Kod, który nie dotarł. Jak firmy tracą klientów i pieniądze na SMS-ach z kodami jednorazowymi

Rejestracja konta, logowanie, potwierdzenie płatności: w każdym z tych momentów klient czeka na sześć cyfr. Jeśli kod nie przyjdzie w ciągu kilkudziesięciu sekund, część użytkowników po prostu zamknie aplikację. Kody jednorazowe (OTP) to jedno z najbardziej niedocenianych zastosowań SMS-a. Bywają też furtką dla oszustw, za które płaci firma.

Aplikacje uwierzytelniające i klucze sprzętowe są bezpieczniejsze, ale wymagają od użytkownika dodatkowego kroku: instalacji, konfiguracji, pamiętania o urządzeniu. SMS działa na każdym telefonie i nie wymaga niczego poza numerem. Dlatego sklepy, serwisy rezerwacyjne, aplikacje usługowe czy systemy lojalnościowe wciąż wybierają go jako podstawową lub zapasową metodę weryfikacji.

Ta prostota ma jednak swoją cenę. Kod musi dotrzeć szybko, niezawodnie i tylko do właściwej osoby.

1. Wiadomość wygląda jak phishing. Link w treści SMS-a z kodem, nieznany nadawca, wezwanie do pilnego działania: to dokładnie te cechy, po których filtry operatorów rozpoznają próby wyłudzeń. Kod OTP nie potrzebuje linku.

2. Brak zarejestrowanej nazwy nadawcy. Wiadomości z przypadkowego numeru lub niezweryfikowanego nadpisu częściej trafiają do filtrowania, a użytkownicy rzadziej im ufają.

3. Szczyty ruchu. Premiera, wyprzedaż, kampania telewizyjna: nagle tysiące osób rejestrują się jednocześnie. Jeśli kolejka wysyłki nie jest na to przygotowana, kod dociera po minucie, gdy już jest nieaktualny.

4. Źle zapisane numery. Brak prefiksu +48, spacje, myślniki, numery stacjonarne w polu ?telefon komórkowy?. Prosta walidacja w formularzu oszczędza wiele nieudanych wysyłek.

5. Wiadomości kierowane do kolejki marketingowej. Kody jednorazowe powinny mieć pierwszeństwo przed kampaniami. Gdy idą tym samym kanałem co promocja do 50 tys. odbiorców, czekają w kolejce.

Coraz częstszym problemem jest tzw. SMS pumping, czyli sztuczne pompowanie ruchu. Boty masowo wpisują w formularzach rejestracji numery kontrolowane przez oszustów, często zagraniczne lub o podwyższonej opłacie. Każde ?Wyślij kod? generuje wiadomość, za którą płaci firma, a część przychodu trafia do organizatorów procederu. Użytkownik nigdy się nie loguje, a rachunek rośnie.

Sygnał ostrzegawczy jest prosty: spada odsetek kodów, które zostały faktycznie wpisane, a rośnie liczba wysyłek na numery z nietypowych krajów.

1. Krótka, jednoznaczna treść. Na przykład: ?Twój kod: 482913. Nie podawaj go nikomu.? Bez linków i bez treści dodatkowych.

2. Autouzupełnianie. Format zakończony linią ?@twojadomena.pl #482913? pozwala przeglądarkom i systemom mobilnym podpowiedzieć kod automatycznie, a jednocześnie wiąże go z domeną, co utrudnia phishing.

3. Limity i blokady. Ogranicz liczbę wysyłek na numer i adres IP, dodaj CAPTCHA przy podejrzanym ruchu i wyłącz kraje, w których nie działasz.

4. Osobny kanał dla OTP. Wiadomości z kodami nie powinny czekać w kolejce za kampanią marketingową.

5. Monitoring dostarczeń. Raporty doręczeń z potwierdzeniem operatora pokazują, czy problem leży po stronie wysyłki, czy użytkownika.

SMS z kodem jednorazowym to jeden z najkrótszych komunikatów, jakie wysyła firma, a zarazem jeden z najważniejszych dla konwersji. Każda sekunda opóźnienia to utraceni użytkownicy, a każdy niechroniony formularz to potencjalna luka w budżecie. Dobrze zaprojektowana wysyłka OTP to dziś tyle samo kwestia bezpieczeństwa, co doświadczenia klienta.