Кратко как это работает: Пользователь вводит номер телефона в мах, мах передает его на свой сервер, сервер отправляет запрос к серверу аутентификации (предоставляется провайдером) и в ответ получает уникальную ссылку вида http://mobileid.megafon.ru/si-hhe?interaction_id=UUID

Если пользователь перейдет по этой ссылке, то интернет провайдер добавит в заголовки запроса номер телефона, и сервер аутентификации (НЕ сервер мах) получит этот номер и сверит с тем, который изначально прислал пользователь. Если номера совпадают, то сервер мах получит об этом вебхук-уведомление (он НЕ получит номер пользователя).