umber Verification и SIM Swap являются сетевыми API, стандартизированными проектом CAMARA в рамках инициативы GSMA Open Gateway, которые позволяют банку или приложению запросить у мобильного оператора две вещи: действительно ли этот номер телефона соответствует номеру в устройстве пользователя, и менялся ли его SIM недавно? По состоянию на 26 сентября 2026 года, единственным подтвержденным запуском на Ближнем Востоке из официальных источников является Катар, где Ooredoo Qatar и Vodafone Qatar запустили оба API 26 ноября 2025 года. BroadNet, которая обеспечивает трафик OTP и защищает сети операторов по всему региону, объясняет, как работают API и как сочетать их с SMS OTP.
Основные выводы
- Number Verification подтверждает без кода SMS, что номер, введенный пользователем, совпадает с номером устройства, которое он использует. Он возвращает true или false.
- SIM Swap сообщает вам, менялся ли SIM за номером в течение выбранного вами периода (от 1 до 2400 часов, по умолчанию 240), или возвращает дату последнего изменения.
- Катар является подтвержденным запуском на Ближнем Востоке: Ooredoo Qatar и Vodafone Qatar запустили оба API, о чём объявили 26 ноября 2025 года на MWC Doha.
- Мы не смогли подтвердить коммерческие запуски в ОАЭ, Саудовской Аравии, Кувейте, Бахрейне, Омане, Иордании или Египте из официальных источников. Проконсультируйтесь с оператором, прежде чем проектировать решения на их основе.
- Number Verification не заменяет SMS OTP повсеместно: ему требуется поддержка оператора и, в стандартном потоке, мобильное интернет-соединение. Используйте его сначала там, где он работает, и переходите к OTP в качестве резервного варианта.
- Самая надежная модель для действий с высоким риском — это вызов SIM Swap перед отправкой OTP и отказ в OTP, если SIM недавно изменился.
Что такое GSMA Open Gateway и CAMARA?
GSMA описывает Open Gateway как "глобальную структуру общих сетевых API, которая упрощает доступ к сетям мобильных операторов" (GSMA Open Gateway). Сами определения API взяты из CAMARA, которую в объявлении Ooredoo Qatar описывают как "проект с открытым исходным кодом от Linux Foundation и фундаментальную часть инициативы GSMA Open Gateway". Поскольку каждый участвующий оператор внедряет одно и то же определение, разработчик может написать одну интеграцию и повторно использовать ее в сетях, которые ее поддерживают.
Согласно тому же объявлению (ноябрь 2025 года), инициатива охватывает более 80 групп мобильных операторов, 292 сети и более 80% мобильных соединений во всем мире. Членство не тождественно наличию действующего API в конкретной стране, поэтому в приведенной ниже таблице доступности указаны только подтвержденные запуски. Для получения дополнительной информации см. наш ответ на GSMA Open Gateway.
Что делает Number Verification API?
В определении CAMARA (версия 2.1.0, релиз r3.2) Number Verification проверяет или извлекает "номер мобильного телефона, который в данный момент выделен оператором сети SIM-карте в устройстве конечного пользователя". Оно имеет две конечные точки:
- /verify сравнивает номер телефона, который предоставил вам пользователь, в открытом или хешированном виде, с номером, связанным с устройством, и отвечает true или false.
- /device-phone-number возвращает номер телефона, который оператор связывает с SIM в устройстве.
Это работает через скрытую аутентификацию, на базе сети или SIM, "не требуя взаимодействия с пользователем": не нужно получать, читать или вводить код. Обе конечные точки требуют трехсторонний токен доступа, полученный для этого пользователя. В стандартном потоке (код авторизации OpenID Connect с prompt=none) устройство должно быть подключено к мобильной сети. Если ваше приложение имеет GSMA TS.43 временный токен от устройства, определение гласит, что API работает через любое соединение, включая Wi-Fi. Для более подробного объяснения прочитайте наш ответ о скрытой сетевой аутентификации.
Как работает SIM Swap API?
Определение CAMARA SIM Swap (версия 2.1.0, релиз r3.3) предоставляет вам две основные операции:
| Операция | Вы отправляете | Вы получаете взамен | Используйте это, когда |
|---|---|---|---|
| POST /check | Номер телефона и maxAge в часах (от 1 до 2,400; по умолчанию 240) | swapped: true или false для этого периода | Вам необходимо принять решение yes/no перед совершением рискованного действия |
| POST /retrieve-date | Номер телефона | latestSimChange: временная метка последнего обмена SIM или дата активации, если обмена не было | Риск оценивается на основе того, насколько недавним было изменение |
В промышленной эксплуатации важны две детали. Если местное законодательство или политика оператора препятствует хранению истории SIM в течение достаточного времени, оператор может вернуть null для даты, опционально с monitoredPeriod, указывающим, сколько дней оно охватывает; рассматривайте это как "обмена в течение отслеживаемого периода не было", а не как "обмена никогда не было". И если вы запрашиваете maxAge сверх того, что позволяет политика оператора, ожидайте ошибку 400 OUT_OF_RANGE. Обмен SIM является распространенным способом захвата аккаунта: мошенник переносит номер жертвы на новый SIM и получает ее коды. Наш ответ о мошенничестве с обменом SIM объясняет суть атаки.
Где на Ближнем Востоке работают Number Verification и SIM Swap?
В этой таблице перечислены только запуски, которые мы смогли подтвердить у оператора или из источника GSMA по состоянию на 26 сентября 2026 года.
| Страна | Операторы | API | Объявлено | Источник |
|---|---|---|---|---|
| Катар | Ooredoo Qatar, Vodafone Qatar | SIM Swap, Number Verification (CAMARA) | 26 ноября 2025 г., MWC Doha | пресс-релиз Ooredoo Qatar |
Катарские операторы заявили, что планируют внедрить дополнительные API для идентификации и предотвращения мошенничества в 2026 году. Для ОАЭ, Саудовской Аравии, Кувейта, Бахрейна, Омана, Иордании и Египта мы не обнаружили коммерческого запуска этих двух API на официальных страницах операторов или GSMA, которые нам удалось открыть. Некоторые операторы в регионе присоединились к Open Gateway, но присоединение не означает коммерческое предложение API. Прежде чем строить решения на их основе, уточните текущий статус у оператора или вашего провайдера сообщений. Правила обмена сообщениями в Катаре см. на нашей странице правил Катара и странице покрытия Катара.
Может ли Number Verify заменить SMS OTP?
Не самостоятельно, и пока ещё не в большей части региона. Каждый метод доказывает что-то свое и дает сбой по-разному.
| SMS OTP | Number Verification | Проверка SIM Swap | |
|---|---|---|---|
| Что это доказывает | Пользователь может получать сообщения на этот номер | Используемое устройство владеет SIM для этого номера | Изменялся ли SIM за этим номером недавно |
| Усилия пользователя | Прочитать и ввести код (или автозаполнение) | Отсутствуют | Отсутствуют |
| Требуется поддержка API оператора | Нет; работает в любой сети | Да | Да |
| Соединение | Любой телефон с сигналом | Мобильные данные в стандартном потоке; любое соединение с TS.43 токеном | Отсутствует на устройстве; это проверка server-to-server |
| Слабое место | Коды могут быть перехвачены после SIM обмена или фишинга | Недоступно там, где оператор его не запустил | Само по себе не аутентифицирует пользователя |
| Лучшая роль | Универсальный резервный вариант и второй фактор | Первый выбор при наличии возможности | Сигнал риска перед любым OTP при совершении высокорискованного действия |
Практическая реализация представляет собой каскад: попробуйте Number Verification там, где оператор пользователя это поддерживает, переключитесь на SMS или WhatsApp OTP во всех остальных случаях и добавьте проверку SIM Swap перед OTP для высокорискованных действий. Наши статьи о бесшумной аутентификации в сети и бесшумной аутентификации в сети против SMS OTP более подробно рассматривают первый шаг.
Когда вам следует вызывать SIM Swap перед отправкой OTP?
Перед любым действием, при котором украденный номер позволит мошеннику получить деньги или контроль. Простая схема принятия решений:
- Классифицируйте действие. Низкий риск: обычный вход с известного устройства. Высокий риск: сброс пароля, новый получатель платежа, изменение номера телефона или адреса электронной почты, крупный перевод, первый вход с нового устройства.
- Для высокорискованных действий, где оператор это поддерживает, вызывайте POST /check с коротким maxAge, который соответствует вашей политике рисков (например, 24 или 72 часа).
- Если swapped истинно, не отправляйте OTP на этот номер. Усиление защиты: подтверждение в приложении на зарегистрированном устройстве, обратный звонок или проверка в отделении или по видеосвязи.
- Если swapped ложно, отправляйте OTP как обычно через SMS или WhatsApp с автоматическим переключением между каналами.
- Если API недоступен на этом рынке или возвращает null, переключитесь на ваши существующие правила плюс интеллектуальный анализ номеров, такой как поиск HLR или оценка репутации телефона.
- Логируйте результат проверки вместе с транзакцией, чтобы аналитики по борьбе с мошенничеством могли видеть, почему OTP был или не был отправлен.
OTP доказывает, что кто-то может получать сообщения на номер. Проверка SIM Swap сообщает вам, является ли этот кто-то, скорее всего, все еще клиентом. Для высокорискованных действий вам нужны оба ответа.
Как банки комбинируют SIM Swap с OTP?
| Событие | Проверка сети | Если проверка выявляет флаг | В противном случае |
|---|---|---|---|
| Сброс пароля | SIM Swap /check перед отправкой OTP | Заблокировать OTP; требуется подтверждение в приложении или в отделении | Отправить OTP |
| Новый бенефициар или крупный перевод | SIM Swap /check, короткий maxAge | Приостановить транзакцию для проверки | Отправить транзакцию OTP |
| Онбординг нового клиента | Number Verification /verify | Переход на SMS OTP | Пропустить шаг OTP |
| Смена зарегистрированного номера телефона | SIM Swap /retrieve-date на старом номере | Ручная проверка | Подтверждение на обоих номерах, старом и новом |
Платформа BroadNet OTP доставляет коды в этом потоке через SMS, WhatsApp и голос с возможностью перехода между ними, а MyOTP упаковывает это в готовый продукт для верификации.
Сколько это стоит?
Цены устанавливаются каждым оператором или его канальными партнерами и согласовываются в коммерческом порядке. Ни один из проверенных нами официальных источников не публикует прайс-лист для Ближнего Востока ни для API, поэтому мы его не приводим. При сравнении затрат учитывайте не только стоимость, но и то, что экономит проверка: SIM Swap проверка перед OTP сброса пароля — это один дополнительный API вызов, а предотвращенный захват аккаунта стоит гораздо больше.
Что означают сетевые API для операторов?
Для операторов Number Verification и SIM Swap превращают данные, которыми уже владеет сеть, в платную услугу на основе согласия для банков и приложений, и те же команды по борьбе с мошенничеством, которые покупают их, также покупают сообщения A2P. BroadNet работает с операторами с 2003 года, имея более 60 развертываний межсетевых экранов операторов; наши решения для операторов и межсетевой экран SMS защищают доход от обмена сообщениями, рядом с которым находятся эти API.
Часто задаваемые вопросы
Что такое CAMARA Number Verification API?
Стандартный API оператора, который подтверждает, совпадает ли номер телефона, предоставленный пользователем, с номером используемого им устройства, возвращая true или false, либо возвращает номер устройства. Он использует скрытую сеть или аутентификацию на базе SIM, поэтому вводить код не нужно.
Как работает SIM Swap API?
Вы отправляете номер телефона. Операция /check отвечает true или false на период, который вы устанавливаете с помощью maxAge (от 1 до 2400 часов, по умолчанию 240); /retrieve-date возвращает временную метку последнего изменения SIM или дату активации, если изменений не было.
Какие операторы Ближнего Востока предлагают эти API?
По состоянию на 26 сентября 2026 года, запуск, который мы смогли подтвердить в официальном источнике, состоялся в Катаре: Ooredoo Qatar и Vodafone Qatar запустили SIM Swap и Number Verification 26 ноября 2025 года. Перед тем как полагаться на них, уточняйте информацию у операторов в других странах.
Может ли Number Verify заменить SMS OTP?
Только там, где оператор пользователя поддерживает это и соединение позволяет это. Используйте его в первую очередь там, где это доступно, и сохраняйте SMS или WhatsApp OTP в качестве резервного варианта во всех остальных случаях.
Работает ли Number Verification через Wi-Fi?
В стандартном потоке устройство должно быть подключено к мобильной сети. Определение CAMARA гласит, что он работает через любое соединение, включая Wi-Fi, когда приложение использует временный GSMA TS.43 токен устройства.
Следует ли мне проверять SIM Swap перед каждым OTP?
Нет. Используйте его перед действиями с высоким риском, такими как сброс пароля, добавление новых получателей платежей, изменение номера и крупные переводы. При рутинных входах в систему с известного устройства дополнительная проверка редко меняет решение.
Что произойдет, если оператор не сможет сообщить дату смены SIM?
Она может вернуть null, опционально с monitoredPeriod в днях. Рассматривайте это как отсутствие смены в течение контролируемого периода и возвращайтесь к своим собственным правилам риска.
Сколько стоит API SIM Swap?
Цены устанавливаются каждым оператором или его партнерами по каналам сбыта. Официальные источники, которые мы проверяли, не публикуют цены на Ближнем Востоке ни для одного из API.
Источники
- Ooredoo Qatar, Мобильные операторы Катара запускают антифрод-API через инициативу GSMA Open Gateway, 26 ноября 2025 г., доступ от 26 сентября 2026 г.
- CAMARA, Определение Number Verification API, релиз r3.2, доступ от 26 сентября 2026 г.
- CAMARA, Определение SIM Swap API, релиз r3.3, доступ от 26 сентября 2026 г.
- Страницы проекта CAMARA, Number Verification и SIM Swap, доступ от 26 сентября 2026 г.
- GSMA, GSMA Open Gateway, доступ от 26 сентября 2026 г.