umber VerificationとSIM Swapは、GSMA Open Gatewayイニシアチブの下でCAMARAプロジェクトによって標準化されたネットワークAPIであり、銀行やアプリが携帯通信事業者に対して「この電話番号は、ユーザーのデバイスにある番号と本当に一致するか」「そのSIMが最近変更されていないか」という2つの事項を問い合わせることを可能にします。2026年9月26日現在、公式情報で確認できた中東での導入事例はカタールのみであり、そこではOoredoo QatarとVodafone Qatarが2025年11月26日に両方のAPIをリリースしました。地域全体のOTPトラフィックを配信し、通信事業者ネットワークを保護するBroadNetが、APIの仕組みとSMS OTPとの連携方法について説明します。
主なポイント
- Number Verificationは、SMSコードを使用することなく、ユーザーが入力した番号が使用中のデバイスの番号と一致していることを確認します。結果はtrueまたはfalseで返されます。
- SIM Swapは、指定した期間内（1〜2,400時間、デフォルトは240時間）に番号の背後にあるSIMが変更されたかどうかを通知するか、または最終変更日を返します。
- 中東での導入が確認されているのはカタールです。Ooredoo QatarとVodafone Qatarが両方のAPIを、2025年11月26日にMWC Dohaにて発表しました。
- UAE、サウジアラビア、クウェート、バーレーン、オマーン、ヨルダン、エジプトにおける商用化については、公式情報で確認できていません。これらの機能を前提とした設計を行う前に、通信事業者に確認してください。
- Number Verificationは、あらゆる場面でSMS OTPに代わるものではありません。通信事業者のサポートが必要であり、標準的なフローではモバイルデータ通信接続が必要です。まず動作する環境でNumber Verificationを使用し、その後にOTPへフォールバックしてください。
- 高リスクなアクションに対する最も強力なパターンは、OTPを送信する前にSIM Swapを実行し、SIMが最近変更された場合にはOTPを拒否することです。
GSMA Open GatewayおよびCAMARAとは何ですか？
GSMAでは、Open Gatewayを「モバイル通信事業者のネットワークへのアクセスを簡素化する、共通のネットワークAPIのグローバルなフレームワーク」と説明しています (GSMA Open Gateway)。APIの定義自体はCAMARAに由来するもので、Ooredoo Qatarの発表では「Linux Foundationによるオープンソースプロジェクトであり、GSMA Open Gatewayイニシアチブの基本的な部分である」と述べられています。参加するすべての通信事業者が同じ定義を実装しているため、開発者は一度の統合を行うだけで、これをサポートするネットワーク間で再利用できます。
同じ発表（2025年11月）によると、このイニシアチブは80以上の通信事業者グループ、292のネットワーク、そして世界中のモバイル接続の80%以上をカバーしています。メンバーシップは、特定の国におけるライブなAPIとは同一ではなく、そのため以下の可用性テーブルには、確認済みのローンチのみを記載しています。背景については、GSMA Open Gatewayに関する回答をご参照ください。
Number Verification APIとはどのような機能ですか？
CAMARAの定義（バージョン2.1.0、リリースr3.2）において、Number Verificationは「通信事業者がエンドユーザーのデバイス内のSIMに現在割り当てている携帯電話番号」を検証または取得します。これには2つのエンドポイントがあります。
- /verifyは、ユーザーから提供された電話番号（プレーンテキストまたはハッシュ化されたもの）を、デバイスに関連付けられた番号と比較し、trueまたはfalseで回答します。
- /device-phone-numberは、通信事業者がデバイス内のSIMに関連付けている電話番号を返します。
これは、ネットワークベースまたはSIMベースのサイレント認証を通じて、「ユーザーの操作を必要とせずに」動作します。つまり、コードを受信、読み取り、または入力する必要はありません。両方のエンドポイントには、そのユーザーに対して取得された3レッグ（three-legged）アクセストークンが必要です。標準的なフロー（prompt=noneを指定したOpenID Connect認可コード）では、デバイスがモバイルネットワークに接続されている必要があります。アプリがデバイスからGSMA TS.43の一時的なトークンを取得している場合、定義によればAPIはWi-Fiを含むあらゆる接続を介して動作します。詳細については、サイレントネットワーク認証に関する回答をご覧ください。
SIM Swap APIの仕組みは？
CAMARA SIM Swapの定義（バージョン2.1.0、リリースr3.3）では、主に2つの操作が提供されます。
| 操作 | 送信内容 | 返却内容 | 活用シーン |
|---|---|---|---|
| POST /check | 電話番号およびmaxAge（時間単位、1〜2,400、デフォルトは240） | swapped: その期間におけるtrueまたはfalse | リスクを伴うアクションの前に、Yes/Noの判断が必要な場合 |
| POST /retrieve-date | 電話番号 | latestSimChange: 最後にSIMスワップが行われたタイムスタンプ、またはスワップがない場合はアクティベーション日 | 変更が最近行われたかどうかに基づいてリスクをスコアリングします |
本番環境においては、2つの詳細事項が重要となります。現地の規制または通信事業者のポリシーにより、SIMの履歴を十分な期間保存できない場合、通信事業者は日付に対してnullを返すことがあります。その際、オプションとして、何日間の履歴をカバーしているかを示すmonitoredPeriodが返される場合があります。これは「交換が行われなかった」のではなく、「監視期間内では交換が行われていない」と解釈してください。また、通信事業者のポリシーで許可されている範囲を超えるmaxAgeを指定した場合は、400 OUT_OF_RANGEエラーが発生します。SIMスワップは、アカウント乗っ取りの一般的なルートです。詐欺師は被害者の電話番号を新しいSIMに移行させ、認証コードを受け取ります。この攻撃の詳細については、SIMスワップ詐欺に関する弊社の回答をご参照ください。
中東におけるNumber VerificationおよびSIMスワップの展開状況は？
この表には、2026年9月26日時点で、通信事業者またはGSMAソースから確認できた展開のみを記載しています。
| 国 | 通信事業者 | API | 発表済み | ソース |
|---|---|---|---|---|
| カタール | Ooredoo Qatar, Vodafone Qatar | SIM Swap、番号認証（CAMARA） | 2025年11月26日、MWC Doha | Ooredoo Qatarのプレスリリース |
カタールの通信事業者は、2026年にさらなるアイデンティティおよび不正防止のためのAPIを追加する計画であると発表しました。UAE、サウジアラビア、クウェート、バーレーン、オマーン、ヨルダン、エジプトについては、確認可能な通信事業者の公式ページやGSMAページにおいて、これら2つのAPIの商用提供は確認できませんでした。同地域のいくつかの通信事業者はOpen Gatewayに加盟していますが、加盟していることと、APIを商用として提供していることは同じではありません。これらを利用してシステムを構築する前に、通信事業者またはメッセージングプロバイダーに現在のステータスを確認してください。カタールのメッセージング規則については、当社のカタールの規制ページおよびカタールの対応国・地域ページをご参照ください。
Number VerifyはOTP認証SMSの代替となりますか？
それ単体では不可能ですし、同地域のほとんどの国でもまだ実現していません。それぞれの手法で証明できる内容が異なり、失敗する要因も異なります。
| SMS OTP | 番号認証 | SIMスワップチェック | |
|---|---|---|---|
| 証明内容 | ユーザーがその番号でメッセージを受信できること | 使用中のデバイスがその番号のSIMを保持していること | 番号に紐付くSIMが最近変更されたかどうか |
| ユーザーの手間 | コードの読み取りと入力（または自動入力） | なし | なし |
| 通信事業者APIのサポートが必要です | いいえ。すべてのネットワークで動作します | はい | はい |
| 接続 | 電波を受信できるすべての電話機 | 標準的なフローではモバイルデータを使用。TS.43トークンを含むあらゆる接続 | デバイス上には存在しません。サーバー間でのチェックです |
| 弱点 | SIMスワップ後にコードが傍受されたり、フィッシング詐欺に遭ったりする可能性があります | 通信事業者が提供していない地域では利用不可 | それ自体ではユーザーを認証しません |
| 最適な役割 | 汎用的なフォールバックと二要素認証 | 利用可能な場合の第一選択肢 | 高リスクなアクションにおけるOTP実行前のリスクシグナル |
実用的な設計はカスケード方式です。ユーザーの通信事業者が対応している場合はNumber Verificationを試し、それ以外の場合はすべてSMSまたはWhatsAppのOTPへとフォールバックします。また、高リスクなアクションに対しては、OTPの前にSIM Swapチェックを配置します。最初のステップについては、silent network authenticationおよびsilent network authentication vs SMS OTPに関する当社の記事で詳しく解説しています。
OTP認証SMSを送信する前に、いつSIM Swapを呼び出すべきですか？
盗まれた番号によって詐欺師が利益を得たり、制御権を握ったりする可能性のあるアクションの前に実行します。簡単な意思決定フローは以下の通りです：
- アクションを分類します。低リスク：既知のデバイスによる通常のログイン。高リスク：パスワードのリセット、新規振込先の登録、電話番号またはメールアドレスの変更、高額送金、新しいデバイスでの初回ログイン。
- 通信事業者が対応している高リスクなアクションに対しては、リスクポリシーに適合する短いmaxAge（例：24時間または72時間）を指定して、POST /checkを呼び出します。
- swappedがtrueの場合、その番号へはOTPを送信しません。ステップアップ策として、登録済みデバイスでのアプリ内確認、コールバック、または窓口やビデオによる確認を行います。
- swappedがfalseの場合、通常通りSMSまたはWhatsApp経由でOTPを送信し、チャネル間での自動フォールバックを行います。
- その市場でAPIが利用できない場合、またはnullが返された場合は、既存のルールに加えて、HLRルックアップや電話レピュテーションスコアなどの番号インテリジェンスによるフォールバックを行います。
- チェック結果をトランザクションと共にログに記録することで、不正分析担当者はなぜOTPが送信されたか、あるいは送信されなかったのかを確認できます。
OTPは、ある番号でメッセージを受信できることを証明します。SIMスワップチェックは、その受信者が依然として顧客である可能性が高いかどうかを判断します。リスクの高いアクションでは、両方の回答が必要となります。
銀行はどのようにSIM SwapとOTP認証を組み合わせているのでしょうか？
| イベント | ネットワークチェック | チェックでフラグが立った場合 | それ以外の場合 |
|---|---|---|---|
| パスワードのリセット | リセット用OTPを送信する前にSIM Swap /checkを実行 | OTPをブロックし、アプリ内または支店での確認を求める | OTPを送信する |
| 新規の振込先または高額送金 | SIM Swap /checkを実行し、maxAgeを短く設定 | 審査のためトランザクションを保留する | トランザクションOTPを送信する |
| 新規顧客のオンボーディング | 番号認証 /verify | SMS OTPにフォールバックする | OTPステップをスキップする |
| 登録電話番号の変更 | 旧番号に対してSIM Swap /retrieve-dateを実行 | 手動レビュー | 旧番号と新番号の両方で確認 |
BroadNet OTPプラットフォームは、このフローにおける認証コードをSMS、WhatsApp、および音声で配信し、それらの間でフォールバックを行います。また、MyOTPがこれを即時利用可能な認証製品としてパッケージ化します。
費用はどのくらいですか？
料金は各通信事業者またはそのチャネルパートナーによって設定され、商業的な合意に基づきます。当社が確認した公式情報の中に、いずれのAPIについても中東の価格表を公開しているものはないため、価格の提示は行っておりません。コストを比較する際は、費用だけでなく、その確認によって節約できるコストも考慮してください。パスワードリセットのOTP認証の前にSIM Swap確認を行うと、APIコールが1回分追加されますが、アカウントの乗っ取りを防止できる価値はそれよりもはるかに高くなります。
ネットワークAPIは通信事業者にとって何を意味しますか？
通信事業者にとって、番号認証とSIM Swapは、ネットワークが既に保持しているデータを、銀行やアプリ向けの有料かつ同意ベースのサービスへと変貌させます。また、これらのサービスを購入する不正対策チームは、A2Pメッセージングも併せて購入します。BroadNetは2003年以来、60以上の通信事業者向けファイアウォール導入実績を持ち、通信事業者と提携してきました。当社の通信事業者向けソリューションとSMSファイアウォールは、これらのAPIと並行して発生するメッセージング収益を保護します。
よくある質問
CAMARA Number Verification APIとは何ですか？
ユーザーが提供した電話番号が使用中のデバイスの番号と一致するかを確認し、trueまたはfalseを返す、あるいはデバイスの番号を返す標準的な通信事業者APIです。サイレントネットワークまたはSIMベースの認証を使用するため、コードを入力する必要はありません。
SIM Swap APIはどのように機能しますか？
電話番号を送信します。/check操作は、maxAgeで設定した期間（1〜2,400時間、デフォルトは240時間）の間、trueまたはfalseを回答します。/retrieve-dateは、最後のSIM変更のタイムスタンプ、または変更がない場合はアクティベーション日を返します。
中東のどの通信事業者がこれらのAPIを提供していますか？
2026年9月26日現在、公式情報で確認できた提供開始状況はカタールです。Ooredoo QatarとVodafone Qatarが2025年11月26日にSIM SwapおよびNumber Verificationを開始しました。他の国の通信事業者の利用については、事前に各事業者へご確認ください。
Number VerificationはSMS OTPの代替になりますか？
ユーザーの通信事業者が対応しており、かつ接続が許可されている場合にのみ可能です。利用可能な場合はまずそれを優先し、それ以外のすべてのケースではSMSまたはWhatsApp OTPをフォールバックとして使用してください。
番号認証はWi-Fi経由でも機能しますか？
標準的なフローでは、デバイスがモバイルネットワークに接続されている必要があります。CAMARAの定義によれば、アプリがデバイスからGSMA TS.43一時トークンを使用する場合、Wi-Fiを含むあらゆる接続経由で機能します。
すべてのOTPの前にSIM Swapを確認すべきですか？
いいえ。パスワードのリセット、新規振込先の追加、電話番号の変更、高額送金などのリスクの高いアクションの前に使用してください。既知のデバイスによる日常的なログインの場合、追加の確認によって判定が変わることはほとんどありません。
通信事業者がSIM Swapの日付を共有できない場合はどうなりますか？
nullが返されることがあり、オプションで日単位のmonitoredPeriodが付与される場合があります。その場合は、監視期間内にSIMスワップが行われなかったものとして扱い、独自のリスクルールにフォールバックしてください。
SIM Swap APIの料金はいくらですか？
料金は各通信事業者またはそのチャネルパートナーによって設定されます。当社が確認した公式情報では、どちらのAPIについても中東の料金は公開されていません。
出典
- Ooredoo Qatar, カタールの携帯通信事業者がGSMA Open Gatewayイニシアチブを通じて不正防止のためのAPIを導入, 2025年11月26日、2026年9月26日閲覧。
- CAMARA, Number Verification APIの定義、リリースr3.2, 2026年9月26日閲覧。
- CAMARA, SIM Swap APIの定義、リリースr3.3, 2026年9月26日閲覧。
- CAMARAプロジェクトページ、Number VerificationおよびSIM Swap, 2026年9月26日閲覧。
- GSMA, GSMA Open Gateway, 2026年9月26日閲覧。