Voice OTP и flash call: когда верифицировать голосом

Это руководство для продакт-менеджеров, инженеров и антифрод-команд, которые верифицируют номера телефонов или отправляют одноразовые коды (OTP) и хотят понять, где уместен голос. Здесь объясняется, как работают voice OTP и flash call, когда они эффективнее SMS и WhatsApp, как защитить их от фрода и как выстроить порядок резервных каналов, который сочетает конверсию, стоимость и риск.

Что такое voice OTP и как он работает?

Voice OTP — это одноразовый код, который доставляется автоматическим телефонным звонком: платформа звонит пользователю, а голос синтеза речи (TTS) зачитывает код. Он доходит до любого номера, на который можно позвонить, в том числе стационарного, и не требует приложения или интернета.

Типичный звонок с voice OTP проходит в пять шагов:

1. Ваш бэкенд генерирует код, сохраняет его хеш со временем истечения и запрашивает звонок через провайдера.
2. Платформа совершает звонок с согласованного номера вызывающего абонента, в идеале узнаваемого и постоянного для вашего бренда в каждой стране.
3. После ответа звучит короткое приветствие, например: «Это Hala Pay, ваш код подтверждения».
4. Код читается по одной цифре с паузой между цифрами и повторяется как минимум один раз.
5. Пользователю предлагают повторить код, например: «Нажмите 1, чтобы услышать код ещё раз», после чего звонок завершается. Результат звонка (ответ, занято, нет ответа, ошибка, длительность) возвращается в ваши системы.

Как правильно зачитывать код?

Читайте каждую цифру отдельно и медленно. «Четыре, семь, один, девять, ноль, два» гораздо проще записать, чем «четыреста семьдесят одна тысяча девятьсот два». Большинство движков TTS поддерживают язык разметки синтеза речи (SSML) — стандарт W3C, который позволяет помечать текст как отдельные символы, вставлять паузы и управлять скоростью речи. Используйте его и не полагайтесь на то, как движок интерпретирует число по умолчанию.

Рекомендации по тексту, который звучит в звонке:

• Делайте приветствие не длиннее нескольких секунд. Пользователь ждёт с ручкой или клавиатурой, и каждая лишняя фраза откладывает код.
• Произносите код минимум дважды, с короткой паузой между повторами, а затем предложите нажать клавишу для повтора.
• Группируйте цифры, только если это помогает. Шесть цифр, прочитанные двумя группами по три («четыре семь один … девять ноль два»), иногда легче удержать в памяти.
• Никогда не просите пользователя произнести или ввести код во время звонка. Звонок с верификацией доставляет код и никогда не собирает его. Так ваш сценарий отличается от скриптов социальной инженерии.

Как выбрать язык, включая арабский?

Выбирайте язык по самому надёжному сигналу в таком порядке: язык, выбранный пользователем в приложении, затем профиль аккаунта, затем код страны номера. Саудовский номер не означает, что пользователь предпочитает арабский, а экспат в Дубае может предпочесть хинди, урду, тагальский или английский, поэтому сохранённая настройка надёжнее догадки.

Для voice OTP на арабском:

• Используйте голос TTS, созданный для арабского языка, и проверьте его с носителями языка. Современный литературный арабский — самый надёжный вариант по умолчанию для короткого формального сообщения.
• Читайте цифры по одной. В разговорном арабском во многих числах единицы стоят перед десятками, поэтому код, прочитанный как целое число, легко понять неправильно. Отдельные цифры снимают неоднозначность.
• Рассмотрите двуязычный звонок на рынках со смешанным населением: короткое приветствие и код на арабском, затем «Для английского языка нажмите 2». Делайте его коротким: двуязычное меню добавляет секунды к каждому звонку.
• Следите, чтобы название бренда оставалось узнаваемым. Если бренд обычно пишется латиницей, проверьте, как голос TTS произносит его в арабском тексте.

В нашем руководстве по клиентским сообщениям на арабском подробнее рассказано о выборе диалекта и двуязычном дизайне.

Как работает верификация через flash call?

При flash call на номер пользователя поступает очень короткий звонок, который сбрасывается до ответа. Код — это сам номер вызывающего абонента, как правило его последние цифры, поэтому ничего не воспроизводится и отвечать не нужно.

Код попадает в ваше приложение двумя способами:

• Автоматически: на Android приложение с разрешением на доступ к журналу звонков или состоянию телефона может обнаружить входящий звонок и сопоставить номер без действий пользователя. Действуют правила платформы по разрешениям, и многие приложения избегают запроса таких разрешений.
• Вручную: пользователь видит пропущенный звонок и вводит последние цифры в приложение. Это работает на любом телефоне, включая iPhone, где приложениям нельзя читать журнал звонков.

Каковы ограничения flash call?

Flash call быстрый и не зависит от маршрутов SMS, но у него есть реальные ограничения:

• Отношение операторов различается. Некоторые операторы видят в flash call способ верифицировать пользователей, не платя за A2P SMS. В ряде стран они блокировали flash call, вводили особые тарифы на терминацию или требовали использовать определённые маршруты. Политики меняются, поэтому уточняйте у провайдера поддержку по странам и периодически перепроверяйте её.
• Номер вызывающего абонента должен дойти без изменений. На некоторых международных маршрутах номер могут изменить или заменить, и тогда код теряется. Необходимое условие — качественные маршруты с надёжной передачей номера.
• Без пояснения он сбивает пользователей с толку. Пропущенный звонок с неизвестного международного номера похож на мошенничество с обратным звонком («wangiri»). Заранее сообщите пользователю, чего ожидать, и никогда не просите перезванивать на этот номер.
• Он подтверждает владение номером, а не личность. Как и любой метод по телефонной сети, он ослабляется подменой SIM-карты и переадресацией звонков.

Когда голос лучше SMS или WhatsApp?

Голос лучше, когда текст не доходит до пользователя или он не может его прочитать. В остальных случаях WhatsApp или SMS дешевле и быстрее, поэтому голос обычно стоит в конце порядка резервных каналов.

Доступность — это требование, а не бонус

Пользователям с нарушением зрения, дислексией или низкой грамотностью голосовой код может подойти лучше текстового уведомления, а пользователям с потерей слуха голосовой звонок будет труднее. NIST SP 800-63B отмечает, что коды, отправленные голосом, могут быть трудны для понимания людям с проблемами слуха, и требует, чтобы альтернативы были доступны всем абонентам. Практический ответ — выбор: показывайте рядом «Позвонить мне» и «Отправить текстом» и обеспечьте удобную работу поля ввода кода со скринридерами в соответствии с WCAG 2.2.

Каковы ограничения voice OTP с точки зрения безопасности?

У voice OTP и SMS OTP одна и та же слабость: они подтверждают контроль над номером телефона, а номера можно переносить, подменять SIM-карту или переадресовывать. NIST SP 800-63B относит внеполосную аутентификацию по телефонной сети общего пользования, по SMS или голосом, к «ограниченным» (restricted) аутентификаторам. Организации, которые её используют, обязаны оценить риск, предупредить пользователей и предложить неограниченные альтернативы. OWASP Multifactor Authentication Cheat Sheet идёт дальше и не рекомендует SMS и телефонные звонки для приложений, обрабатывающих чувствительные персональные данные или связанных с финансовыми рисками.

У голоса есть и особая слабость: голосовая почта. Если неотвеченный звонок с OTP переходит на голосовую почту, код может записаться в ящик, защищённый слабым или стандартным PIN-кодом. Используйте определение автоответчика, чтобы завершать звонок без зачитывания кода, если ответила машина, и считайте «голосовую почту» неудачной доставкой, после которой можно запустить другой канал.

Как злоумышленники используют голосовую верификацию?

Голосовая верификация — мишень для искусственного наращивания трафика (traffic pumping), в частности для мошенничества с международным распределением доходов (IRSF). Злоумышленник инициирует звонки с верификацией на диапазоны номеров, где он или его партнёр по цепочке звонка получает долю дохода от терминации. Платите за каждый звонок вы.

Как обычно выглядит атака:

• Всплески запросов от скриптов на номера в направлениях, откуда ваши реальные пользователи почти не приходят.
• Последовательные или шаблонные номера в одном диапазоне.
• Звонки, на которые отвечают и которые удерживают так долго, как позволяет ваш сценарий, потому что чем длиннее звонок, тем больше доход.
• Запросы, которые никогда не завершаются верификацией. Код злоумышленнику не нужен.

Рекомендация ITU-T E.156 описывает, как ITU обрабатывает сообщения о злоупотреблении международными ресурсами нумерации. Это показывает, что проблема признана на уровне стандартов. Но ваш бюджет она не защищает, это делают ваши собственные меры контроля. Те же закономерности относятся и к SMS, как описано в нашем руководстве по SMS pumping.

Чек-лист антифрод-мер для voice OTP

1. Составьте белый список направлений. Включайте голосовую верификацию только в странах, где у вас есть реальные пользователи, и пересматривайте список ежеквартально.
2. Блокируйте премиальные и рискованные диапазоны. Узнайте у провайдера, какие диапазоны заблокированы по умолчанию, и добавьте собственные.
3. Ограничьте длительность звонка. Звонку с voice OTP нужно заметно меньше минуты. Завершайте звонок после повтора кода и задайте жёсткий максимум.
4. Ставьте лимиты по нескольким параметрам: на номер телефона, устройство, IP-адрес, аккаунт и страну назначения, а также общий потолок расходов, при превышении которого голос приостанавливается.
5. Требуйте неудачный предыдущий шаг. В сценарии с резервными каналами предлагайте голос только если для той же сессии уже пытались отправить SMS или сообщение в WhatsApp — это повышает затраты атакующего.
6. Закройте запрос защитой. Используйте определение ботов или проверку перед любой отправкой верификации, а не только перед голосом.
7. Следите за конверсией. Это отношение верифицированных сессий к числу совершённых звонков по странам. Падение показателя в одной стране — самый ранний сигнал pumping.
8. Следуйте рекомендациям NIST по повторным попыткам. NIST SP 800-63B требует ограничивать число неудачных попыток и указывает, что генерация нового кода не должна обнулять счётчик неудачных попыток. Применяйте тот же подход к повторной отправке: новый звонок — не чистый лист.

Как построить каскад резервных каналов: WhatsApp, SMS и голос?

Каскад резервных каналов сначала пробует самый дешёвый подходящий канал и переходит к следующему, только когда есть признаки того, что предыдущая попытка не удалась. Для многих потребительских приложений в странах Персидского залива (GCC) и других рынках, где активно используют WhatsApp, практичен такой порядок: WhatsApp, затем SMS, затем голос.

Шаги по проектированию каскада

1. Сначала классифицируйте номер. Если проверка номера или ваши данные показывают, что он стационарный, сразу переходите к голосу. В нашем руководстве по HLR-проверке объясняется, что могут показать такие проверки.
2. Используйте один код на сессию или меняйте его осознанно. Либо переиспользуйте один и тот же код во всех каналах в пределах срока действия, либо аннулируйте старый код при отправке нового. Никогда не оставляйте несколько действующих кодов одновременно.
3. Запускайте шаги по сигналам, а не только по таймерам. Статусы доставки, ответы «номера нет в WhatsApp» и действия пользователя — лучшие триггеры, чем фиксированная задержка. Короткий тайм-аут оставьте как страховку.
4. Дайте пользователю возможность перейти вперёд. После короткого обратного отсчёта показывайте «Отправить по SMS» и «Позвонить мне». Пользователи знают, когда сообщения не приходят.
5. Ограничьте число шагов. Обычно хватает трёх каналов по одной попытке. Большее число повторов в основном выгодно атакующим.
6. Записывайте каждую попытку с каналом, статусом, стоимостью и результатом, чтобы сравнивать конверсию по странам и каналам.
7. Не завышайте срок действия кода. NIST SP 800-63B требует завершать внеполосную аутентификацию в течение 10 минут. Многие команды используют более короткое окно для входа и платежей.

Что должны говорить экран и звонок?

Хороший текст готовит пользователя к тому, что сейчас произойдёт. Для голоса и flash call это особенно важно, потому что неожиданный звонок выглядит подозрительно.

Перед звонком с voice OTP (экран): «Сейчас мы позвоним на номер +971 5X XXX XX12 и зачитаем ваш 6-значный код. Приготовьте, чем записать».

Во время звонка (голос): «Это Hala Pay. Ваш код подтверждения: 4, 7, 1, 9, 0, 2. Повторяю: 4, 7, 1, 9, 0, 2. Hala Pay никогда не попросит вас назвать этот код. Нажмите 1, чтобы повторить».

Перед flash call (экран): «Мы сделаем короткий пропущенный звонок. Введите последние 4 цифры номера, с которого поступит звонок. Отвечать и перезванивать не нужно».

Правила для текстов, которые действуют на любом языке:

• Показывайте маскированный номер, на который звоните, чтобы пользователь мог заметить опечатку.
• Называйте бренд первым в голосовом тексте.
• Добавляйте фразу «никому не сообщайте код» на языке пользователя.
• Говорите, чего делать не нужно: не отвечать (flash call), не перезванивать, ничего не нажимать, кроме повтора.
• Переводите естественно, а не слово в слово, и записывайте или тестируйте арабскую версию с носителями языка.

Сколько стоит голосовая верификация?

У голоса и мессенджеров разные модели ценообразования, поэтому сравнивайте стоимость одной завершённой верификации, а не стоимость попытки.

Отсюда три практических вывода. Делайте голосовые звонки короткими, потому что длительность — главный драйвер стоимости. Используйте голос как резервный канал, чтобы платить голосовые тарифы только там, где более дешёвые каналы не сработали. И считайте стоимость верифицированного пользователя по странам: дешёвый канал, который не доставляет, обходится дорого в виде потерянных регистраций. Ориентировочные прайс-листовые цены по каналам смотрите в нашем калькуляторе цен; окончательную стоимость подтверждает коммерческое предложение.

Пример из практики: платёжное приложение в Эр-Рияде

«Hala Pay» (вымышленный пример) — платёжное приложение с пользователями в Саудовской Аравии, ОАЭ и Египте. Регистрации останавливаются на верификации телефона у пользователей без WhatsApp и в районах, где SMS доставляются медленно.

• Каскад: сначала WhatsApp с копированием кода; SMS с зарегистрированного имени отправителя, если сообщение в WhatsApp не доставлено в течение короткого тайм-аута; звонок с voice OTP, если SMS не доставлено или пользователь нажал «Позвонить мне».
• Язык: язык звонка следует настройке языка приложения. Арабские звонки используют арабский голос TTS, читающий цифры по одной; английский доступен по нажатию клавиши.
• Антифрод-меры: голос включён только для трёх рынков, премиальные диапазоны заблокированы, звонок завершается после двух прочтений и одного необязательного повтора, а суточный потолок расходов на голос приостанавливает шаг и уведомляет антифрод-команду.
• Голосовая почта: определение автоответчика завершает звонок без зачитывания кода, если ответил почтовый ящик.
• Рискованные действия: добавление нового получателя требует подтверждения в приложении на зарегистрированном устройстве, а не кода по телефонной сети.
• Анализ: каждую неделю команда сравнивает число верифицированных регистраций на попытку и стоимость верифицированного пользователя по странам и каналам и корректирует тайм-ауты.

Какие ошибки чаще всего допускают с voice OTP и flash call?

• Чтение кода как целого числа вместо чтения по одной цифре.
• Длинные приветствия, которые откладывают код и добавляют оплачиваемые секунды.
• Коды на голосовой почте из-за того, что не использовалось определение автоответчика.
• Включение голоса для всех стран и обнаружение IRSF уже в счёте.
• Неограниченная повторная отправка или обнуление счётчиков попыток с каждым новым кодом.
• Звонок без предупреждения, из-за которого пользователь игнорирует неизвестный номер.
• Уверенность, что flash call работает везде, без проверки поддержки со стороны операторов.
• Использование voice OTP как надёжной аутентификации для платежей или восстановления доступа.
• Игнорирование стационарных номеров, из-за чего пользователи, указавшие такой номер, никогда не смогут пройти верификацию.
• Ограничения: правила операторов, требования к номеру вызывающего абонента и требования регуляторов различаются по странам и меняются. Это руководство описывает практику, а не юридическую консультацию; перед запуском на новом рынке уточните актуальную позицию у провайдера и у соответствующего регулятора.

Чем помогает OmniChannels.ai

OmniChannels.ai объединяет голос с аутентификационными (authentication) шаблонами WhatsApp и SMS для OTP и уведомлений. Голос включает voice OTP, flash call, резервный переход с SMS на голос и синтез речи, в том числе на арабском. Он подключается вместе с нашей командой для ваших номеров, стран и сценариев звонков, а не через публичные REST-эндпоинты. Резервные каналы настраиваются под каждый сценарий использования, а статусы доставки приводятся к единому формату вебхука. Голос предоставляется совместно с BroadNet Technologies, чьё ПО для контакт-центров DialerBee также предлагает определение автоответчика. О том, как подключается голос, читайте в нашем руководстве для разработчиков по голосу.