SMS для двофакторної автентифікації (OTP): чому бізнес досі обирає саме цей канал

Користувач реєструється в сервісі, підтверджує платіж або входить з нового пристрою. У цей момент бізнесу потрібно перевірити, що дію виконує людина, яка має доступ до вказаного номера. Один із поширених сценаріїв: відправити короткий одноразовий код через SMS API.

SMS OTP використовують у банківських, фінансових, e-commerce та інших цифрових сервісах, хоча ринок поступово переходить до authenticator apps і passkeys. Причина практична: SMS не вимагає окремого застосунку, попереднього налаштування authenticator або смартфона з конкретною операційною системою.

Що таке OTP і навіщо він потрібен у 2FA

OTP, або One-Time Password, це одноразовий код з обмеженим строком дії. Система генерує його для конкретної операції або спроби входу, після чого код втрачає чинність.

У сценарії двофакторної автентифікації SMS OTP виступає додатковою перевіркою після першого фактора, наприклад пароля. Користувач вводить логін і пароль, отримує код на зареєстрований номер та підтверджує вхід.

OTP також використовують окремо для підтвердження номера, реєстрації, відновлення доступу або певної операції. Тому SMS OTP і SMS 2FA не завжди означають одне й те саме: одноразовий код стає другим фактором лише тоді, коли доповнює інший метод автентифікації.

Чому SMS досі використовують поряд із push та email

Push-підтвердження зручне для постійних користувачів мобільного застосунку: замість переписування коду достатньо підтвердити запит. Але спочатку користувач має встановити застосунок, активувати сповіщення та мати доступ до інтернету.

Email OTP знімає залежність від мобільної мережі, проте створює іншу: користувачеві потрібен доступ до поштового акаунта. Якщо пароль від сервісу та пошти скомпрометовані одночасно, цінність такого додаткового підтвердження знижується.

Voice OTP передає код голосовим дзвінком. Його можна залишити резервним варіантом для ситуацій, коли SMS не доходить, але дзвінок займає більше часу та залежить від голосового з'єднання.

SMS займає проміжну позицію. Номер телефону часто вже є в профілі клієнта, а отримання повідомлення не потребує встановлення додаткового ПЗ. Саме ця низька вимога до користувача пояснює, чому SMS продовжує працювати у масових сценаріях верифікації, від реєстрації нового акаунта до підтвердження одиничного платежу.

Охоплення: SMS працює без мобільного інтернету

Push або код із застосунку залежать від смартфона та налаштованого цифрового середовища. SMS доставляється через мобільну мережу, тому для його отримання не потрібен Wi-Fi чи мобільний інтернет. Microsoft, наприклад, зберігає SMS як резервний канал саме для ситуацій, коли в користувача немає з'єднання для інших каналів повідомлень.

Це має значення для сервісу з різною аудиторією: частина клієнтів користується останніми моделями смартфонів, частина має старі пристрої, хтось вимикає push або не хоче встановлювати ще один застосунок тільки заради підтвердження акаунта. Для бізнесу з клієнтами в кількох країнах ця різниця в пристроях і звичках стає ще помітнішою, ніж на одному локальному ринку.

Для бізнесу така сумісність скорочує кількість ситуацій, коли клієнт не може завершити реєстрацію або підтвердження лише через відсутність потрібного застосунку.

Ризики SMS OTP і способи їх врахувати

SMS не варто вважати найсильнішим методом MFA. CISA прямо вказує на ризики SIM swap та вразливості телекомунікаційних протоколів, тому для сценаріїв із високими вимогами до безпеки індустрія все частіше рекомендує переходити до phishing-resistant методів, зокрема passkeys.

Є й операційний ризик: SMS проходить через ланцюг телеком-операторів, тому час доставки може відрізнятися залежно від країни, маршруту та локальної мережі.

«По різних напрямках доставка веде себе по-різному, тому ми відстежуємо швидкість по маршрутах і бачимо, де SMS починає затримуватись раніше, ніж це помітить клієнт. Окремо працює throttling: якщо на один номер за короткий час іде забагато запитів коду, це радше ознака зловживання, ніж реальна спроба входу, і систему варто зупиняти до відправлення, а не після».
— коментує команда підтримки DID Global.

Тому SMS OTP доцільно вбудовувати в ширшу систему захисту. Сервіс може обмежувати кількість повторних запитів коду, встановлювати короткий строк його дії, перевіряти ризикові спроби до відправлення повідомлення та мати альтернативний метод підтвердження.

Для OTP важлива й стабільність самого каналу доставки. DID Global заявляє 99,9% uptime для своєї телеком-інфраструктури, що потрібно враховувати при побудові сценаріїв, де затримка повідомлення може перервати реєстрацію або авторизацію.

Як бізнес підключає SMS-верифікацію через DID Global

Типовий сценарій починається в системі самого бізнесу. Користувач запитує код під час входу, реєстрації або підтвердження операції, бекенд генерує OTP і через SMS API передає повідомлення на номер клієнта.

Через DID Global бізнес може підключити SMS-канал до свого продукту через API та використовувати його для автоматичних транзакційних повідомлень. Логіку самого OTP при цьому потрібно будувати на стороні сервісу: правила генерації коду, строк його дії, кількість спроб і реакцію на підозрілу активність.

SMS залишається корисним там, де бізнесу потрібен канал із широким охопленням і мінімальними вимогами до пристрою користувача. Для критичних акаунтів його варто поєднувати із сильнішими методами автентифікації, а для масової верифікації він досі закриває сценарії, де push, email або окремий authenticator доступні не кожному клієнту.