O número do seu cliente foi transferido para outro número, e o seu código OTP permitiu o acesso. Veja como impedir isso.

O telefone de um cliente perde o sinal numa sexta-feira à noite. Ele presume que o problema seja da rede e vai dormir.

Pela manhã, alguém já havia redefinido sua senha, acessado a conta por um novo telefone, adicionado um beneficiário e esvaziado o saldo. Cada etapa exigia um código único. Todos os códigos foram enviados para o número cadastrado do cliente e todos foram inseridos corretamente.

Seus registros não mostram nada de errado. O número estava correto. O código estava correto. A pessoa, não. Durante a noite, o número foi transferido para um SIM carta na mão de outra pessoa.

Essa é a verdade incômoda sobre a verificação por telefone. Um código enviado por SMS prova que alguém detém o SIM Neste momento. Nunca foi comprovado quem é essa pessoa.

Quanto isso te custa?

• O dinheiro. Uma aquisição ilegal drena uma conta que passou pelo processo de integração de forma honesta, portanto, existe um saldo real e limites reais para saque.

• A discussão. Seu cliente afirma que nunca aprovou nada. Seus registros indicam que o código correto veio do número correto. Ambas as afirmações são verdadeiras, e cabe a você resolver a questão.

• A confiança. O cliente não fez nada de errado. Eles não compartilharam uma PIN Ou clique em um link. Dizer que o sistema funcionou conforme o esperado não é uma resposta que eles aceitarão.

Como um número muda de mãos

Existem dois caminhos comuns, e nenhum deles exige que o cliente cometa um erro.

SIM Trocar. Substituir um SIM É um serviço normal: celulares são perdidos, roubados e danificados. GSMA descreve o abuso como sendo de um fraudador que manipula o processo de atendimento ao cliente da operadora (abre num novo separador) , solicitando um SIM substituição ou uma porta numérica, para que SMS chega em um dispositivo que eles possuem. Em seu guia de 2019 para o setor de dinheiro móvel (abre num novo separador) , o GSMA Observa-se que uma troca bem-sucedida permite ao fraudador receber as mensagens de autenticação, chamadas e senhas de uso único que um provedor financeiro envia à vítima.

Os órgãos reguladores tornaram o processo mais rigoroso. Na Nigéria, a Comissão de Comunicações SIM A política de substituição (abre num novo separador) exige que o assinante apresente um NIN e exige que NIN a ser verificado por NIMC Isso eleva o padrão. Não elimina o risco, porque o controle está com a operadora e seus agentes, não com você.

Números reciclados. Os números não são vitalícios. De acordo com as Regras de Qualidade de Serviço da Comissão de Comunicações da Nigéria (agosto de 2024) , uma linha pode ser desativada após seis meses sem um evento gerador de receita, e o assinante pode perder o número se isso continuar por mais seis meses. (abre num novo separador)As regras de registro de assinantes (abre num novo separador) da Comissão (julho de 2025) classificam uma conta como inativa após 365 dias consecutivos sem tal evento, momento em que... NIN é desvinculada e a linha é desativada. O número pode então ser atribuído a um novo assinante.

Portanto, um cliente que viajou, mudou de operadora ou simplesmente parou de fazer recargas pode ainda ter o número antigo em seus registros. A pessoa que atender hoje é um desconhecido, e sua redefinição de senha enviará um código por SMS para ela. Consultamos as normas nigerianas para este artigo. Os prazos e processos variam de país para país, então verifique as regulamentações do seu órgão regulador.

O que um código telefônico comprova e o que ele não comprova.

Isso comprova três coisas úteis:

• O número existe e pode receber mensagens.

• A pessoa que está usando o aplicativo pode ler essas mensagens neste momento.

• Os dados de contato que você está prestes a armazenar não são um erro de digitação nem uma invenção.

Isso não prova:

• Essa é a pessoa que registrou o número ou a pessoa que você verificou durante o cadastro.

• Que o SIM É a mesma que recebeu seu último código.

• O código não foi lido em voz alta para quem ligou nem digitado em uma página falsa.

Essa não é uma opinião marginal. O órgão de padrões dos EUA NIST A publicação SP 800-63B-4 (abre num novo separador) classifica os códigos de uso único enviados pela rede telefônica como um autenticador restrito (seção 3.1.3.3). Ela afirma que um verificador deve considerar indicadores de risco, como a troca de dispositivo, etc. SIM A alteração ou portabilidade do número antes do envio é necessária, e o texto afirma que a autenticação fora de banda não é resistente a phishing. NIST As regras do governo federal vinculam os sistemas dos EUA, não o seu negócio, mas o raciocínio é válido.

Nada disso significa que você deva parar de enviar códigos. Significa que você deve parar de considerar um código correto como prova de identidade.

Com o que combinar?

• Uma verificação facial para as ações que causam danos. Você já tem a resposta mais forte para "é a mesma pessoa?": o rosto que você verificou no cadastro. Para redefinir uma senha, solicitar um novo dispositivo, adicionar um novo beneficiário ou receber um pagamento grande, peça uma selfie ao vivo e compare com esse rosto. SIM Pode mudar de mãos em uma tarde. Um rosto, não.

• Sinais de dispositivo e comportamento. Um código inserido de um telefone que você nunca viu, em um local novo, minutos após uma redefinição de senha, é um evento diferente do mesmo código inserido no telefone habitual do cliente. Nosso artigo sobre o que os sinais de dispositivo e IP podem e não podem revelar aborda essas limitações.

• Em vez de bloquear, tome medidas. A maioria das pessoas que usam um celular novo são simplesmente pessoas com um celular novo. Não as bloqueie. Peça mais provas apenas quando o risco for real, como descrevemos em " Como tomar medidas para impedir a apropriação de contas" .

• Trate números antigos com cuidado. Se uma conta estiver inativa por meses, o número registrado pode não pertencer mais ao cliente. Não permita que ele desbloqueie a conta automaticamente.

O que Toden faz, e o que não faz

Preferimos a precisão à impressionação, por isso aqui está cada item com seu limite.

• Verificação por telefone. Toden envia um código único por SMS e verifica isso, dentro de um fluxo de trabalho ou por meio de um servidor. API Os códigos duram cinco minutos e não mais do que cinco podem ser enviados para um mesmo número por hora. Cada verificação também informa o país do número, se ele é válido e o tipo de linha (como, por exemplo,mobile,fixed_lineouvoip) e umvirtualSinalizador que é verdadeiro apenas para um intervalo VoIP conhecido.

• Reutilização de números. Em um fluxo de trabalho,phone.matchedVerificationsConta quantas outras verificações em sua organização comprovaram o mesmo número. É um sinal indireto. Famílias compartilham telefones.

• Reautenticação facial. Um fluxo de trabalho pronto para uso tira uma selfie de verificação de presença e a compara com o modelo biométrico armazenado do cliente ou com uma foto de referência fornecida por você. Você cria uma sessão para um cliente específico e recebe o resultado em um webhook.

• Inteligência de Dispositivos. Ativada por padrão nos fluxos de trabalho. Ela gera relatórios com informações como dispositivos compartilhados e recuperados, emuladores, telefones com root e tentativas repetidas, cada uma das quais você pode configurar para aprovar, revisar ou rejeitar.

• Atividade da conta. Envie um pedido de login, redefinição de senha, novo beneficiário ou alteração de dispositivo para Toden o ponto final de atividade de e ele respondeallow,reviewoublockA partir do dispositivo, endereço IP, localização e histórico que ele contém. Consulte a seção sobre envio de eventos para avaliação de risco em tempo real .

Os limites.

• Toden Os sinais de celular não identificam a operadora e não informam se um SIM O número foi trocado ou reatribuído recentemente. Se precisar dessa informação, ela deve vir de uma operadora de celular ou de um serviço vinculado a uma.

• Uma decisão de revisão não inicia uma verificação facial para você. Seu aplicativo decide o que fazer com ela, e a criação da sessão de reautenticação é uma decisão sua.

• Esses controles reduzem as chances de uma aquisição hostil. Eles não a tornam impossível, e não substituem sua própria obrigação de investigar e denunciar.

Perguntas a fazer a qualquer prestador de serviços

• Quando você diz "telefone verificado", o que exatamente foi comprovado e por quanto tempo isso é válido?

• Você pode me dizer se o SIM Ou o número mudou de mãos recentemente? Se não, você pode dizer isso claramente?

• Posso solicitar uma verificação facial para redefinir minha senha ou obter um novo dispositivo, comparando-a com o rosto que usei no cadastro?

• Você pode me informar o tipo de linha para que eu possa tratar um número virtual de forma diferente?

• Posso contestar um login arriscado em vez de bloquear todos os clientes que compram um novo telefone?

Este artigo fornece orientações gerais e não constitui aconselhamento jurídico para a sua situação específica. As regras de autenticação, SIM O registro e a responsabilidade por fraudes variam de país para país, portanto, verifique-os com o responsável pela área de compliance em sua empresa.

Quer uma segunda prova para cada código? Abra um Toden espaço de trabalho (abre num novo separador) ou leia como Toden abordagens de prevenção de fraudes .