OTP-верификация для бизнеса: сравнение методов, экономика и регуляторные требования

SMS. Одноразовый пароль доставляется текстовым сообщением. Доставляемость при прямых подключениях к операторам — 95–98%. Работает на любом устройстве без интернета, понятен любой аудитории. Стоимость 3–5 рублей за сообщение при работе через агрегаторов. Уязвимость к SS7-атакам актуальна для высокорисковых финансовых сценариев.

Flash Call. Автоматический входящий звонок, который сбрасывается. Паролем служат последние 4–6 цифр входящего номера. Стоимость на 30–50% ниже SMS. В мобильном приложении код считывается автоматически без участия пользователя. Ограничение: отдельные операторы блокируют автоматические вызовы, доставляемость неоднородна по регионам и операторам.

Voice Code. Голосовой звонок с произнесённым одноразовым паролем. Дешевле SMS, работает там, где Flash Call недоступен. Требует принятия входящего звонка пользователем. Применяется как промежуточный шаг каскада.

Telegram Gateway. Официальный сервис для доставки OTP через Telegram. Стоимость от 1,55 рубля за доставленное сообщение. Шифрование канала, защита от скриншотов. Актуален для аудитории, активной в мессенджере.

При значительных объёмах верификаций разница в стоимости методов становится существенной. При 100 000 OTP в месяц переход с SMS (4 рубля) на Telegram Gateway (1,55 рубля) даёт ежемесячную экономию около 245 000 рублей. Flash Call при стоимости около 2 рублей — экономия 200 000 рублей. Каскадная схема (Flash Call → Voice Code → SMS) при правильной настройке снижает среднюю стоимость OTP на 30–50%.

Для финансовых организаций ключевым является положение Банка России 851-П, регулирующее требования к каналам доставки OTP при двухфакторной аутентификации. Надёжность канала и возможность верификации принадлежности номера пользователю — обязательные параметры. Flash Call и Telegram Gateway могут использоваться в каскадных схемах, однако SMS остаётся наиболее регуляторно предсказуемым методом для критических операций.

Для снижения риска SIM-swap атак (перевыпуск SIM-карты мошенником с целью перехвата OTP) рекомендуется использование IMSI-проверки: контроль изменения идентификатора SIM-карты перед отправкой кода подтверждения.

Таймаут Flash Call — 10–15 секунд. Таймаут Voice Code — 30–45 секунд. HLR-проверка перед отправкой позволяет убедиться в активности номера и определить текущего оператора для выбора оптимального маршрута. Правило повторной попытки: при ручном запросе кода начинать каскад заново с первого шага.