1

1. © Beeline, BU Russia 2015
Москва, Октябрь 2015, Асланова Елена
Case Study: выявление и устранение известных и новых
схем мошенничества.

2. ©"Билайн",БЕРоссия2015
ПАО «ВымпелКом»
1
• ПАО «ВымпелКом» входит в группу компаний
«ВымпелКом Лтд» — одного из крупнейших мировых
интегрированных операторов связи (страны
присутствия: Россия, Италия, Украина, Казахстан,
Узбекистан, Таджикистан, Армения, Грузия, Кыргызстан,
Лаос, Алжир, Бангладеш, Пакистан, Зимбабве)
• Общее количество абонентов «ВымпелКом Лтд» — 218
миллион человек, общее количество абонентов ПАО
«ВымпелКом» — 55,7 миллиона человек*
• ПАО «ВымпелКом» предоставляет интегрированные
услуги мобильной и фиксированной телефонии,
международной и междугородной связи, передачи
данных, телематических услуг связи, доступа в
Интернет на базе беспроводных и проводных решений,
включая технологии оптоволоконного доступа, WiFi и
сети третьего и четвертого поколений
• Среди клиентов и партнеров «ВымпелКом» — частные
лица, малые, средние и крупные предприятия,
транснациональные корпорации, операторы связи
*По данным на 1 квартал 2015 г.

3. ©"Билайн",БЕРоссия2015
Интернет на Кубе.
• До недавнего времени сеть Интернет на Кубе была доступна лишь
госучреждениям, иностранным компаниям и небольшой группе из чуть более 100
тыс. «проверенных» человек, в том числе представителям интеллигенции и
ученым с «безупречной идеологией».
• Только совсем недавно кубинские власти дали официальное разрешение на
доступ к интернету всем своим гражданам.
• На Кубе существует постоянная цензура и фильтрация сайтов со стороны
правительства, так же как ограничения и строгий надзор за пользователями.
• Очень низкая скорость передачи данных (интернет на Кубу идет через спутник).
• Очень дорого. Один час подключения к мировой сети здесь стоит в среднем 6-10
CUC (конвертируемых песо), или 8-12 $, что равнозначно зарплате среднего
работника за 15 дней. 30 часов в месяц обойдутся одному кубинцу в 180 CUC —
сумму его заработка за полтора года.
2
Ку́ба, официальное название — Респу́блика Ку́ба,
неофициальное с 1959 года — Остров Свободы —
островное государство в северной части Карибского моря.
https://ru.wikipedia.org

4. ©"Билайн",БЕРоссия2015
Потери на DATA трафике. DNS-tunneling
3
Выявлен значительный рост GPRS трафика наших роумеров в сети Кубинского
оператора. Практически с нуля до 13 Гбайт в сутки.
-
2,000
4,000
6,000
8,000
10,000
12,000
14,000
Мегабайты
Фрод на мобильной сети.

5. ©"Билайн",БЕРоссия2015
Потери на DATA трафике. DNS-tunneling
4
• Несколько Абонентов, без денег.
• LOG показал попытки абонентов получить сервис.
• Абоненты перенаправлены на страницу оплаты (oplata.beeliene.ru).

6. ©"Билайн",БЕРоссия2015
Потери на DATA трафике. DNS-tunneling
Оперативные меры
5
-
5,000
10,000
15,000
20,000 Мегабайты
• Отключено перенаправление на страницу оплаты.
• Мониторинг абонентов с низким балансов на Кубе.
• Мониторинг DNS трафика («Точечный» запрет доменов,
замеченных в схеме DNS-tunneling.)

7. ©"Билайн",БЕРоссия2015
Потери на DATA трафике. DNS-tunneling
6
DNS Domain Name System — система доменных имён
DNS
Web
DNS
Билайн
Билайн
Задача DNS - преобразование URL в IP адрес.
Запрос www.ya.ru
Ответ 213.180.193.3
Однако в ответе содержится не только IP, но и другая
дополнительная информация.
Если запрос на неизвестный URL не из нашей зоны bhnhajap.1yf.me
То запросы отправляются на DNS ответственные за зону.
bhnhajap.1yf.me
.me
1yf.me
bhnhajap.1yf.me
195.10.20.20
195.66.166.148
195.66.100.100
195.10.20.20

8. ©"Билайн",БЕРоссия2015
Потери на DATA трафике. DNS-tunneling
7
Схема мошенничества
DNS трафик был бесплатен для наших абонентов
(в том числе и в роуминге).
 SIM карта с предоплатным тарифным планом и балансом
недостаточным для предоставления услуги роуминг данных
вывозится в роуминг на Кубу;
 На Кубе инициируются GPRS сессия с использованием DNS-тунеля:
Злоумышленник создает свой DNS-сервер, который на самом деле
таковым не является. Далее пишется специальный soft, который
позволяет вместо DNS-запросов передавать и получать необходимые
злоумышленнику данные, используя возможности протокола.
 В результате оператор несет потери т.к. оплачивает GPRS трафик
роуминг-партнеру не получая выручки от абонентов.

9. ©"Билайн",БЕРоссия2015
Потери на DATA трафике. DNS-tunneling
8
DNS Tunneling
BSC
SGSN
Куба
GPRS
backbone
GGSN
DNS
Firewall
Internet
charging data
CMD on
DNS
Билайн
example.com
Билайн
Запрос клиента DNS:
MRZGS3TLEBWW64TFEBXXMYLMORUW4ZI.t.example.com
В URL закодирована информация!
Ответ сервера DNS: IP сайта и другая полезная
NVWW2IDPOZQWY5DJNZSQ.t.example.com - получен ответ
Req
Res

10. ©"Билайн",БЕРоссия2015
Возможные меры защиты от DNS-tunneling
9
• DNS сервера с функционалом защиты от DNS-tunneling, DNS-
spoofing и др.
• Дополнительная платформа анализа DNS трафика.
• Тарификация DNS запросов в роуминге

11. ©"Билайн",БЕРоссия2015
Фрод на фиксированной сети.
Несанкционированный доступ к оборудованию
абонентов фиксированной сети (PBX) с последующей
генерацией МН-трафика.
Мошенник посредством несанкционированного доступа к
оборудованию абонента генерит международный трафик, в том
числе, на дорогостоящие международные PR- номера.
Возможны не только финансовые (интерконнект), но и
имиджевые риски.

12. ©"Билайн",БЕРоссия2015
ТОР рисковых направлений
11
13%
11%
10%
9%
8%8%
5%
5%
3%3%
25%
Мальдивы
13%
Спутниковые
сети 11%
Гвинея 10%
Монако 9%
Сомали 8%
14%
10%
10%
9%
7%7%
6%
4%
2%
31%
Сомали 14%
Босния и
Герцеговина
10%
Спутниковые
сети 10%
Сербия 9%
Сьерра Леоне
7%
ТОР рисковых
направлений 2014
ТОР рисковых
направлений 2015

13. ©"Билайн",БЕРоссия2015
Фрод на фиксированной сети.
 Промышленное решение для контроля фрода на фиксированной сети
(FMS).
 Дифференцированная система порогов для различных направлений (в
зависимости от степени риска).
 Время выявления фрода в режиме близком к реальному времени.
12

14. ©"Билайн",БЕРоссия2015
Телефонное вымогательство или сотовый номер, как
дополнительный источник дохода
13

15. ©"Билайн",БЕРоссия2015
Телефонное вымогательство
Схема 1:
Клиент из категории много звонящих (в колл-центр). Вопросы самые разные: не
знал, что подключенная услуга платная; не согласен со списаниями за СРА-сервисы,
утверждает, что не пользовался; претензии на качество связи; хочет поменять
номер; тарифный план и т.п., потом вернуть все обратно, т.к. что-то не устроило.
При этом через раз требует скидку или компенсацию, в случае, если оператор колл-
центра объясняет ему, что скидка не обоснована, начинает перечислять все
руководство Компании, говорит, что знает их лично и будет жаловаться. Сотрудники
теряются и дают скидки в рамках своих полномочий.
Схема 2:
Мошенник, звонит с номера В, представляется пользователем номера А и жалуется,
что у него что-то не работает на номере А, не может позвонить, не работает
интернет и т.п.
При этом требует скидку или компенсацию, ругается, угрожает. Сотрудник колл-
центра дает скидку в рамках своих полномочий, например, 100 руб. После чего
мошенник отправляет смс, на номер А, которому дали скидку, и просит вернуть
ошибочный платеж. В ряде случаев деньги ему возвращают.
14

16. ©"Билайн",БЕРоссия2015
15
Thank you!