OTP الصوتي والمكالمة الخاطفة: متى تتحقق عبر الصوت؟

هذا الدليل موجّه لمديري المنتجات والمهندسين وفرق مكافحة الاحتيال الذين يتحققون من أرقام الهواتف أو يرسلون رموز تحقق لمرة واحدة (OTP) ويريدون معرفة موقع الصوت في هذه المعادلة. ويشرح كيف يعمل OTP الصوتي والمكالمة الخاطفة، ومتى يتفوقان على SMS وWhatsApp، وكيف تحميهما من الاحتيال، وكيف تبني ترتيبًا للقنوات البديلة يوازن بين نسبة إتمام التحقق والتكلفة والمخاطر.

ما OTP الصوتي وكيف يعمل؟

OTP الصوتي رمز تحقق لمرة واحدة يُسلَّم عبر مكالمة هاتفية آلية: تتصل المنصة بالمستخدم ويقرأ صوت تحويل النص إلى كلام (TTS) الرمز بصوت مسموع. ويصل إلى أي رقم يستقبل المكالمات، بما فيها الخطوط الأرضية، ولا يحتاج إلى تطبيق أو اتصال بيانات.

تمر مكالمة OTP الصوتية المعتادة بخمس خطوات:

1. يولّد نظامك الخلفي الرمز، ويخزن قيمة مجزّأة (hash) له مع وقت انتهاء الصلاحية، ويطلب المكالمة عبر مزوّدك.
2. تجري المنصة المكالمة من رقم متصل متفق عليه، ويُفضَّل أن يكون معروفًا وثابتًا لعلامتك التجارية في كل دولة.
3. عند الرد، تُشغَّل تحية قصيرة، مثل «معك Hala Pay برمز التحقق الخاص بك».
4. يُقرأ الرمز رقمًا رقمًا مع وقفة بين الأرقام، ويُكرَّر مرة واحدة على الأقل.
5. يُعرض على المستخدم خيار الإعادة، مثل «اضغط 1 لسماع الرمز مرة أخرى»، ثم تنتهي المكالمة. وتُعاد نتيجة المكالمة (تم الرد، مشغول، لا رد، فشل، المدة) إلى أنظمتك.

كيف يُقرأ الرمز بصوت مسموع؟

اقرأ كل رقم على حدة وببطء. فـ «أربعة، سبعة، واحد، تسعة، صفر، اثنان» أسهل كثيرًا في التدوين من «أربعمئة وواحد وسبعون ألفًا وتسعمئة واثنان». وتقبل معظم محركات TTS لغة ترميز تركيب الكلام (SSML)، وهي معيار W3C الذي يتيح لك تحديد النص كأحرف منفردة، وإدراج وقفات، والتحكم في سرعة الكلام. استخدمها بدل الاعتماد على التفسير الافتراضي للمحرك للأرقام.

ممارسات جيدة للنص المنطوق:

• اجعل التحية أقل من بضع ثوانٍ. ينتظر المستخدم وفي يده قلم أو أمامه لوحة مفاتيح، وكل جملة إضافية تؤخر الرمز.
• انطق الرمز مرتين على الأقل مع وقفة قصيرة بين التكرارين، ثم اعرض زرًا للإعادة.
• جمّع الأرقام فقط إذا كان ذلك يساعد. قراءة ستة أرقام كمجموعتين من ثلاثة («أربعة سبعة واحد ... تسعة صفر اثنان») قد تسهّل حفظها.
• لا تطلب من المستخدم أبدًا نطق الرمز أو إدخاله أثناء المكالمة. مكالمة التحقق تسلّم رمزًا ولا تجمعه أبدًا، وهذا يميّز مسارك عن نصوص الهندسة الاجتماعية.

كيف تختار اللغة، بما فيها العربية؟

اختر اللغة بناءً على أقوى إشارة متاحة لديك، بهذا الترتيب: اللغة التي اختارها المستخدم في تطبيقك، ثم ملف حسابه، ثم رمز الدولة في الرقم. فالرقم السعودي لا يعني أن المستخدم يفضّل العربية، والمقيم في دبي قد يريد الهندية أو الأردية أو التاغالوغية أو الإنجليزية، لذا يتفوق التفضيل المخزّن على التخمين.

في OTP الصوتي بالعربية:

• استخدم صوت TTS مصممًا للعربية، واختبره مع متحدثين أصليين. والعربية الفصحى هي الخيار الافتراضي الأكثر أمانًا لرسالة قصيرة ورسمية كهذه.
• اقرأ الأرقام واحدًا واحدًا. ففي العربية المنطوقة تسبق الآحاد العشرات في كثير من الأعداد، لذا يسهل سماع الرمز خطأً إذا قُرئ كعدد كامل. والأرقام المنفردة تزيل هذا اللبس.
• فكّر في مكالمة ثنائية اللغة في الأسواق ذات التركيبة السكانية المتنوعة: تحية قصيرة ورمز بالعربية، ثم «For English, press 2». وأبقِها قصيرة، فالقائمة ثنائية اللغة تضيف ثواني إلى كل مكالمة.
• حافظ على وضوح اسم العلامة التجارية. إذا كانت علامتك تُكتب عادةً بأحرف لاتينية، فتحقق من طريقة نطق صوت TTS لها بالحروف العربية.

ويتناول دليل مراسلة العملاء بالعربية اختيار اللهجة والتصميم ثنائي اللغة بتعمق أكبر.

كيف يعمل التحقق بالمكالمة الخاطفة؟

يجري التحقق بالمكالمة الخاطفة مكالمة قصيرة جدًا إلى رقم المستخدم ويقطعها قبل الرد. والرمز هو رقم المتصل نفسه، وعادةً أرقامه الأخيرة، فلا يُشغَّل أي صوت ولا يحتاج أحد إلى الرد.

يصل الرمز إلى تطبيقك بطريقتين:

• تلقائيًا: على Android، يستطيع التطبيق الذي يملك صلاحية سجل المكالمات أو حالة الهاتف رصد المكالمة الواردة ومطابقة الرقم دون أي تدخل من المستخدم. وتسري هنا سياسات الصلاحيات في المنصة، وتتجنب تطبيقات كثيرة طلب هذه الصلاحيات.
• يدويًا: يرى المستخدم مكالمة فائتة ويكتب الأرقام الأخيرة في تطبيقك. وهذا يعمل على أي هاتف، بما فيه iPhone الذي لا يسمح للتطبيقات بقراءة سجل المكالمات.

ما حدود المكالمة الخاطفة؟

المكالمة الخاطفة سريعة ولا تعتمد على مسارات SMS، لكن لها قيود حقيقية:

• مواقف المشغّلين متباينة. يرى بعض المشغّلين المكالمات الخاطفة وسيلة للتحقق من المستخدمين دون دفع رسوم A2P SMS. وفي بعض الدول حجبوها، أو فرضوا رسوم إنهاء خاصة، أو اشترطوا استخدام مسارات مخصصة. والسياسات تتغير، لذا تأكد من دعم كل دولة مع مزوّدك وأعد التحقق دوريًا.
• يجب أن يصل رقم المتصل سليمًا. في بعض المسارات الدولية قد يُعدَّل رقم المتصل أو يُستبدل، فيفسد الرمز. والمسارات عالية الجودة التي تنقل رقم المتصل بموثوقية شرط أساسي.
• تربك المستخدم إن لم تُشرح له. فالمكالمة الفائتة من رقم دولي مجهول تشبه احتيال «wangiri» الذي يستدرج الضحية لمعاودة الاتصال. أخبر المستخدم قبل المكالمة بما سيحدث، ولا تطلب منه أبدًا معاودة الاتصال بالرقم.
• تتحقق من حيازة الرقم لا من الهوية. وكأي وسيلة تعتمد على شبكة الهاتف، يُضعفها تبديل الشريحة وتحويل المكالمات.

متى يتفوق الصوت على SMS أو WhatsApp؟

الصوت هو القناة الأفضل عندما لا يصل النص إلى المستخدم أو لا يستطيع قراءته. وفي معظم الحالات الأخرى تكون WhatsApp أو SMS أرخص وأسرع، ولهذا يأتي الصوت عادةً في مرحلة متأخرة من ترتيب القنوات البديلة.

إمكانية الوصول متطلب لا ميزة إضافية

قد يجد المستخدمون ذوو الإعاقة البصرية أو عسر القراءة أو ضعف القراءة الرمز المنطوق أسهل من الإشعار النصي، بينما سيجد ضعاف السمع المكالمة الصوتية أصعب. وتشير NIST SP 800-63B إلى أن الرموز المرسلة صوتيًا قد يصعب على من يعانون مشكلات سمعية فهمها، وتشترط إتاحة بدائل لجميع المشتركين. والحل العملي هو الخيار: اعرض «اتصل بي بدلًا من ذلك» و«أرسل برسالة نصية» جنبًا إلى جنب، واجعل حقل إدخال الرمز صالحًا للاستخدام مع قارئات الشاشة، بما يتوافق مع WCAG 2.2.

ما الحدود الأمنية لـ OTP الصوتي؟

يتشارك OTP الصوتي وOTP عبر SMS نقطة الضعف نفسها: كلاهما يثبت التحكم في رقم هاتف، والأرقام يمكن نقلها أو تبديل شرائحها أو تحويلها. وتصنّف NIST SP 800-63B المصادقة خارج النطاق عبر شبكة الهاتف العامة، بالـ SMS أو بالصوت، كوسيلة مصادقة «مقيّدة». وعلى الجهات التي تستخدمها تقييم المخاطر، وإبلاغ المستخدمين بوضوح، وتوفير بدائل غير مقيّدة. وتذهب ورقة OWASP الإرشادية للمصادقة متعددة العوامل أبعد من ذلك، فتنصح بعدم استخدام SMS والمكالمات الهاتفية في التطبيقات التي تعالج بيانات شخصية حساسة أو تنطوي على مخاطر مالية.

وللصوت نقطة ضعف خاصة: البريد الصوتي. فإذا تحولت مكالمة OTP لم يُرد عليها إلى البريد الصوتي، فقد يُسجَّل الرمز في صندوق بريد محمي برمز PIN ضعيف أو افتراضي. استخدم كشف الرد الآلي (answering-machine detection) لإنهاء المكالمة دون قراءة الرمز عندما يرد جهاز آلي، واعتبر «البريد الصوتي» تسليمًا فاشلًا قد يطلق قناة أخرى.

كيف يسيء المهاجمون استخدام التحقق الصوتي؟

التحقق الصوتي هدف لتضخيم الحركة (traffic pumping)، وتحديدًا لاحتيال تقاسم العائدات الدولية (IRSF). يطلق المهاجم مكالمات تحقق إلى نطاقات أرقام يحصل فيها هو، أو شريك له في سلسلة المكالمة، على حصة من عائدات الإنهاء. وأنت تدفع مقابل كل مكالمة.

كيف يبدو الهجوم عادةً:

• دفعات من الطلبات تطلقها برامج آلية إلى أرقام في وجهات نادرًا ما يأتي منها مستخدموك الحقيقيون.
• أرقام متتابعة أو ذات نمط ضمن النطاق نفسه.
• مكالمات يُرد عليها وتُبقى مفتوحة أطول مدة يسمح بها مسارك، لأن المكالمات الأطول تدرّ أكثر.
• طلبات لا تكتمل بالتحقق أبدًا. فالمهاجم لا يهتم بالرمز.

وتحدد توصية ITU-T E.156 كيف يتعامل الاتحاد الدولي للاتصالات مع البلاغات عن إساءة استخدام موارد الترقيم الدولية، ما يبيّن أن المشكلة معترف بها على مستوى المعايير. لكنها لا تحمي ميزانيتك؛ ضوابطك أنت هي التي تحميها. وتنطبق الأنماط نفسها على SMS، كما يشرح دليل احتيال SMS pumping.

قائمة ضوابط مكافحة الاحتيال في OTP الصوتي

1. ضع قائمة سماح للوجهات. فعّل التحقق الصوتي فقط في الدول التي لديك فيها مستخدمون حقيقيون، وراجع القائمة كل ربع سنة.
2. احجب النطاقات المميزة (premium) وعالية المخاطر. اسأل مزوّدك عن النطاقات المحجوبة افتراضيًا وأضف نطاقاتك.
3. حدّد سقفًا لمدة المكالمة. مكالمة OTP الصوتية تحتاج إلى أقل من دقيقة بكثير. أنهِ المكالمة بعد تكرار الرمز، وضع حدًا أقصى صارمًا.
4. طبّق حدود المعدل على عدة أبعاد: لكل رقم هاتف، ولكل جهاز، ولكل عنوان IP، ولكل حساب، ولكل دولة وجهة، مع سقف إنفاق إجمالي يوقف الصوت مؤقتًا عند تجاوزه.
5. اشترط فشل خطوة سابقة. في مسار القنوات البديلة، لا تعرض الصوت إلا بعد محاولة SMS أو WhatsApp في الجلسة نفسها، ما يرفع تكلفة الهجوم.
6. احمِ الطلب ببوابة. استخدم كشف البرامج الآلية أو اختبارًا تحقيقيًا قبل إرسال أي تحقق، لا قبل الصوت فقط.
7. راقب معدل التحويل. الجلسات التي اكتمل تحققها مقسومة على المكالمات المُجراة، لكل دولة. وانخفاض هذه النسبة في دولة واحدة أبكر مؤشر على التضخيم.
8. اتبع NIST في إعادة المحاولات. تشترط NIST SP 800-63B تحديد معدل المحاولات الفاشلة، وتنص على أن توليد رمز جديد لا يُصفّر عدّاد المحاولات الفاشلة. طبّق المنطق نفسه على إعادة الإرسال: المكالمة الجديدة ليست بداية جديدة.

كيف تصمم تسلسل القنوات البديلة بين WhatsApp وSMS والصوت؟

يجرّب تسلسل القنوات البديلة أرخص قناة مناسبة أولًا، ولا ينتقل إلا عند وجود دليل على فشل المحاولة السابقة. وفي كثير من تطبيقات المستهلكين في الخليج وغيره من الأسواق التي ينتشر فيها WhatsApp، يكون الترتيب العملي WhatsApp ثم SMS ثم الصوت.

خطوات تصميم التسلسل

1. صنّف الرقم أولًا. إذا أفاد فحص الرقم أو بياناتك بأنه خط أرضي، فانتقل مباشرة إلى الصوت. ويشرح دليل HLR lookup ما يمكن أن تكشفه عمليات الفحص.
2. استخدم رمزًا واحدًا طوال الجلسة أو غيّره عن قصد. إما أن تعيد استخدام الرمز نفسه عبر القنوات ضمن فترة صلاحيته، أو تُبطل الرمز القديم عند إرسال رمز جديد. ولا تترك عدة رموز صالحة في الوقت نفسه أبدًا.
3. انطلق من الإشارات لا من المؤقتات وحدها. حالات التسليم، وردود «غير مسجّل في WhatsApp»، وإجراءات المستخدم، محفزات أفضل من تأخير ثابت. واحتفظ بمهلة قصيرة كشبكة أمان.
4. اسمح للمستخدم بالتقدم. بعد عدّ تنازلي قصير، اعرض «أرسل عبر SMS» و«اتصل بي بدلًا من ذلك». فالمستخدمون يعرفون متى لا تصلهم الرسائل.
5. قلّل عدد الخطوات. ثلاث قنوات بمحاولة واحدة لكل منها تكفي عادةً، والمزيد من المحاولات يفيد المهاجمين في الغالب.
6. سجّل كل محاولة بالقناة والحالة والتكلفة والنتيجة، لتقارن نسب الإتمام بحسب الدولة والقناة.
7. التزم بفترة صلاحية صادقة. تشترط NIST SP 800-63B إتمام المصادقة خارج النطاق خلال 10 دقائق، وتستخدم فرق كثيرة فترة أقصر لتسجيل الدخول والمدفوعات.

ماذا ينبغي أن تقول الشاشة والمكالمة؟

النص الجيد يهيئ المستخدم لما سيحدث، وهذا أهم ما يكون في الصوت والمكالمة الخاطفة لأن المكالمة غير المتوقعة تبدو مريبة.

قبل مكالمة OTP الصوتية (على الشاشة): «سنتصل الآن بالرقم ‎+971 5X XXX XX12 ونقرأ لك رمزك المكوّن من 6 أرقام. جهّز ما تكتب به.»

أثناء المكالمة (منطوق): «معك Hala Pay. رمز التحقق الخاص بك هو: 4، 7، 1، 9، 0، 2. أكرر: 4، 7، 1، 9، 0، 2. لن تطلب منك Hala Pay مشاركة هذا الرمز أبدًا. اضغط 1 للإعادة.»

قبل المكالمة الخاطفة (على الشاشة): «سنجري لك مكالمة فائتة سريعة. أدخل آخر 4 أرقام من الرقم الذي يتصل بك. لا تحتاج إلى الرد أو معاودة الاتصال.»

قواعد للنصوص تنطبق على كل اللغات:

• اعرض الرقم مقنّعًا ليتمكن المستخدم من اكتشاف أي خطأ في الكتابة.
• اذكر العلامة التجارية أولًا في النص المنطوق.
• أضف سطر «لا تشارك الرمز أبدًا» بلغة المستخدم.
• قل ما لا ينبغي فعله: لا ترد (في المكالمة الخاطفة)، ولا تعاود الاتصال، ولا تضغط أي زر إلا للإعادة.
• ترجم ترجمة أصيلة لا حرفية، وسجّل النسخة العربية أو اختبرها مع متحدثين أصليين.

كم يكلف التحقق الصوتي؟

يستخدم الصوت والمراسلة نماذج تسعير مختلفة، لذا قارن التكلفة لكل عملية تحقق مكتملة لا لكل محاولة.

يترتب على ذلك ثلاث نقاط عملية: أبقِ المكالمات الصوتية قصيرة لأن المدة هي محرك التكلفة. واستخدم الصوت قناةً بديلة، فلا تدفع أسعار الصوت إلا حيث فشلت القنوات الأرخص. وقِس التكلفة لكل مستخدم اكتمل تحققه بحسب الدولة، لأن القناة الرخيصة التي لا تسلّم تصبح مكلفة بما تضيّعه من تسجيلات. وللاطلاع على الأسعار الاسترشادية عبر القنوات، استخدم حاسبة التكلفة؛ ويؤكد العرض النهائي التكلفة.

مثال تطبيقي: تطبيق مدفوعات في الرياض

«Hala Pay» (مثال افتراضي)، تطبيق مدفوعات له مستخدمون في السعودية والإمارات ومصر، يلاحظ تعثّر التسجيلات عند خطوة التحقق من الهاتف لدى المستخدمين الذين لا يملكون WhatsApp وفي المناطق التي يتباطأ فيها تسليم SMS.

• التسلسل: WhatsApp بزر نسخ الرمز أولًا؛ ثم SMS من اسم مرسل مسجّل إذا لم تُسلَّم رسالة WhatsApp خلال مهلة قصيرة؛ ثم مكالمة OTP صوتية إذا لم تُسلَّم SMS أو إذا نقر المستخدم «اتصل بي».
• اللغة: تتبع لغة المكالمة إعداد لغة التطبيق. وتستخدم المكالمات العربية صوت TTS عربيًا يقرأ الأرقام منفردة، وتُتاح الإنجليزية بالضغط على زر.
• ضوابط الاحتيال: يُفعَّل الصوت للأسواق الثلاثة فقط، وتُحجب النطاقات المميزة، وتنتهي المكالمات بعد قراءتين وإعادة اختيارية واحدة، ويوقف سقف إنفاق يومي للصوت هذه الخطوة مؤقتًا وينبّه فريق مكافحة الاحتيال.
• البريد الصوتي: ينهي كشف الرد الآلي المكالمات دون قراءة الرمز عندما يرد صندوق بريد.
• العمليات عالية المخاطر: إضافة مستفيد جديد تتطلب تأكيدًا داخل التطبيق على الجهاز المسجّل بدل رمز عبر شبكة الهاتف.
• المراجعة: يقارن الفريق أسبوعيًا التسجيلات المكتملة لكل محاولة والتكلفة لكل مستخدم اكتمل تحققه بحسب الدولة والقناة، ويعدّل المهل.

ما الأخطاء الشائعة في OTP الصوتي والمكالمة الخاطفة؟

• قراءة الرمز كعدد كامل بدل قراءته رقمًا رقمًا.
• تحيات طويلة تؤخر الرمز وتضيف ثواني مدفوعة.
• ترك الرموز في البريد الصوتي لعدم استخدام كشف الرد الآلي.
• تفعيل الصوت لكل الدول ثم اكتشاف احتيال IRSF في الفاتورة.
• إعادة إرسال غير محدودة، أو تصفير عدّادات المحاولات مع كل رمز جديد.
• الاتصال دون تنبيه مسبق، فيتجاهل المستخدم الرقم المجهول.
• افتراض أن المكالمة الخاطفة تعمل في كل مكان دون التأكد من دعم المشغّلين.
• اعتبار OTP الصوتي مصادقة قوية للمدفوعات أو استعادة الحسابات.
• تجاهل الخطوط الأرضية، فلا يتمكن من يسجّل خطًا أرضيًا من إتمام التحقق أبدًا.
• الحدود: سياسات المشغّلين وقواعد رقم المتصل ومتطلبات الجهات التنظيمية تختلف من دولة إلى أخرى وتتغير. يصف هذا الدليل الممارسات وليس استشارة قانونية؛ تأكد من الوضع الحالي مع مزوّدك والجهة التنظيمية المعنية قبل الإطلاق في سوق جديدة.

كيف تساعدك OmniChannels.ai

تجمع OmniChannels.ai بين الصوت وقوالب مصادقة WhatsApp وSMS في حلول OTP والإشعارات. ويشمل الصوت OTP الصوتي، والمكالمة الخاطفة، والتحويل من SMS إلى الصوت، وتحويل النص إلى كلام بما فيه العربية، ويُجهَّز مع فريق حسابك لأرقامك ودولك ومسارات مكالماتك بدل نقاط REST عامة. ويُضبط التحويل إلى القنوات البديلة لكل حالة استخدام، وتُوحَّد حالات التسليم في صيغة webhook واحدة. ويُقدَّم الصوت بالتعاون مع BroadNet Technologies، التي يوفّر برنامج مراكز الاتصال التابع لها DialerBee أيضًا كشف الرد الآلي. اطّلع على طريقة تجهيز الصوت في دليل الصوت للمطورين.