¿Qué es STIR/SHAKEN?

El problema que resuelve STIR/SHAKEN

Durante décadas, el identificador de llamada se basaba en un sistema de honor. El sistema telefónico originador insertaba el número que quisiera en la configuración de llamada y la red receptora lo mostraba. No había verificación criptográfica, ni cadena de confianza, ni nada que impidiera a un actor malicioso poner el número que quisiera en el campo From.

Esto se rompió de forma espectacular con VoIP. Cualquiera con conexión a internet y un SIP trunk podía suplantar cualquier número en cualquier parte del mundo. El resultado fue una avalancha de llamadas automáticas ilegales, suplantaciones de números cercanos, ataques de vishing y fraude en centros de llamadas. Los consumidores dejaron de contestar a números desconocidos, lo que también perjudicó a empresas legítimas.

STIR/SHAKEN es la respuesta del sector: un marco que permite a las operadoras originadoras firmar digitalmente el identificador de llamada y a las operadoras de destino verificar la firma antes de que la llamada llegue al destinatario.

STIR frente a SHAKEN

Los dos términos se usan juntos, y la distinción importa:

• STIR (Secure Telephone Identity Revisited) es un conjunto de estándares del IETF (RFC 8224 y relacionados) que define cómo adjuntar firmas criptográficas a las llamadas SIP.
• SHAKEN (Signature-based Handling of Asserted information using toKENs) es el marco de ATIS/SIP Forum que define cómo se despliega STIR en la red telefónica de EE. UU.: autoridades de certificación, gobernanza, niveles de atestación y flujo de llamada.

STIR es la tecnología. SHAKEN es el despliegue operativo.

Niveles de atestación

Cuando una operadora originadora firma una llamada, incluye uno de tres niveles de atestación que indican su grado de confianza en que la parte que llama tiene derecho a usar el número mostrado:

• A (atestación completa): la operadora conoce al cliente y ha verificado que está autorizado a usar el número de llamada. Es el nivel más alto. Los clientes directos de la operadora originadora con números asignados suelen obtener atestación A.
• B (atestación parcial): la operadora conoce al cliente pero no ha verificado su derecho a usar el número concreto. Habitual para revendedores y agregadores donde la operadora aguas arriba sabe quién llama, pero no a qué número tiene derecho.
• C (atestación de pasarela): la operadora sabe por dónde entró la llamada en su red, pero no conoce al cliente originador ni su derecho al número. Habitual en llamadas internacionales o procedentes de redes no STIR/SHAKEN.

Las operadoras de destino y los proveedores de analítica utilizan estos niveles para puntuar la legitimidad de la llamada. Las llamadas con atestación A tienen muchas más probabilidades de mostrar un indicador de identificador verificado y de sonar. Las de atestación C tienen más probabilidades de marcarse como sospechosas o desviarse a buzón de voz.

Mandato de la FCC y cronología

La FCC viene impulsando el despliegue de STIR/SHAKEN desde 2019. Fechas clave:

• 30 de junio de 2021: las grandes operadoras de voz obligadas a implementar STIR/SHAKEN en sus redes IP.
• 30 de junio de 2022: las pequeñas operadoras de voz (menos de 100.000 líneas de abonado) obligadas a implementar, con prórrogas para proveedores más pequeños con instalaciones propias.
• 30 de junio de 2023: las operadoras de pasarela obligadas a autenticar las llamadas procedentes de redes no IP y de operadoras extranjeras.
• En curso: endurecimiento continuo de los requisitos de mitigación de robocalls, con la Robocall Mitigation Database de la FCC y certificaciones obligatorias para todas las operadoras originadoras.

La FCC también exige bloquear en la pasarela a las operadoras incumplidoras. Las operadoras que no autentican llamadas o permiten que las robocalls ilegales atraviesen sus redes se enfrentan a sanciones serias.

Impacto en los centros de contacto salientes

STIR/SHAKEN importa a cualquier empresa que haga llamadas salientes, sobre todo a centros de contacto, recobradores, servicios de recordatorio sanitario y campañas políticas. Las llamadas que no obtienen atestación A pueden mostrarse como "Spam Likely" o "Scam Likely" en los móviles de los clientes, derivarse automáticamente al buzón de voz o bloquearse por completo.

Para conseguir atestación A de forma fiable, un centro de contacto saliente debe:

• Obtener los números de teléfono de una única operadora o de un número reducido, con asignación documentada.
• Evitar la suplantación (usar números que la operadora no haya asignado al negocio).
• Usar en el campo From el número realmente asignado, no números arbitrarios.
• Registrarse ante la operadora como llamante verificado, aportando documentación del negocio.

Algunas operadoras ofrecen servicios mejorados de identificador de llamada que muestran al destinatario el nombre del negocio y el estado de verificación en los dispositivos compatibles. Se basan en la atestación STIR/SHAKEN pero añaden información de marca y verificación.

STIR/SHAKEN y TCPA

STIR/SHAKEN no sustituye al cumplimiento de la TCPA. Una llamada puede estar perfectamente autenticada y aun así violar la TCPA si es una llamada de marketing automarcada a un número móvil sin consentimiento. Los dos marcos abordan problemas distintos: STIR/SHAKEN autentica el identificador de llamada; la TCPA regula si la llamada está permitida.

Dicho esto, la FCC los trata como conectados. Las operadoras que no implementan STIR/SHAKEN o que a sabiendas permiten que las robocalls ilegales transiten sus redes se enfrentan a sanciones que pueden incluir penalizaciones similares a las de la TCPA.

Límites

STIR/SHAKEN autentica el identificador de llamada. No verifica que el llamante sea quien dice ser ni que la llamada sea legítima. Un estafador todavía puede registrar un número empresarial y usarlo para llamar a la gente. STIR/SHAKEN solo confirma que el número mostrado es uno que la operadora originadora ha avalado. La lucha contra las llamadas fraudulentas se extiende más allá de la autenticación, a las analíticas, listas de bloqueo y educación del consumidor.