OTP por voz e flash call: quando usar voz para verificar

Este guia é para gerentes de produto, engenheiros e equipes de prevenção à fraude que verificam números de telefone ou enviam senhas de uso único (OTPs) e querem entender onde a voz se encaixa. Ele explica como funcionam o OTP por voz e a flash call, quando superam o SMS e o WhatsApp, como protegê-los contra fraude e como montar uma ordem de fallback que equilibre conclusão, custo e risco.

O que é OTP por voz e como funciona?

O OTP por voz é uma senha de uso único entregue em uma ligação automática: a plataforma liga para o usuário e uma voz de text-to-speech (TTS) lê o código em voz alta. Ele alcança qualquer número que receba ligações, inclusive telefones fixos, e não exige app nem conexão de dados.

Uma ligação típica de OTP por voz segue cinco passos:

1. Seu backend gera o código, armazena um hash dele com prazo de validade e solicita a ligação ao fornecedor.
2. A plataforma faz a ligação a partir de um identificador de chamada combinado, de preferência um número reconhecível e consistente para a sua marca em cada país.
3. Ao atender, toca uma saudação curta, por exemplo "Aqui é a Hala Pay com o seu código de verificação."
4. O código é lido dígito por dígito, com uma pausa entre os dígitos, e repetido pelo menos uma vez.
5. O usuário pode pedir a repetição, com algo como "Tecle 1 para ouvir o código novamente", e a ligação termina. O resultado da chamada (atendida, ocupada, sem resposta, falha, duração) volta para os seus sistemas.

Como o código deve ser lido em voz alta?

Leia cada dígito separadamente e devagar. "Quatro, sete, um, nove, zero, dois" é muito mais fácil de anotar do que "quatrocentos e setenta e um mil, novecentos e dois". A maioria dos motores de TTS aceita Speech Synthesis Markup Language (SSML), o padrão do W3C que permite marcar o texto como caracteres individuais, inserir pausas e controlar a velocidade da fala. Use-o em vez de depender da interpretação padrão que o motor faz de um número.

Boas práticas para o roteiro falado:

• Mantenha a saudação em poucos segundos. O usuário está esperando com caneta ou teclado; cada frase a mais atrasa o código.
• Diga o código pelo menos duas vezes, com uma pausa curta entre as repetições, e depois ofereça uma tecla para repetir.
• Agrupe os dígitos só se ajudar. Seis dígitos lidos em dois grupos de três ("quatro sete um ... nove zero dois") podem ser mais fáceis de memorizar.
• Nunca peça ao usuário que diga ou digite o código durante a ligação. Uma ligação de verificação entrega um código; jamais deve coletá-lo. Isso diferencia o seu fluxo de roteiros de engenharia social.

Como escolher o idioma, incluindo o árabe?

Escolha o idioma a partir do sinal mais forte que você tiver, nesta ordem: o idioma selecionado pelo usuário no app, o perfil da conta e, por último, o código de país do número. Um número saudita não significa que o usuário prefere árabe, e um expatriado em Dubai pode preferir hindi, urdu, tagalo ou inglês, então uma preferência registrada vale mais do que um palpite. O mesmo vale para outros mercados: um número brasileiro pode pertencer a alguém que prefere espanhol ou inglês.

Para OTP por voz em árabe:

• Use uma voz de TTS feita para o árabe e teste-a com falantes nativos. O árabe moderno padrão é a escolha mais segura para uma mensagem curta e formal como esta.
• Leia os dígitos um a um. O árabe falado coloca as unidades antes das dezenas em muitos números, então um código lido como número inteiro é fácil de entender errado. Dígitos isolados eliminam a ambiguidade.
• Considere uma ligação bilíngue em mercados com população mista: uma saudação e o código em árabe, seguidos de "For English, press 2". Seja breve; um menu bilíngue acrescenta segundos a cada ligação.
• Mantenha o nome da marca reconhecível. Se a sua marca costuma ser escrita em alfabeto latino, verifique como a voz de TTS a pronuncia em escrita árabe.

Nosso guia de mensagens para clientes em árabe aprofunda a escolha de dialeto e o design bilíngue.

Como funciona a verificação por flash call?

A verificação por flash call faz uma ligação muito curta para o número do usuário e a derruba antes de ser atendida. O código é o próprio identificador de chamada, normalmente seus últimos dígitos, então nada é reproduzido e nada precisa ser atendido.

O código chega ao seu app de duas formas:

• Automática: no Android, um app com a permissão de registro de chamadas ou de estado do telefone pode detectar a ligação recebida e conferir o número sem que o usuário faça nada. As políticas de permissão da plataforma se aplicam, e muitos apps evitam pedir essas permissões.
• Manual: o usuário vê uma chamada perdida e digita os últimos dígitos no app. Isso funciona em qualquer telefone, inclusive iPhones, que não permitem que apps leiam o registro de chamadas.

Quais são os limites da flash call?

A flash call é rápida e não depende das rotas de SMS, mas tem restrições reais:

• A postura das operadoras varia. Algumas operadoras veem a flash call como uma forma de verificar usuários sem pagar pelo SMS A2P. Em alguns países, elas bloquearam as flash calls, criaram tarifas de terminação específicas ou exigiram rotas designadas. As políticas mudam, então confirme o suporte por país com seu fornecedor e verifique de novo periodicamente.
• O identificador de chamada precisa chegar intacto. Em algumas rotas internacionais, o identificador pode ser alterado ou substituído, o que quebra o código. Rotas de qualidade, com entrega confiável do identificador, são um pré-requisito.
• Confunde o usuário quando não é explicada. Uma chamada perdida de um número internacional desconhecido parece o golpe "wangiri", que induz a pessoa a retornar a ligação. Avise o usuário antes da chamada sobre o que vai acontecer e nunca peça que ele retorne a ligação.
• Verifica a posse de um número, não a identidade. Como qualquer método baseado na rede telefônica, é enfraquecida por SIM swap e desvio de chamadas.

Quando a voz supera o SMS ou o WhatsApp?

A voz é o melhor canal quando o texto não consegue chegar ao usuário ou quando ele não consegue lê-lo. Na maioria dos outros casos, WhatsApp ou SMS são mais baratos e mais rápidos, e é por isso que a voz costuma ficar mais para o fim da ordem de fallback.

Acessibilidade é requisito, não bônus

Usuários com deficiência visual, dislexia ou baixa alfabetização podem achar um código falado mais fácil do que uma notificação de texto, e usuários com perda auditiva vão achar uma ligação mais difícil. A NIST SP 800-63B observa que códigos enviados por voz podem ser difíceis de entender para pessoas com problemas auditivos e exige que alternativas estejam disponíveis para todos os usuários. A resposta prática é dar escolha: mostre "Receber ligação" e "Enviar por SMS" lado a lado e mantenha o campo de digitação do código utilizável com leitores de tela, de acordo com a WCAG 2.2.

Quais são os limites de segurança do OTP por voz?

O OTP por voz e o OTP por SMS têm a mesma fraqueza: comprovam o controle de um número de telefone, e números podem ser portados, sofrer SIM swap ou ter as chamadas desviadas. A NIST SP 800-63B classifica a autenticação fora de banda pela rede telefônica pública, por SMS ou voz, como um autenticador "restrito". As organizações que a usam precisam avaliar o risco, informar os usuários de forma clara e oferecer alternativas não restritas. O OWASP Multifactor Authentication Cheat Sheet vai além e desaconselha SMS e ligações para aplicações que lidam com dados pessoais sensíveis ou envolvem risco financeiro.

A voz também tem uma fraqueza específica: a caixa postal. Se uma ligação de OTP não atendida cair na caixa postal, o código pode ficar gravado em uma caixa protegida por um PIN fraco ou padrão. Use detecção de secretária eletrônica para encerrar a ligação sem ler o código quando uma máquina atender, e trate "caixa postal" como entrega com falha, que pode disparar outro canal.

Como os fraudadores abusam da verificação por voz?

A verificação por voz é alvo de traffic pumping e, especificamente, de fraude de compartilhamento de receita internacional (IRSF). O fraudador dispara ligações de verificação para faixas de numeração em que ele, ou um parceiro na cadeia da chamada, recebe uma parte da receita de terminação. Você paga por cada ligação.

Como o ataque costuma se apresentar:

• Rajadas de solicitações feitas por scripts para números em destinos de onde seus usuários reais raramente vêm.
• Números sequenciais ou com padrão dentro da mesma faixa.
• Ligações atendidas e mantidas abertas pelo máximo de tempo que o seu fluxo permite, porque chamadas mais longas rendem mais.
• Solicitações que nunca são verificadas. O fraudador não tem interesse no código.

A Recomendação ITU-T E.156 define como a UIT trata denúncias de uso indevido de recursos de numeração internacional, o que mostra que o problema é reconhecido no nível dos padrões. Mas ela não protege o seu orçamento; os seus próprios controles, sim. Os mesmos padrões valem para o SMS, como descrito no nosso guia de SMS pumping.

Checklist de controle de fraude para OTP por voz

1. Use allow-list de destinos. Ative a verificação por voz apenas para países onde você tem usuários reais e revise a lista a cada trimestre.
2. Bloqueie faixas premium e de alto risco. Pergunte ao fornecedor quais faixas de numeração são bloqueadas por padrão e acrescente as suas.
3. Limite a duração da chamada. Uma ligação de OTP por voz precisa de bem menos de um minuto. Desligue depois de repetir o código e defina um máximo rígido.
4. Limite a frequência em várias dimensões: por número de telefone, por aparelho, por endereço IP, por conta e por país de destino, com um teto global de gasto que pausa a voz se for ultrapassado.
5. Exija uma etapa anterior com falha. Em um fluxo de fallback, só ofereça voz depois que SMS ou WhatsApp tiverem sido tentados na mesma sessão, o que aumenta o custo para o fraudador.
6. Proteja a solicitação. Use detecção de bots ou um desafio antes de enviar qualquer verificação, não apenas antes da voz.
7. Acompanhe a taxa de conversão. Sessões verificadas divididas por ligações feitas, por país. Uma queda dessa razão em um país é o primeiro sinal de pumping.
8. Siga a NIST nas novas tentativas. A NIST SP 800-63B exige limitar as tentativas com falha e determina que gerar um novo código não deve zerar a contagem de tentativas com falha. Aplique a mesma lógica aos reenvios: uma nova ligação não é um recomeço.

Como desenhar uma cascata de fallback entre WhatsApp, SMS e voz?

Uma cascata de fallback tenta primeiro o canal adequado mais barato e só avança quando há evidência de que a tentativa anterior falhou. Para muitos apps de consumo no GCC, no Brasil e em outros mercados onde o WhatsApp domina, uma ordem prática é WhatsApp, depois SMS, depois voz.

Etapas para desenhar a cascata

1. Classifique o número primeiro. Se uma consulta de número ou os seus próprios dados indicam um telefone fixo, vá direto para a voz. Nosso guia de HLR lookup explica o que as consultas revelam.
2. Use um único código por sessão ou troque-o de forma deliberada. Reutilize o mesmo código entre canais dentro do prazo de validade, ou invalide o código antigo quando um novo for enviado. Nunca deixe vários códigos válidos ao mesmo tempo.
3. Dispare por sinais, não só por temporizadores. Status de entrega, respostas de "sem WhatsApp" e ações do usuário são gatilhos melhores do que um atraso fixo. Mantenha um timeout curto como rede de segurança.
4. Deixe o usuário pular etapas. Depois de uma contagem regressiva curta, mostre "Enviar por SMS" e "Receber ligação". O usuário sabe quando as mensagens não estão chegando.
5. Limite o número de etapas. Três canais, uma tentativa em cada, costuma bastar. Mais tentativas beneficiam principalmente os fraudadores.
6. Registre cada tentativa com canal, status, custo e resultado, para comparar a taxa de conclusão por país e por canal.
7. Mantenha o prazo de validade realista. A NIST SP 800-63B exige que a autenticação fora de banda seja concluída em até 10 minutos. Muitas equipes usam um prazo menor para logins e pagamentos.

O que a tela e a ligação devem dizer?

Um bom texto de UX prepara o usuário para o que vai acontecer, e isso importa mais na voz e na flash call, porque uma ligação inesperada parece suspeita.

Antes de uma ligação de OTP por voz (tela): "Vamos ligar agora para +971 5X XXX XX12 e ler o seu código de 6 dígitos. Tenha algo à mão para anotar."

Durante a ligação (falado): "Aqui é a Hala Pay. Seu código de verificação é: 4, 7, 1, 9, 0, 2. Repetindo: 4, 7, 1, 9, 0, 2. A Hala Pay nunca vai pedir que você compartilhe este código. Tecle 1 para repetir."

Antes de uma flash call (tela): "Vamos fazer uma chamada rápida que vai aparecer como perdida. Digite os últimos 4 dígitos do número que ligar para você. Não é preciso atender nem retornar a ligação."

Regras de texto que valem em qualquer idioma:

• Mostre o número mascarado para o qual você vai ligar, para que o usuário perceba um erro de digitação.
• Diga a marca primeiro no roteiro falado.
• Inclua uma frase de "nunca compartilhe", no idioma do usuário.
• Diga o que não fazer: não atender (flash call), não retornar a ligação, não teclar nada além da opção de repetir.
• Traduza de forma nativa, não palavra por palavra, e grave ou teste a versão em árabe com falantes nativos.

Quanto custa a verificação por voz?

Voz e mensagens usam modelos de preço diferentes, então compare o custo por verificação concluída, não o custo por tentativa.

Daí saem três pontos práticos. Mantenha as ligações curtas, porque a duração é o que determina o custo. Use a voz como fallback, para pagar tarifas de voz apenas onde os canais mais baratos falharam. E meça o custo por usuário verificado por país, porque um canal barato que não entrega sai caro em cadastros perdidos. Para preços indicativos de tabela entre canais, use nosso simulador de preços; a proposta final confirma o custo.

Exemplo prático: um app de pagamentos de Riad

O "Hala Pay" (fictício), um app de pagamentos com usuários na Arábia Saudita, nos Emirados Árabes Unidos e no Egito, vê os cadastros travarem na verificação do telefone entre usuários sem WhatsApp e em áreas onde o SMS demora a chegar.

• Cascata: primeiro WhatsApp com copiar código; SMS de um ID de remetente cadastrado se o WhatsApp não for entregue dentro de um timeout curto; uma ligação de OTP por voz se o SMS não for entregue ou se o usuário tocar em "Receber ligação".
• Idioma: o idioma da ligação segue a configuração de idioma do app. As ligações em árabe usam uma voz de TTS em árabe lendo dígitos isolados; o inglês é oferecido por tecla.
• Controles antifraude: a voz fica ativa apenas nos três mercados, as faixas premium são bloqueadas, as ligações terminam após duas leituras e uma repetição opcional, e um teto diário de gasto com voz pausa a etapa e alerta a equipe de fraude.
• Caixa postal: a detecção de secretária eletrônica encerra as ligações sem ler o código quando a caixa postal atende.
• Ações de alto risco: cadastrar um novo favorecido exige uma confirmação no app, no aparelho registrado, em vez de um código pela rede telefônica.
• Revisão: toda semana a equipe compara cadastros verificados por tentativa e custo por usuário verificado, por país e por canal, e ajusta os timeouts.

Quais são os erros comuns com OTP por voz e flash call?

• Ler o código como número inteiro em vez de dígito por dígito.
• Saudações longas que atrasam o código e acrescentam segundos cobrados.
• Deixar códigos na caixa postal por não usar detecção de secretária eletrônica.
• Ativar a voz para todos os países e descobrir a IRSF na fatura.
• Reenvios ilimitados, ou zerar os contadores de tentativas a cada novo código.
• Ligar sem avisar, fazendo com que o usuário ignore um número desconhecido.
• Presumir que a flash call funciona em todo lugar sem confirmar o suporte das operadoras.
• Tratar o OTP por voz como autenticação forte para pagamentos ou recuperação de conta.
• Ignorar telefones fixos, de modo que quem cadastra um nunca consegue se verificar.
• Limites: políticas das operadoras, regras de identificador de chamada e exigências dos reguladores variam por país e mudam. Este guia descreve práticas, não constitui aconselhamento jurídico; confirme a situação atual com seu fornecedor e com o regulador competente antes de lançar em um novo mercado.

Como a OmniChannels.ai ajuda

A OmniChannels.ai combina voz com modelos de autenticação do WhatsApp e SMS para OTP e notificações. A voz cobre OTP por voz, flash call, fallback de SMS para voz e text-to-speech, inclusive em árabe, e é provisionada com o nosso time de contas para os seus números, países e fluxos de chamada, e não por endpoints REST públicos. O fallback entre canais é configurado por caso de uso, e os status de entrega são normalizados em um único formato de webhook. A voz é entregue com a BroadNet Technologies, cujo software de call center DialerBee também oferece detecção de secretária eletrônica. Veja como a voz é provisionada no nosso guia de voz para desenvolvedores.