as contraseñas de un solo uso SMS están restringidas, pero no prohibidas, en los principales estándares de 2026. NIST SP 800-63B-4 (julio de 2025) clasifica los códigos SMS y de voz como un autenticador "restringido" que aún se permite en AAL2 si el proveedor ofrece una alternativa y explica el riesgo, pero no en AAL3. Bajo PSD2, la Autoridad Bancaria Europea acepta un SMS OTP como elemento de posesión. PCI DSS 4.0.1 exige un MFA resistente a la repetición y no eludible sin mencionar SMS. La RBI de la India mantuvo explícitamente SMS OTP a partir del 1 de abril de 2026. Las restricciones reales son más limitadas: los bancos en Singapur, Hong Kong, Malasia, los Emiratos Árabes Unidos y Filipinas trasladaron el inicio de sesión o las transacciones de alto riesgo a la autenticación vinculada a la aplicación o al dispositivo. Cada requisito a continuación incluye su fuente.
Verificado el 22 de octubre de 2026 con los textos oficiales, excepto donde se indique "informado". Esta página resume las reglas para equipos de producto y seguridad; no constituye asesoramiento legal.
Resumen de las reglas
| Estándar o regulador | Estado de SMS OTP | Requisito clave | Fecha |
|---|---|---|---|
| NIST SP 800-63B-4 (EE. UU.) | Restringido; permitido en AAL2, no en AAL3 | Ofrezca una alternativa, informe a los usuarios sobre el riesgo y evalúelo; códigos de un solo uso, de al menos 6 dígitos, con validez de 10 minutos | Julio de 2025 |
| Guía de CISA (EE. UU.) | Desaconseja su uso para personas con objetivos muy específicos | Migre a los altos cargos a FIDO resistentes al phishing | 18 de diciembre de 2024 |
| RTS de PSD2 sobre SCA (UE) | Aceptado como elemento de posesión | Código de un solo uso; vinculación dinámica al importe y al beneficiario; protección contra la duplicación | Válido desde el 14 de sep de 2019 |
| PSD3 / PSR (UE) | No se encontró ninguna regla específica de SMS | Aún no está en vigor | Pendiente a partir de oct de 2026 |
| PCI DSS 4.0.1 | Sin nombre | MFA para todo acceso a CDE; resistente a ataques de repetición, sin omisiones, dos tipos de factores | Obligatorio el 31 mar de 2025 |
| MAS (Singapur) | Eliminado para el inicio de sesión bancario | Los clientes con un token digital inician sesión sin SMS OTP | A partir de julio de 2024 |
| HKMA (Hong Kong) | Dispositivo vinculado por defecto | Inicio de sesión y transacciones de alto riesgo mediante dispositivo vinculado; SMS cuando no haya aplicación | 2025 (objetivos Q3–Q4) |
| SFC en HK (brókeres, activos virtuales) | No apto para inicio de sesión o vinculación de dispositivos | Passkeys o dispositivos vinculados | Para el 8 de jul de 2027 |
| BNM (Malasia) | Migración obligatoria | Cambie a una autenticación más segura | Anunciado el 26 de sep de 2022 |
| CBUAE (EAU) (informado) | Eliminado gradualmente para la OTP bancaria | Cambie a la autenticación dentro de la aplicación | 25 de jul de 2025 – 31 de mar de 2026 |
| RBI (India) | Permitido | Dos factores, un elemento dinámico; SMS OTP no se han discontinuado | A partir del 1 de abr de 2026 |
| Circular 1213 de BSP (Filipinas) | Limitado para grandes instituciones | Biometría, comportamiento o sin contraseña para alto riesgo; sin enlaces en SMS | Cumplimiento para junio de 2026 |
NIST SP 800-63B-4: restringido, no prohibido
NIST publicó el SP 800-63B-4 final en julio de 2025, que sustituye a 800-63-3. Trata las contraseñas de un solo uso enviadas a través de la red telefónica pública (SMS o voz) como un **autenticador restringido** (sección 3.2.9). Un proveedor que utilice uno debe ofrecer al menos una alternativa que no sea restringida, informar claramente a los usuarios sobre los riesgos, considerarlos en su evaluación de riesgos y mantener un plan de migración; si la parte de confianza considera que el riesgo es inaceptable, no debe utilizarse.
- **Niveles de seguridad:** los códigos fuera de banda están permitidos en AAL2, combinados con una contraseña o biometría, pero no en AAL3, que requiere autenticadores criptográficos resistentes al phishing. Los verificadores de AAL2 deben ofrecer al menos una opción resistente al phishing.
- **Reglas del código:** al menos 6 dígitos de un generador aleatorio aprobado, aceptado solo una vez y válido por un máximo de 10 minutos; bloqueo tras no más de 100 intentos fallidos consecutivos.
- **Señales de riesgo:** antes de enviar un código, los verificadores deben comprobar si ha habido un cambio de dispositivo, un cambio de SIM o una portabilidad de número (una recomendación, no una obligación).
- El **Email** no debe utilizarse como un autenticador fuera de banda.
Para comprobaciones de cambios de SIM y portabilidad, consulte Verificación de números y cambios de SIM API y defensa contra el fraude de intercambio de SIM.
CISA: dirigido a un público altamente segmentado
La Guía de mejores prácticas de comunicaciones móviles de CISA del 18 de diciembre de 2024 establece: "No utilice SMS como segundo factor de autenticación", debido a que SMS no está cifrado y "no es resistente al phishing y, por lo tanto, no constituye una autenticación sólida para cuentas de personas con objetivos de alto perfil". Su público son altos cargos gubernamentales y políticos, y recomienda FIDO como el único método resistente al phishing. Se trata de una guía, no de una norma para servicios de consumo.
UE: PSD2 acepta SMS OTP; PSD3 aún no es ley
Las normas técnicas de regulación sobre la autenticación reforzada de clientes (Reglamento Delegado (UE) 2018/389), aplicables desde el 14 de septiembre de 2019, establecen el estándar para cualquier contraseña de un solo uso utilizada en pagos:
- **Artículo 4:** el código de autenticación se acepta solo una vez y no puede ser falsificado; un máximo de 5 intentos fallidos consecutivos antes del bloqueo; un máximo de 5 minutos de inactividad tras el inicio de sesión.
- **Artículo 5 (vinculación dinámica):** al pagador se le muestra el importe y el beneficiario, y el código es específico para él; cualquier cambio lo invalidará.
- **Artículo 7:** los elementos de posesión requieren medidas contra el uso y la replicación no autorizados.
- **Artículo 9:** los elementos deben ser independientes; en un dispositivo multipropósito como un teléfono, se requiere una ejecución segura separada y detección de manipulaciones.
El EBA confirmó en Q&A 2018_4039 que un SMS OTP puede ser un elemento de posesión si está protegido contra la replicación, y su opinión de junio de 2019 enumera OTP mediante SMS como un elemento de posesión válido. PSD3 y el Reglamento de Servicios de Pago alcanzaron un acuerdo político en noviembre de 2025, pero a fecha de 22 de octubre de 2026 aún esperan la adopción y publicación final; no encontramos ninguna disposición dirigida a SMS OTP en el texto acordado.
PCI DSS 4.0.1: no se menciona a SMS
PCI DSS 4.0.1 requiere la autenticación multifactor para todo acceso al entorno de datos del titular de la tarjeta (requisito 8.4.2) y establece cómo debe funcionar la MFA (8.5.1): resistente a la repetición, imposible de eludir sin una excepción documentada y con límite de tiempo, utilizando al menos dos tipos de factores diferentes, y requiriendo el éxito de cada factor. Ambos se volvieron obligatorios el 31 de marzo de 2025. El estándar no prohíbe SMS (redacción reportada; el estándar en sí está sujeto a licencia); el suplemento de información sobre MFA del PCI SSC solo señala la advertencia previa de NIST sobre SMS.
Reguladores de Asia-Pacífico
- **Singapur:** MAS y la Asociación de Bancos de Singapur anunciaron el 9 de julio de 2024 que los principales bancos minoristas eliminarían gradualmente los OTP para el inicio de sesión en un plazo de tres meses para los clientes que tengan un token digital (lanzamiento de MAS). Los clientes con tokens físicos no se vieron afectados.
- **Hong Kong (bancos):** la circular de HKMA del 14 de abril de 2025 establece un dispositivo vinculado como predeterminado, en lugar de SMS OTP, para el inicio de sesión y transacciones de alto riesgo, con objetivos para el tercer y cuarto trimestre de 2025. El SMS OTP sigue siendo posible para clientes que no tengan la aplicación o que decidan participar (circular HKMA).
- **Hong Kong (brókers y plataformas de activos virtuales):** la circular 26EC35 de SFC del 9 de julio de 2026 prohíbe los OTP para el inicio de sesión de clientes y el vinculamiento de dispositivos, en favor de las passkeys o dispositivos vinculados, para el 8 de julio de 2027.
- **Malasia:** Bank Negara Malaysia exigió a las instituciones financieras migrar de SMS OTP a una autenticación más segura, según se anunció el 26 de septiembre de 2022 (BNM).
- **India:** las Directrices sobre Mecanismos de Autenticación para Transacciones de Pagos Digitales de RBI, 2025, requieren dos factores con uno dinámico a partir del 1 de abril de 2026; el RBI declaró que el marco "no exige la interrupción de OTP basado en SMS" (RBI).
- **Filipinas:** la Circular 1213 de BSP, firmada en mayo de 2025, limita la autenticación interceptable, como SMS OTP, para instituciones de mayor tamaño, exige métodos biométricos, de comportamiento o sin contraseña para transacciones de alto riesgo y prohíbe enlaces y códigos QR en SMS, con fecha límite de cumplimiento para junio de 2026 (BSP).
El Golfo
En los EAU, los bancos trasladaron a los clientes de SMS y OTP por correo electrónico a la autenticación en la aplicación entre el 25 de julio de 2025 y el 31 de marzo de 2026, según informes del aviso del Banco Central; no se disponía de un texto público de CBUAE. Los remitentes no bancarios en los EAU todavía utilizan ampliamente SMS OTP. Consulte SMS OTP tras la prohibición bancaria y el cronograma de regulación de mensajería de A2P.
Conceptos erróneos comunes
- **"NIST prohibió SMS."** No. SMS es un autenticador restringido, permitido en AAL2 bajo ciertas condiciones y excluido únicamente en AAL3.
- **"PSD2 prohíbe SMS OTP."** No. El EBA lo acepta como un elemento de posesión; los requisitos estrictos son la vinculación dinámica y la protección contra la replicación.
- **"PCI DSS 4.0 prohíbe el MFA de SMS."** No. Requiere un MFA resistente al replay y que no sea eludible, y no menciona a SMS.
- **"CISA dijo a todo el mundo que dejara de usar SMS."** Exagerado. La guía se dirige a individuos gubernamentales y políticos con objetivos altamente específicos.
- **"PSD3 ya es ley."** No a partir del 22 de octubre de 2026.
- **"India está eliminando gradualmente SMS OTP."** No. El RBI no exigió explícitamente su interrupción.
- **"Singapur prohibió SMS OTP."** Más específico: el inicio de sesión bancario para clientes con un token digital.
Una lista de verificación para SMS OTP que cumpla con estos estándares
- Genere códigos de al menos 6 dígitos mediante un generador aleatorio criptográficamente seguro; acepte cada uno una sola vez; expírelos en un plazo de 10 minutos (5 minutos es lo habitual para pagos).
- Limitar los intentos: PSD2 se bloquea tras 5 fallos consecutivos; NIST permite un máximo de 100 antes del bloqueo.
- Para pagos en la UE, muestre el importe y el beneficiario en el mensaje y vincule el código a ellos (vinculación dinámica).
- Verifique las señales de cambio de SIM y de portabilidad numérica antes de enviar un código a una sesión de alto riesgo.
- Ofrezca al menos una alternativa más robusta (notificación push de la app, passkey, FIDO) y mantenga SMS como canal de respaldo y recuperación.
- Mantenga el tráfico de OTP como transaccional: sin enlaces ni ofertas en el mensaje del código, lo que también lo mantiene fuera de los horarios de silencio de marketing y de los bloqueos de enlaces.
- Envíe a través de rutas directas y supervisadas de los operadores, protegidas por un firewall SMS, para que los códigos no sean interceptados, retrasados o generados masivamente.
La OTP API de BroadNet entrega códigos a través de más de 1,000 conexiones directas con operadores con respaldo multicanal; consulte la verificación OTP multicanal, desde SMS OTP hasta passkeys y, para operadores, el firewall SMS y la SS7 protección.
Preguntas frecuentes
¿Sigue permitiéndose SMS OTP en 2026?
Sí, en la mayoría de los estándares. NIST SP 800-63B-4 lo clasifica como restringido pero permitido en AAL2, PSD2 lo acepta como un elemento de posesión, PCI DSS no lo prohíbe y la RBI de India lo mantuvo. Algunos reguladores, incluidos la MAS de Singapur, la HKMA de Hong Kong y la BSP de Filipinas, trasladaron los inicios de sesión bancarios o las transacciones de alto riesgo a métodos más robustos.
¿Prohibió NIST la autenticación de dos factores SMS?
No. NIST SP 800-63B-4 (julio de 2025) clasifica los códigos SMS y de voz como un autenticador restringido: los proveedores deben ofrecer una alternativa no restringida, explicar el riesgo y evaluarlo. SMS está permitido en AAL2 pero no en AAL3, que requiere autenticadores resistentes al phishing.
¿Cumple SMS OTP PSD2?
Puede cumplirlo. El Q&A 2018_4039 de EBA acepta un SMS OTP como elemento de posesión si está protegido contra la replicación, y para pagos, el código debe estar vinculado dinámicamente al importe y al beneficiario según el Artículo 5 de la RTS sobre autenticación reforzada de clientes.
¿Permite PCI DSS 4.0 el uso de SMS para MFA?
PCI DSS 4.0.1 no nombra ni prohíbe SMS. Los requisitos 8.4.2 y 8.5.1, obligatorios desde el 31 de marzo de 2025, exigen MFA para todo acceso al entorno de datos del titular de la tarjeta que sea resistente al replay, no pueda ser eludido y utilice al menos dos tipos de factores diferentes.
¿Cuánto tiempo debe ser válida una SMS OTP?
No más de 10 minutos bajo NIST SP 800-63B-4, y cada código solo puede usarse una vez. Muchos flujos de pago utilizan 5 minutos o menos, en línea con el límite de inactividad de PSD2.
¿Qué países restringen la SMS OTP para la banca?
Singapur (inicio de sesión bancario, para clientes con un token digital, desde 2024), Hong Kong (dispositivos vinculados por defecto para inicio de sesión bancario y transacciones de alto riesgo en 2025; brókeres para julio de 2027), Malasia (migración obligatoria desde 2022), los Emiratos Árabes Unidos (la OTP bancaria se trasladará a la aplicación para marzo de 2026, según se informa) y Filipinas (transacciones de alto riesgo en grandes instituciones, para junio de 2026).
¿Está en vigor la PSD3?
No a partir del 22 de octubre de 2026. La PSD3 y el Reglamento de Servicios de Pago alcanzaron un acuerdo político en noviembre de 2025 y están a la espera de su adopción final y publicación en el Diario Oficial.
¿Cuál es la forma más segura de enviar una OTP por SMS?
Utilice códigos de un solo uso de al menos 6 dígitos aleatorios que expiren en cuestión de minutos, limite los intentos, verifique las señales de SIM-swap y de portabilidad para sesiones de riesgo, mantenga el mensaje libre de enlaces y realice la entrega a través de rutas directas de operador protegidas por un firewall SMS, ofreciendo además un método más robusto.