umber Verification e SIM Swap são APIs de rede, padronizados pelo projeto CAMARA sob a iniciativa Open Gateway GSMA, que permitem que um banco ou aplicação pergunte duas coisas à operadora móvel: este número de telefone é realmente o que está no dispositivo do utilizador, e o seu SIM mudou recentemente? A partir de 26 de setembro de 2026, o único lançamento no Médio Oriente que pudemos confirmar numa fonte oficial é o Catar, onde Ooredoo Qatar e Vodafone Qatar lançaram ambos os APIs em 26 de novembro de 2025. A BroadNet, que entrega tráfego de OTP e protege as redes das operadoras em toda a região, explica como os APIs funcionam e como combiná-los com SMS OTP.
Principais conclusões
- Number Verification confirma, sem um código SMS, que o número que um utilizador digitou corresponde ao número do dispositivo que ele está a usar. Ele devolve verdadeiro ou falso.
- SIM Swap informa se o SIM por trás de um número mudou dentro de um período que você escolher (1 a 2.400 horas, padrão 240) ou devolve a data da última alteração.
- O Catar é o lançamento confirmado no Médio Oriente: Ooredoo Qatar e Vodafone Qatar, ambos APIs, anunciaram 26 de novembro de 2025 na MWC Doha.
- Não pudemos confirmar lançamentos comerciais nos Emirados Árabes Unidos, Arábia Saudita, Kuwait, Bahrein, Omã, Jordânia ou Egito numa fonte oficial. Verifique com a operadora antes de projetar algo baseado neles.
- Number Verification não substitui o SMS OTP em todos os lugares: ele precisa de suporte da operadora e, no seu fluxo padrão, de uma conexão de dados móveis. Use-o primeiro onde funciona e utilize o OTP como alternativa.
- O padrão mais forte para ações de alto risco é chamar SIM Swap antes de enviar um OTP, e recusar o OTP se o SIM mudou recentemente.
O que são GSMA Open Gateway e CAMARA?
O GSMA descreve Open Gateway como "uma estrutura global de APIs de rede comuns que simplifica o acesso às redes das operadoras móveis" (GSMA Open Gateway). As próprias definições de API vêm da CAMARA, que o anúncio da Ooredoo Qatar descreve como "um projeto de código aberto da Linux Foundation e uma parte fundamental da iniciativa GSMA Open Gateway". Como cada operadora participante implementa a mesma definição, um desenvolvedor pode escrever uma integração e reutilizá-la em redes que a suportem.
De acordo com o mesmo anúncio (novembro de 2025), a iniciativa abrange mais de 80 grupos de operadoras móveis, 292 redes e mais de 80% das conexões móveis em todo o mundo. A adesão não é o mesmo que um API ativo num determinado país, razão pela qual a tabela de disponibilidade abaixo lista apenas lançamentos confirmados. Para informações de contexto, veja a nossa resposta sobre GSMA Open Gateway.
O que o Number Verification API faz?
Na definição CAMARA (versão 2.1.0, release r3.2), Number Verification verifica ou recupera "o número de telemóvel que é atualmente alocado pelo operador de rede ao SIM no dispositivo do utilizador final". Possui dois endpoints:
- /verify compara o número de telefone que o utilizador forneceu a você, em texto simples ou hash, com o número associado ao dispositivo, e responde verdadeiro ou falso.
- /device-phone-number devolve o número de telefone que o operador associa ao SIM no dispositivo.
Funciona por meio de autenticação silenciosa, baseada em rede ou baseada em SIM, "sem exigir interação do utilizador": sem código para receber, ler ou digitar. Ambos os endpoints precisam de um token de acesso de três pernas obtido para aquele utilizador. No fluxo padrão (código de autorização OpenID Connect com prompt=none), o dispositivo deve estar conectado à rede móvel. Se a sua aplicação possui um GSMA TS.43 token temporário do dispositivo, a definição diz que o API funciona em qualquer conexão, incluindo Wi-Fi. Para uma explicação mais detalhada, leia a nossa resposta sobre autenticação de rede silenciosa.
Como funciona o API SIM Swap?
A definição SIM Swap CAMARA (versão 2.1.0, release r3.3) oferece duas operações principais:
| Operação | Você envia | Você recebe de volta | Use quando |
|---|---|---|---|
| POST /check | Número de telefone e maxAge em horas (1 a 2.400; padrão 240) | swapped: verdadeiro ou falso para aquele período | Você precisa de uma decisão yes/no antes de uma ação de risco |
| POST /retrieve-date | Número de telefone | latestSimChange: registo de data/hora da última troca de SIM, ou a data de ativação se não houve nenhuma | Você pontua o risco com base na proximidade da mudança |
Dois detalhes são importantes em produção. Se a regulamentação local ou a política do operador impedir o armazenamento do histórico de SIM por tempo suficiente, o operador pode devolver null para a data, opcionalmente com um monitoredPeriod dizendo quantos dias ele cobre; trate isso como "sem troca dentro do período monitorizado", não como "nunca trocou". E se você solicitar um maxAge além do que a política do operador permite, espere um erro 400 OUT_OF_RANGE. A troca de SIM é uma rota comum para a invasão de conta: o fraudador move o número da vítima para um novo SIM e recebe os seus códigos. A nossa resposta sobre fraude de troca de SIM explica o ataque.
Onde Number Verification e SIM Swap estão ativos no Médio Oriente?
Esta tabela lista apenas lançamentos que pudemos confirmar num operador ou fonte GSMA, até 26 de setembro de 2026.
| País | Operadores | APIs | Anunciado | Fonte |
|---|---|---|---|---|
| Catar | Ooredoo Qatar, Vodafone Qatar | SIM Swap, Number Verification (CAMARA) | 26 de novembro de 2025, MWC Doha | comunicado de imprensa de Ooredoo Qatar |
Os operadores cataris disseram que planeiam adicionar mais APIs de identidade e prevenção de fraude em 2026. Para os Emirados Árabes Unidos, Arábia Saudita, Kuwait, Bahrein, Omã, Jordânia e Egito, não encontramos nenhum lançamento comercial desses dois APIs numa página oficial de operador ou GSMA que pudéssemos abrir. Alguns operadores na região aderiram à Open Gateway, mas aderir não é o mesmo que oferecer um API comercialmente. Pergunte ao operador, ou ao seu fornecedor de mensagens, sobre o status atual antes de construir sobre isso. Para as regras de mensagens do Catar, consulte nossa página de regulamentações do Catar e página de cobertura do Catar.
O Number Verify pode substituir o SMS OTP?
Não por si só, e ainda não na maior parte da região. Cada método prova algo diferente e falha de uma maneira diferente.
| SMS OTP | Number Verification | Verificação SIM Swap | |
|---|---|---|---|
| O que isso comprova | O utilizador pode receber uma mensagem naquele número | O dispositivo em uso possui o SIM para aquele número | Se o SIM por trás do número mudou recentemente |
| Esforço do utilizador | Ler e digitar um código (ou preenchimento automático) | Nenhum | Nenhum |
| Requer suporte de API da operadora | Não; funciona em qualquer rede | Sim | Sim |
| Conexão | Qualquer telefone com sinal | Dados móveis no fluxo padrão; qualquer conexão com um token TS.43 | Nenhum no dispositivo; é uma verificação de servidor para servidor |
| Ponto fraco | Códigos podem ser intercetados após uma troca SIM ou via phishing | Indisponível onde a operadora não o lançou | Não autentica o utilizador por si só |
| Melhor função | Fallback universal e segundo fator | Primeira escolha onde disponível | Sinal de risco antes de qualquer OTP numa ação de alto risco |
O design prático é uma cascata: tente Number Verification onde o operador do utilizador suportar, utilize o fallback para SMS ou WhatsApp OTP em todos os outros lugares, e coloque uma verificação de SIM Swap antes do OTP para ações de alto risco. Os nossos posts sobre autenticação de rede silenciosa e autenticação de rede silenciosa vs SMS OTP aprofundam o primeiro passo.
Quando você deve chamar SIM Swap antes de enviar um OTP?
Antes de qualquer ação onde um número roubado daria dinheiro ou controlo a um fraudador. Um fluxo de decisão simples:
- Classifique a ação. Baixo risco: login de rotina num dispositivo conhecido. Alto risco: redefinição de palavra-passe, novo beneficiário, alteração de número de telefone ou e-mail, transferência de grande valor, primeiro login num novo dispositivo.
- Para ações de alto risco onde o operador suportar, chame POST /check com um maxAge curto que se ajuste à sua política de risco (por exemplo, 24 ou 72 horas).
- Se swapped for verdadeiro, não envie o OTP para aquele número. Aumente o nível: confirmação na aplicação no dispositivo registado, uma chamada de retorno ou uma verificação em agência ou por vídeo.
- Se swapped for falso, envie o OTP como de costume via SMS ou WhatsApp, com fallback automático entre os canais.
- Se o API não estiver disponível naquele mercado, ou devolver null, utilize o fallback para as suas regras existentes mais inteligência de número, como uma busca de HLR ou uma pontuação de reputação de telefone.
- Registe o resultado da verificação com a transação, para que os analistas de fraude possam ver porque um OTP foi ou não enviado.
Um OTP prova que alguém pode receber mensagens num número. Uma verificação de SIM Swap informa se é provável que essa pessoa ainda seja o cliente. Para ações de alto risco, você deseja ambas as respostas.
Como os bancos combinam SIM Swap com OTP?
| Evento | Verificação de rede | Se a verificação levantar um alerta | Caso contrário |
|---|---|---|---|
| Redefinição de palavra-passe | SIM Swap /check antes de enviar o OTP de redefinição | Bloquear o OTP; exigir confirmação na aplicação ou na agência | Enviar o OTP |
| Novo beneficiário ou transferência de grande valor | SIM Swap /check, maxAge curto | Reter a transação para revisão | Enviar o OTP da transação |
| Onboarding de um novo cliente | Number Verification /verify | Recorrer a SMS OTP | Pular a etapa OTP |
| Alteração de número de telefone registado | SIM Swap /retrieve-date no número antigo | Revisão manual | Confirmar em ambos os números, antigo e novo |
A plataforma BroadNet OTP entrega os códigos neste fluxo via SMS, WhatsApp e voz com fallback entre eles, e o MyOTP o empacota como um produto de verificação pronto.
Quanto custa?
O preço é definido por cada operadora ou os seus parceiros de canal e é acordado comercialmente. Nenhuma das fontes oficiais que verificamos publica uma tabela de preços do Médio Oriente para API, portanto, não fornecemos uma. Ao comparar custos, conte o que a verificação economiza, bem como o que ela custa: uma verificação SIM Swap antes de um OTP de redefinição de palavra-passe é uma chamada API extra, e um takeover de conta evitado vale muito mais.
O que os API de rede significam para as operadoras?
Para as operadoras, Number Verification e SIM Swap transformam os dados que a rede já possui num serviço pago e baseado em consentimento para bancos e aplicações, e as mesmas equipas de fraude que os compram também compram mensagens A2P. A BroadNet trabalha com operadoras desde 2003, com mais de 60 implantações de firewall de operadora; nossas soluções para operadoras e o firewall SMS protegem a receita de mensagens que fica ao lado desses APIs.
Perguntas frequentes
O que é o CAMARA Number Verification API?
Um API de operadora padrão que confirma se o número de telefone que um utilizador forneceu corresponde ao número do dispositivo que ele está a usar, devolvendo verdadeiro ou falso, ou devolve o número do dispositivo. Ele utiliza rede silenciosa ou autenticação baseada em SIM, portanto não há código para digitar.
Como funciona o SIM Swap API?
Você envia um número de telefone. A operação /check responde verdadeiro ou falso por um período que você define com maxAge (1 a 2.400 horas, padrão 240); /retrieve-date devolve o registo de data/hora da última alteração de SIM, ou a data de ativação se não houver nenhuma.
Quais operadoras do Médio Oriente oferecem esses APIs?
A partir de 26 de setembro de 2026, o lançamento que pudemos confirmar numa fonte oficial é o Catar: Ooredoo Qatar e Vodafone Qatar lançaram SIM Swap e Number Verification em 26 de novembro de 2025. Verifique com operadoras em outros países antes de confiar nelas.
O Number Verify pode substituir o SMS OTP?
Apenas onde a operadora do utilizador suporta e a conexão permite. Use-o primeiro onde estiver disponível e mantenha o SMS ou WhatsApp OTP como fallback em todos os outros lugares.
O Number Verification funciona em Wi-Fi?
No fluxo padrão, o dispositivo deve estar conectado à rede móvel. A definição de CAMARA diz que funciona em qualquer conexão, incluindo Wi-Fi, quando a aplicação usa um token temporário GSMA TS.43 do dispositivo.
Eu deveria verificar SIM Swap antes de cada OTP?
Não. Use-o antes de ações de alto risco, como redefinições de palavra-passe, novos beneficiários, alterações de número e transferências de grandes valores. Para logins de rotina num dispositivo conhecido, a verificação extra raramente altera a decisão.
O que acontece se o operador não puder partilhar a data de troca do SIM?
Pode devolver null, opcionalmente com um monitoredPeriod em dias. Trate isso como nenhuma troca dentro do período monitorizado e recorra às suas próprias regras de risco.
Quanto custa o API SIM Swap?
Os preços são definidos por cada operador ou os seus parceiros de canal. As fontes oficiais que consultamos não publicam preços do Médio Oriente para nenhum dos API.
Fontes
- Ooredoo Qatar, operadoras móveis do Catar lançam APIs antifraude por meio de iniciativa Open Gateway GSMA, 26 de novembro de 2025, acedido em 26 de setembro de 2026.
- CAMARA, definição de API Number Verification, versão r3.2, acedido em 26 de setembro de 2026.
- CAMARA, definição de API SIM Swap, versão r3.3, acedido em 26 de setembro de 2026.
- páginas do projeto CAMARA, Number Verification e SIM Swap, acedido em 26 de setembro de 2026.
- GSMA, Open Gateway GSMA, acedido em 26 de setembro de 2026.