umber Verification اور SIM Swap نیٹ ورک APIs ہیں، جنہیں GSMA Open Gateway اقدام کے تحت CAMARA پروجیکٹ کے ذریعے معیاری بنایا گیا ہے، جو کسی بینک یا ایپ کو موبائل آپریٹر سے دو چیزیں پوچھنے کی اجازت دیتے ہیں: کیا یہ فون نمبر واقعی صارف کے ڈیوائس میں موجود نمبر ہے، اور کیا اس کی SIM حال ہی میں تبدیل ہوئی ہے؟ 26 ستمبر 2026 تک، ہم ایک سرکاری ذریعے سے مشرق وسطیٰ میں صرف قطر کے لانچ کی تصدیق کر سکے ہیں، جہاں Ooredoo Qatar اور Vodafone Qatar نے 26 نومبر 2025 کو دونوں APIs لانچ کیے تھے۔ BroadNet، جو OTP ٹریفک فراہم کرتا ہے اور پورے خطے میں آپریٹر نیٹ ورکس کی حفاظت کرتا ہے، وضاحت کرتا ہے کہ APIs کیسے کام کرتے ہیں اور انہیں SMS OTP کے ساتھ کیسے جوڑا جائے۔
اہم نکات
- Number Verification، بغیر کسی SMS کوڈ کے، اس بات کی تصدیق کرتا ہے کہ صارف نے جو نمبر ٹائپ کیا ہے وہ اس ڈیوائس کے نمبر سے مطابقت رکھتا ہے جو وہ استعمال کر رہا ہے۔ یہ true یا false فراہم کرتا ہے۔
- SIM Swap آپ کو بتاتا ہے کہ آیا کسی نمبر کے پیچھے موجود SIM آپ کے منتخب کردہ دورانیے (1 سے 2,400 گھنٹے، ڈیفالٹ 240) کے اندر تبدیل ہوا ہے یا آخری تبدیلی کی تاریخ فراہم کرتا ہے۔
- قطر مشرق وسطیٰ میں تصدیق شدہ لانچ ہے: Ooredoo Qatar اور Vodafone Qatar نے دونوں APIs کا اعلان 26 نومبر 2025 کو MWC Doha میں کیا۔
- ہم کسی بھی سرکاری ذریعے سے متحدہ عرب امارات، سعودی عرب، کویت، بحرین، عمان، اردن یا مصر میں کمرشل لانچ کی تصدیق نہیں کر سکے۔ ان کے گرد ڈیزائن بنانے سے پہلے آپریٹر سے رابطہ کریں۔
- Number Verification ہر جگہ SMS OTP کا نعم البدل نہیں ہے: اس کے لیے آپریٹر کی سپورٹ اور اس کے معیاری بہاؤ (flow) میں موبائل ڈیٹا کنکشن کی ضرورت ہوتی ہے۔ اسے پہلے وہاں استعمال کریں جہاں یہ کام کرتا ہے اور پھر OTP پر منتقل ہو جائیں۔
- اعلیٰ خطرے والے اقدامات کے لیے سب سے مضبوط طریقہ یہ ہے کہ OTP بھیجنے سے پہلے SIM Swap کو کال کریں، اور اگر SIM حال ہی میں تبدیل ہوا ہو تو OTP کو مسترد کر دیں۔
GSMA Open Gateway اور CAMARA کیا ہیں؟
GSMA، Open Gateway کو "موبائل آپریٹر نیٹ ورکس تک رسائی کو آسان بنانے والے عام نیٹ ورک APIs کا ایک عالمی فریم ورک" قرار دیتا ہے (GSMA Open Gateway)۔ API کی تعریفیں خود CAMARA سے آتی ہیں، جسے Ooredoo Qatar کے اعلان میں "Linux Foundation کا ایک اوپن سورس پروجیکٹ اور GSMA Open Gateway اقدام کا ایک بنیادی حصہ" قرار دیا گیا ہے۔ چونکہ ہر شریک آپریٹر ایک ہی تعریف پر عمل درآمد کرتا ہے، اس لیے ایک ڈویلپر ایک ہی انٹیگریشن لکھ سکتا ہے اور اسے ان نیٹ ورکس پر دوبارہ استعمال کر سکتا ہے جو اس کی حمایت کرتے ہیں۔
اسی اعلان (نومبر 2025) کے مطابق، یہ اقدام دنیا بھر میں 80 سے زیادہ موبائل آپریٹر گروپس، 292 نیٹ ورکس اور 80% سے زیادہ موبائل کنکشنز کا احاطہ کرتا ہے۔ رکنیت کا مطلب کسی مخصوص ملک میں لائیو API ہونا نہیں ہے، یہی وجہ ہے کہ نیچے دی گئی دستیابی کی ٹیبل میں صرف تصدیق شدہ لانچز درج ہیں۔ مزید معلومات کے لیے، GSMA Open Gateway پر ہمارا جواب دیکھیں۔
Number Verification API کیا کرتا ہے؟
CAMARA کی تعریف (ورژن 2.1.0، ریلیز r3.2) میں، Number Verification "اس موبائل فون نمبر کی تصدیق کرتا ہے یا اسے حاصل کرتا ہے جو اس وقت نیٹ ورک آپریٹر کی جانب سے اینڈ یوزر کے ڈیوائس میں SIM کو مختص کیا گیا ہے"۔ اس کے دو اینڈ پوائنٹس ہیں:
- /verify صارف کے دیے گئے فون نمبر (خواہ وہ سادہ ہو یا ہیش شدہ) کا اس نمبر سے موازنہ کرتا ہے جو ڈیوائس کے ساتھ منسلک ہے، اور true یا false میں جواب دیتا ہے۔
- /device-phone-number وہ فون نمبر واپس کرتا ہے جسے آپریٹر ڈیوائس میں موجود SIM کے ساتھ منسلک کرتا ہے۔
یہ سائلنٹ آتھنٹیکیشن (silent authentication) کے ذریعے کام کرتا ہے، جو نیٹ ورک پر مبنی یا SIM پر مبنی ہو سکتا ہے، "بغیر صارف کی مداخلت کے": یعنی کوئی کوڈ وصول کرنے، پڑھنے یا ٹائپ کرنے کی ضرورت نہیں ہوتی۔ دونوں اینڈ پوائنٹس کو اس صارف کے لیے حاصل کردہ تھری لیگڈ ایکسیس ٹوکن (three-legged access token) کی ضرورت ہوتی ہے۔ اسٹینڈرڈ فلو (OpenID Connect authorization code with prompt=none) میں، ڈیوائس کا موبائل نیٹ ورک سے منسلک ہونا ضروری ہے۔ اگر آپ کی ایپ کے پاس ڈیوائس سے GSMA TS.43 عارضی ٹوکن ہے، تو تعریف کے مطابق API کسی بھی کنکشن پر کام کرتا ہے، بشمول Wi-Fi۔ مزید تفصیل کے لیے، سائلنٹ نیٹ ورک آتھنٹیکیشن پر ہمارا جواب پڑھیں۔
SIM Swap API کیسے کام کرتا ہے؟
CAMARA SIM Swap کی تعریف (ورژن 2.1.0، ریلیز r3.3) آپ کو دو اہم آپریشنز فراہم کرتی ہے:
| آپریشن | آپ بھیجتے ہیں | آپ کو واپس ملتا ہے | اسے تب استعمال کریں جب |
|---|---|---|---|
| POST /check | فون نمبر اور گھنٹوں میں maxAge (1 سے 2,400؛ ڈیفالٹ 240) | swapped: اس مدت کے لیے true یا false | کسی بھی پرخطر عمل سے پہلے آپ کو ہاں/نا میں فیصلے کی ضرورت ہوتی ہے |
| POST /retrieve-date | فون نمبر | latestSimChange: آخری SIM swap کا ٹائم اسٹیمپ، یا اگر کوئی تبدیلی نہ ہوئی ہو تو ایکٹیویشن کی تاریخ | آپ اس بنیاد پر رسک (خطرہ) کا اسکور کرتے ہیں کہ تبدیلی کتنی حالیہ تھی |
پروڈکشن میں دو تفصیلات اہم ہوتی ہیں۔ اگر مقامی ریگولیشن یا آپریٹر کی پالیسی SIM کی ہسٹری کو کافی عرصے تک محفوظ رکھنے سے روکتی ہے، تو آپریٹر تاریخ کے لیے null واپس کر سکتا ہے، اور اختیاری طور پر ایک monitoredPeriod بھی فراہم کر سکتا ہے جو یہ بتاتا ہے کہ وہ کتنے دنوں کا احاطہ کرتا ہے؛ اسے "مانیٹر کی گئی مدت کے اندر کوئی سویپ نہیں ہوا" کے طور پر لیں، نہ کہ "کبھی سویپ نہیں ہوا" کے طور پر۔ اور اگر آپ آپریٹر کی پالیسی کی اجازت سے زیادہ maxAge کے لیے درخواست کرتے ہیں، تو 400 OUT_OF_RANGE ایرر کی توقع رکھیں۔ SIM سویپ اکاؤنٹ ہائی جیک کرنے کا ایک عام روٹ ہے: فراڈ کرنے والا متاثرہ شخص کا نمبر ایک نئے SIM پر منتقل کر دیتا ہے اور ان کے کوڈز وصول کر لیتا ہے۔ SIM سویپ فراڈ پر ہمارا جواب اس حملے کی وضاحت کرتا ہے۔
مشرق وسطیٰ میں Number Verification اور SIM Swap کہاں دستیاب ہیں؟
یہ ٹیبل 26 ستمبر 2026 تک صرف ان لانچز کی فہرست دیتا ہے جن کی ہم نے کسی آپریٹر یا GSMA ذریعے سے تصدیق کی ہے۔
| ملک | آپریٹرز | APIs | اعلان کیا گیا | ذریعہ |
|---|---|---|---|---|
| قطر | Ooredoo Qatar، Vodafone Qatar | SIM Swap، نمبر تصدیق (CAMARA) | 26 نومبر 2025، MWC Doha | Ooredoo Qatar پریس ریلیز |
قطری آپریٹرز نے کہا ہے کہ وہ 2026 میں مزید شناخت اور فراڈ سے بچاؤ کے APIs شامل کرنے کا منصوبہ رکھتے ہیں۔ متحدہ عرب امارات، سعودی عرب، کویت، بحرین، عمان، اردن اور مصر کے لیے، ہمیں کسی بھی سرکاری آپریٹر یا GSMA پیج پر ان دو APIs کے تجارتی آغاز کا کوئی سراغ نہیں ملا جسے ہم کھول سکیں۔ خطے کے کچھ آپریٹرز نے Open Gateway میں شمولیت اختیار کی ہے، لیکن شامل ہونا تجارتی طور پر API پیش کرنے کے برابر نہیں ہے۔ اس پر کام شروع کرنے سے پہلے، موجودہ صورتحال جاننے کے لیے آپریٹر یا اپنے میسجنگ فراہم کنندہ سے رابطہ کریں۔ قطر کے میسجنگ قوانین کے لیے، ہمارا قطر کے SMS قوانین کا صفحہ اور قطر کوریج کا صفحہ دیکھیں۔
کیا Number Verify، SMS OTP کی جگہ لے سکتا ہے؟
صرف اپنے طور پر نہیں، اور ابھی خطے کے زیادہ تر حصوں میں بھی نہیں۔ ہر طریقہ مختلف چیز کو ثابت کرتا ہے اور مختلف طریقوں سے ناکام ہو سکتا ہے۔
| SMS OTP | نمبر کی تصدیق | SIM سویپ چیک | |
|---|---|---|---|
| یہ کیا ثابت کرتا ہے | صارف اس نمبر پر میسج وصول کر سکتا ہے | استعمال شدہ ڈیوائس کے پاس اس نمبر کے لیے SIM موجود ہے | کیا اس نمبر سے منسلک SIM حال ہی میں تبدیل ہوئی ہے |
| صارف کی کوشش | کوڈ پڑھیں اور ٹائپ کریں (یا خود بخود بھریں) | کوئی نہیں | کوئی نہیں |
| آپریٹر API کی سپورٹ کی ضرورت ہے | نہیں؛ کسی بھی نیٹ ورک پر کام کرتا ہے | جی ہاں | جی ہاں |
| کنکشن | سگنل والا کوئی بھی فون | معیاری فلو میں موبائل ڈیٹا؛ TS.43 ٹوکن کے ساتھ کوئی بھی کنکشن | ڈیوائس پر کچھ نہیں؛ یہ سرور ٹو سرور چیک ہے |
| کمزور پہلو | SIM سویپ کے بعد کوڈز کو انٹرسیپٹ کیا جا سکتا ہے یا فشنگ کے ذریعے حاصل کیے جا سکتے ہیں | جہاں آپریٹر نے اسے لانچ نہیں کیا وہاں دستیاب نہیں ہے | یہ بذات خود صارف کی تصدیق نہیں کرتا |
| بہترین کردار | یونیورسل فال بیک اور دوسرا فیکٹر | جہاں دستیاب ہو وہاں پہلی ترجیح | کسی بھی اعلیٰ خطرے والے عمل پر OTP سے پہلے رسک سگنل |
عملی ڈیزائن ایک سلسلہ وار طریقہ کار ہے: جہاں صارف کا آپریٹر اس کی اجازت دیتا ہو وہاں نمبر کی تصدیق (Number Verification) آزمائیں، ہر دوسری جگہ SMS یا WhatsApp OTP پر فال بیک کریں، اور اعلیٰ خطرے والے عمل کے لیے OTP سے پہلے SIM Swap چیک لگائیں۔ silent network authentication اور silent network authentication vs SMS OTP پر ہماری پوسٹس پہلے مرحلے کے بارے میں مزید تفصیل فراہم کرتی ہیں۔
آپ کو OTP بھیجنے سے پہلے SIM Swap چیک کب کرنا چاہیے؟
کسی بھی ایسے عمل سے پہلے جہاں چوری شدہ نمبر سے کسی فراڈ کرنے والے کو رقم یا کنٹرول حاصل ہو سکتا ہو۔ ایک سادہ فیصلہ سازی کا طریقہ کار:
- عمل کی درجہ بندی کریں۔ کم خطرہ: کسی معلوم ڈیوائس پر معمول کا لاگ ان۔ زیادہ خطرہ: پاس ورڈ ری سیٹ، نیا وصول کنندہ (payee)، فون نمبر یا ای میل کی تبدیلی، بڑی رقم کی منتقلی، نئی ڈیوائس پر پہلی بار لاگ ان۔
- اعلیٰ خطرے والے عمل کے لیے جہاں آپریٹر اس کی اجازت دیتا ہو، اپنی رسک پالیسی کے مطابق ایک مختصر maxAge کے ساتھ POST /check کال کریں (مثال کے طور پر 24 یا 72 گھنٹے)۔
- اگر swapped true ہے، تو اس نمبر پر OTP نہ بھیجیں۔ اگلے اقدامات: رجسٹرڈ ڈیوائس پر ان ایپ کنفرمیشن، کال بیک، یا برانچ یا ویڈیو چیک۔
- اگر swapped false ہے، تو OTP کو معمول کے مطابق SMS یا WhatsApp کے ذریعے بھیجیں، جس میں چینلز کے درمیان خودکار فال بیک (fallback) شامل ہے۔
- اگر اس مارکیٹ میں API دستیاب نہیں ہے، یا null واپس کرتا ہے، تو اپنے موجودہ رولز کے ساتھ نمبر انٹیلی جنس کا استعمال کریں جیسے کہ HLR لک اپ یا فون ریپوٹیشن اسکور۔
- چیک کے نتیجے کو ٹرانزیکشن کے ساتھ لاگ کریں، تاکہ فراڈ تجزیہ کار دیکھ سکیں کہ OTP کیوں بھیجا گیا یا کیوں نہیں بھیجا گیا۔
ایک OTP اس بات کا ثبوت ہے کہ کوئی شخص کسی نمبر پر پیغامات وصول کر سکتا ہے۔ ایک SIM Swap چیک آپ کو بتاتا ہے کہ آیا وہ شخص اب بھی ممکنہ طور پر وہی کسٹمر ہے۔ زیادہ خطرے والے اقدامات کے لیے آپ کو دونوں جوابات درکار ہوں گے۔
بینک SIM Swap کو OTP کے ساتھ کیسے استعمال کرتے ہیں؟
| ایونٹ | نیٹ ورک چیک | اگر چیک سے کوئی خطرہ (flag) ظاہر ہو | بصورت دیگر |
|---|---|---|---|
| پاس ورڈ ری سیٹ | ری سیٹ OTP بھیجنے سے پہلے SIM Swap /check کریں | OTP کو بلاک کریں؛ ایپ کے اندر یا برانچ میں تصدیق لازمی کریں | OTP بھیجیں |
| نیا بینیفشری یا بڑی منتقلی | SIM Swap /check کریں، مختصر maxAge رکھیں | جائزہ کے لیے ٹرانزیکشن کو روک کر رکھیں | ٹرانزیکشن OTP بھیجیں |
| نئے کسٹمر کی آن بورڈنگ | نمبر کی تصدیق /verify | SMS OTP پر فال بیک کریں | OTP مرحلہ چھوڑ دیں |
| رجسٹرڈ فون نمبر کی تبدیلی | پرانے نمبر پر SIM Swap /retrieve-date | دستی جائزہ | پرانے اور نئے دونوں نمبروں پر تصدیق کریں |
BroadNet OTP پلیٹ فارم اس فلو میں کوڈز کو SMS، WhatsApp اور وائس کے ذریعے فراہم کرتا ہے جس میں ان کے درمیان فال بیک کی سہولت موجود ہے، اور MyOTP اسے ایک تیار تصدیقی پروڈکٹ کے طور پر پیک کرتا ہے۔
اس کی قیمت کیا ہے؟
قیمتیں ہر آپریٹر یا اس کے چینل پارٹنرز کے ذریعے طے کی جاتی ہیں اور تجارتی طور پر طے شدہ ہوتی ہیں۔ ہم نے جن سرکاری یا مستند ذرائع کو چیک کیا ہے ان میں سے کوئی بھی API کے لیے مشرق وسطیٰ کی قیمتوں کی فہرست شائع نہیں کرتا، اس لیے ہم کوئی قیمت فراہم نہیں کرتے۔ جب آپ اخراجات کا موازنہ کریں، تو اس بات کو بھی شامل کریں کہ یہ چیک کتنی بچت کرتا ہے اور اس کی قیمت کیا ہے: پاس ورڈ ری سیٹ OTP سے پہلے ایک SIM Swap چیک کرنے کا مطلب ایک اضافی API کال ہے، جبکہ اکاؤنٹ ٹیک اوور (account takeover) کو روکنا اس سے کہیں زیادہ قیمتی ہے۔
آپریٹرز کے لیے نیٹ ورک APIs کا کیا مطلب ہے؟
آپریٹرز کے لیے، نمبر کی تصدیق اور SIM Swap اس ڈیٹا کو جو نیٹ ورک پہلے سے رکھتا ہے، بینکوں اور ایپس کے لیے ایک بامعاوضہ اور رضامندی پر مبنی سروس میں بدل دیتے ہیں، اور وہی فراڈ ٹیمیں جو یہ خدمات خریدتی ہیں وہ A2P میسجنگ بھی خریدتی ہیں۔ BroadNet 2003 سے آپریٹرز کے ساتھ کام کر رہا ہے، جس میں 60 سے زیادہ آپریٹر فائر وال تعینات کیے گئے ہیں؛ ہمارے آپریٹر سلوشنز اور SMS فائر وال اس میسجنگ ریونیو کی حفاظت کرتے ہیں جس کے ساتھ یہ APIs منسلک ہیں۔
اکثر پوچھے جانے والے سوالات
CAMARA Number Verification API کیا ہے؟
ایک معیاری آپریٹر API جو اس بات کی تصدیق کرتا ہے کہ صارف کا دیا گیا فون نمبر اس کے استعمال شدہ ڈیوائس کے نمبر سے مطابقت رکھتا ہے یا نہیں، اور true یا false کا نتیجہ دیتا ہے، یا ڈیوائس کا نمبر واپس کرتا ہے۔ یہ silent network یا SIM پر مبنی تصدیق استعمال کرتا ہے، اس لیے کوئی کوڈ ٹائپ کرنے کی ضرورت نہیں ہوتی۔
SIM Swap API کیسے کام کرتا ہے؟
آپ ایک فون نمبر بھیجتے ہیں۔ /check آپریشن ایک ایسے دورانیے کے لیے true یا false کا جواب دیتا ہے جو آپ maxAge (1 سے 2,400 گھنٹے، ڈیفالٹ 240) کے ذریعے سیٹ کرتے ہیں؛ /retrieve-date آخری SIM تبدیلی کا ٹائم اسٹیمپ، یا اگر کوئی تبدیلی نہ ہوئی ہو تو ایکٹیویشن کی تاریخ واپس کرتا ہے۔
مشرق وسطیٰ کے کون سے آپریٹرز یہ APIs فراہم کرتے ہیں؟
26 ستمبر 2026 کی تاریخ تک، ایک سرکاری ذریعے سے ہم جس لانچ کی تصدیق کر سکتے ہیں وہ قطر ہے: Ooredoo Qatar اور Vodafone Qatar نے 26 نومبر 2025 کو SIM Swap اور Number Verification لانچ کیا تھا۔ ان پر بھروسہ کرنے سے پہلے دوسرے ممالک کے آپریٹرز سے رابطہ کریں۔
کیا Number Verify، SMS OTP کی جگہ لے سکتا ہے؟
صرف وہاں جہاں صارف کا آپریٹر اس کی حمایت کرتا ہو اور کنکشن اس کی اجازت دیتا ہو۔ جہاں یہ دستیاب ہو وہاں اسے پہلے استعمال کریں اور باقی تمام جگہوں پر SMS یا WhatsApp OTP کو بطور متبادل (fallback) استعمال کریں۔
کیا نمبر کی تصدیق Wi-Fi پر کام کرتی ہے؟
معیاری عمل میں، ڈیوائس کا موبائل نیٹ ورک سے منسلک ہونا ضروری ہے۔ CAMARA کی تعریف کے مطابق، جب ایپ ڈیوائس سے GSMA TS.43 عارضی ٹوکن استعمال کرتی ہے، تو یہ Wi-Fi سمیت کسی بھی کنکشن پر کام کرتی ہے۔
کیا مجھے ہر OTP سے پہلے SIM Swap چیک کرنا چاہیے؟
نہیں۔ اسے ہائی رسک والے اقدامات جیسے پاس ورڈ ری سیٹ، نئے وصول کنندگان، نمبر کی تبدیلی اور بڑی منتقلیوں سے پہلے استعمال کریں۔ کسی معلوم ڈیوائس پر معمول کے لاگ ان کے لیے، اضافی چیک سے فیصلے میں تبدیلی آنے کے امکانات بہت کم ہوتے ہیں۔
اگر آپریٹر SIM Swap کی تاریخ شیئر نہ کر سکے تو کیا ہوگا؟
یہ null واپس کر سکتا ہے، جس میں اختیاری طور پر دنوں میں monitoredPeriod ہو سکتا ہے۔ اسے اس طرح سمجھیں کہ مانیٹر شدہ مدت کے دوران کوئی SIM Swap نہیں ہوا، اور اپنے رسک رولز پر واپس جائیں۔
SIM Swap API کی قیمت کیا ہے؟
قیمتیں ہر آپریٹر یا اس کے چینل پارٹنرز کے ذریعے مقرر کی جاتی ہیں۔ ہم نے جن سرکاری ذرائع کو چیک کیا ہے، وہ API میں سے کسی کے لیے بھی مشرق وسطیٰ کی قیمتیں شائع نہیں کرتے ہیں۔
ذرائع
- Ooredoo Qatar، قطری موبائل آپریٹرز نے GSMA Open Gateway اقدام کے ذریعے اینٹی فراڈ APIs لانچ کر دیے ہیں، 26 نومبر 2025، رسائی 26 ستمبر 2026۔
- CAMARA، Number Verification API کی تعریف، ریلیز r3.2، رسائی 26 ستمبر 2026۔
- CAMARA، SIM Swap API کی تعریف، ریلیز r3.3، رسائی 26 ستمبر 2026۔
- CAMARA پروجیکٹ صفحات، Number Verification اور SIM Swap، رسائی 26 ستمبر 2026۔
- GSMA، GSMA Open Gateway، رسائی 26 ستمبر 2026۔