您客户的号码被他人盗用，您的验证码允许他们登录。以下是如何阻止这种情况发生。

周五晚上，一位顾客的手机信号突然消失。他们以为是网络问题，就去睡觉了。

到了早上，有人重置了密码，用新手机登录，添加了收款人，并清空了账户。每一步都需要输入一次性验证码。每个验证码都发送到了客户注册的手机号码，而且每个验证码都输入正确。

您的日志显示一切正常。号码正确，密码也正确，但人不对。一夜之间，这个号码被转移到了另一个账户。 SIM 别人手中的牌。

这就是手机验证令人不安的真相。一个由手机发送的验证码 SMS 证明有人持有 SIM 目前来看，这从未证明过那个人是谁。

这需要花费你多少钱？

• 资金方面，收购会耗尽一个通过诚信注册流程的账户，因此账户余额存在实际限制，可供挪用的资金也有限。

• 争论的焦点在于：客户声称从未批准过任何事项，而记录显示正确的代码来自正确的号码。双方说法都属实，因此最终的解决权在你手中。

• 信任。顾客没有做错任何事。他们没有分享任何信息。 PIN 或者点击链接。告诉他们系统运行正常，他们不会接受这种解释。

数字如何易手

有两种常见途径，这两种途径都不需要顾客犯错。

SIM 交换。替换一个 SIM 这是很正常的现象：手机会丢失、被盗或损坏。 GSMA 将这种滥用行为描述为诈骗者通过要求提供以下信息 来操纵运营商的客户服务流程： （在新标签页中打开）SIM 替换或号码端口，以便 SMS 款项会发送到他们拥有的设备上。在其2019年移动支付行业指南 （在新标签页中打开）中， GSMA 指出，成功的互换可以让诈骗者收到金融服务提供商发送给受害者的身份验证消息、电话和一次性密码。

监管机构已收紧了相关流程。在尼日利亚，通信委员会的 SIM 更换政策 （在新标签页中打开）要求订户出示 NIN 并要求 NIN 待核实 NIMC 这提高了门槛，但并不能消除风险，因为控制权掌握在运营商及其代理人手中，而不是在你手中。

号码循环使用。号码并非终身拥有。根据尼日利亚通信委员会《服务质量业务规则》（2024年8月） （在新标签页中打开），如果线路连续六个月没有产生任何收入，则可能被停用；如果这种情况持续六个月，用户可能会失去该号码。委员会的《用户注册业务规则》（2025年7月） （在新标签页中打开）规定，如果账户连续365天没有产生任何收入，则该账户将被归类为不活跃账户 。NIN 号码已解除绑定，线路已注销。之后，该号码可以分配给新的用户。

因此，即使客户曾外出旅行、更换运营商或停止充值，其旧号码仍可能保留在您的记录中。今天接听该号码的人是陌生人，您的密码重置服务会向他们发送验证码。本文参考了尼日利亚的相关规定。不同国家/地区的期限和流程有所不同，请查阅您所在国家/地区的监管机构规定。

电话区号能证明什么，又不能证明什么

它证明了三件有用的事情：

• 该号码存在且可以接收短信。

• 此刻，正在使用您应用的人可以阅读这些消息。

• 您即将保存的联系方式并非笔误或虚构。

这并不能证明：

• 这是注册该号码的人，或者是您在注册时验证过的人。

• 那 SIM 就是收到你上次验证码的那个。

• 这段代码没有被大声读给来电者听，也没有被输入到虚假页面中。

这并非边缘观点。美国标准机构 NISTSP 800-63B-4 （在新标签页中打开） 将通过电话网络发送的一次性验证码归类为受限身份验证器（第 3.1.3.3 节）。它指出，验证者应考虑设备更换等风险指标。 SIM 在发送之前更改或转移号码，并且声明带外身份验证不具备防网络钓鱼能力。 NIST 的规则约束的是美国联邦系统，而不是你的企业，但这种逻辑同样适用。

但这并不意味着你应该停止发送验证码。而是意味着你应该停止将正确的验证码视为身份证明。

搭配什么

• 对造成伤害的行为进行面部核查。对于“这是同一个人吗？”这个问题，你已经掌握了最有力的答案：那就是你在注册时验证过的面孔。对于重置密码、更换设备、添加新的受益人或大额付款，请要求对方提供一张实时自拍照，并与注册时验证过的面孔进行比对。 SIM 一张脸可以在一个下午内易手，但一张脸却不能。

• 设备和行为信号。例如，在密码重置几分钟后，从一部你从未见过的手机上，在新的地点输入的验证码，与在客户常用手机上输入的相同验证码是不同的事件。我们关于设备和 IP 信号能告诉你什么以及不能告诉你什么的文章涵盖了这些限制。

• 不要直接屏蔽，而是主动联系他们。大多数新用户只是刚买了新手机而已，不要轻易将他们拒之门外。只有当风险真正存在时，才要求他们提供更多证明，正如我们在“主动联系以阻止账户被盗用”一文中所述。

• 谨慎处理旧号码。如果账户已数月未使用，则存档的号码可能已不再属于您的客户。切勿让该号码自动解锁账户。

什么 Toden 它能做什么，以及它不能做什么

我们宁愿做到精确而不是追求惊艳，所以这里列出了每件物品的局限性。

• 电话验证。 Toden 通过以下方式发送一次性代码 SMS 并在工作流内部或通过服务器进行检查 API 验证码有效期为五分钟，每小时最多只能向一个号码发送五个验证码。每次验证还会报告号码所在国家/地区、号码是否有效以及线路类型（例如……）。mobile，fixed_line或者voip）和virtual仅对已知的 VoIP 范围为真。

• 数字重用。在工作流程中，phone.matchedVerifications统计贵公司内部有多少其他验证也证实了相同的号码。这是一个弱信号。家庭成员共用手机。

• 人脸重新认证。现成的流程会拍摄一张活体自拍照，并将其与客户存储的生物特征模板或您提供的参考照片进行匹配。您为指定客户创建一个会话，并通过 Webhook 接收结果。

• 设备智能。在工作流程中默认启用。它会报告共享和已恢复的设备、模拟器、已root的手机以及重复尝试等发现结果，您可以设置批准、审核或拒绝每一项。

• 账户活动。发送登录信息、密码重置、新增受益人或设备变更请求至 Toden 's 活动端点及其答案allow，review或者block从设备获取信息，包括 IP 地址、位置和历史记录。请参阅发送事件以获取实时风险评分。

极限。

• Toden 手机信号不会显示运营商名称，也不会告诉你是否是…… SIM 号码最近被更换或重新分配了。如果您需要这项服务，则必须通过移动运营商或与其关联的服务商提供。

• 审核结果不会自动启动人脸识别验证。您的应用会决定如何处理审核结果，是否创建重新验证会话也由您决定。

• 这些管控措施降低了被收购的可能性，但并不能完全杜绝收购，也不能取代您自身进行调查和报告的职责。

向任何服务提供者提出的问题

• 你们说的“手机已验证”具体验证了什么，而且验证结果能持续多久？

• 你能告诉我是否 SIM 或者这个号码最近易手了？如果不是，你会直接说明吗？

• 我可以要求在重置密码或购买新设备时进行人脸识别，与注册时使用的人脸进行比对吗？

• 请告诉我线路类型，以便我区别对待虚拟号码？

• 我可以对有风险的登录行为提出质疑，而不是封禁所有购买新手机的客户吗？

本文仅提供一般性指导，并非针对您具体情况的法律建议。身份验证规则如下： SIM 注册和欺诈责任因国家/地区而异，因此请向贵公司负责合规的人员核实。

想要每段代码都有第二重证明？打开一个 Toden 工作区 （在新标签页中打开）或阅读相关内容 Toden 防范欺诈的方法。