umber Verification y SIM Swap son API de red, estandarizados por el proyecto CAMARA bajo la iniciativa GSMA Open Gateway, que permiten a un banco o aplicación preguntar dos cosas al operador móvil: ¿es este número de teléfono realmente el que está en el dispositivo del usuario?, y ¿ha cambiado su SIM recientemente?. A partir del 26 de septiembre de 2026, el único lanzamiento en Oriente Medio que pudimos confirmar en una fuente oficial es Qatar, donde Ooredoo Qatar y Vodafone Qatar lanzaron ambos API el 26 de noviembre de 2025. BroadNet, que entrega tráfico de OTP y protege las redes de los operadores en toda la región, explica cómo funcionan los API y cómo combinarlos con SMS OTP.
Conclusiones clave
- Number Verification confirma, sin un código SMS, que el número que un usuario escribió coincide con el número del dispositivo que está utilizando. Devuelve verdadero o falso.
- SIM Swap le indica si el SIM detrás de un número cambió dentro de un periodo que usted elija (de 1 a 2400 horas, por defecto 240) o devuelve la fecha del último cambio.
- Qatar es el lanzamiento confirmado en Oriente Medio: Ooredoo Qatar y Vodafone Qatar, ambos API, anunciaron el 26 de noviembre de 2025 a las MWC Doha.
- No pudimos confirmar lanzamientos comerciales en los Emiratos Árabes Unidos, Arabia Saudita, Kuwait, Baréin, Omán, Jordania o Egipto en una fuente oficial. Consulte con el operador antes de diseñar en torno a ellos.
- Number Verification no reemplaza a los OTP SMS en todas partes: necesita el soporte del operador y, en su flujo estándar, una conexión de datos móviles. Utilícelo primero donde funcione y recurra a OTP como alternativa.
- El patrón más sólido para acciones de alto riesgo es llamar a SIM Swap antes de enviar un OTP, y rechazar el OTP si el SIM cambió recientemente.
¿Qué son GSMA Open Gateway y CAMARA?
El GSMA describe a Open Gateway como "un marco global de API de red comunes que simplifica el acceso a las redes de los operadores móviles" (GSMA Open Gateway). Las definiciones de API en sí provienen de CAMARA, que el anuncio de Ooredoo Qatar describe como "un proyecto de código abierto de la Linux Foundation y una parte fundamental de la iniciativa GSMA Open Gateway". Debido a que cada operador participante implementa la misma definición, un desarrollador puede escribir una integración y reutilizarla en las redes que la admitan.
Según el mismo anuncio (noviembre de 2025), la iniciativa cubre a más de 80 grupos de operadores móviles, 292 redes y más del 80% de las conexiones móviles en todo el mundo. La membresía no es lo mismo que un API activo en un país determinado, razón por la cual la siguiente tabla de disponibilidad enumera solo los lanzamientos confirmados. Para obtener información de trasfondo, consulte nuestra respuesta sobre GSMA Open Gateway.
¿Qué hace el API Number Verification?
En la definición de CAMARA (versión 2.1.0, lanzamiento r3.2), Number Verification verifica o recupera "el número de teléfono móvil que el operador de red tiene asignado actualmente al SIM en el dispositivo del usuario final". Tiene dos puntos de conexión (endpoints):
- /verify compara el número de teléfono que el usuario le proporcionó, en texto plano o con hash, con el número asociado al dispositivo, y responde verdadero o falso.
- /device-phone-number devuelve el número de teléfono que el operador asocia con el SIM en el dispositivo.
Funciona mediante autenticación silenciosa, basada en la red o basada en SIM, "sin requerir la interacción del usuario": sin códigos que recibir, leer o escribir. Ambos puntos de conexión necesitan un token de acceso de tres patas obtenido para ese usuario. En el flujo estándar (código de autorización OpenID Connect con prompt=none), el dispositivo debe estar conectado a la red móvil. Si su aplicación tiene un TS.43 token temporal GSMA del dispositivo, la definición dice que el API funciona sobre cualquier conexión, incluyendo Wi-Fi. Para una explicación más detallada, lea nuestra respuesta sobre autenticación silenciosa de red.
¿Cómo funciona el API de SIM Swap?
La definición de SIM Swap de CAMARA (versión 2.1.0, lanzamiento r3.3) le ofrece dos operaciones principales:
| Operación | Usted envía | Usted recibe | Utilícelo cuando |
|---|---|---|---|
| POST /check | Número de teléfono y maxAge en horas (1 a 2,400; predeterminado 240) | swapped: verdadero o falso para ese periodo | Necesita una decisión de yes/no antes de una acción de riesgo |
| POST /retrieve-date | Número de teléfono | latestSimChange: marca de tiempo del último intercambio de SIM, o la fecha de activación si no hubo ninguno | El riesgo se califica según la cercanía del cambio |
Dos detalles son importantes en producción. Si la regulación local o la política del operador impiden almacenar el historial de SIM durante el tiempo suficiente, el operador puede devolver null para la fecha, opcionalmente con un monitoredPeriod que indique cuántos días cubre; trate eso como "sin intercambio dentro del periodo monitoreado", no como "nunca se intercambió". Y si solicita un maxAge más allá de lo que permite la política del operador, espere un error 400 de OUT_OF_RANGE. El intercambio de SIM es una ruta común para la toma de control de cuentas: el estafador mueve el número de la víctima a un nuevo SIM y recibe sus códigos. Nuestra respuesta sobre el fraude de intercambio de SIM explica el ataque.
¿Dónde están disponibles Number Verification y SIM Swap en Oriente Medio?
Esta tabla enumera solo los lanzamientos que pudimos confirmar en un operador o fuente de GSMA, al 26 de septiembre de 2026.
| País | Operadores | APIs | Anunciado | Fuente |
|---|---|---|---|---|
| Catar | Ooredoo Qatar, Vodafone Qatar | SIM Swap, Number Verification (CAMARA) | 26 de noviembre de 2025, MWC Doha | comunicado de prensa de Ooredoo Qatar |
Los operadores qataríes dijeron que planean añadir más API de identidad y prevención de fraude en 2026. Para los EAU, Arabia Saudita, Kuwait, Baréin, Omán, Jordania y Egipto, no encontramos ningún lanzamiento comercial de estos dos API en ninguna página oficial de operadores o GSMA que pudiéramos abrir. Algunos operadores en la región se han unido a Open Gateway, pero unirse no es lo mismo que ofrecer un API comercialmente. Consulte al operador, o a su proveedor de mensajería, sobre el estado actual antes de desarrollar sobre ello. Para las reglas de mensajería de Catar, consulte nuestra página de regulaciones de Catar y nuestra página de cobertura de Catar.
¿Puede Number Verify reemplazar a SMS OTP?
No por sí solo, y todavía no en la mayor parte de la región. Cada método demuestra algo diferente y falla de una manera diferente.
| SMS OTP | Number Verification | Comprobación SIM Swap | |
|---|---|---|---|
| Qué demuestra | El usuario puede recibir un mensaje en ese número | El dispositivo en uso posee el SIM para ese número | Si el SIM asociado al número cambió recientemente |
| Esfuerzo del usuario | Leer y escribir un código (o autocompletar) | Ninguno | Ninguno |
| Requiere soporte de API del operador | No; funciona en cualquier red | Sí | Sí |
| Conexión | Cualquier teléfono con señal | Datos móviles en el flujo estándar; cualquier conexión con un token TS.43 | Ninguno en el dispositivo; es una verificación de servidor a servidor |
| Punto débil | Los códigos pueden ser interceptados tras un intercambio de SIM o mediante phishing | No disponible donde el operador no lo haya lanzado | No autentica al usuario por sí mismo |
| Mejor función | Respaldo universal y segundo factor | Primera opción cuando esté disponible | Señal de riesgo antes de cualquier OTP en una acción de alto riesgo |
El diseño práctico es una cascada: intente Number Verification donde el operador del usuario lo admita, recurra a SMS o WhatsApp OTP en cualquier otro lugar, y coloque una verificación de SIM Swap delante de la OTP para acciones de alto riesgo. Nuestras publicaciones sobre autenticación de red silenciosa y autenticación de red silenciosa frente a SMS OTP profundizan más en el primer paso.
¿Cuándo debería llamar a SIM Swap antes de enviar un OTP?
Antes de cualquier acción donde un número robado le daría dinero o control a un estafador. Un flujo de decisión simple:
- Clasifique la acción. Riesgo bajo: inicio de sesión rutinario en un dispositivo conocido. Riesgo alto: restablecimiento de contraseña, nuevo beneficiario, cambio de número de teléfono o correo electrónico, transferencia grande, primer inicio de sesión en un dispositivo nuevo.
- Para acciones de alto riesgo donde el operador lo admita, llame a POST /check con un maxAge corto que se ajuste a su política de riesgo (por ejemplo, 24 o 72 horas).
- Si swapped es verdadero, no envíe el OTP a ese número. Refuerzo: confirmación en la aplicación en el dispositivo registrado, una llamada de vuelta, o una verificación en sucursal o por video.
- Si swapped es falso, envíe el OTP como de costumbre a través de SMS o WhatsApp, con una recuperación automática entre canales.
- Si la API no está disponible en ese mercado, o devuelve null, recurra a sus reglas existentes más inteligencia de números, como una búsqueda de HLR o una puntuación de reputación telefónica.
- Registre el resultado de la verificación con la transacción, para que los analistas de fraude puedan ver por qué se envió o no un OTP.
Un OTP demuestra que alguien puede recibir mensajes en un número. Una verificación de SIM Swap le indica si es probable que esa persona siga siendo el cliente. Para acciones de alto riesgo, usted querrá ambas respuestas.
¿Cómo combinan los bancos SIM Swap con OTP?
| Evento | Verificación de red | Si la verificación genera una alerta | De lo contrario |
|---|---|---|---|
| Restablecimiento de contraseña | SIM Swap /check antes de enviar el OTP de restablecimiento | Bloquear el OTP; requerir confirmación en la aplicación o en la sucursal | Enviar el OTP |
| Nuevo beneficiario o transferencia grande | SIM Swap /check, maxAge corto | Retener la transacción para revisión | Enviar el OTP de la transacción |
| Incorporación de un nuevo cliente | Number Verification /verify | Recurrir a SMS OTP | Omitir el paso OTP |
| Cambio de número de teléfono registrado | SIM Swap /retrieve-date en el número antiguo | Revisión manual | Confirmar en los números antiguo y nuevo |
La plataforma BroadNet OTP entrega los códigos en este flujo a través de SMS, WhatsApp y voz con redundancia entre ellos, y MyOTP lo empaqueta como un producto de verificación listo para usar.
¿Cuánto cuesta?
El precio lo establece cada operador o sus socios de canal y se acuerda comercialmente. Ninguna de las fuentes oficiales que consultamos publica una lista de precios para el Medio Oriente para API, por lo que no proporcionamos una. Cuando compare los costos, contabilice lo que ahorra la verificación, así como lo que cuesta: una verificación SIM Swap antes de un OTP de restablecimiento de contraseña es una llamada API adicional, y prevenir la toma de control de una cuenta vale mucho más.
¿Qué significan los API de red para los operadores?
Para los operadores, Number Verification y SIM Swap convierten los datos que la red ya posee en un servicio de pago basado en el consentimiento para bancos y aplicaciones, y los mismos equipos de fraude que los compran también compran mensajería A2P. BroadNet ha trabajado con operadores desde 2003, con más de 60 implementaciones de firewall para operadores; nuestras soluciones para operadores y el firewall SMS protegen los ingresos por mensajería que se encuentran junto a estos APIs.
Preguntas frecuentes
¿Qué es el CAMARA Number Verification API?
Un API estándar de operador que confirma si el número de teléfono que un usuario proporcionó coincide con el número del dispositivo que está utilizando, devolviendo verdadero o falso, o devuelve el número del dispositivo. Utiliza la red silenciosa o autenticación basada en SIM, por lo que no hay ningún código que escribir.
¿Cómo funciona el SIM Swap API?
Se envía un número de teléfono. La operación /check responde verdadero o falso durante un periodo que usted establece con maxAge (de 1 a 2,400 horas, por defecto 240); /retrieve-date devuelve la marca de tiempo del último cambio de SIM, o la fecha de activación si no hubo ninguno.
¿Qué operadores de Oriente Medio ofrecen estos APIs?
A partir del 26 de septiembre de 2026, el lanzamiento que podemos confirmar en una fuente oficial es Qatar: Ooredoo Qatar y Vodafone Qatar lanzaron SIM Swap y Number Verification el 26 de noviembre de 2025. Consulte con los operadores de otros países antes de confiar en ellos.
¿Puede Number Verify reemplazar a SMS OTP?
Solo donde el operador del usuario lo admita y la conexión lo permita. Utilícelo primero donde esté disponible y mantenga SMS o WhatsApp OTP como alternativa en todos los demás lugares.
¿Funciona Number Verification en Wi-Fi?
En el flujo estándar, el dispositivo debe estar conectado a la red móvil. La definición de CAMARA dice que funciona a través de cualquier conexión, incluyendo Wi-Fi, cuando la aplicación utiliza un token temporal GSMA TS.43 del dispositivo.
¿Debería verificar SIM Swap antes de cada OTP?
No. Utilícelo antes de acciones de alto riesgo como restablecimientos de contraseña, nuevos beneficiarios, cambios de número y transferencias grandes. Para inicios de sesión rutinarios en un dispositivo conocido, la verificación adicional rara vez cambia la decisión.
¿Qué sucede si el operador no puede compartir la fecha de intercambio de SIM?
Puede devolver null, opcionalmente con un monitoredPeriod en días. Trate eso como que no hubo intercambio dentro del periodo monitoreado y recurra a sus propias reglas de riesgo.
¿Cuánto cuesta el API de SIM Swap?
Los precios son establecidos por cada operador o sus socios de canal. Las fuentes oficiales que consultamos no publican precios de Medio Oriente para ninguno de los API.
Fuentes
- Ooredoo Qatar, operadores móviles de Qatar lanzan APIs antifraude a través de la iniciativa Open Gateway de GSMA, 26 de noviembre de 2025, consultado el 26 de septiembre de 2026.
- CAMARA, definición de API Number Verification, versión r3.2, consultado el 26 de septiembre de 2026.
- CAMARA, definición de API SIM Swap, versión r3.3, consultado el 26 de septiembre de 2026.
- páginas del proyecto CAMARA, Number Verification y SIM Swap, consultado el 26 de septiembre de 2026.
- GSMA, Open Gateway GSMA, consultado el 26 de septiembre de 2026.