¿Está prohibido el uso de SMS OTP? Lo que realmente exigen las normativas bancarias de los EAU, India y Filipinas en 2026

No — SMS OTP no está prohibido en los EAU, la India o Filipinas. El Banco Central ordenó a los bancos de los EAU eliminar gradualmente las SMS y las contraseñas de un solo uso enviadas por e-mail en la autenticación de clientes (la eliminación comenzó el 25 de julio de 2025); la RBI de la India mantuvo el SMS OTP como un factor permitido bajo las normas de autenticación de dos factores tecnológicamente neutras vigentes desde el 1 de abril de 2026, y la BSP de Filipinas exige que los bancos de mayor tamaño limiten los OTPs interceptables a partir de aproximadamente el 25 de junio de 2026.

Conclusiones clave

• EAU: la eliminación gradual se aplica a los bancos que autentican a sus propios clientes y traslada la aprobación a la aplicación móvil del banco. El aviso del Banco Central no se ha publicado; las fechas provienen de informes de prensa (Gulf News, Khaleej Times, 24 de julio de 2025).
• India: las RBI Authentication Mechanisms Directions, 2025 requieren dos factores distintos para los pagos digitales a partir del 1 de abril de 2026, con al menos un factor dinámico para todo lo que no sean pagos con tarjeta presente. El SMS OTP sigue estando permitido.
• Filipinas: la BSP Circular No. 1213 (firmada el 30 de mayo de 2025) indica a las instituciones supervisadas por BSP que limiten los OTPs enviados por SMS y e-mail, y exige que las instituciones de alto volumen adopten biometría, autenticación sin contraseña o adaptativa en el plazo de un año tras la fecha de entrada en vigor de la circular.
• Las entidades no bancarias —comercio electrónico, reparto, viajes, SaaS, portales gubernamentales— no están contempladas por ninguno de los tres instrumentos. El SMS OTP sigue siendo una forma normal de verificar un número de teléfono o iniciar sesión.
• El SMS aún tiene un papel regulado en la banca: la circular BSP enumera el SMS como un canal para notificaciones de transacciones en tiempo real, y el reglamento SAMA de Arabia Saudita exige notificaciones instantáneas de SMS para las transacciones de cuenta.

¿Está prohibido el SMS OTP en los EAU?

No. Lo que ocurrió en los EAU es un cambio en el sector bancario, no una prohibición nacional. El 24 de julio de 2025, Gulf News informó que "los bancos en los EAU comenzarán a eliminar gradualmente las contraseñas de un solo uso (OTPs) enviadas por SMS y correo electrónico, comenzando el viernes 25 de julio", con los clientes migrando a una función de "Autenticación mediante App" en la aplicación inteligente de su banco. Khaleej Times informó el mismo día que el movimiento "sigue las directrices del Banco Central de los EAU y se implementará por fases". Gulf News describió la interrupción completa de las SMS y las OTPs por e-mail según lo ordenado para marzo de 2026.

Hay dos advertencias importantes para cualquiera que redacte políticas basadas en esto. Primero, el Banco Central de los EAU (CBUAE) no ha publicado la notificación en sí; el número y la redacción exacta que circulan en internet provienen de blogs de proveedores, por lo que deben tratarse como información no confirmada. Segundo, todos los informes públicos se refieren a que los bancos autentiquen las transacciones y los inicios de sesión de sus propios clientes. Ninguno de ellos extiende este cambio a otras empresas que utilicen códigos SMS para verificar un número de teléfono, confirmar una entrega o iniciar sesión de un usuario.

En la práctica, los clientes bancarios de los EAU ahora aprueban los pagos con tarjeta y las acciones sensibles dentro de la aplicación del banco, normalmente mediante la biometría del teléfono o un PIN de la aplicación. Para un contexto regulatorio más amplio —registro de identificador de remitente, ventanas promocionales y consentimiento— consulte nuestra página de regulaciones de SMS en los EAU.

¿Prohíbe RBI el uso de SMS OTP a partir de abril de 2026?

No. Las Directrices del Reserve Bank of India (Mecanismos de Autenticación para Transacciones de Pagos Digitales), 2025 se emitieron el 25 de septiembre de 2025 y se aplican a "todos los proveedores de sistemas de pago y participantes de sistemas de pago, incluidos bancos y entidades no bancarias", quienes debían cumplir con ellas para el 1 de abril de 2026. La regla fundamental es: "Todas las transacciones de pago digital deberán ser autenticadas por al menos dos factores de autenticación distintos" y, para todo lo que no sean transacciones con tarjeta presente, "al menos uno de los factores de autenticación se creará o probará de forma dinámica".

Las directrices establecen principios en lugar de nombrar una tecnología específica. El RBI señala que, si bien no se exigió un factor específico, el ecosistema "ha adoptado principalmente la contraseña de un solo uso (OTP) basada en SMS como el factor adicional" —y nada en el texto lo prohíbe. Lo que cambia es la responsabilidad: "Si surge cualquier pérdida derivada de transacciones realizadas sin cumplir con estas directrices, el emisor deberá compensar al cliente por la pérdida en su totalidad". Los emisores también pueden añadir controles basados en el riesgo sobre la ubicación, el comportamiento o los atributos del dispositivo, además de los dos factores.

Otra fecha ya está vigente: los emisores de tarjetas deben, para el 1 de octubre de 2026, implementar un mecanismo para validar transacciones transfronterizas no recurrentes sin tarjeta presente, generadas por un comercio o adquiriente en el extranjero. Para las reglas de mensajería en la India —registro de DLT, encabezados y plantillas— consulte las regulaciones de SMS en la India.

¿Qué exige la Circular No. 1213 de BSP en Filipinas?

La Circular No. 1213 de BSP, Serie de 2025 fue aprobada por la Junta Monetaria el 22 de mayo de 2025, firmada el 30 de mayo de 2025 y publicada el 10 de junio de 2025. Entra en vigor 15 días naturales después de su publicación, y las instituciones financieras supervisadas por BSP (BSFIs) deben cumplir "dentro de un (1) año a partir de su fecha de entrada en vigor", lo que sitúa el plazo alrededor del 25 de junio de 2026. La circular no establece una fecha exacta en el calendario; algunos informes de prensa mencionan el 30 de junio, pero la regla de un año apunta al 25 de junio.

La línea clave es una limitación, no una prohibición: las BSFIs "deberían limitar el uso de mecanismos de autenticación que puedan ser compartidos o interceptados por terceros ajenos a la transacción", citando como ejemplo el OTPs a través de SMS y correo electrónico. Las instituciones "dedicadas a productos y servicios electrónicos complejos y que manejen valores agregados elevados de transacciones en línea" —un valor de transacción mensual promedio de al menos PHP 75,000,000 durante los últimos seis meses— deben adoptar una autenticación fuerte: biometría (huella dactilar, rostro o voz), biometría conductual, autenticación sin contraseña como claves FIDO o tokens de hardware, o autenticación adaptativa, además de un fuerte fingerprinting del dispositivo.

La circular también mantiene el SMS en el proceso. Los mensajes OTP que se sigan enviando "deberían personalizarse con detalles suficientes de la transacción", las notificaciones en tiempo real pueden enviarse "a través de canales seguros como aplicaciones móviles, aplicaciones de mensajería, correo electrónico o SMS", y las BSFIs no deben enviar enlaces en los que se pueda hacer clic o códigos QR por correo electrónico, aplicaciones de mensajería o SMS a menos que el cliente los haya solicitado, que el enlace sea solo informativo o que no dirija a una página que solicite credenciales. Contexto del país: regulaciones de SMS en Filipinas.

Las tres reglas comparadas

¿Quién está incluido y quién no?

El error más común es asumir que una norma de autenticación bancaria se aplica a todas las empresas que envían un código. No es así. El alcance lo define quién es supervisado por el regulador.

• Incluidos en los EAU: bancos con licencia que autentican inicios de sesión y transacciones de clientes (según informes de prensa).
• Incluidos en la India: todos los proveedores y participantes de sistemas de pago — bancos, emisores de tarjetas, monederos electrónicos y otras entidades de pago no bancarias — para transacciones de pagos digitales.
• Dentro del alcance en Filipinas: instituciones financieras supervisadas por BSP; la lista de autenticación reforzada se aplica a aquellas que superan el umbral mensual de PHP 75 millones.
• Fuera del alcance de los tres: inicios de sesión en e-commerce y recuperación de cuentas, confirmaciones de transporte y entrega, reservas de viajes, registros en SaaS, marketplaces y gaming — a menos que la empresa sea en sí misma una entidad de pago regulada.
• Fuera del alcance: verificación de número de teléfono al registrarse, cuando el propósito es demostrar la posesión de un número en lugar de autorizar un pago.

¿Qué sustituye a SMS OTP para los clientes bancarios?

Las alternativas comparten una idea: vincular la aprobación al dispositivo o al cuerpo del cliente, no a un código que pueda leerse en voz alta a un estafador o interceptarse tras un intercambio de SIM.

• Aprobación en la aplicación: una notificación push en la propia app del banco, confirmada con biometría o un PIN de la aplicación — la ruta que tomaron los bancos de los EAU.
• Biometría y biometría conductual: mencionadas explícitamente en la Circular 1213 de BSP.
• Passwordless y passkeys: claves basadas en FIDO almacenadas en el dispositivo; consulte nuestra guía de SMS OTP a passkeys.
• Verificaciones basadas en la red: la autenticación silenciosa de red y las señales de intercambio de SIM verifican el número a través del operador; consulte autenticación silenciosa de red frente a SMS OTP.
• Autenticación adaptativa (basada en el riesgo): escalado de seguridad solo cuando el dispositivo, la ubicación o el comportamiento resultan inusuales — permitido en la India y listado en Filipinas.

Por qué SMS sigue siendo esencial en 2026

Eliminar SMS de la autenticación bancaria no elimina SMS de la banca. Los mismos reguladores lo mantienen como canal de notificaciones y, para pagos externos, sigue siendo la forma más universal de contactar con un número de teléfono que no tiene instalada su aplicación.

• Alertas de transacciones: la circular BSP incluye a SMS entre los canales de notificación en tiempo real, y SAMA exige notificaciones de SMS instantáneas para las transacciones de cuenta.
• Verificación del número de teléfono durante el registro y al cambiar de número, idealmente combinada con una comprobación de intercambio de SIM.
• Inicio de sesión y recuperación para aplicaciones ajenas a la banca, donde SMS suele ser el único factor que todos los usuarios pueden recibir.
• India: SMS OTP como uno de los dos factores, siempre que el otro factor sea distinto.
• Plan de contingencia: cuando falla un canal de notificación push o dentro de la aplicación, un servicio de verificación multicanal puede recurrir a WhatsApp, voz o SMS cuando las normativas lo permitan.

Lista de verificación para bancos y empresas de pagos

1. 1Mapee cada flujo que envíe un código actualmente —inicio de sesión, alta de beneficiarios, pagos sin presencia de tarjeta, cambio de límites, cambio de dispositivo— y etiquete qué normativa de qué regulador lo rige.
2. 2Traslade las aprobaciones de alto riesgo a métodos vinculados al dispositivo (notificaciones push en la aplicación con biometría, passkeys) y documente el segundo factor para India.
3. 3Personalice cualquier OTP que envíe con detalles de la transacción (comercio, importe), tal como exige BSP, y nunca incluya un enlace en el que se pueda hacer clic.
4. 4Añada señales de riesgo —cambio de SIM, cambio de dispositivo, velocidad— antes de confiar en cualquier factor de posesión.
5. 5Mantenga SMS para alertas de transacciones en tiempo real y supervise la entrega; consulte nuestra guía de supervisión de la entrega de OTP bancaria.
6. 6Registre su decisión por mercado, con la fecha de verificación, para que los auditores puedan ver por qué cada flujo utiliza el método que emplea.

Lista de verificación para aplicaciones no bancarias

1. 1Confirme que no es una entidad de pago regulada; si lo es, la lista de verificación bancaria se aplica a sus flujos de pago.
2. 2Mantenga SMS OTP para el registro e inicio de sesión, y añada WhatsApp o voz como canales de respaldo para mejorar el alcance y reducir costes.
3. 3Compruebe si ha habido cambios de SIM recientes antes de realizar cambios sensibles en la cuenta.
4. 4Ofrezca passkeys como opción para usuarios recurrentes, manteniendo SMS para la recuperación.
5. 5Estime la exposición al fraude de cada flujo con la calculadora de seguridad OTP.

Preguntas frecuentes

¿Está prohibido el OTP de SMS en los EAU?

No. El Banco Central ordenó a los bancos de los EAU eliminar gradualmente el SMS y el OTPs por correo electrónico de la autenticación de clientes, comenzando el 25 de julio de 2025 y con una finalización prevista para marzo de 2026, para utilizar en su lugar la autenticación dentro de la aplicación. El cambio se aplica a los bancos que autentican a sus propios clientes; no es una prohibición nacional de los códigos SMS para otras empresas.

¿Se aplica la norma de CBUAE al comercio electrónico, BNPL o aplicaciones de reparto?

Los informes públicos describen que la directiva se aplica a los bancos. No menciona el comercio electrónico, las aplicaciones de entrega u otras aplicaciones no bancarias. Una empresa con licencia del Banco Central para pagos debe consultar sus propias obligaciones de licencia con el regulador, ya que el texto del aviso no ha sido publicado.

¿Qué ha sustituido al OTP de SMS para los clientes bancarios de los EAU?

La autenticación dentro de la aplicación. Los clientes aprueban pagos y acciones sensibles en la aplicación móvil de su banco, normalmente mediante la biometría del teléfono o un PIN de la aplicación, en lugar de escribir un código recibido por SMS o correo electrónico.

¿Prohíbe RBI el OTP SMS a partir de abril de 2026?

No. Las directrices de RBI que entrarán en vigor el 1 de abril de 2026 exigen al menos dos factores de autenticación distintos para los pagos digitales, con al menos un factor dinámico, excepto para las transacciones con tarjeta presente. No obligan ni prohíben ninguna tecnología, y el OTP SMS sigue siendo un factor permitido. Los emisores deben compensar íntegramente a los clientes por las pérdidas derivadas de transacciones no conformes.

¿Qué es la Circular N.º 1213 de BSP?

Es la circular del Bangko Sentral ng Pilipinas, firmada el 30 de mayo de 2025, que actualiza los estándares de autenticación y gestión de fraude para las instituciones financieras supervisadas por BSP. La normativa les ordena limitar las autenticaciones interceptables, como las SMS y los OTPs por correo electrónico, y exige que las instituciones de gran volumen adopten biometría, autenticación sin contraseña o adaptativa en el plazo de un año desde su fecha de entrada en vigor, aproximadamente el 25 de junio de 2026.

¿Se puede seguir utilizando OTP de SMS para verificar un número de teléfono?

Sí. Ninguna de las tres reglas restringe el uso de un código SMS para demostrar que un usuario tiene el control de un número de teléfono durante el registro o al cambiar de número. Combinar esa verificación con una consulta de intercambio de SIM hace que sea considerablemente más difícil de vulnerar.

¿Está la SAMA de Arabia Saudita prohibiendo los OTP de SMS?

No hemos encontrado ningún mandato oficial de la SAMA para eliminar gradualmente los OTP de SMS hasta el 26 de septiembre de 2026. El reglamento de SAMA sí exige que los bancos envíen notificaciones SMS instantáneas para las transacciones de cuentas. Las afirmaciones sobre un plazo de SAMA que circulan en internet son meras especulaciones hasta que SAMA publique una oficial.

¿Qué debería utilizar un banco cuando la aplicación no esté disponible?

Eso depende del regulador: la circular de Filipinas limita, en lugar de prohibir, las OTP de SMS, e India las permite como uno de los dos factores distintos. Diseñe un método de respaldo documentado según el mercado —por ejemplo, un segundo método vinculado al dispositivo o un canal asistido— y consúltelo con su regulador antes de confiar en SMS como alternativa.

Fuentes

• Reserve Bank of India — Authentication Mechanisms for Digital Payment Transactions Directions, 2025, 25 de septiembre de 2025: rbi.org.in (consultado el 26 de septiembre de 2026).
• Bangko Sentral ng Pilipinas — Circular No. 1213, Series of 2025, firmada el 30 de mayo de 2025: bsp.gov.ph (consultado el 26 de septiembre de 2026).
• Gulf News — "Los bancos de los EAU dejarán de enviar OTPs mediante SMS y correo electrónico a partir del 25 de julio", 24 de julio de 2025: gulfnews.com.
• Khaleej Times — Los bancos de los EAU eliminarán gradualmente el uso de OTPs a partir del 25 de julio, 24 de julio de 2025: khaleejtimes.com.
• Libro de reglas del Banco Central de Arabia Saudita (SAMA) — Servicio de notificación de SMS instantáneo: rulebook.sama.gov.sa (consultado el 26 de septiembre de 2026).