Wangiri et la fraude internationale au partage des revenus

Les fraudes de type IRSF et Wangiri génèrent des pertes considérables pour les consommateurs et les opérateurs de réseaux. Ces types de fraude ne sont pas particulièrement sophistiqués ou compliqués à réaliser.

Il y a environ 13 ans, un bon ami à moi, qui dirigeait la lutte contre le crime organisé dans la région où je vis, m’a contacté. Son organisation luttait également contre la criminalité sur l’internet et coopérait étroitement avec d’autres États, partageant des informations pour attraper les mauvais acteurs. Un jour, il m’a appelé pour me demander si je pouvais aider l’un de ses procureurs à comprendre et à expliquer à un juge comment quelqu’un avait gagné environ 5 millions de dollars grâce à une fraude qu’il n’avait jamais rencontrée auparavant. Ils avaient intercepté de nombreux messages, paquets IP et journaux informatiques, et avaient suivi une piste financière. Comme tout était sur papier, il m’a fallu un certain temps pour comprendre et expliquer.

L’escroc était très organisé et a opéré cette fraude pendant environ un an. Je vais vous expliquer brièvement ce qu’il a fait :

Il a exploité une vulnérabilité de type “zero-day” dans le PBX Asterisk et a commencé à scanner les hôtes pour détecter cette vulnérabilité. Dès qu’un hôte était trouvé, il le piratait, installait un rootkit et un bot IRC qui se connectait à son canal IRC pour recevoir des commandes. Chaque machine piratée commençait alors à rechercher d’autres hôtes présentant la même vulnérabilité, se comportant comme un ver et fonctionnant de manière autonome, le tout à l’aide de scripts automatisés. Le fraudeur vérifie ensuite sur son canal IRC le nombre de machines qu’il peut contrôler entièrement.

Il a visité l’un des milliers de sites web qui font de la publicité pour la vente de numéros IPRN (International Premium Rate Numbers) et y a obtenu quelques numéros de test. Je vous expliquerai plus tard comment cela fonctionne.

Il a ensuite lancé une commande sur son canal IRC pour que toutes ses machines piratées appellent les numéros de test et vérifient si elles se connectent au fournisseur IPRN. Ceux qui ont réussi à se connecter au fournisseur IPRN ont été ajoutés à un groupe. Il a réservé des numéros dans ces plages et a envoyé des commandes aux robots IRC pour que les machines piratées appellent ces numéros (il a astucieusement paramétré les scripts – par exemple, le nombre d’appels à effectuer en parallèle, la durée des appels, etc.)

En étant payé par le fournisseur de l’IPRN, il a gagné environ 5 millions de dollars, et il a finalement été arrêté grâce à la trace de l’argent.

Les numéros IPRN sont soit de vrais numéros, soit de faux numéros que les fournisseurs d’IPRN annoncent aux transporteurs de transit vocal comme leur appartenant. Dans un monde idéal, tout transporteur de transit accepterait ces numéros comme étant légalement attribués au fournisseur d’IPRN, mais ce n’est pas toujours le cas.

Si vous passez un appel depuis votre téléphone vers l’un de ces numéros IPRN et si, le long du trajet de l’appel, il y a un transporteur de transit qui a un accord avec le fournisseur IPRN, l’appel est acheminé vers vous ou vers un IVR, et le fournisseur IPRN vous paiera une partie du tarif de terminaison international. Il s’agit généralement d’appels longue distance, car les opérateurs ont des interconnexions locales et régionales qui ne passent pas par ces transporteurs de transit.

IRSF vs Wangiri

La technique que j’ai décrite précédemment était l’IRSF. Wangiri fonctionne de manière très similaire, mais vous n’avez pas à pirater de machines. Voici ce que vous devez faire :

1. Déterminez les trajets d’appel qui permettraient d’atteindre le fournisseur IPRN (par exemple, vous savez que les numéros IPRN en Somalie atteignent le fournisseur IPRN lorsqu’ils sont appelés à partir de T-Mobile US).
2. Réservez ces numéros et créez un SVI intéressant qui incitera les gens à rester au téléphone.
3. Passez des appels flash vers autant de numéros T-Mobile US que possible en usurpant le numéro A (CLI) pour qu’il ressemble aux numéros IPRN.

Ensuite, c’est un jeu de chiffres. Un nombre X d’utilisateurs recevront des appels en absence de ce numéro somalien, Y% d’entre eux rappelleront et la durée moyenne de l’appel sera de Z minutes. L’opérateur IPRN paiera alors votre part de l’appel de terminaison vers la Somalie pour X * Y% * Z minutes. Si vous ajustez les variables, vous pouvez gagner beaucoup d’argent.

Exemple pratique

Je me suis connecté à un fournisseur d’IPRN, j’ai obtenu un numéro du Danemark (anonymisé ci-dessous) qui était en service, et je l’ai appelé – il a sonné jusqu’à ce que je tombe sur une boîte vocale (standard). Vous trouverez ci-dessous le numéro (anonymisé) ainsi que la réponse du service en direct. Notez qu’avant cela, j’ai appelé un autre numéro de l’IPRN au Danemark, où une personne normale m’a répondu

J’ai vérifié les derniers appels tests sur le site de l’IPRN et je n’ai pas trouvé mon appel, ce qui signifie que les appels que j’ai passés n’ont pas atteint le fournisseur de l’IPRN, puisqu’ils ne sont pas passés par l’un des transporteurs de transit qui ont un accord avec ce fournisseur.

Il s’agit donc d’un numéro IPRN annoncé, mais on me facture un tarif normal.

• Le fournisseur de l’IPRN doit avoir des interconnexions avec les transporteurs de transit pour que ces numéros leur soient acheminés. Il ne s’agit généralement pas d’une tarification dynamique, mais d’une tarification standard.
• Lorsqu’un appel en provenance du Chili (en particulier si vous utilisez un service VoIP terrestre, etc.) est émis vers ce numéro danois, il est très probable que l’appel passe par plusieurs transporteurs.
• Si l’un des opérateurs a conclu un accord avec le fournisseur de l’IPRN, l’appel est acheminé vers ce fournisseur et un IVR est diffusé. En général, il s’agit d’un message accrocheur qui vous incite à rester longtemps au téléphone.
• En fonction de la tarification dont bénéficie le client, il paiera le coût de l’appel vers un téléphone mobile danois (en général, il ne s’agit pas d’un service supplémentaire/prime).

Moyens de gagner de l’argent avec ce service

1. Piratage des PBX IP vulnérables (tels que les boîtiers Asterisk obsolètes). Dans ce cas, vous lanceriez des appels de test vers des numéros de test IPRN à partir de fournisseurs IPRN pour voir si les appels leur parviennent. Si c’est le cas, cela signifie que les appels vers cette destination passent par un opérateur de transit avec lequel le fournisseur d’IPRN a conclu un contrat. Vous pouvez alors réserver votre IPRN dans cette plage particulière et passer autant d’appels que possible. De cette manière, le propriétaire du PBX piraté se retrouve avec une énorme facture de téléphone, même si les appels n’ont abouti nulle part (juste à l’IVR du fournisseur d’IPRN). L’opérateur de transit facture le réseau du PBX piraté et partage l’argent avec le fournisseur IPRN, qui vous paiera (le pirate) à 50/50 ou selon le pourcentage convenu.
2. Wangiri – cela fonctionne comme suit :
   • Effectuez une forme de test vers tous les numéros surtaxés du plus grand nombre de réseaux possible. Sinon, et plus facilement, vous pourriez voir les appels de test sur le site web du fournisseur de l’IPRN (en supprimant la date de l’appel et le numéro IPRN réel, qui apparaît dans la colonne DID).
     
   • Prenons l’exemple des appels vers le Tadjikistan, qui sont effectués à partir des numéros de Russian Tele2. Vous savez que les abonnés qui appellent de Russia Tele2 vers Tajikistan Mobile Beeline passeront par un opérateur de transit qui a conclu un accord avec ce fournisseur IPRN.
   • Vous obtenez un IPRN de ce fournisseur d’IPRN vers Tajikistan Mobile Beeline, créez un joli IVR en russe pour garder les gens en ligne.
   • Vous obtenez un service SIP et commencez à générer des appels (tels que des appels flash) que vous annulez immédiatement après l’indication de sonnerie vers des numéros russes aléatoires de Tele2, en utilisant le CLI du numéro que vous avez obtenu auprès du fournisseur IPRN.
   • Parmi les dizaines de milliers d'”appels manqués”, certains des destinataires rappelleront, d’autres resteront plus ou moins longtemps en ligne. Le fournisseur de l’IPRN en question vous paie environ 0,03 $/minute.

   Un exemple simple : vous passez 100 000 appels flash, 20 % des destinataires rappellent et passent en moyenne 2 minutes en ligne. Vous gagnez 1 200 $ – mais les personnes qui appellent paieraient probablement ~ 0,5 $/minute, de sorte que la fraude globale s’élève à 20 000 $.

Comment TMT peut vous aider

Nous travaillons avec quelques entreprises qui récupèrent autant de sites de fournisseurs d’IPRN que possible et créent une base de données de ces numéros. Au moment de la rédaction de ce billet, le nombre actuel d’entrées dans la table IPRN est de 20 073 001, dont 13 518 172 (67 %) sont des numéros valides.

Cette base de données peut être téléchargée ou consultée par l’intermédiaire de notre service de lutte contre la fraude Teleshield.

Les données peuvent être utilisées pour identifier et bloquer les appels en réponse à des appels flash provenant de numéros IPRN, raccourcir la durée des appels, limiter le nombre d’appels vers les numéros IPRN, etc.