# 중동 지역의 번호 인증 및 SIM Swap API: 서비스 현황 및 SMS OTP와의 연동 방법

> 번호 인증(Number Verification)과 SIM Swap은 사기 방지 팀에 가장 중요한 두 가지 통신사 네트워크 API입니다. 본 문서에서는 CAMARA 규격에 따른 각 기능의 작동 방식, 중동 지역 내 실제 서비스 현황, 그리고 SMS OTP와 결합하는 방법을 설명합니다.

- 정식 URL: https://www.broadnet.me/ko/blog/number-verify-sim-swap-api-middle-east
- 언어: ko
- 최종 업데이트: 2026-09-26
- 발행처: BroadNet (https://www.broadnet.me)

- 게시일: 2026-09-26
- 작성자: BroadNet Industry Research

번호 인증과 SIM Swap은 GSMA Open Gateway 이니셔티브 산하 CAMARA 프로젝트를 통해 표준화된 네트워크 API로, 은행이나 앱이 통신사에 다음 두 가지 사항을 요청할 수 있게 합니다. 즉, 이 전화번호가 사용자의 기기에 있는 번호가 맞는지, 그리고 최근에 SIM이 변경되었는지 여부입니다. 2026년 9월 26일 기준, 공식 소스를 통해 확인할 수 있는 중동 지역의 유일한 출시 사례는 카타르이며, Ooredoo Qatar와 Vodafone Qatar가 2025년 11월 26일에 두 API를 모두 출시했습니다. 지역 전역의 통신사 네트워크를 보호하고 OTP 트래픽을 전달하는 BroadNet은 API의 작동 방식과 SMS OTP와의 연동 방법을 설명합니다.

## 핵심 요약

- 번호 인증은 SMS 인증번호 없이도 사용자가 입력한 번호가 현재 사용 중인 기기의 번호와 일치하는지 확인합니다. 결과값으로 true 또는 false를 반환합니다.
- SIM Swap은 사용자가 설정한 기간(1~2,400시간, 기본값 240시간) 내에 번호 뒤의 SIM이 변경되었는지 여부를 알려주거나 마지막 변경 날짜를 반환합니다.
- 카타르가 확인된 중동 지역 출시 국가입니다. 두 API 서비스 제공자인 Ooredoo Qatar와 Vodafone Qatar는 2025년 11월 26일 MWC Doha에서 이를 발표했습니다.
- UAE, 사우디아라비아, 쿠웨이트, 바레인, 오만, 요르단 또는 이집트의 상용 서비스 출시는 공식 소스를 통해 확인할 수 없었습니다. 해당 기능을 기반으로 설계를 진행하기 전에 반드시 통신사에 확인하시기 바랍니다.
- 번호 인증(Number Verification)이 모든 곳에서 SMS OTP를 대체하는 것은 아닙니다. 통신사의 지원이 필요하며, 표준 흐름에서는 모바일 데이터 연결이 필요합니다. 번호 인증이 작동하는 곳에 우선적으로 사용하고, 그렇지 않을 경우 OTP로 대체하세요.
- 고위험 작업에 대한 가장 강력한 패턴은 OTP를 보내기 전에 SIM Swap을 호출하고, SIM이 최근에 변경되었다면 OTP를 거부하는 것입니다.

## GSMA Open Gateway와 CAMARA는 무엇인가요?

GSMA는 Open Gateway를 "모바일 통신사 네트워크에 대한 액세스를 간소화하는 공통 네트워크 API의 글로벌 프레임워크"라고 설명합니다 ([GSMA Open Gateway](https://www.gsma.com/solutions-and-impact/gsma-open-gateway/)). API 정의 자체는 CAMARA에서 제공되며, Ooredoo Qatar의 발표에 따르면 이는 "Linux Foundation의 오픈 소스 프로젝트이자 GSMA Open Gateway 이니셔티브의 핵심 부분"입니다. 참여하는 모든 통신사가 동일한 정의를 구현하므로, 개발자는 한 번의 연동만으로 이를 지원하는 네트워크 전반에서 재사용할 수 있습니다.

동일한 발표(2025년 11월)에 따르면, 이 이니셔티브는 전 세계 80개 이상의 모바일 통신사 그룹, 292개 네트워크 및 모바일 연결의 80% 이상을 커버합니다. 멤버십 가입이 특정 국가에서 API가 활성화되었음을 의미하는 것은 아니므로, 아래 가용성 표에는 확정된 출시 사례만 기재되어 있습니다. 배경 정보는 [GSMA Open Gateway](https://www.broadnet.me/answers/gsma-open-gateway)에 대한 당사의 답변을 참조하세요.

## Number Verification API는 어떤 역할을 하나요?

CAMARA 정의(버전 2.1.0, 릴리스 r3.2)에 따르면, Number Verification은 "현재 네트워크 통신사가 최종 사용자의 기기에 있는 SIM에 할당한 모바일 전화번호"를 확인하거나 가져옵니다. 여기에는 두 개의 엔드포인트가 있습니다:

- /verify은 사용자가 제공한 전화번호(평문 또는 해시 형태)를 기기와 연결된 번호와 비교하여 true 또는 false로 응답합니다.
- /device-phone-number은(는) 통신사가 기기의 SIM과(와) 연결된 전화번호를 반환합니다.

이 방식은 네트워크 기반 또는 SIM 기반의 무인 인증(silent authentication)을 통해 작동하며, "사용자의 개입이 필요하지 않습니다". 즉, 수신하거나 읽거나 입력해야 할 코드가 없습니다. 양쪽 엔드포인트 모두 해당 사용자를 위해 발급된 3-legged 액세스 토큰(three-legged access token)이 필요합니다. 표준 흐름(prompt=none이 적용된 OpenID Connect 인증 코드)에서는 기기가 모바일 네트워크에 연결되어 있어야 합니다. 만약 앱이 기기로부터 GSMA TS.43 임시 토큰을 보유하고 있다면, 정의에 따라 API는 Wi-Fi를 포함한 모든 연결에서 작동합니다. 더 자세한 설명은 [무인 네트워크 인증](https://www.broadnet.me/answers/silent-network-authentication)에 대한 답변을 참조하세요.

## SIM 스왑(SIM Swap) API는 어떻게 작동하나요?

CAMARA SIM Swap 정의(버전 2.1.0, 릴리스 r3.3)에 따른 두 가지 주요 작업은 다음과 같습니다:

| 작업 | 전송 데이터 | 반환 데이터 | 사용 사례 |
|---|---|---|---|
| POST /check | 전화번호 및 maxAge(시간 단위, 1~2,400; 기본값 240) | swapped: 해당 기간 동안의 true 또는 false 여부 | 위험한 작업을 수행하기 전, 예/아니오 결정이 필요한 경우 |
| POST /retrieve-date | 전화번호 | latestSimChange: 마지막 SIM 스왑의 타임스탬프, 또는 스왑이 없었을 경우 활성화 날짜 | 변경이 얼마나 최근에 발생했는지에 따라 위험 점수를 산출합니다 |

실제 운영 환경에서는 두 가지 세부 사항이 중요합니다. 현지 규제나 통신사 정책으로 인해 SIM 이력을 충분한 기간 동안 저장할 수 없는 경우, 통신사는 날짜에 대해 null을 반환할 수 있으며, 선택적으로 모니터링 기간을 나타내는 monitoredPeriod를 함께 제공할 수 있습니다. 이 경우 이를 "한 번도 교체되지 않음"이 아니라 "모니터링 기간 내에는 교체되지 않음"으로 처리해야 합니다. 또한 통신사 정책에서 허용하는 범위를 초과하는 maxAge를 요청할 경우, 400 OUT_OF_RANGE 에러가 발생할 수 있습니다. SIM 스왑은 계정 탈취의 흔한 경로입니다. 사기꾼이 피해자의 번호를 새로운 SIM으로 이동시켜 인증번호를 수신하는 방식입니다. [SIM 스왑 사기](https://www.broadnet.me/answers/what-is-sim-swap-fraud)에 대한 저희의 답변에서 해당 공격에 대해 자세히 설명합니다.

## 중동 지역에서 번호 인증과 SIM 스왑이 제공되는 곳은 어디인가요?

이 표는 2026년 9월 26일 기준으로 통신사 또는 GSMA 소스를 통해 확인할 수 있는 출시 정보만을 나열합니다.

| 국가 | 통신사 | API | 발표일 | 출처 |
|---|---|---|---|---|
| 카타르 | Ooredoo Qatar, Vodafone Qatar | SIM 스왑, 번호 인증 (CAMARA) | 2025년 11월 26일, MWC Doha | [Ooredoo Qatar 보도 자료](https://www.ooredoo.qa/web/en/press-release/qatar-mobile-operators-launch-anti-fraud-apis-through-gsma-open-gateway-initiative/) |

카타르 통신사들은 2026년에 신원 확인 및 사기 방지를 위한 추가 API를 도입할 계획이라고 밝혔습니다. UAE, 사우디아라비아, 쿠웨이트, 바레인, 오만, 요르단, 이집트의 경우, 저희가 확인할 수 있는 공식 통신사 또는 GSMA 페이지에서 이 두 가지 API의 상용 출시 여부를 확인할 수 없었습니다. 이 지역의 일부 통신사들이 Open Gateway에 참여하고 있지만, 참여하는 것이 API를 상용으로 제공하는 것과 동일하지는 않습니다. 해당 서비스를 기반으로 구축하기 전에 통신사나 메시징 제공업체에 현재 상태를 문의하십시오. 카타르의 메시징 규정에 대해서는 [카타르 규정 페이지](https://www.broadnet.me/regulations/qatar) 및 [카타르 커버리지 페이지](https://www.broadnet.me/coverage/qatar)를 참조하십시오.

## 번호 인증(Number Verify)이 인증번호 문자(SMS OTP)를 대체할 수 있습니까?

단독으로는 불가능하며, 아직 이 지역 대부분의 국가에서도 불가능합니다. 각 방식은 증명하는 내용이 다르며, 실패하는 방식 또한 다릅니다.

|  | SMS OTP | 번호 인증 | SIM 교체 확인 |
|---|---|---|---|
| 확인 가능한 사항 | 사용자가 해당 번호로 메시지를 수신할 수 있는지 여부 | 사용 중인 기기가 해당 번호의 SIM을 보유하고 있는지 여부 | 해당 번호에 연결된 SIM이 최근에 변경되었는지 여부 |
| 사용자 노력 | 코드를 읽고 입력하세요 (또는 자동 완성) | 없음 | 없음 |
| 통신사 API 지원 필요 | 아니요; 모든 네트워크에서 작동합니다 | 예 | 예 |
| 연결 | 신호가 잡히는 모든 휴대폰 | 표준 흐름에서는 모바일 데이터 사용; TS.43 토큰이 포함된 모든 연결 | 기기에는 없음; 서버 간 확인 방식임 |
| 취약점 | SIM 교체 후 코드가 가로채기 당하거나 피싱될 수 있음 | 통신사가 서비스를 출시하지 않은 지역에서는 이용 불가 | 그 자체만으로는 사용자를 인증하지 않음 |
| 가장 적합한 역할 | 범용적인 대체 수단 및 2단계 인증 | 사용 가능한 경우 최우선 선택 | 고위험 작업 시 OTP를 수행하기 전의 리스크 신호 |

실질적인 설계는 계단식 구조입니다. 사용자의 통신사가 지원하는 경우 번호 인증을 시도하고, 그 외의 모든 경우에는 문자 또는 WhatsApp OTP로 대체하며, 고위험 작업 시에는 OTP 단계 이전에 SIM Swap 확인을 수행합니다. [silent network authentication](https://www.broadnet.me/blog/silent-network-authentication-2026) 및 [silent network authentication vs SMS OTP](https://www.broadnet.me/blog/silent-network-authentication-vs-sms-otp-2026)에 관한 당사의 게시물에서 첫 번째 단계에 대해 더 자세히 확인하실 수 있습니다.

## OTP를 보내기 전에 언제 SIM Swap을 호출해야 합니까?

도용된 번호로 사기꾼이 금전적 이득을 취하거나 제어권을 얻을 수 있는 모든 작업 이전에 수행합니다. 간단한 의사결정 흐름은 다음과 같습니다:

1. 작업을 분류합니다. 저위험: 알려진 기기에서의 일반적인 로그인. 고위험: 비밀번호 재설정, 신규 수취인 등록, 전화번호 또는 이메일 변경, 거액 송금, 새 기기에서의 첫 로그인.
2. 통신사가 지원하는 고위험 작업의 경우, 리스크 정책에 적합한 짧은 maxAge(예: 24시간 또는 72시간)를 설정하여 POST /check을 호출하십시오.
3. swapped가 true인 경우, 해당 번호로 OTP를 전송하지 마십시오. 추가 인증 단계: 등록된 기기에서의 인앱 확인, 콜백, 또는 지점 방문이나 영상 확인을 진행하십시오.
4. swapped가 false인 경우, 채널 간 자동 대체 발송 기능을 통해 OTP를 평소처럼 문자 또는 WhatsApp으로 전송합니다.
5. 해당 시장에서 API를 사용할 수 없거나 null을 반환하는 경우, 기존 규칙과 [HLR 조회](https://www.broadnet.me/products/hlr-lookup) 또는 [전화 평판](https://www.broadnet.me/products/phone-reputation) 점수와 같은 번호 인텔리전스를 활용하는 대체 수단으로 전환하십시오.
6. 거래와 함께 확인 결과를 로그로 기록하여, 부정 사용 분석가가 OTP가 전송되었는지 또는 전송되지 않았는지 그 이유를 확인할 수 있도록 합니다.

> OTP는 특정 번호로 메시지를 수신할 수 있는 사용자가 있음을 증명합니다. SIM Swap 확인은 해당 사용자가 여전히 고객일 가능성이 높은지 알려줍니다. 고위험 작업의 경우 두 가지 답변이 모두 필요합니다.

## 은행은 SIM Swap을 OTP와 어떻게 결합하나요?

| 이벤트 | 네트워크 확인 | 검사 결과 이상이 발견되면 | 그 외의 경우 |
|---|---|---|---|
| 비밀번호 재설정 | 재설정 OTP를 보내기 전 SIM Swap /check 수행 | OTP를 차단하고 앱 내 또는 지점 방문 확인을 요구합니다 | OTP를 전송합니다 |
| 신규 수취인 또는 대액 송금 | SIM Swap /check 수행, maxAge를 짧게 설정 | 검토를 위해 트랜잭션 보류 | 트랜잭션 OTP 전송 |
| 신규 고객 온보딩 | 번호 인증 /verify | SMS OTP로 대체 발송 | OTP 단계 건너뛰기 |
| 등록된 전화번호 변경 | 기존 번호의 SIM Swap /retrieve-date 확인 | 수동 검토 | 기존 번호와 새 번호 모두에서 확인 |

[BroadNet OTP 플랫폼](https://www.broadnet.me/products/otp)은 이 흐름에서 SMS, WhatsApp 및 음성으로 코드를 전달하며 이들 간의 대체 발송을 지원하고, [MyOTP](https://www.broadnet.me/products/myotp)가 이를 즉시 사용 가능한 인증 제품으로 패키징합니다.

## 비용은 얼마인가요?

요금은 각 통신사 또는 해당 채널 파트너에 의해 책정되며 상업적으로 합의됩니다. 당사가 확인한 공식 소스 중 어느 곳도 API에 대한 중동 지역 가격표를 게시하지 않으므로 별도의 견적을 제공하지 않습니다. 비용을 비교할 때는 비용뿐만 아니라 검증을 통해 절감되는 가치도 함께 고려해야 합니다. 비밀번호 재설정 OTP 전의 SIM Swap 검증은 1회의 추가 API 호출이 발생하지만, 계정 탈취를 방지함으로써 얻는 가치는 그보다 훨씬 큽니다.

## 네트워크 API가 통신사에게 갖는 의미는 무엇인가요?

통신사의 경우, 번호 검증 및 SIM Swap은 통신사가 이미 보유한 데이터를 은행 및 앱을 위한 유료 기반 동의 서비스로 전환하며, 이러한 서비스를 구매하는 보안 팀은 A2P 메시징 또한 구매합니다. BroadNet은 2003년부터 통신사와 협력해 왔으며 60개 이상의 통신사 방화벽 구축 실적을 보유하고 있습니다. 당사의 [통신사 솔루션](https://www.broadnet.me/operators)과 [SMS 방화벽](https://www.broadnet.me/operators/sms-firewall)은 이러한 API와 병행하여 발생하는 메시징 수익을 보호합니다.

## 자주 묻는 질문

### CAMARA Number Verification API란 무엇인가요?

사용자가 제공한 전화번호가 현재 사용 중인 기기의 번호와 일치하는지 확인하여 true 또는 false를 반환하거나, 기기의 번호를 반환하는 표준 통신사 API입니다. 무음 네트워크 또는 SIM 기반 인증을 사용하므로 입력할 코드가 없습니다.

### SIM Swap API는 어떻게 작동하나요?

전화번호를 전송하면 /check 작업이 maxAge(1~2,400시간, 기본값 240)로 설정한 기간 동안 true 또는 false를 응답합니다. /retrieve-date은 마지막 SIM 변경 시의 타임스탬프를 반환하며, 변경 사항이 없는 경우 활성화 날짜를 반환합니다.

### 중동의 어떤 통신사가 이러한 API를 제공하나요?

2026년 9월 26일 기준, 공식 소스를 통해 확인할 수 있는 출시 국가는 카타르입니다. Ooredoo Qatar와 Vodafone Qatar는 2025년 11월 26일에 SIM Swap 및 Number Verification을 출시했습니다. 다른 국가의 통신사를 이용하기 전에는 반드시 해당 통신사에 확인하시기 바랍니다.

### Number Verify가 SMS OTP를 대체할 수 있나요?

사용자의 통신사가 이를 지원하고 연결이 허용되는 경우에만 가능합니다. 지원되는 곳에서는 이를 우선적으로 사용하고, 그 외의 모든 경우에는 SMS 또는 WhatsApp OTP를 대체 발송으로 유지하세요.

### 번호 인증이 Wi-Fi 환경에서도 작동하나요?

표준 흐름에서는 기기가 모바일 네트워크에 연결되어 있어야 합니다. CAMARA 정의에 따르면, 앱이 기기에서 GSMA TS.43 임시 토큰을 사용하는 경우 Wi-Fi를 포함한 모든 연결에서 작동합니다.

### 매번 OTP 인증을 하기 전에 SIM Swap을 확인해야 하나요?

아니요. 비밀번호 재설정, 신규 수취인 등록, 번호 변경 및 고액 송금과 같은 고위험 작업 시에 사용하세요. 이미 알고 있는 기기에서의 일상적인 로그인 시에는 추가 확인이 결정에 영향을 미치는 경우가 거의 없습니다.

### 통신사가 SIM Swap 날짜를 공유할 수 없는 경우에는 어떻게 되나요?

null을 반환할 수 있으며, 선택적으로 일(days) 단위의 monitoredPeriod가 포함될 수 있습니다. 이 경우 모니터링 기간 내에 SIM Swap이 발생하지 않은 것으로 간주하고, 자체 리스크 규칙을 적용하세요.

### SIM Swap API 비용은 얼마인가요?

요금은 각 통신사 또는 해당 채널 파트너에 의해 책정됩니다. 저희가 확인한 공식 소스에는 API에 대한 중동 지역 요금이 게시되어 있지 않습니다.

## 출처

- Ooredoo Qatar, [카타르 이동통신사, GSMA Open Gateway 이니셔티브를 통해 안티 사기 API 출시](https://www.ooredoo.qa/web/en/press-release/qatar-mobile-operators-launch-anti-fraud-apis-through-gsma-open-gateway-initiative/), 2025년 11월 26일, 2026년 9월 26일 접속.
- CAMARA, [Number Verification API 정의, r3.2 버전](https://github.com/camaraproject/NumberVerification/blob/r3.2/code/API_definitions/number-verification.yaml), 2026년 9월 26일 접속.
- CAMARA, [SIM Swap API 정의, r3.3 버전](https://github.com/camaraproject/SimSwap/blob/r3.3/code/API_definitions/sim-swap.yaml), 2026년 9월 26일 접속.
- CAMARA 프로젝트 페이지, [Number Verification](https://camaraproject.org/number-verification/) 및 [SIM Swap](https://camaraproject.org/sim-swap/), 2026년 9월 26일 접속.
- GSMA, [GSMA Open Gateway](https://www.gsma.com/solutions-and-impact/gsma-open-gateway/), 2026년 9월 26일 접속.