OTP por voz y flash call: cuándo verificar con una llamada

Esta guía está dirigida a responsables de producto, ingenieros y equipos antifraude que verifican números de teléfono o envían contraseñas de un solo uso (OTP) y quieren saber qué papel tiene la voz. Explica cómo funcionan el OTP por voz y la flash call, cuándo rinden más que el SMS y WhatsApp, cómo protegerlos frente al fraude y cómo construir un orden de respaldo que equilibre tasa de verificación, coste y riesgo.

¿Qué es el OTP por voz y cómo funciona?

El OTP por voz es una contraseña de un solo uso entregada en una llamada automatizada: la plataforma marca el número del usuario y una voz de síntesis (TTS, text-to-speech) lee el código en voz alta. Llega a cualquier número capaz de recibir llamadas, incluidos los fijos, y no requiere aplicación ni conexión de datos.

Una llamada de OTP por voz típica sigue cinco pasos:

1. Su backend genera el código, guarda un hash con su hora de caducidad y solicita la llamada a través del proveedor.
2. La plataforma realiza la llamada desde un identificador de llamada acordado, idealmente uno reconocible y estable para su marca en cada país.
3. Al descolgar, suena un saludo breve, por ejemplo: «Le habla Hala Pay con su código de verificación».
4. El código se lee dígito a dígito, con una pausa entre cada uno, y se repite al menos una vez.
5. Se ofrece repetirlo, por ejemplo «Pulse 1 para volver a escuchar el código», y la llamada termina. El resultado de la llamada (contestada, ocupado, sin respuesta, fallida, duración) se devuelve a sus sistemas.

¿Cómo debe leerse el código en voz alta?

Lea cada dígito por separado y despacio. «Cuatro, siete, uno, nueve, cero, dos» es mucho más fácil de anotar que «cuatrocientos setenta y un mil novecientos dos». La mayoría de los motores TTS admiten Speech Synthesis Markup Language (SSML), el estándar del W3C que permite marcar texto como caracteres individuales, insertar pausas y controlar la velocidad de habla. Utilícelo en lugar de confiar en cómo interpreta el motor un número por defecto.

Buenas prácticas para el guion hablado:

• Limite el saludo a unos pocos segundos. El usuario espera con un bolígrafo o el teclado preparado; cada frase de más retrasa el código.
• Diga el código al menos dos veces, con una breve pausa entre repeticiones, y ofrezca después una tecla para repetirlo.
• Agrupe los dígitos solo si ayuda. Seis dígitos leídos en dos grupos de tres («cuatro siete uno... nueve cero dos») pueden ser más fáciles de retener.
• No pida nunca al usuario que diga o teclee el código durante la llamada. Una llamada de verificación entrega un código; nunca debe recogerlo. Así su flujo se distingue de los guiones de ingeniería social.

¿Cómo se elige el idioma, incluido el árabe?

Elija el idioma a partir de la señal más fiable de la que disponga, en este orden: el idioma que el usuario seleccionó en su app, el perfil de su cuenta y, por último, el prefijo del número. Un número saudí no implica que el usuario prefiera el árabe, y un expatriado en Dubái puede querer hindi, urdu, tagalo o inglés, así que una preferencia guardada vale más que una suposición.

Para el OTP por voz en árabe:

• Use una voz TTS diseñada para el árabe y pruébela con hablantes nativos. El árabe estándar moderno es la opción más segura para un mensaje corto y formal como este.
• Lea los dígitos uno a uno. En árabe hablado, muchas cifras se dicen con las unidades antes que las decenas, de modo que un código leído como un número entero es fácil de entender mal. Los dígitos sueltos eliminan la ambigüedad.
• Valore una llamada bilingüe en mercados con población mixta: un saludo y el código en árabe y, a continuación, «For English, press 2». Que sea breve: un menú bilingüe añade segundos a cada llamada.
• Mantenga reconocible el nombre de la marca. Si su marca suele escribirse en alfabeto latino, compruebe cómo la pronuncia la voz TTS cuando aparece en escritura árabe.

Nuestra guía de mensajería para clientes en árabe trata con más detalle la elección de dialecto y el diseño bilingüe.

¿Cómo funciona la verificación por flash call?

La flash call realiza una llamada muy breve al número del usuario y la corta antes de que conteste. El código es el propio identificador de llamada, normalmente sus últimos dígitos, así que no se reproduce nada ni hay que contestar.

El código puede llegar a su app de dos maneras:

• Automática: en Android, una app con el permiso de registro de llamadas o de estado del teléfono puede detectar la llamada entrante y comprobar el número sin que el usuario haga nada. Se aplican las políticas de permisos de la plataforma, y muchas apps prefieren no solicitar estos permisos.
• Manual: el usuario ve una llamada perdida y escribe los últimos dígitos en su app. Funciona en cualquier teléfono, incluidos los iPhone, que no permiten a las apps leer el registro de llamadas.

¿Qué límites tiene la flash call?

La flash call es rápida y no depende de las rutas de SMS, pero tiene limitaciones reales:

• La postura de los operadores varía. Algunos operadores ven la flash call como una forma de verificar usuarios sin pagar el SMS A2P. En ciertos países la han bloqueado, han introducido cargos de terminación específicos o han exigido que use rutas designadas. Las políticas cambian, así que confirme la cobertura por país con su proveedor y revísela periódicamente.
• El identificador de llamada debe llegar intacto. En algunas rutas internacionales el identificador puede alterarse o sustituirse, lo que inutiliza el código. Contar con rutas de calidad que entreguen el identificador de forma fiable es un requisito previo.
• Desconcierta si no se explica. Una llamada perdida de un número internacional desconocido se parece a la estafa «wangiri», que busca que la víctima devuelva la llamada. Avise al usuario antes de la llamada de lo que va a ocurrir y no le pida nunca que devuelva la llamada.
• Verifica la posesión de un número, no la identidad. Como cualquier método basado en la red telefónica, se debilita ante el duplicado de SIM y el desvío de llamadas.

¿Cuándo es mejor la voz que el SMS o WhatsApp?

La voz es el mejor canal cuando el texto no llega al usuario o este no puede leerlo. En la mayoría de los demás casos, WhatsApp o el SMS son más baratos y rápidos, y por eso la voz suele ocupar un lugar posterior en el orden de respaldo.

La accesibilidad es un requisito, no un extra

Los usuarios con discapacidad visual, dislexia o bajo nivel de lectura pueden entender mejor un código hablado que una notificación de texto, mientras que a los usuarios con pérdida auditiva una llamada les resultará más difícil. La NIST SP 800-63B señala que los códigos enviados por voz pueden ser difíciles de entender para personas con problemas de audición y exige que haya alternativas disponibles para todos los usuarios. La respuesta práctica es dar a elegir: muestre «Llamarme» y «Enviar por SMS» uno al lado del otro, y mantenga el campo de introducción del código utilizable con lectores de pantalla, conforme a las WCAG 2.2.

¿Qué límites de seguridad tiene el OTP por voz?

El OTP por voz y el OTP por SMS comparten la misma debilidad: demuestran el control de un número de teléfono, y los números pueden portarse, sufrir un duplicado de SIM o desviarse. La NIST SP 800-63B clasifica la autenticación fuera de banda a través de la red telefónica pública, por SMS o por voz, como autenticador «restringido». Quien la utilice debe evaluar el riesgo, informar de forma clara a los usuarios y ofrecer alternativas no restringidas. La OWASP Multifactor Authentication Cheat Sheet va más allá y desaconseja el SMS y las llamadas para aplicaciones que manejan datos personales sensibles o implican riesgo financiero.

La voz tiene además una debilidad específica: el buzón de voz. Si una llamada de OTP sin contestar salta al buzón, el código puede quedar grabado en un buzón protegido por un PIN débil o de fábrica. Utilice la detección de contestador automático para terminar la llamada sin leer el código cuando conteste una máquina, y trate el «buzón de voz» como una entrega fallida que puede activar otro canal.

¿Cómo abusan los atacantes de la verificación por voz?

La verificación por voz es un objetivo del bombeo de tráfico (traffic pumping) y, en particular, del fraude de reparto de ingresos internacionales (IRSF). El atacante provoca llamadas de verificación a rangos de numeración en los que él, o un socio de la cadena de la llamada, cobra una parte de los ingresos de terminación. Usted paga cada llamada.

Así suele presentarse el ataque:

• Ráfagas de solicitudes generadas por scripts hacia números de destinos de los que rara vez proceden sus usuarios reales.
• Números consecutivos o con patrones dentro del mismo rango.
• Llamadas contestadas y mantenidas abiertas tanto como permita su flujo, porque cuanto más duran, más ingresos generan.
• Solicitudes que nunca se verifican. Al atacante no le interesa el código.

La Recomendación UIT-T E.156 establece cómo gestiona la UIT los usos indebidos notificados de los recursos de numeración internacional, lo que demuestra que el problema está reconocido a nivel de normalización. Pero eso no protege su presupuesto; lo protegen sus propios controles. Los mismos patrones se dan en el SMS, como se describe en nuestra guía sobre el SMS pumping.

Lista de verificación antifraude para el OTP por voz

1. Defina una lista de destinos permitidos. Active la verificación por voz solo en los países donde tenga usuarios reales y revise la lista cada trimestre.
2. Bloquee los rangos de tarificación especial y de alto riesgo. Pregunte a su proveedor qué rangos bloquea por defecto y añada los suyos.
3. Limite la duración de la llamada. Una llamada de OTP por voz necesita bastante menos de un minuto. Cuelgue después de repetir el código y fije un máximo estricto.
4. Aplique límites de frecuencia en varias dimensiones: por número de teléfono, dispositivo, dirección IP, cuenta y país de destino, con un techo de gasto global que pause la voz si se supera.
5. Exija un paso previo fallido. En un flujo de respaldo, ofrezca la voz solo después de haber intentado el SMS o WhatsApp en la misma sesión, lo que encarece el ataque.
6. Proteja la solicitud. Use detección de bots o un desafío antes de enviar cualquier verificación, no solo antes de la voz.
7. Vigile la tasa de conversión. Sesiones verificadas divididas entre llamadas realizadas, por país. Un ratio que cae en un país es la primera señal de bombeo.
8. Siga a la NIST en los reintentos. La NIST SP 800-63B exige limitar los intentos fallidos y establece que generar un código nuevo no debe reiniciar el contador de intentos fallidos. Aplique el mismo criterio a los reenvíos: una nueva llamada no es empezar de cero.

¿Cómo se diseña una cascada de respaldo entre WhatsApp, SMS y voz?

Una cascada de respaldo prueba primero el canal adecuado más barato y solo pasa al siguiente cuando hay indicios de que el intento anterior ha fallado. Para muchas apps de consumo en el Golfo y otros mercados donde predomina WhatsApp, un orden práctico es WhatsApp, después SMS y por último voz.

Pasos para diseñar la cascada

1. Clasifique primero el número. Si una consulta de numeración o sus propios datos indican que es un fijo, pase directamente a la voz. Nuestra guía de consulta HLR explica qué pueden revelar estas consultas.
2. Use un único código en toda la sesión o rótelo de forma deliberada. O reutiliza el mismo código en todos los canales dentro de su periodo de validez, o invalida el anterior cuando envía uno nuevo. No deje nunca varios códigos válidos a la vez.
3. Active los pasos con señales, no solo con temporizadores. Los estados de entrega, las respuestas de «no está en WhatsApp» y las acciones del usuario son mejores disparadores que un retardo fijo. Mantenga un tiempo de espera corto como red de seguridad.
4. Permita que el usuario se adelante. Tras una breve cuenta atrás, muestre «Enviar por SMS» y «Llamarme». El usuario sabe cuándo no le llegan los mensajes.
5. Limite el número de pasos. Tres canales, con un intento cada uno, suelen bastar. Más reintentos benefician sobre todo a los atacantes.
6. Registre cada intento con canal, estado, coste y resultado, para poder comparar la tasa de verificación por país y canal.
7. Sea riguroso con el periodo de validez. La NIST SP 800-63B exige que la autenticación fuera de banda se complete en un plazo de 10 minutos. Muchos equipos usan un periodo más corto para inicios de sesión y pagos.

¿Qué deben decir la pantalla y la llamada?

Unos buenos textos de interfaz preparan al usuario para lo que va a ocurrir, algo especialmente importante en la voz y la flash call, porque una llamada inesperada resulta sospechosa.

Antes de una llamada de OTP por voz (pantalla): «Le llamaremos ahora al +971 5X XXX XX12 y le leeremos su código de 6 dígitos. Tenga a mano algo para anotarlo».

Durante la llamada (hablado): «Le habla Hala Pay. Su código de verificación es: 4, 7, 1, 9, 0, 2. Repito: 4, 7, 1, 9, 0, 2. Hala Pay nunca le pedirá que comparta este código. Pulse 1 para repetir».

Antes de una flash call (pantalla): «Le haremos una llamada perdida rápida. Introduzca los 4 últimos dígitos del número que le llame. No hace falta contestar ni devolver la llamada».

Reglas de redacción válidas en cualquier idioma:

• Muestre enmascarado el número al que llama, para que el usuario detecte una errata.
• Mencione primero la marca en el guion hablado.
• Incluya una frase de «no lo comparta nunca» en el idioma del usuario.
• Indique lo que no debe hacer: no contestar (flash call), no devolver la llamada y no pulsar nada salvo para repetir.
• Traduzca de forma nativa, no palabra por palabra, y grabe o pruebe la versión en árabe con hablantes nativos.

¿Cuánto cuesta la verificación por voz?

La voz y la mensajería usan modelos de precios diferentes, así que compare el coste por verificación completada y no el coste por intento.

De aquí se derivan tres consecuencias prácticas. Mantenga cortas las llamadas, porque la duración es lo que determina el coste. Use la voz como respaldo, para pagar tarifas de voz solo donde fallaron los canales más baratos. Y mida el coste por usuario verificado en cada país, porque un canal barato que no entrega sale caro en registros perdidos. Para precios orientativos de todos los canales, utilice nuestro estimador de precios; el presupuesto final confirma el coste.

Ejemplo práctico: una app de pagos de Riad

«Hala Pay» (ficticia), una app de pagos con usuarios en Arabia Saudí, Emiratos Árabes Unidos y Egipto, ve cómo los registros se estancan en la verificación del teléfono entre los usuarios sin WhatsApp y en zonas donde el SMS llega con lentitud.

• Cascada: primero WhatsApp con copia del código; SMS desde un ID de remitente registrado si WhatsApp no se entrega tras un tiempo de espera corto; y una llamada de OTP por voz si el SMS no se entrega o si el usuario pulsa «Llamarme».
• Idioma: el idioma de la llamada sigue la configuración de idioma de la app. Las llamadas en árabe usan una voz TTS árabe que lee los dígitos sueltos; el inglés se ofrece pulsando una tecla.
• Controles antifraude: la voz solo está activada en los tres mercados, los rangos de tarificación especial están bloqueados, las llamadas terminan tras dos lecturas y una repetición opcional, y un techo diario de gasto en voz pausa el paso y alerta al equipo antifraude.
• Buzón de voz: la detección de contestador automático termina la llamada sin leer el código cuando contesta un buzón.
• Operaciones de alto riesgo: añadir un nuevo beneficiario exige una confirmación dentro de la app en el dispositivo registrado, no un código enviado por la red telefónica.
• Revisión: cada semana el equipo compara los registros verificados por intento y el coste por usuario verificado por país y canal, y ajusta los tiempos de espera.

¿Cuáles son los errores habituales con el OTP por voz y la flash call?

• Leer el código como un número entero en lugar de dígito a dígito.
• Saludos largos que retrasan el código y suman segundos facturables.
• Dejar códigos en el buzón de voz por no usar la detección de contestador automático.
• Activar la voz en todos los países y descubrir el IRSF en la factura.
• Reenvíos ilimitados, o reiniciar los contadores de intentos con cada código nuevo.
• Llamar sin avisar, de modo que el usuario ignora un número desconocido.
• Dar por hecho que la flash call funciona en todas partes sin confirmar el soporte de los operadores.
• Tratar el OTP por voz como autenticación robusta para pagos o recuperación de cuentas.
• Olvidar los fijos, de modo que quien registra uno nunca puede verificarse.
• Limitaciones: las políticas de los operadores, las normas sobre identificador de llamada y los requisitos de los reguladores varían según el país y cambian. Esta guía describe buenas prácticas, no asesoramiento jurídico; confirme la situación actual con su proveedor y con el regulador competente antes de lanzar en un nuevo mercado.

Cómo ayuda OmniChannels.ai

OmniChannels.ai combina la voz con las plantillas de autenticación de WhatsApp y el SMS para OTP y notificaciones. La voz abarca OTP por voz, flash call, respaldo de SMS a voz y síntesis de voz, también en árabe, y se configura con nuestro equipo de cuentas para sus números, países y flujos de llamada, no mediante endpoints REST públicos. El respaldo entre canales se configura por caso de uso, y los estados de entrega se normalizan en un único formato de webhook. La voz se presta junto con BroadNet Technologies, cuyo software de centro de llamadas DialerBee también ofrece detección de contestador automático. Vea cómo se configura la voz en nuestra guía para desarrolladores de voz.