IP ネットワークで受信した着信発信者 ID を確認するとき。

理論的には素晴らしいことですが、BICS FraudGuard は、2021 年 11 月から 2022 年 2 月にかけて、米国の加入者に対する攻撃の量が 65% 増加したことを明らかにしました。

では、何が問題で、どのように修正すればよいのでしょうか?

電話のトラフィックは一直線ではない: STIR/SHAKEN の問題点

STIR/SHAKEN の欠点の中心にあるのは、国際音声トラフィックがどのように機能するかについての誤解です。

国際電話のトラフィックは一直線ではありません。 通話が国内の通信事業者から直接、または米国のモバイル ネットワーク事業者に直接送信されることはめったにありません 間に多くの「ホップ」があります:トラフィックが世界中を通過する際に、通信事業者間の 7 つまたは 8 つの個別の接続が行われます。

シンガポールの通信事業者が不正な通話で誤って US CLI を本物であると認定した場合、および米国の通信事業者の最終宛先の前に多数のホップが発生した場合、その CLI を認定する方法を課すすべての規制 (したがって通話) は、最終的には何の意味もありません。

国際的なトラフィックに多くの中間当事者がいるとすぐに、トレーサビリティが失われます。 CLI の署名は、コールが IP ネットワークも通過する場合にのみ、チェーン内の異なるキャリアに渡されますが、これは常にそうとは限りません。 さらに悪いことに、データ保護法と会社のポリシーにより、米国の通信事業者は通話の発信元を追跡することがさらに妨げられています。 また、外国の通信事業者は FCC の規制に縛られていないため、STIR/SHAKEN を実装するインセンティブはほとんどありません。

グローバルな採用が必要

言い換えれば、STIR/SHAKEN は、国際的なゲートウェイ プロバイダーに、コストのかかる方法で、本物であるとは考えられない CLI に署名することを強制します。 中間の国際ゲートウェイ プロバイダーができることは、呼び出しが以前のオペレーターによって検証されたことを確認することだけです (CLI 署名が SIP ヘッダーで渡された場合)。 あるいは、「C レベルの証明」を通話に帰することができ (最低の信頼レベル)、まったく別の場所から発信された着信通話を自分自身が操作していないことを効果的に確認できます。

この「証明」の価値は何ですか？ アメリカの顧客の快適さと安全のためには、それほどではありません。

STIR/SHAKEN のようなポリシーは、米国の CLI で通話を送信する他のすべての国に適用される場合にのみ機能しますが、これは現実的ではありません。 主要な地政学的プレーヤーとしてのアメリカの影響力のすべてにもかかわらず、日本、ジンバブエ、またはオーストラリアの通信事業者に国内規制を課すことは決してできませんでした. そのガバナンスの枠組みは、国際環境に適応するように設計されていません。

Robocall Index をざっと見てみると、ロボコールの数は前年比で減少していることがわかりますが、国際通信事業者が低価値の C レベルのコール認証を実行するために被った莫大なコストを正当化するには十分ではありません。

詐欺に対抗するAI

ロボコールの窮状に対して、規制が効果的であるためには、すべての国際関係者に等しく適用されるグローバルな枠組みが必要です。 しかし、これは複雑であるため、すぐに発生する可能性は低いです。

分析や機械学習 (ML) などのツールはこれを緩和することができ、すでに FCC 規制の一部となっています。 実際、BICS は、900 以上のサービス プロバイダーから情報を収集する FraudGuard プラットフォームを実行し、AI を適用して、着信する不正な電話やテキストを検出してブロックします。 昨年、BICS は、米国の通信事業者や加入者に到達する前に、数百万件の通話をブロックしました。

ここで AI が機能する理由の 1 つは、不正行為と闘うための答えが「顧客を知る」よりも「トラフィックを知る」であるからです。この点で、AI はトラフィックの動作を非常によく追跡します。 しかし、これらのツールは松葉杖として頼ることはできません。 正当なトラフィックをブロックしたり、国際通信事業者間で法的な紛争を引き起こしたりしないように、注意して使用する必要があります。

謙虚な解決策を探す時が来ました

同じく FCC 規制によってサポートされ、Industry Traceback Group (ITG) が主導するトレースバックは、不正な電話の発信者を根絶するための調査プロセスです。 最後の通信事業者から始めて、通話は多くの通信事業者を通じて追跡され、可能な場合は機密保持契約やプライバシー法を回避して、悪意のある人物を見つけます。 最善を尽くしている中間パーティを罰するのではなく、ロボコーラーを罰することは私たちの戦略の一部でなければなりませんが、確かに、これは非常に長いプロセスです.

幸いなことに、もっと控えめな解決策があります。 1 つは、North American Numbering Plan (NANPS) で国際通信事業者に明確性を提供して、「良い」トラフィックと「悪い」トラフィックを区別しやすくすることです (つまり、どの US CLI がローミング エンド ユーザー以外の海外からのトラフィックを生成することを許可されているか?)。 .

通信事業者は通常、海外で事業を展開している企業に、米国外からのトラフィックを生成できる番号と範囲を割り当てます。米国の顧客にサービスを提供するコール センターでは、他の場所から発信された場合でも米国の CLI を使用することがよくあります。 これらの企業番号のリストは、国際的な電気通信コミュニティと共有できる可能性があります。 人間のローミング動作を示さないリストにない着信番号は、疑わしいとマークされます。

5G の世界における新たな脅威

5G とモノのインターネット (IoT) の世界では、詐欺やセキュリティの脅威に対抗するためのより多くの対策を採用することがますます重要になります。

この移行により、通信エコシステムが複雑になり、詐欺師が悪用するエントリ ポイントや抜け穴が増えることは避けられません。 ネットワーク その最も弱いリンクと同じくらい強力であるため、国際社会として詐欺防止とセキュリティ保護にAゲームを導入する必要があります. これには、特に他の当事者がスプーフィングされた電話を発信していることが判明した場合に、誰と取引を行っているかについてのより厳格な監査が含まれます.

不正防止は止むことはありません。 詐欺師は常に適応し、地理的に拡大しています。 魔法のような解決策はありませんが、詐欺を完全に根絶することは決してできないことを認識する必要があります。 STIR/SHAKEN のようなプロトコルは、通信エコシステムを保護するための出発点ですが、国境の課題には、各国の規制当局やオペレーターを含むエコシステム全体からの真にグローバルな共同アプローチが必要です。

Katia Gonzales は、BICS の詐欺防止責任者であり、i3 Fraud Forum の議長でもあります。.