Toll Fraud 防范 2026：保护你的 AI 电话免遭话费欺诈
Toll fraud（话费欺诈）是电话领域的计费欺诈：犯罪分子让你的线路、电话交换机或 AI 电话助手拨打昂贵的电话——打到增值服务号码或国际号码上，他们从中分成。账单则寄给你。 防范的关键有三点：屏蔽目的地国家和特殊号码；拨号前检查每个号码（包括转接号码）；从技术上封顶费用，例如用预付余额代替后付费账单。
本文专门讨论费用与计费欺诈。对话被操纵、声音克隆和提示词注入是另一个话题，防护措施也不同。关于 anicall.io 的数据保护，请看安全与隐私页面。
什么是 toll fraud？
Toll fraud 指任何未经授权、通过他人账户触发付费电话或短信，以从费用中分成的欺诈行为。 付钱的是账户持有人，骗子则通过昂贵目的地号码的收入分成获利。
这个问题由来已久，但并没有变小。行业协会 CFCA（Communications Fraud Control Association）在《Global Fraud Loss Survey 2023》中估计，全球电信欺诈损失约为 389.5 亿美元（TNS 的总结）。Twilio 在开发者文档中估计，仅国际收入分成欺诈（IRSF）每年就造成约 100 亿美元的损失。
在德国，号码滥用同样是日常问题：根据德国联邦网络局（Bundesnetzagentur）2026 年 2 月 9 日的新闻稿，2025 年共收到 85,158 起投诉，关停约 6,200 个号码，并对 2,000 多个号码下达了禁止开具账单和催收的命令。涉及的问题包括路由器被黑、高价排队等候和虚假热线。
话费欺诈背后有哪些手法？
三种主要手法是：IRSF（拨打可分成的昂贵国际号码）、Wangiri“响一声”（诱导你回拨昂贵号码的未接来电）和 SMS 轰炸（向骗子能分成的号码批量发送短信）。 三者原理相同：每一分钟、每一条短信都在给骗子赚钱。
IRSF——国际收入分成欺诈
骗子在终端费（terminating rate）很高的国家，或从国际高价号码供应商那里租用号段。然后通过被黑的电话交换机、被盗的云账户或按指令拨号的自动化系统，尽可能多地制造长时间通话。费用在运营商和号码持有人之间分成。Twilio 明确表示，客户需对其账户上的全部使用负责。
Wangiri——“响一声”电话
“Wangiri”源自日语“ワン切り”，意思是“响一声就挂”。电话只响一下，屏幕上留下一个陌生号码。回拨的人会接到昂贵的目的地，并被录音一直拖在线上。Bundesnetzagentur 在其关于“响一声”电话的页面上提醒注意与德国区号相似的国家代码，例如马达加斯加（00261）和科布伦茨（0261）。
SMS 轰炸（人为放大的流量）
在这种手法中，机器人攻击那些通过短信发送验证码的网页表单——注册、登录、演示申请。它们填入成千上万个昂贵号段的号码；每条短信都要你付钱，骗子从中分成。Twilio 的SMS 轰炸指南将其描述为为抬高费用而制造的虚假流量。
为什么 AI 电话成了 toll fraud 的新入口？
AI 电话容易遭遇 toll fraud，是因为语音智能体可以一键、全天候、在无人监督的情况下拨号——拨打表单、API 或 CRM 列表提供的任何号码。 如果让一个人连续 40 次拨打东非的某个号码，他会起疑。没有防护的系统不会。
AI 电话中典型的攻击点：
- 回拨表单和演示电话：“留下号码，我们的 AI 给你打过去”是很有力的卖点——也是在邀请机器人填入昂贵的目的地号码。
- **短信或语音验证码：**用验证码确认号码可以防止填入他人号码，但它本身也有成本。没有限额，验证码发送就会成为轰炸目标。
- **API 和自动化：**来自 CRM、Zapier 流程或 MCP 工具的拨号任务运行时，没人会看号码。一把被盗的 API 密钥就足以发起数百通电话。
- **转接：**很多语音智能体会按要求转接给真人。如果转接号码被改成高价号码，每位来电者都会由你付费接到那里。
- **长时间通话：**骗子用录音让线路一直保持。没有时长限制、彬彬有礼的 AI 智能体会耐心地听下去——一分钟接一分钟。
结论：AI 电话需要和传统电话交换机一样的防护，而且要执行得更彻底，因为中间已经没有人了。
常见费用陷阱：高价号码、国际目的地、转接
在 anicall.io 的主要市场德国，以下号段与 toll fraud 关系尤为密切。它们有正当用途，但企业语音智能体几乎从不需要拨打：
| 号段（德国） | 用途 | Toll fraud 风险 |
|---|---|---|
| 0900 | 高价增值服务 | 每分钟费用高，直接付给服务商 |
| 0137 / 0138 | 大规模呼叫服务（如电视投票） | 按次计费，容易批量触发 |
| 0180 / 0181 | 服务号码与国际虚拟网络 | 比普通固话贵 |
| 019x | 在线及特殊服务 | B2B 场景中很少正当使用 |
| 0700 | 个人号码 | 可转接到任意目的地，包括昂贵号码 |
| 118xx | 查号服务 | 费用高，常附带转接 |
| 国际 | 尤其是终端费高的目的地 | IRSF 的主要目标 |
Bundesnetzagentur 在其关于路由器被黑的页面上描述了这种模式：犯罪分子侵入路由器或电话交换机，拨打国外号码以及 (0)180、(0)900 号码。通常直到运营商提示异常连接或账单到来，才有人发现。
三个常被忽视的陷阱：
- **已允许国家内的手机号段和高价号段：**即使某个国家已开放，其中的部分号段也可能是高价号码。
- **转接号码和回拨号码：**往往只检查智能体拨出的号码，却不检查它转接到的号码。
- **容易混淆的国家代码：**看起来像本地区号的国外代码，靠肉眼检查很容易漏掉。
如何防范 toll fraud？防范清单
防范 toll fraud 最有效的做法是：只开放需要的目的地国家，默认屏蔽特殊号码，拨号前检查每个号码，并用限额和预付余额严格封顶费用。 单一措施都不够；只有组合起来，话费欺诈才会变得无利可图。
使用 AI 电话或回拨表单的企业可参考这份清单：
- **国家白名单：**只开放你真正要拨打的国家。Twilio 在其Geo Permissions 文档中明确建议只启用所需国家和低风险号段。
- **屏蔽特殊号码：**屏蔽 0900、0137/0138、0180/0181、019x、0700 和 118xx，以及国外的高价和费用分摊号段。据 Bundesnetzagentur 介绍，德国运营商可应要求在网络层免费屏蔽 (0)900 号段。
- **检查转接：**每个转接号码都要和拨出号码一样通过检查。
- **频率限制：**按目的地号码、IP 地址、账户和每天设置上限——通话和短信验证码都要设。
- **表单防机器人：**使用 Cloudflare Turnstile 等验证码、蜜罐字段，并识别可疑模式。
- **验证码双重确认：**只有在对方通过短信或语音验证码确认号码属于自己之后，才回拨。
- **时间窗口和通话时长：**只在固定时段拨打，并设置最长通话时间。
- **预付代替后付费：**余额限定了最大损失；用完后不会再发起新通话。
- **可疑时封停账户：**在损失扩大之前，自动或手动停止可疑账户。
- **监控：**让异常目的地、流量激增和夜间活动一目了然；定期核对账单和通话记录。
- **加固访问：**使用强且唯一的密码、权限受限的 API 密钥，及时更新路由器和电话交换机。
风险 → 措施：toll fraud 一览表
| 风险 | 典型场景 | 有效措施 |
|---|---|---|
| 国际目的地 IRSF | 被黑账户拨打昂贵的国外号码 | 国家白名单，屏蔽高价号段 |
| 增值服务号码 | 智能体被要求拨打 0900 或 118xx | 在所有国家屏蔽特殊号码 |
| 转接被篡改 | 转接目标被改成高价号码 | 像检查拨出号码一样检查转接号码 |
| 回拨表单被滥用 | 机器人填入他人或昂贵号码 | 验证码、验证码双重确认、国家限制 |
| SMS 轰炸 | 批量发送验证码 | 按号码、IP 和每天限频 |
| Wangiri | 回拨诱饵号码 | 绝不自动回拨陌生的国外号码 |
| API 密钥被盗 | 无人监管的自动拨号任务 | 权限范围（scopes），拨号列表需人工审批 |
| 费用无上限 | 几周后账单才暴露损失 | 预付余额、监控、封停账户 |
遭遇话费欺诈后该怎么办？
如果你遭遇了 toll fraud，应立即封停受影响的访问权限，更换密码和密钥，对账单提出异议，并向主管部门和警方报案。 反应越快，损失越小。
针对德国的路由器和电话交换机被黑事件，Bundesnetzagentur 具体建议：
- **对账单提出异议：**立即向运营商提出异议，并索取通话明细。
- **检查自动扣款：**如果账单是自动扣款，可以申请退回，只支付无争议的金额。
- **提交投诉：**附上账单和通话明细向 Bundesnetzagentur 投诉。它可以关停号码，并禁止开具账单和催收。
- **报警：**话费欺诈背后通常涉及刑事犯罪。
对于云电话和 AI 平台，还要直接通知服务商，让其封停账户、号码和 API 密钥。之后检查国家、转接和限额是否设置正确。
anicall.io 是怎么做的
anicall.io 是面向 DACH 地区（德国、奥地利、瑞士）企业的 AI 电话助手，由德国沃尔姆斯的 mysoftwarelab GmbH 运营。由于我们的语音智能体会自行拨号，针对话费欺诈的防护是内置的，不能关闭：
- **特殊号码拨号保护：**增值、特殊、服务和紧急号码（例如 0900、0137/0138、0180/0181、019x、0700、118xx）在任何国家都绝不会被拨打。此外，所有被归类为高价（premium）或费用分摊（shared cost）的号码也会被屏蔽。
- **按账户设置目的地国家：**默认是德国、奥地利和瑞士。其他国家只能从固定列表中开放（欧盟核心国家、英国、美国、加拿大）。
- **转接也要检查：**转接给真人的号码和每个拨出号码一样要通过检查。
- **演示回拨仅在验证码确认后进行：**首页上的演示电话只有在号码通过短信或语音验证码确认后才会拨出。通话只在固定时段进行，并设有上限。
- **人工审批：**来自 API、CRM 或 MCP 的拨号列表，只有在人工批准后才会开始。还有全账户适用的“勿拨”名单。
- **可疑时封停账户：**如有滥用嫌疑，账户可被封停。
- **预付 Token 代替后付费账单：**没有基本费，没有订阅。1 个 Token 等于 1 欧分（不含税）；呼入每分钟 13 个 Token，呼出到固话 16 个，到手机或国外 62 个。余额用完后不会再发起新通话；进行中的通话以剩余余额为限。
价格页面的计算示例：每月 300 分钟呼入加一个号码，合计 300 × 13 + 180 = 4,080 个 Token，即不含税 40.80 欧元。最坏情况会花多少钱，你事先就知道。呼出智能体如何合法拨号，请看 AI Setter 页面；呼入接待请看 AI 电话助手页面。
常见问题
toll fraud 和 IRSF 有什么区别？
Toll fraud 是电话计费欺诈的总称。IRSF（国际收入分成欺诈）是其中最常见的形式：骗子制造拨往昂贵国际号码的通话，并从费用中分成。
发生 toll fraud 时由谁付费？
通常是通话所经线路或账户的持有人。Twilio 等电话服务商明确规定客户对全部使用负责。所以在出事之前设好屏蔽和限额是值得的。
只屏蔽 0900 号码够吗？
不够。0900 只是多个昂贵号段之一，而大部分 IRSF 打往国外目的地。你还需要国家白名单、转接号码检查和限额。
如何防止回拨表单被滥用？
把防机器人措施（如验证码 CAPTCHA）、通过短信或语音验证码确认号码、国家限制，以及按号码、IP 和每天的频率限制结合起来。只在号码确认后回拨，并限制时段和通话时长。
预付真的能防范话费欺诈吗？
预付无法阻止攻击，但能把最大损失限定在可用余额内。后付费时，toll fraud 往往几周后才被发现；用预付，最迟在余额归零时就会停止。
**亲自测试防护机制：**试试 anicall.io 的在线演示：直接在浏览器里给 AI 前台打电话，或申请演示电话——只有用验证码确认你的号码后才会拨给你。之后你可以在 anicall.io 免费开始：浏览器中的智能体测试不收费，只有真实通话才需要 Token。电话智能体目前讲德语。