欺诈行为跟踪分析.doc

欺诈行为跟踪分析3．1 回拨呼叫分析Ø 分析思路回拨行为主要由于计费差价问题而造成，主要发生在国内不同运营商间，以及与国际运营商间的不同用户呼叫而产生回拨行为通过对国内网间和国际网间的信令链路全面监测，可以分析判断回拨呼叫是否存在对于移动网内存在的拨打被叫接通后主叫释放，引诱被叫回电，然后将呼叫转移至自动语音提示，做违法广告宣传，则不属于回拨呼叫的范围判断方式：1）人工操作分析；2）增加回拨自动检测功能块（目前系统无此功能模块）判断原理：1）一般判断：主叫打出接通后，然后做被叫接通并应答2）严格判断：一次呼叫主叫、被叫结束后，相同的号码记录再次出现，只是主被叫颠倒并接通应答由于判断主叫、被叫，要求主叫传送必须是规范的回拨呼叫与用户行为、运营商行为有关，回拨呼叫太多则可肯定是运营商行为所致下面主要讲述人工分析过程，对于自动检测功能，则需要用户提出具体的需求后分析实现Ø 主要操作过程1、通过“呼叫记录直接查询”功能，对怀疑有回拨行为的号码进行忙时主叫和被叫呼叫记录全部提取，分析是否经常出现回拨；2、通过“接通率排行榜【按被叫号码】”和“接通率排行榜【按主叫号码】”进行忙时统计，对于同一号码主叫时应答次数低，而被叫时应答次数高的号码提取相应的呼叫关联记录，然后分析是否有回拨呼叫存在；3、通过“回拨呼叫查询” 功能（目前系统不具备此功能），直接查询两条计算机程序判断出来的回拨呼叫记录。

该功能消耗大量的系统处理资源，一般不建议提供使用，除非增加单独的判断处理系统Ø 问题解决方法1、对于回拨呼叫的时延应重点分析；如果很短的时间进行回拨，非人工所能处理的，则应对对端运营商进行投诉；通过拨测确定回拨呼叫的存在2、如果确认回拨频次较高，以至于影响网间话务结算，则应进行呼叫拦截判断处理3、通过通信管理局仲裁解决Ø 具体案例1、广西移动发现较多的回拨呼叫2、河南移动发现较多的回拨呼叫，并希望进行拦截3．2 模拟呼叫分析Ø 分析思路模拟呼叫是指采用拨测系统、模拟呼叫器发起的呼叫，由于频率高，数量大，监测取证难，因此应深入进行全方位的分析，才能确定模拟呼叫的存在例如某地电信推出的“呼死你”业务，对小广告上的号码不短的拨打，致使对方不能正常呼叫为了交换机开通，进行呼叫量测试，也需要使用模拟呼叫器为了测试局间的中继群工作是否正常，也需要发起模拟呼叫测试话路工作是否正常但模拟呼叫器也可由用户发起欺诈呼叫，目的是增加对方网络的呼叫量，对正常呼叫造成冲击；也可能是为了增加网间呼叫，套取网间结算话费模拟呼叫的特征：1、 呼叫量大，频次高；2、 主叫号码可能是空号；3、 被叫号码重复次数多；4、 业务量突然增加太多；5、 呼损原因为久叫不应、空号、主叫早释等；主要针对模拟呼叫的上述特征，通过“呼叫记录直接查询”、“实时测试”、“接通率排行榜【按主叫局号】”、“接通率实时测试”、“接通率排行榜【按局向】”等功能，可对模拟呼叫进行专项分析。

Ø 主要操作过程1、 通过“接通率排行榜【按局向】”功能，分析各个局向的呼损比率，如果空号、ADI、LOS、SST、主叫早释等呼损较高，例如超过5％时，对来话的主叫进行全面分析，如果同一主叫是人工拨打，间隔应较长；而模拟呼叫则间隔较短，非正常挂机再重拨造成；另外持续次数多也可判定主叫非正常2、 通过“接通率排行榜【按主叫局号】”功能，分析主叫号码段是否未开通，即以空号作为主叫，但号长是正常的3、 通过“呼叫记录直接查询”功能，分析提取被叫为空号、ADI、LOS的呼叫记录，再分析查询是否作为主叫曾经发起了呼叫如果有，分析主叫的次数和是否超长，判断是欺诈呼叫逃避计费，还是使用了模拟呼叫器在进行网络拨打测试4、 对于局间中继电路测试，网上一般使用被叫号码超短，或含有字母的特殊号码，因此发现被叫短号码呼叫接通且应答的记录，可视为正常的中继占用测试Ø 问题解决方法1、 重点分析网间呼叫记录，分析模拟呼叫器发起的呼叫是否存在；2、 保存模拟呼叫的全部数据，便于向对端投诉；3、 通过通信管理局，对模拟呼叫行为进行鉴定分析，并让对方停止欺诈Ø 具体案例1）以下案例是通过现场仪表测试的结果，对监测系统分析同样有参考意义。

1、现场测试发现两个局向间的接通率已很低，详细分析呼损主要为“未分配的号码”（空号），占66％的比例，如下图所示2、深入分析被叫号码，可得知存在一定的规律性，都是00打头的被叫号码，每个号码在短时间内出现400多次，如下图所示3、再针对单个号码的全部记录进行跟踪测试，分析主叫号码不断的变化，但却存在主叫号码为空号、用户已关机的记录如下图所示4、通过对主叫的拨打测试，即使是有效的主叫，用户也说明没有拨打“00139000*”的呼叫，因此可确认呼叫是由模拟呼叫器产生的上述过程测试虽然不在网间，但可以通过网间监测系统全面发现2）通过监测系统分析发现的模拟呼叫1．通过“接通率排行榜【按局向】”，发现MSC局1-254-4返回“应答不计费”异常多（与其他局向相比）2．同时深入跟踪号码记录，ANN号码主要集中在13742316000-1374231699号段再通过人工拨打测试，却证实此号码段是空号网络内部有异常的拨打测试存在编号开始时间主叫号码被叫号码OPCDPC呼叫结果响应时长(毫秒)通话时长(秒)占用时长(秒)52004-03-30 10:12:56861391188604913742316000BJG371-254-4应答(不计费指示)81774.67662004-03-30 10:37:18861380130995613742316004BJG371-254-4应答(不计费指示)7588.910.472004-03-30 09:21:39861390316668613742316005BJG371-254-4应答(不计费指示)76315.316.882004-03-30 09:33:44861383163765913742316008BJG371-254-4应答(不计费指示)6976.37.692004-03-30 08:12:24861393069102913742316009BJG371-254-4应答(不计费指示)72317.318.7102004-03-30 09:02:48861391059085013742316012BJG371-254-4应答(不计费指示)7435.87.1112004-03-30 09:30:19861362102679513742316024BJG371-254-4应答(不计费指示)7503.95.3122004-03-30 09:02:36861378560998813742316029BJG371-254-4应答(不计费指示)8045.87.2132004-03-30 08:01:06861364133651313742316033BJG371-254-4应答(不计费指示)7516.37.7142004-03-30 09:51:41861391043520013742316038BJG371-254-4应答(不计费指示)7414849.4152004-03-30 08:10:13861360133836213742316039BJG371-254-4应答(不计费指示)74566.768.13．3 盗打呼叫分析Ø 分析思路盗打呼叫经常发生，有运营商间的欺诈呼叫，为增加网间结算费用而发起呼叫；也有运营商维护人员，通过对交换机数据修改，产生大量无法计费的呼叫；也有用户非法并机、非法并线，借用他人疯狂拨打；有捡到别人的，疯狂进行拨打；还有恶意欠费，故意拨打语音服务。

各种盗打行为，给运营商造成巨大的损失因此需要不断的分析盗打呼叫的特征，利用监测系统实时分析并阻止盗打呼叫的严重发生盗打呼叫的特征有：1、 属于应答的超长呼叫，还可能超频；2、 同一号码做主叫和被叫应答次数相差太大；3、 主叫号码可能是空号；4、 被叫号码属于语音服务类挂靠通信收费的用户5、 由于国际网间结算不平衡，而产生盗打欺诈呼叫由于有各种盗打行为，分析时应有针对性分析：针对用户的、针对运营商的、针对内部用户的同时，还要区分大客户行为，避免错误的分析误导在进行盗打欺诈分析前，应对全网状况、业务流量、用户行为等进行全面的分析把握对于新的业务、新的优惠政策的推出，都应及时对网络情况进行分析然后，要保持对异常呼叫、异常流量波动的日常分析，一旦盗打欺诈呼叫出现，可及时发现、分析、跟踪、处理Ø 主要操作过程1、 通过“不规范呼叫分析”功能，分析用户号码做主叫和被叫的占用次数，应答次数及比例；2、 通过“超长超频主叫用户分析”和“超长超频被叫用户分析”功能，对超长、超频用户的信用、业务、呼叫量进行综合分析；3、 通过呼叫记录查询，分析盗打号码的多天呼叫记录；4、 通过拨测进行验证，分析超长超频号码的合法性和合理性；要排除、屏蔽大客户产生的呼叫。

Ø 问题解决方法1、重点分析网间呼叫记录，对网内呼叫关注长途业务，分析盗打呼叫是否存在；2、保存盗打呼叫的全部数据，便于向对端投诉；对于内部交换维护人员，所做的假主叫，应跟踪制止3、通过通信管理局，对盗打呼叫行为进行鉴定分析，并让对方停止欺诈Ø 具体案例1） 使用普通号码作为IP业务接入码由于IP业务发端不结算，但伪装成普通号码后主叫方就需要付出区内５０％或区间９０％的网间结算费用，以此方式骗取网间结算费用使用普通号码作为IP业务接入码的呼叫特征：该号码被呼叫的次数较多该号码做被叫的比例极高，基本为100%该类号码被叫侧一般为自动应答设备，返回的应答信号为“连接”信号可利用七号信令监测系统的“不规范呼叫分析”功能，查找此类呼叫在“查询条件设置”的“业务及呼损设置”中，选择“呼损项选择”内的四个“连接”选项如下图所示：为更精确定位使用普通号码作IP业务接入码的号码，可以在“查询条件设置”的“号码设置”中，输入“~1*”和“~9*”的被叫号码，将正常的IP业务接入码如“17951，17909，17911 ”等和“9”开头的接入码等过滤掉，如下图所示：查询出结果后，过滤掉正常的IP业务接入码，然后通过拨测的方式进行排查。

如果是普通号码作为IP业务接入码，则拨打测试后听到以下通知音：“请输入卡号……. ”等等通过上述方法，查出使用普通号码作为IP业务接入码的一些案例，现简列如下，以供参考某分公司由专人负责，通过信令监测系统，每天定时调取对各个运营商的异常呼叫，提取利用本地号码作为IP业务接入码的号码，仅5月29、30日两天就处理了91个某运营商用本地号码作为IP业务接入码的号码，5月份全月共处理了131多个此类号码某运营商还发现外地长途来话拨打其它运营商 4部超级一号通号码的呼叫比较频繁，经测试，发现这些被叫号码只是宣传超级一号通业务的，有套取结算费用嫌疑2） 非法经营超频用户情况查询通过MII监管分析下的非。