Могу только предположить. Какие-нибудь служебные нужды телефона (типа Wi-Fi Calling, Google Location Service и т.п.) используют при инициализации крохи мобильного траффика, игнорируя выставленные запреты. Но этого хватает, чтобы биллинг оператора засёк траффик в роуминге.