Toll fraud 2026: proteja sua telefonia com IA de fraudes
Toll fraud é fraude de tarifação na telefonia: criminosos fazem com que sua linha, seu PABX ou seu assistente telefônico com IA faça ligações caras – para números de valor acrescentado ou destinos internacionais nos quais eles ganham comissão. A conta chega para você. Para se proteger, três alavancas são decisivas: bloquear países de destino e números especiais, verificar cada número antes de discar (inclusive os de transferência) e limitar os custos tecnicamente, por exemplo com saldo pré-pago em vez de fatura aberta.
Este artigo trata da fraude de custos e tarifação. Conversas manipuladas, clonagem de voz e prompt injection são outro tema, com outras medidas – veja também a página de segurança e privacidade da anicall.io.
O que é toll fraud?
Toll fraud (fraude de tarifação telefônica) é qualquer fraude em que alguém dispara, sem autorização e pela conta de outra pessoa, ligações ou SMS pagos para ficar com parte do valor cobrado. Quem paga é o titular da conta; o fraudador lucra com a divisão de receita em números de destino caros.
O problema é antigo, mas não diminuiu. A associação do setor CFCA (Communications Fraud Control Association) estimou no seu Global Fraud Loss Survey 2023 perdas mundiais com fraudes em telecomunicações de cerca de 38,95 bilhões de dólares (resumo da TNS). Na sua documentação para desenvolvedores, a Twilio estima as perdas só com International Revenue Share Fraud em cerca de 10 bilhões de dólares por ano.
Na Alemanha, o abuso de números também é rotina: segundo um comunicado de 9 de fevereiro de 2026, a Agência Federal de Redes (Bundesnetzagentur) recebeu 85.158 reclamações em 2025, desativou cerca de 6.200 números e proibiu cobrança e faturamento para mais de 2.000 números. Entre os temas: invasão de roteadores, filas de espera caras e falsas centrais de atendimento.
Quais golpes estão por trás da fraude telefônica?
Os três golpes principais são o IRSF (ligações para números internacionais caros com divisão de receita), o Wangiri (chamadas perdidas que levam você a retornar para um número caro) e o SMS pumping (SMS disparados em massa para números nos quais os fraudadores ganham parte). Os três seguem o mesmo princípio: cada minuto ou mensagem dá dinheiro ao fraudador.
IRSF – International Revenue Share Fraud
Fraudadores alugam blocos de números em países com tarifas de terminação altas ou de fornecedores de números internacionais de tarifa premium. Depois geram o máximo possível de ligações longas para eles – por PABX invadidos, contas na nuvem comprometidas ou sistemas automatizados que discam sob demanda. O valor é dividido entre operadoras e titular do número. A Twilio deixa claro que os clientes são responsáveis por todo o uso da conta.
Wangiri – chamadas de um toque
“Wangiri” vem do japonês e significa algo como “um toque e desliga”. O telefone toca rapidamente e um número desconhecido fica na tela. Quem retorna cai num destino caro e é mantido na linha com mensagens gravadas. Na sua página sobre chamadas ping, a Bundesnetzagentur alerta para códigos de país parecidos com códigos de área alemães – como Madagascar (00261) e Koblenz (0261).
SMS pumping (tráfego inflado artificialmente)
Aqui, bots atacam formulários web que enviam um código por SMS – cadastro, login, pedido de demo. Eles inserem milhares de números de faixas caras; cada SMS custa dinheiro para você, e o fraudador fica com a parte dele. O guia da Twilio sobre SMS pumping descreve isso como tráfego falso gerado para inflar custos.
Por que a telefonia com IA é uma nova porta de entrada para o toll fraud?
A telefonia com IA está exposta ao toll fraud porque um agente de voz pode discar com um clique, 24 horas por dia e sem supervisão humana – qualquer número que um formulário, uma API ou uma lista do CRM entregue. Uma pessoa hesitaria se tivesse que ligar 40 vezes seguidas para um número na África Oriental. Um sistema sem proteção, não.
Pontos de ataque típicos na telefonia com IA:
- Formulários de retorno e ligações de demo: “Digite seu número e nossa IA liga para você” é um ótimo argumento de venda – e um convite para bots inserirem números de destino caros.
- Códigos por SMS ou ligação: confirmar o número por código protege contra números de terceiros, mas gera custos. Sem limites, o envio de códigos vira alvo de pumping.
- API e automações: ordens de discagem vindas do CRM, de fluxos Zapier ou de ferramentas MCP rodam sem ninguém olhar o número. Uma chave de API roubada basta para centenas de ligações.
- Transferências: muitos agentes de voz transferem para uma pessoa quando pedido. Se o número de transferência for trocado por um número premium, cada chamador é conectado lá por sua conta.
- Ligações longas: fraudadores mantêm a linha aberta com mensagens gravadas. Um agente de IA educado e sem limite de tempo escuta com paciência – minuto após minuto.
A consequência: a telefonia com IA precisa das mesmas proteções de um PABX tradicional, só que aplicadas com mais rigor, porque não há mais uma pessoa no meio.
Armadilhas de custo típicas: números premium, destinos internacionais, transferências
Na Alemanha, mercado principal da anicall.io, estas faixas de numeração são especialmente relevantes para o toll fraud. Elas têm usos legítimos, mas um agente de voz empresarial praticamente nunca precisa ligar para elas:
| Faixa (Alemanha) | Uso | Risco de toll fraud |
|---|---|---|
| 0900 | Serviços de tarifa premium | Tarifas altas por minuto, repassadas diretamente ao fornecedor |
| 0137 / 0138 | Serviços de chamadas em massa (ex.: televoto) | Cobrança por chamada, fácil de disparar em massa |
| 0180 / 0181 | Números de serviço e redes virtuais internacionais | Mais caros que uma ligação fixa comum |
| 019x | Serviços online e especiais | Raramente legítimos no B2B |
| 0700 | Números pessoais | Podem redirecionar para qualquer destino, inclusive caro |
| 118xx | Serviços de informação de listas | Tarifas altas, muitas vezes com transferência |
| Internacional | Sobretudo destinos com tarifas de terminação altas | Alvo principal do IRSF |
A Bundesnetzagentur descreve o padrão na sua página sobre invasão de roteadores: criminosos acessam o roteador ou o PABX e ligam para números estrangeiros, (0)180 ou (0)900. Muitas vezes ninguém percebe até a operadora avisar sobre conexões estranhas ou a fatura chegar.
Três armadilhas costumam passar despercebidas:
- Faixas móveis e premium dentro de países permitidos: mesmo com um país liberado, algumas faixas de numeração podem ter tarifa premium.
- Números de transferência e de retorno: muitas vezes só se verifica o número que o agente disca – não o número para o qual ele transfere.
- Códigos de país enganosos: um código estrangeiro parecido com um código local passa numa checagem visual.
Como se proteger do toll fraud? O checklist
A proteção mais eficaz contra o toll fraud é liberar só os países de destino necessários, bloquear números especiais por padrão, verificar cada número antes de discar e limitar os custos com tetos e saldo pré-pago. Nenhuma medida basta sozinha; só a combinação faz a fraude telefônica deixar de compensar.
O checklist para empresas que usam telefonia com IA ou formulários de retorno:
- Lista de países permitidos: libere só os países para os quais você realmente liga. Na sua documentação sobre Geo Permissions, a Twilio recomenda expressamente liberar apenas os países e faixas de baixo risco necessários.
- Bloqueio de números especiais: bloqueie 0900, 0137/0138, 0180/0181, 019x, 0700 e 118xx, além de faixas internacionais premium e de custo compartilhado. Segundo a Bundesnetzagentur, as operadoras alemãs bloqueiam faixas (0)900 na rede gratuitamente, a pedido.
- Verificar transferências: cada número de transferência passa pela mesma checagem que os números discados.
- Limites de frequência: tetos por número de destino, por IP, por conta e por dia – para ligações e para códigos SMS.
- Proteção contra bots nos formulários: CAPTCHA como o Cloudflare Turnstile, campos honeypot e detecção de padrões suspeitos.
- Double opt-in por código: só retorne a ligação depois que a pessoa confirmar, por código via SMS ou ligação, que o número é dela.
- Janelas de horário e duração: ligações só em horários fixos e com duração máxima.
- Pré-pago em vez de fatura aberta: o saldo limita o dano máximo; quando acaba, nenhuma nova ligação começa.
- Bloqueio de conta em caso de suspeita: pare contas suspeitas, automática ou manualmente, antes que o dano cresça.
- Monitoramento: torne visíveis destinos incomuns, picos e atividade noturna; revise faturas e registros de chamadas regularmente.
- Acessos protegidos: senhas fortes e únicas, chaves de API com permissões restritas, atualizações de roteadores e PABX.
Risco → medida: toll fraud num relance
| Risco | Cenário típico | Medida eficaz |
|---|---|---|
| IRSF para destinos internacionais | Conta invadida disca números estrangeiros caros | Lista de países, bloqueio de faixas premium |
| Números premium | O agente deve ligar para um 0900 ou 118xx | Bloqueio de números especiais em todos os países |
| Transferência manipulada | O destino da transferência vira um número premium | Verificar números de transferência como os discados |
| Abuso do formulário de retorno | Bots inserem números de terceiros ou caros | CAPTCHA, double opt-in por código, restrição por país |
| SMS pumping | Envio em massa de códigos de verificação | Limites por número, IP e dia |
| Wangiri | Retorno para um número isca | Nunca retornar automaticamente números estrangeiros desconhecidos |
| Chave de API roubada | Ordens de discagem automáticas sem controle | Escopos, aprovação humana das listas de chamadas |
| Custos ilimitados | A fatura mostra o dano semanas depois | Saldo pré-pago, monitoramento, bloqueio de conta |
O que fazer se você foi vítima de fraude telefônica?
Se você foi vítima de toll fraud, bloqueie imediatamente os acessos afetados, troque senhas e chaves, conteste a fatura e denuncie o caso às autoridades e à polícia. Quanto mais rápido você reagir, menor o dano.
Para invasão de roteadores e PABX na Alemanha, a Bundesnetzagentur recomenda concretamente:
- Contestar a fatura: reclame sem demora com a operadora e peça o detalhamento das ligações.
- Verificar o débito automático: se a fatura foi paga por débito, você pode estorná-lo e pagar só o valor não contestado.
- Registrar reclamação: informe o caso à Bundesnetzagentur com fatura e detalhamento. Ela pode desativar números e proibir cobrança e faturamento.
- Registrar ocorrência: na polícia, porque por trás da fraude telefônica normalmente há um crime.
Em telefonia na nuvem e plataformas de IA, avise também o fornecedor diretamente, para que ele bloqueie conta, números e chaves de API. Depois, confira se países, transferências e limites estão configurados corretamente.
Como a anicall.io faz
A anicall.io é um assistente telefônico com IA para empresas da região DACH (Alemanha, Áustria, Suíça), operado pela mysoftwarelab GmbH, de Worms, na Alemanha. Como nossos agentes de voz discam sozinhos, a proteção contra fraude de tarifação vem embutida e não é opcional:
- Proteção de discagem para números especiais: números de tarifa premium, especiais, de serviço e de emergência (ex.: 0900, 0137/0138, 0180/0181, 019x, 0700, 118xx) nunca são chamados – em nenhum país. Além disso, todos os números classificados como premium ou de custo compartilhado ficam bloqueados.
- Países de destino por conta: o padrão é Alemanha, Áustria e Suíça. Outros países só podem ser liberados a partir de uma lista fixa (núcleo da UE, Reino Unido, EUA, Canadá).
- Transferências também são verificadas: o número para a transferência ao vivo para uma pessoa passa pela mesma checagem que qualquer número discado.
- Ligação de demo só após confirmação por código: a ligação de demo da página inicial só acontece depois que o número é confirmado por código via SMS ou ligação. As ligações acontecem só em horários fixos e com limites máximos.
- Aprovação humana: listas de chamadas vindas da API, de um CRM ou do MCP só começam depois que uma pessoa as aprova. Também existe uma lista de “não ligar” para toda a conta.
- Bloqueio de conta em caso de suspeita: contas podem ser bloqueadas se houver suspeita de abuso.
- Tokens pré-pagos em vez de fatura aberta: sem mensalidade, sem assinatura. 1 token equivale a 1 centavo de euro líquido; ligações recebidas custam 13 tokens por minuto, ligações feitas para fixo 16 e para celular ou exterior 62 tokens. Quando o saldo acaba, nenhuma nova ligação começa; uma ligação em andamento fica limitada ao saldo restante.
Um exemplo de cálculo da página de preços: 300 minutos recebidos por mês mais um número somam 300 × 13 + 180 = 4.080 tokens, ou seja, 40,80 € líquidos. Você sabe de antemão qual é o pior cenário. Como o agente de saída liga de forma legal está explicado na página do setter com IA; o atendimento de entrada você conhece no assistente telefônico com IA.
Perguntas frequentes
Qual a diferença entre toll fraud e IRSF?
Toll fraud é o termo geral para fraude de tarifação na telefonia. O IRSF (International Revenue Share Fraud) é a forma mais comum: fraudadores geram ligações para números internacionais caros e recebem parte do valor cobrado.
Quem paga em caso de toll fraud?
Normalmente o titular da linha ou da conta pela qual as ligações passaram. Fornecedores de telefonia como a Twilio responsabilizam expressamente os clientes por todo o uso. Por isso vale a pena configurar bloqueios e limites antes que algo aconteça.
Bloquear números 0900 é suficiente?
Não. O 0900 é só uma das várias faixas caras, e a maior parte do IRSF vai para destinos internacionais. Você também precisa de uma lista de países permitidos, da checagem dos números de transferência e de limites.
Como proteger um formulário de retorno contra abuso?
Combine proteção contra bots (ex.: CAPTCHA), confirmação do número por código via SMS ou ligação, restrições por país e limites por número, IP e dia. Só retorne a ligação com o número confirmado e limite horários e duração.
O pré-pago protege mesmo contra fraude telefônica?
O pré-pago não impede o ataque, mas limita o dano máximo ao saldo disponível. Com fatura aberta, o toll fraud muitas vezes só aparece semanas depois; com pré-pago, tudo para no máximo quando o saldo zera.
Teste a proteção você mesmo: experimente a demo ao vivo na anicall.io: ligue para a recepção com IA direto no navegador ou peça uma ligação de demo – que só acontece depois de confirmar seu número por código. Depois, você pode começar grátis na anicall.io: o teste do agente no navegador não custa nada, e você só precisa de tokens para ligações reais. Os agentes telefônicos falam, por enquanto, alemão.