umber Verification e SIM Swap sono API di rete, standardizzati dal progetto CAMARA nell'ambito dell'iniziativa GSMA Open Gateway, che consentono a una banca o a un'app di chiedere due cose all'operatore mobile: questo numero di telefono è realmente quello presente nel dispositivo dell'utente, e il suo SIM è cambiato di recente? A partire dal 26 settembre 2026, l'unico lancio in Medio Oriente che abbiamo potuto confermare tramite una fonte ufficiale è il Qatar, dove Ooredoo Qatar e Vodafone Qatar hanno lanciato entrambi le API il 26 novembre 2025. BroadNet, che gestisce il traffico OTP e protegge le reti degli operatori in tutta la regione, spiega come funzionano le API e come abbinarli ai SMS OTP.
Punti chiave
- Number Verification conferma, senza un codice SMS, che il numero digitato da un utente corrisponde al numero del dispositivo che sta utilizzando. Restituisce true o false.
- SIM Swap indica se il SIM associato a un numero è cambiato entro un periodo scelto (da 1 a 2.400 ore, predefinito 240) o restituisce la data dell'ultima modifica.
- Il Qatar è il lancio confermato in Medio Oriente: Ooredoo Qatar e Vodafone Qatar, entrambi API, hanno annunciato il 26 novembre 2025 presso MWC Doha.
- Non abbiamo potuto confermare lanci commerciali negli Emirati Arabi Uniti, in Arabia Saudita, in Kuwait, in Bahrain, in Oman, in Giordania o in Egitto tramite una fonte ufficiale. Consultate l'operatore prima di progettare soluzioni basate su di essi.
- Number Verification non sostituisce i OTP SMS ovunque: necessita del supporto dell'operatore e, nel suo flusso standard, di una connessione dati mobile. Utilizzatelo prima dove funziona e passate a OTP come soluzione di fallback.
- Il modello più solido per le azioni ad alto rischio consiste nel chiamare SIM Swap prima di inviare un OTP e nel rifiutare il OTP se il SIM è cambiato di recente.
Cosa sono GSMA Open Gateway e CAMARA?
Il GSMA descrive i Open Gateway come "un quadro globale di API di rete comuni che semplifica l'accesso alle reti degli operatori mobili" (GSMA Open Gateway). Le definizioni di API derivano da CAMARA, che l'annuncio di Ooredoo Qatar descrive come "un progetto open-source della Linux Foundation e una parte fondamentale dell'iniziativa GSMA Open Gateway". Poiché ogni operatore partecipante implementa la stessa definizione, uno sviluppatore può scrivere un'unica integrazione e riutilizzarla su tutte le reti che la supportano.
Secondo lo stesso annuncio (novembre 2025), l'iniziativa copre più di 80 gruppi di operatori mobili, 292 reti e oltre l'80% delle connessioni mobili in tutto il mondo. L'adesione non equivale alla presenza di un API attivo in un determinato paese, motivo per cui la tabella di disponibilità sottostante elenca solo i lanci confermati. Per approfondimenti, consultate la nostra risposta su GSMA Open Gateway.
Cosa fa il Number Verification API?
Nella definizione CAMARA (versione 2.1.0, release r3.2), Number Verification verifica o recupera "il numero di telefono mobile attualmente allocato dall'operatore di rete al SIM nel dispositivo dell'utente finale". Dispone di due endpoint:
- /verify confronta il numero di telefono fornito dall'utente, in chiaro o hash, con il numero associato al dispositivo, e risponde true o false.
- /device-phone-number restituisce il numero di telefono che l'operatore associa al SIM nel dispositivo.
Funziona tramite autenticazione silenziosa, basata sulla rete o basata su SIM, "senza richiedere l'interazione dell'utente": nessun codice da ricevere, leggere o digitare. Entrambi gli endpoint necessitano di un token di accesso a tre gambe ottenuto per quell'utente. Nel flusso standard (codice di autorizzazione OpenID Connect con prompt=none), il dispositivo deve essere connesso alla rete mobile. Se la vostra app ha un GSMA TS.43 token temporaneo dal dispositivo, la definizione afferma che l'API funziona su qualsiasi connessione, incluso il Wi-Fi. Per una spiegazione più approfondita, leggete la nostra risposta sull'autenticazione silenziosa di rete.
Come funziona l'API SIM Swap?
La definizione SIM Swap CAMARA (versione 2.1.0, release r3.3) fornisce due operazioni principali:
| Operazione | Voi inviate | Voi ricevete | Utilizzatelo quando |
|---|---|---|---|
| POST /check | Numero di telefono e maxAge in ore (da 1 a 2.400; predefinito 240) | swapped: vero o falso per quel periodo | È necessaria una decisione yes/no prima di un'azione rischiosa |
| POST /retrieve-date | Numero di telefono | latestSimChange: timestamp dell'ultimo scambio SIM, o la data di attivazione se non ce n'è stato nessuno | Il rischio viene calcolato in base a quanto recente sia stata la modifica |
Due dettagli sono importanti in produzione. Se la normativa locale o la policy dell'operatore impediscono di conservare la cronologia SIM per un tempo sufficiente, l'operatore può restituire null per la data, opzionalmente con un monitoredPeriod che indica quanti giorni copre; trattate questo dato come "nessuno scambio entro il periodo monitorato", non come "mai scambiato". E se richiedete un maxAge oltre quanto consentito dalla policy dell'operatore, aspettatevi un errore 400 OUT_OF_RANGE. Lo scambio SIM è una via comune per il takeover dell'account: il truffatore sposta il numero della vittima su un nuovo SIM e riceve i suoi codici. La nostra risposta sulla frode da scambio SIM spiega l'attacco.
Dove sono disponibili Number Verification e SIM Swap in Medio Oriente?
Questa tabella elenca solo i lanci che abbiamo potuto confermare presso un operatore o una fonte GSMA, alla data del 26 settembre 2026.
| Paese | Operatori | API | Annunciato | Fonte |
|---|---|---|---|---|
| Qatar | Ooredoo Qatar, Vodafone Qatar | SIM Swap, Number Verification (CAMARA) | 26 novembre 2025, MWC Doha | comunicato stampa di Ooredoo Qatar |
Gli operatori qatarioti hanno dichiarato di pianificare l'aggiunta di ulteriori API per l'identità e la prevenzione delle frodi nel 2026. Per gli Emirati Arabi Uniti, l'Arabia Saudita, il Kuwait, il Bahrain, l'Oman, la Giordania e l'Egitto, non abbiamo trovato alcun lancio commerciale di questi due API su una pagina ufficiale di un operatore o GSMA che abbiamo potuto aprire. Alcuni operatori nella regione si sono uniti a Open Gateway, ma unirsi non è la stessa cosa che offrire un API commercialmente. Chiedete all'operatore, o al vostro fornitore di messaggistica, lo stato attuale prima di basarvi su di esso. Per le regole di messaggistica del Qatar, consultate la nostra pagina sulle regolamentazioni del Qatar e la pagina sulla copertura del Qatar.
Number Verify può sostituire l'SMS OTP?
Non da solo, e non ancora nella maggior parte della regione. Ogni metodo dimostra qualcosa di diverso e fallisce in modo diverso.
| SMS OTP | Number Verification | Controllo SIM Swap | |
|---|---|---|---|
| Cosa dimostra | L'utente può ricevere un messaggio su quel numero | Il dispositivo in uso possiede il SIM per quel numero | Se il SIM associato al numero è cambiato di recente |
| Sforzo dell'utente | Leggere e digitare un codice (o compilazione automatica) | Nessuno | Nessuno |
| Richiede il supporto API dell'operatore | No; funziona su qualsiasi rete | Sì | Sì |
| Connessione | Qualsiasi telefono con segnale | Dati mobili nel flusso standard; qualsiasi connessione con un token TS.43 | Nessuno sul dispositivo; si tratta di un controllo server-to-server |
| Punto debole | I codici possono essere intercettati dopo uno scambio SIM o tramite phishing | Non disponibile dove l'operatore non l'ha lanciato | Non autentica l'utente di per sé |
| Ruolo migliore | Fallback universale e secondo fattore | Prima scelta dove disponibile | Segnale di rischio prima di qualsiasi OTP su un'azione ad alto rischio |
Il design pratico è una cascata: prova Number Verification dove l'operatore dell'utente lo supporta, passa a SMS o WhatsApp OTP ovunque altrove, e inserisci un controllo SIM Swap davanti al OTP per le azioni ad alto rischio. I nostri post su autenticazione di rete silenziosa e autenticazione di rete silenziosa vs SMS OTP approfondiscono il primo passaggio.
Quando si dovrebbe chiamare SIM Swap prima di inviare un OTP?
Prima di qualsiasi azione in cui un numero rubato darebbe denaro o controllo a un truffatore. Un semplice flusso decisionale:
- Classifica l'azione. Rischio basso: login di routine su un dispositivo noto. Rischio alto: reset della password, nuovo beneficiario, cambio di numero di telefono o email, trasferimento elevato, primo login su un nuovo dispositivo.
- Per le azioni ad alto rischio dove l'operatore lo supporta, chiama POST /check con un breve maxAge che si adatti alla tua policy di rischio (ad esempio 24 o 72 ore).
- Se swapped è vero, non inviare il OTP a quel numero. Step up: conferma in-app sul dispositivo registrato, una chiamata di ritorno, o un controllo in filiale o video.
- Se swapped è falso, invia il OTP come di consueto tramite SMS o WhatsApp, con fallback automatico tra i canali.
- Se l'API non è disponibile in quel mercato, o restituisce null, passa alle tue regole esistenti più l'intelligence sul numero come una ricerca HLR o un punteggio di reputazione telefonica.
- Registra il risultato del controllo con la transazione, in modo che gli analisti anti-frode possano vedere perché un OTP è stato o non è stato inviato.
Un OTP dimostra che qualcuno può ricevere messaggi su un numero. Un controllo SIM Swap ti dice se è probabile che quel qualcuno sia ancora il cliente. Per le azioni ad alto rischio, desideri entrambe le risposte.
In che modo le banche combinano SIM Swap con OTP?
| Evento | Controllo della rete | Se il controllo solleva un segnale di allerta | Altrimenti |
|---|---|---|---|
| Reset della password | SIM Swap /check prima di inviare il OTP di reset | Bloccare il OTP; richiedere la conferma tramite app o in filiale | Inviare il OTP |
| Nuovo beneficiario o trasferimento di importo elevato | SIM Swap /check, maxAge breve | Trattenere la transazione per la revisione | Inviare il OTP della transazione |
| Onboarding di un nuovo cliente | Number Verification /verify | Passare a SMS OTP | Saltare il passaggio OTP |
| Cambio del numero di telefono registrato | SIM Swap /retrieve-date sul vecchio numero | Revisione manuale | Confermare sia sul vecchio che sul nuovo numero |
La piattaforma BroadNet OTP eroga i codici in questo flusso tramite SMS, WhatsApp e voce con fallback tra di essi, e MyOTP lo confeziona come un prodotto di verifica pronto all'uso.
Quanto costa?
Il prezzo è stabilito da ogni operatore o dai suoi partner di canale ed è concordato commercialmente. Nessuna delle fonti ufficiali che abbiamo controllato pubblica un listino prezzi per il Medio Oriente per API, quindi non ne forniamo uno. Quando si confrontano i costi, bisogna calcolare quanto il controllo faccia risparmiare oltre a quanto costi: un controllo SIM Swap prima di un OTP di reset della password è una chiamata API extra, e la prevenzione di un account takeover vale molto di più.
Cosa significano le API di rete per gli operatori?
Per gli operatori, Number Verification e SIM Swap trasformano i dati già in possesso della rete in un servizio a pagamento basato sul consenso per banche e app, e gli stessi team anti-frode che acquistano tali servizi acquistano anche la messaggistica A2P. BroadNet lavora con gli operatori dal 2003, con oltre 60 implementazioni di firewall per operatori; le nostre soluzioni per operatori e il firewall SMS proteggono i ricavi della messaggistica che si affiancano a queste API.
Domande frequenti
Cos'è il CAMARA Number Verification API?
Un API standard per operatori che conferma se il numero di telefono fornito da un utente corrisponde al numero del dispositivo che sta utilizzando, restituendo true o false, oppure restituisce il numero del dispositivo. Utilizza l'autenticazione silenziosa di rete o basata su SIM, quindi non c'è alcun codice da digitare.
Come funziona il SIM Swap API?
Si invia un numero di telefono. L'operazione /check risponde true o false per un periodo impostato con maxAge (da 1 a 2.400 ore, predefinito 240); /retrieve-date restituisce l'indicazione temporale dell'ultima modifica di SIM, o la data di attivazione se non ce n'è stata alcuna.
Quali operatori del Medio Oriente offrono queste API?
Al 26 settembre 2026, il lancio che possiamo confermare tramite una fonte ufficiale è il Qatar: Ooredoo Qatar e Vodafone Qatar hanno lanciato SIM Swap e Number Verification il 26 novembre 2025. Verificare con gli operatori in altri paesi prima di fare affidamento su di essi.
Number Verify può sostituire SMS OTP?
Solo laddove l'operatore dell'utente lo supporti e la connessione lo consenta. Utilizzarlo prima dove disponibile e mantenere SMS o WhatsApp OTP come fallback ovunque altrove.
Number Verification funziona su Wi-Fi?
Nel flusso standard il dispositivo deve essere connesso alla rete mobile. La definizione di CAMARA afferma che funziona su qualsiasi connessione, incluso il Wi-Fi, quando l'app utilizza un GSMA TS.43 token temporaneo dal dispositivo.
Dovrei controllare SIM Swap prima di ogni OTP?
No. Utilizzalo prima di azioni ad alto rischio come il reset della password, nuovi beneficiari, modifiche del numero e trasferimenti di importo elevato. Per gli accessi di routine su un dispositivo noto, il controllo extra raramente cambia la decisione.
Cosa succede se l'operatore non può condividere la data di scambio del SIM?
Può restituire null, opzionalmente con un monitoredPeriod in giorni. Tratta questo dato come assenza di cambio SIM entro il periodo monitorato e applica le tue regole di rischio.
Quanto costa l'API SIM Swap?
I prezzi sono stabiliti da ogni operatore o dai suoi partner di canale. Le fonti ufficiali che abbiamo consultato non pubblicano i prezzi del Medio Oriente per nessuno dei due API.
Fonti
- Ooredoo Qatar, gli operatori mobili del Qatar lanciano API anti-frode attraverso l'iniziativa Open Gateway GSMA, 26 novembre 2025, consultato il 26 settembre 2026.
- CAMARA, definizione API Number Verification, rilascio r3.2, consultato il 26 settembre 2026.
- CAMARA, definizione API SIM Swap, rilascio r3.3, consultato il 26 settembre 2026.
- pagine del progetto CAMARA, Number Verification e SIM Swap, consultato il 26 settembre 2026.
- GSMA, GSMA Open Gateway, consultato il 26 settembre 2026.