हीं — UAE, भारत या फिलीपींस में SMS OTP पर प्रतिबंध नहीं है। UAE के बैंकों को सेंट्रल बैंक द्वारा कस्टमर ऑथेंटिकेशन से SMS और ई-मेल वन-टाइम पासवर्ड को चरणबद्ध तरीके से हटाने का निर्देश दिया गया था (चरणबद्ध तरीके से हटाना 25 जुलाई 2025 को शुरू हुआ था), भारत के RBI ने 1 अप्रैल 2026 से लागू टेक्नोलॉजी-न्यूट्रल टू-फ़ैक्टर नियमों के तहत SMS OTP को एक अनुमत कारक के रूप में बनाए रखा है, और फिलीपींस का BSP लगभग 25 जून 2026 से बड़े बैंकों को इंटरसेप्ट होने वाले OTP को सीमित करने की आवश्यकता बताता है।
यह गाइड 26 सितंबर 2026 तक के सार्वजनिक नियामक टेक्स्ट और प्रेस रिपोर्टों का सारांश देती है। यह सामान्य जानकारी है, कानूनी सलाह नहीं — अपने नियामक या कानूनी सलाहकार के साथ अपने दायित्वों की पुष्टि करें।
मुख्य बातें
- UAE: चरणबद्ध तरीके से हटाना उन बैंकों पर लागू होता है जो अपने ग्राहकों का ऑथेंटिकेशन करते हैं, और यह अप्रूवल को बैंक के मोबाइल ऐप में स्थानांतरित करता है। सेंट्रल बैंक का नोटिस स्वयं प्रकाशित नहीं किया गया है; तारीखें प्रेस रिपोर्टों (Gulf News, Khaleej Times, 24 जुलाई 2025) से ली गई हैं।
- भारत: RBI ऑथेंटिकेशन मैकेनिज्म डायरेक्शंस, 2025 के अनुसार 1 अप्रैल 2026 से डिजिटल भुगतान के लिए दो अलग-अलग कारकों की आवश्यकता है, जिसमें कार्ड-प्रेजेंट पेमेंट्स को छोड़कर बाकी सभी के लिए कम से कम एक डायनेमिक कारक होना चाहिए। SMS OTP की अनुमति बनी हुई है।
- फिलीपींस: BSP सर्कुलर नंबर 1213 (30 मई 2025 को हस्ताक्षरित) BSP-पर्यवेक्षित संस्थानों को SMS और ई-मेल द्वारा भेजे जाने वाले OTP को सीमित करने के लिए कहता है, और उच्च-वॉल्यूम वाले संस्थानों के लिए सर्कुलर के प्रभावी होने की तारीख के भीतर एक वर्ष के भीतर बायोमेट्रिक्स, पासवर्डलेस या एडेप्टिव ऑथेंटिकेशन अपनाने की आवश्यकता है।
- गैर-बैंक — जैसे ई-कॉमर्स, डिलीवरी, ट्रैवल, SaaS, सरकारी-शैली के पोर्टल — इन तीनों उपकरणों के दायरे में नहीं आते हैं। SMS OTP फोन नंबर वेरिफाई करने या लॉग इन करने का एक सामान्य तरीका बना हुआ है।
- बैंकिंग में SMS की अभी भी एक विनियमित भूमिका है: BSP सर्कुलर रीयल-टाइम ट्रांजैक्शन नोटिफिकेशन के लिए SMS को एक चैनल के रूप में सूचीबद्ध करता है, और सऊदी अरब की SAMA रूलबुक अकाउंट ट्रांजैक्शन के लिए तत्काल SMS नोटिफिकेशन की आवश्यकता बताती है।
क्या UAE में SMS OTP प्रतिबंधित है?
नहीं। UAE में जो हुआ वह बैंकिंग क्षेत्र में बदलाव है, न कि राष्ट्रीय प्रतिबंध। 24 जुलाई 2025 को Gulf News ने रिपोर्ट किया कि "UAE में बैंक शुक्रवार, 25 जुलाई से SMS और ईमेल के माध्यम से भेजे जाने वाले वन-टाइम पासवर्ड (OTPs) को चरणबद्ध तरीके से समाप्त करना शुरू कर देंगे", जिसमें ग्राहक अपने बैंक के स्मार्ट एप्लिकेशन में "Authentication via App" फीचर पर स्विच करेंगे। Khaleej Times ने उसी दिन रिपोर्ट किया कि यह कदम "UAE के सेंट्रल बैंक के निर्देशों का पालन करता है और इसे चरणों में लागू किया जाएगा"। Gulf News ने मार्च 2026 तक SMS और ईमेल OTPs को पूरी तरह से बंद करने का वर्णन किया है जैसा कि अनिवार्य किया गया है।
इस आधार पर नीति लिखने वाले किसी भी व्यक्ति के लिए दो सावधानियां महत्वपूर्ण हैं। पहली, UAE के सेंट्रल बैंक (CBUAE) ने स्वयं यह नोटिस प्रकाशित नहीं किया है; ऑनलाइन प्रसारित होने वाली संख्या और सटीक शब्दावली वेंडर ब्लॉगों से आती है, इसलिए उन्हें अनपुष्ट मानें। दूसरी, प्रत्येक सार्वजनिक रिपोर्ट बैंकों द्वारा अपने स्वयं के ग्राहकों के ट्रांजैक्शन और लॉगिन को ऑथेंटिकेट करने के बारे में है। इनमें से कोई भी बदलाव उन अन्य कंपनियों तक विस्तारित नहीं करता है जो फोन नंबर वेरिफाई करने, डिलीवरी की पुष्टि करने या यूजर को साइन इन करने के लिए SMS कोड का उपयोग करती हैं।
व्यवहार में, UAE के बैंक ग्राहक अब बैंक के ऐप के भीतर कार्ड भुगतान और संवेदनशील कार्यों को मंजूरी देते हैं, जो आमतौर पर फोन के बायोमेट्रिक्स या ऐप PIN के साथ होता है। व्यापक नियामक संदर्भ — सेंडर-ID रजिस्ट्रेशन, प्रमोशनल विंडो और सहमति — के लिए हमारा UAE SMS रेगुलेशन पेज देखें।
क्या RBI अप्रैल 2026 से SMS OTP पर प्रतिबंध लगाता है?
नहीं। Reserve Bank of India (Authentication Mechanisms for Digital Payment Transactions) Directions, 2025 25 सितंबर 2025 को जारी किए गए थे और यह "सभी पेमेंट सिस्टम प्रोवाइडर्स और पेमेंट सिस्टम पार्टिसिपेंट्स, जिनमें बैंक और गैर-बैंक संस्थाएं शामिल हैं", पर लागू होते हैं, जिन्हें 1 अप्रैल 2026 तक अनुपालन करना था। मुख्य नियम: "सभी डिजिटल पेमेंट ट्रांजैक्शन को ऑथेंटिकेशन के कम से कम दो अलग-अलग कारकों द्वारा ऑथेंटिकेट किया जाएगा", और कार्ड-प्रेजेंट ट्रांजैक्शन के अलावा अन्य सभी के लिए "ऑथेंटिकेशन के कारकों में से कम से कम एक को डायनेमिक रूप से बनाया या प्रमाणित किया जाता है"।
ये निर्देश किसी तकनीक का नाम लेने के बजाय सिद्धांत निर्धारित करते हैं। RBI नोट करता है कि हालांकि किसी विशिष्ट कारक को अनिवार्य नहीं किया गया था, लेकिन इकोसिस्टम ने "मुख्य रूप से SMS-आधारित वन-टाइम पासवर्ड (OTP) को अतिरिक्त कारक के रूप में अपनाया है" — और टेक्स्ट में ऐसा कुछ भी नहीं है जो इसे रोकता हो। जो चीज़ बदलती है वह है जवाबदेही: "यदि इन निर्देशों का पालन किए बिना किए गए लेनदेन से कोई नुकसान होता है, तो जारीकर्ता (issuer) ग्राहक को नुकसान की पूरी भरपाई करेगा।" जारीकर्ता दो कारकों के अलावा स्थान, व्यवहार या डिवाइस विशेषताओं पर जोखिम-आधारित जाँच भी जोड़ सकते हैं।
एक और तारीख अब लागू है: कार्ड जारीकर्ताओं को 1 अक्टूबर 2026 तक, किसी विदेशी मर्चेंट या एक्वायरर द्वारा किए गए नॉन-रिकरिंग क्रॉस-बॉर्डर कार्ड-नॉट-प्रेजेंट लेनदेन को सत्यापित करने के लिए एक तंत्र स्थापित करना होगा। भारतीय मैसेजिंग नियमों — DLT रजिस्ट्रेशन, हेडर और टेम्पलेट — के लिए, India SMS regulations देखें।
फिलीपींस में BSP सर्कुलर नंबर 1213 में क्या आवश्यकताएं हैं?
BSP सर्कुलर नंबर 1213, सीरीज ऑफ 2025 को मॉनेटरी बोर्ड द्वारा 22 मई 2025 को मंजूरी दी गई थी, 30 मई 2025 को हस्ताक्षरित किया गया था और 10 जून 2025 को प्रकाशित किया गया था। यह प्रकाशन के 15 कैलेंडर दिनों के बाद प्रभावी हो जाता है, और BSP-पर्यवेक्षित वित्तीय संस्थानों (BSFIs) को "इसके प्रभावी होने की तिथि से एक (1) वर्ष के भीतर" अनुपालन करना होगा — जो लगभग 25 जून 2026 के आसपास आता है। सर्कुलर स्वयं कोई कैलेंडर तिथि नहीं देता है; कुछ प्रेस रिपोर्टों में 30 जून कहा गया है, लेकिन एक-वर्ष का नियम 25 जून की ओर संकेत करता है।
मुख्य पंक्ति एक सीमा है, निषेध नहीं: BSFIs को "उन प्रमाणीकरण तंत्रों (authentication mechanisms) के उपयोग को सीमित करना चाहिए जिन्हें लेनदेन से असंबंधित तीसरे पक्षों के साथ साझा किया जा सकता है, या उनके द्वारा इंटरसेप्ट किया जा सकता है", जिसमें SMS और ईमेल के माध्यम से OTP को उदाहरण के रूप में दिया गया है। जो संस्थान "जटिल इलेक्ट्रॉनिक उत्पादों और सेवाओं में लगे हुए हैं और ऑनलाइन लेनदेन के उच्च कुल मूल्य को संभालते हैं" — पिछले छह महीनों में कम से कम PHP 75,000,000 का औसत मासिक लेनदेन मूल्य — उन्हें मजबूत प्रमाणीकरण अपनाना होगा: बायोमेट्रिक्स (फिंगरप्रिंट, चेहरा या वॉइस), व्यवहार संबंधी बायोमेट्रिक्स, FIDO कीज़ या हार्डवेयर टोकन जैसे पासवर्डलेस प्रमाणीकरण, या एडेप्टिव ऑथेंटिकेशन, साथ ही मजबूत डिवाइस फिंगरप्रिंटिंग।
सर्कुलर में SMS को भी शामिल रखा गया है। जो OTP मैसेज अभी भी भेजे जाते हैं "उन्हें पर्याप्त लेनदेन विवरणों के साथ पर्सनलाइज्ड किया जाना चाहिए", रीयल-टाइम नोटिफिकेशन "मोबाइल ऐप्स, मैसेजिंग ऐप्स, ईमेल, या SMS जैसे सुरक्षित चैनलों के माध्यम से" जा सकते हैं, और BSFIs को ईमेल, मैसेजिंग ऐप्स या SMS द्वारा क्लिक करने योग्य लिंक या QR कोड नहीं भेजने चाहिए जब तक कि ग्राहक ने उनका अनुरोध न किया हो, लिंक केवल जानकारी के लिए हो, या वह किसी ऐसे पेज पर न ले जाए जो क्रेडेंशियल्स मांगता हो। देश का संदर्भ: फिलीपींस के SMS नियम।
तीनों नियम एक साथ
| मार्केट | रेगुलेटर और इंस्ट्रूमेंट | मुख्य तिथि | कौन इसके दायरे में है | क्या SMS OTP अभी भी मान्य है? |
|---|---|---|---|---|
| UAE | बैंकों के लिए UAE के सेंट्रल बैंक का निर्देश (नोटिस प्रकाशित नहीं हुआ है; 24 जुलाई 2025 को रिपोर्ट किया गया) | 25 जुलाई 2025 से चरणबद्ध तरीके से समाप्त किया जाएगा; मार्च 2026 तक पूरा होगा (प्रेस रिपोर्ट) | बैंक जो अपने स्वयं के ग्राहकों का ऑथेंटिकेशन करते हैं | बैंक ग्राहकों के लिए इन-ऐप ऑथेंटिकेशन द्वारा बदला जा रहा है; गैर-बैंकों के लिए इसका समाधान नहीं किया गया है |
| भारत | RBI ऑथेंटिकेशन मैकेनिज्म फॉर डिजिटल पेमेंट ट्रांजैक्शन डायरेक्शंस, 2025 (25 सितंबर 2025) | 1 अप्रैल 2026 तक कंप्लायंस; 1 अक्टूबर 2026 तक क्रॉस-बॉर्डर CNP | सभी पेमेंट सिस्टम प्रोवाइडर्स और पार्टिसिपेंट्स, बैंक और गैर-बैंक | हाँ — दो अलग-अलग फैक्टर्स, एक डायनामिक; SMS OTP एक अनुमत फैक्टर है |
| फिलीपींस | BSP सर्कुलर नंबर 1213, सीरीज ऑफ 2025 (30 मई 2025 को हस्ताक्षरित) | प्रभावी तिथि से एक वर्ष — लगभग 25 जून 2026 | BSP-पर्यवेक्षित वित्तीय संस्थान; उच्च-वॉल्यूम वाले संस्थानों के लिए स्ट्रॉन्ग-ऑथेंटिकेशन का कर्तव्य | सीमित, प्रतिबंधित नहीं; SMS एक नोटिफिकेशन चैनल बना हुआ है |
| सऊदी अरब | SMS OTP को चरणबद्ध तरीके से समाप्त करने का कोई आधिकारिक SAMA आदेश नहीं मिला (26 सितंबर 2026 को जांचा गया) | — | — | हाँ; SAMA की रूलबुक अकाउंट ट्रांजेक्शन के लिए तत्काल SMS नोटिफिकेशन की आवश्यकता बताती है |
स्कोप में कौन है — और कौन नहीं?
सबसे आम गलती यह मान लेना है कि बैंक-ऑथेंटिकेशन नियम हर उस व्यवसाय पर लागू होता है जो कोड भेजता है। ऐसा नहीं है। स्कोप इस बात से तय होता है कि रेगुलेटर किसकी निगरानी करता है।
- UAE में स्कोप में शामिल हैं: लाइसेंस प्राप्त बैंक जो ग्राहकों के लॉगिन और ट्रांजेक्शन को ऑथेंटिकेट करते हैं (प्रेस रिपोर्टों के अनुसार)।
- भारत में स्कोप में शामिल हैं: डिजिटल पेमेंट ट्रांजेक्शन के लिए हर पेमेंट सिस्टम प्रोवाइडर और प्रतिभागी — बैंक, कार्ड जारीकर्ता, वॉलेट और अन्य गैर-बैंक पेमेंट संस्थाएं।
- फिलीपींस में स्कोप में शामिल हैं: BSP-पर्यवेक्षित वित्तीय संस्थान; स्ट्रॉन्ग-ऑथेंटिकेशन सूची उन पर लागू होती है जो PHP 75 मिलियन मासिक सीमा से ऊपर हैं।
- इन तीनों में से किसी के भी स्कोप में नहीं हैं: ई-कॉमर्स लॉगिन और अकाउंट रिकवरी, राइड-हेलिंग और डिलीवरी कन्फर्मेशन, ट्रैवल बुकिंग, SaaS साइन-अप, मार्केटप्लेस और गेमिंग — जब तक कि व्यवसाय स्वयं एक रेगुलेटेड पेमेंट संस्था न हो।
- स्कोप में नहीं है: साइन-अप के समय फोन-नंबर वेरिफिकेशन, जहाँ उद्देश्य भुगतान को अधिकृत करने के बजाय नंबर के स्वामित्व को साबित करना हो।
बैंक ग्राहकों के लिए SMS OTP की जगह क्या आता है?
इन विकल्पों का एक ही विचार है: अप्रूवल को ग्राहक के डिवाइस या शरीर से जोड़ें, न कि किसी ऐसे कोड से जिसे किसी धोखाधड़ी करने वाले को बोलकर सुनाया जा सके या SIM स्वैप के बाद इंटरसेप्ट किया जा सके।
- इन-ऐप अप्रूवल: बैंक के अपने ऐप पर एक पुश नोटिफिकेशन, जिसे बायोमेट्रिक्स या ऐप PIN के साथ कन्फर्म किया जाता है — यह वही रूट है जिसे UAE के बैंकों ने अपनाया था।
- बायोमेट्रिक्स और बिहेवियरल बायोमेट्रिक्स: BSP सर्कुलर 1213 में स्पष्ट रूप से नाम दिया गया है।
- पासवर्डलेस और पासकीज़: डिवाइस पर स्टोर की गई FIDO-आधारित कीज़; हमारी गाइड SMS OTP से पासकीज़ तक देखें।
- नेटवर्क-आधारित चेक: साइलेंट नेटवर्क ऑथेंटिकेशन और SIM-स्वैप सिग्नल ऑपरेटर के माध्यम से नंबर को वेरिफाई करते हैं; साइलेंट नेटवर्क ऑथेंटिकेशन बनाम SMS OTP देखें।
- एडेप्टिव (रिस्क-आधारित) ऑथेंटिकेशन: स्टेप-अप केवल तभी जब डिवाइस, लोकेशन या बिहेवियर असामान्य लगे — भारत में इसकी अनुमति है और फिलीपींस में इसे सूचीबद्ध किया गया है।
2026 में SMS की प्रासंगिकता कहाँ बनी रहेगी
बैंक ऑथेंटिकेशन से SMS को हटाने का मतलब बैंकिंग से SMS को हटाना नहीं है। वही रेगुलेटर्स इसे नोटिफिकेशन के एक चैनल के रूप में बनाए रखते हैं, और बाहरी भुगतान के लिए यह उस फ़ोन नंबर तक पहुँचने का सबसे सार्वभौमिक तरीका बना हुआ है जिसने आपका ऐप इंस्टॉल नहीं किया है।
- ट्रांजैक्शन अलर्ट: BSP सर्कुलर रीयल-टाइम नोटिफिकेशन चैनलों में SMS को सूचीबद्ध करता है, और SAMA अकाउंट ट्रांजैक्शन के लिए तत्काल SMS नोटिफिकेशन अनिवार्य करता है।
- रजिस्ट्रेशन के समय और नंबर बदलने पर फ़ोन-नंबर वेरिफ़िकेशन, जिसे आदर्श रूप से SIM-स्वैप चेक के साथ जोड़ा जाना चाहिए।
- नॉन-बैंक ऐप्स के लिए लॉग-इन और रिकवरी, जहाँ SMS अक्सर एकमात्र ऐसा फैक्टर होता है जिसे हर यूजर प्राप्त कर सकता है।
- भारत: दो फैक्टर्स में से एक के रूप में SMS OTP, बशर्ते कि दूसरा फैक्टर अलग हो।
- फ़ालबैक: जब पुश या इन-ऐप चैनल विफल हो जाता है, तो एक मल्टीचैनल वेरिफ़िकेशन सर्विस नियमों की अनुमति के अनुसार WhatsApp, वॉइस या SMS पर फ़ालबैक कर सकती है।
बैंकों और पेमेंट कंपनियों के लिए चेकलिस्ट
- आज जो भी फ्लो कोड भेजता है — लॉग-इन, बेनिफिशियरी जोड़ना, कार्ड-नॉट-प्रेजेंट पेमेंट, लिमिट बदलना, डिवाइस बदलना — उन सभी को मैप करें और टैग करें कि किस रेगुलेटर का नियम इसे नियंत्रित करता है।
- हाई-रिस्क अप्रूवल को डिवाइस-बाउंड तरीकों (बायोमेट्रिक्स के साथ इन-ऐप पुश, पासकीज़) पर ले जाएँ और भारत के लिए दूसरे फैक्टर का दस्तावेजीकरण करें।
- जैसा कि BSP अपेक्षा करता है, अपने द्वारा भेजे जाने वाले किसी भी OTP को ट्रांजैक्शन विवरण (मर्चेंट, राशि) के साथ पर्सनलाइज़ करें, और कभी भी क्लिक करने योग्य लिंक शामिल न करें।
- किसी भी पजेशन फैक्टर पर भरोसा करने से पहले रिस्क सिग्नल्स — SIM-स्वैप, डिवाइस परिवर्तन, वेलोसिटी — की जाँच करें।
- रियल-टाइम ट्रांजैक्शन अलर्ट के लिए SMS का उपयोग करें और डिलीवरी की निगरानी करें; हमारा बैंक OTP डिलीवरी मॉनिटरिंग प्लेबुक देखें।
- प्रत्येक मार्केट के अनुसार अपने निर्णय और चेक की गई तारीख को रिकॉर्ड करें, ताकि ऑडिटर्स देख सकें कि प्रत्येक फ्लो उस विधि का उपयोग क्यों करता है जिसका वह उपयोग कर रहा है।
नॉन-बैंक ऐप्स के लिए चेकलिस्ट
- पुष्टि करें कि आप एक रेगुलेटेड पेमेंट एंटिटी नहीं हैं; यदि आप हैं, तो बैंक चेकलिस्ट आपके पेमेंट फ्लो पर लागू होती है।
- साइन अप और लॉग-इन के लिए SMS OTP का उपयोग करें, और पहुंच और लागत के लिए फ़ालबैक चैनल के रूप में WhatsApp या वॉइस जोड़ें।
- संवेदनशील अकाउंट परिवर्तनों से पहले हाल ही में हुए SIM स्वैप की जाँच करें।
- रिटर्निंग यूज़र्स के लिए पासकीज़ को एक विकल्प के रूप में पेश करें, और रिकवरी के लिए SMS का उपयोग करें।
- OTP सुरक्षा कैलकुलेटर के साथ प्रत्येक फ्लो के धोखाधड़ी के जोखिम का अनुमान लगाएं।
BroadNet 200+ देशों में ऑपरेटरों से सीधे कनेक्शन के माध्यम से 99.99% प्लेटफ़ॉर्म SLA के साथ OTP डिलीवर करता है, जिसमें SIM-स्वैप और नंबर-इंटेलिजेंस चेक के साथ-साथ SMS, WhatsApp और वॉइस पर ऑटोमैटिक फ़ालबैक की सुविधा है। OTP API, मल्टीचैनल MyOTP वेरिफिकेशन सर्विस और हमारे बैंकिंग और फाइनेंस सॉल्यूशंस देखें।
अक्सर पूछे जाने वाले प्रश्न
क्या UAE में SMS OTP प्रतिबंधित है?
नहीं। UAE के बैंकों को सेंट्रल बैंक द्वारा 25 जुलाई 2025 से कस्टमर ऑथेंटिकेशन से SMS और ई-मेल OTP को चरणबद्ध तरीके से हटाने का निर्देश दिया गया है, जिसके मार्च 2026 तक पूरा होने की सूचना है, और इसके बजाय इन-ऐप ऑथेंटिकेशन का उपयोग करने को कहा गया है। यह बदलाव अपने स्वयं के ग्राहकों को ऑथेंटिकेट करने वाले बैंकों पर लागू होता है; यह अन्य व्यवसायों के लिए SMS कोड पर राष्ट्रीय प्रतिबंध नहीं है।
क्या CBUAE नियम ई-कॉमर्स, BNPL या डिलीवरी ऐप्स पर लागू होता है?
सार्वजनिक रिपोर्टिंग में इस निर्देश को बैंकों पर लागू बताया गया है। इसमें ई-कॉमर्स, डिलीवरी या अन्य गैर-बैंक ऐप्स का उल्लेख नहीं है। भुगतान के लिए सेंट्रल बैंक द्वारा लाइसेंस प्राप्त कंपनी को रेगुलेटर के साथ अपने स्वयं के लाइसेंस संबंधी दायित्वों की जांच करनी चाहिए, क्योंकि नोटिस का टेक्स्ट अभी तक प्रकाशित नहीं हुआ है।
UAE बैंक ग्राहकों के लिए SMS OTP की जगह किस चीज़ ने ली है?
इन-ऐप ऑथेंटिकेशन। ग्राहक SMS या ई-मेल द्वारा प्राप्त कोड टाइप करने के बजाय, अपने बैंक के मोबाइल ऐप में, आमतौर पर फोन के बायोमेट्रिक्स या ऐप PIN का उपयोग करके, भुगतान और संवेदनशील कार्यों को मंजूरी देते हैं।
क्या RBI अप्रैल 2026 से SMS OTP पर प्रतिबंध लगा रहा है?
नहीं। 1 अप्रैल 2026 से प्रभावी RBI निर्देश डिजिटल भुगतान के लिए कम से कम दो अलग-अलग ऑथेंटिकेशन फ़ैक्टर की आवश्यकता रखते हैं, जिसमें कार्ड-प्रेजेंट ट्रांजैक्शन को छोड़कर कम से कम एक डायनेमिक फ़ैक्टर होना चाहिए। वे किसी भी तकनीक को अनिवार्य या प्रतिबंधित नहीं करते हैं, और SMS OTP एक अनुमत फ़ैक्टर बना हुआ है। जारीकर्ताओं (Issuers) को गैर-अनुपालन वाले ट्रांजैक्शन से होने वाले नुकसान के लिए ग्राहकों को पूरी तरह से मुआवजा देना चाहिए।
BSP सर्कुलर नंबर 1213 क्या है?
यह Bangko Sentral ng Pilipinas का सर्कुलर है, जिस पर 30 मई 2025 को हस्ताक्षर किए गए थे, जो BSP-पर्यवेक्षित वित्तीय संस्थानों के लिए ऑथेंटिकेशन और धोखाधड़ी-प्रबंधन मानकों को अपडेट करता है। यह उन्हें SMS और ई-मेल OTPs जैसे इंटरसेप्ट करने योग्य ऑथेंटिकेशन को सीमित करने के लिए कहता है, और उच्च-वॉल्यूम वाले संस्थानों के लिए इसके प्रभावी होने की तारीख — लगभग 25 जून 2026 — के एक वर्ष के भीतर बायोमेट्रिक्स, पासवर्डलेस या एडेप्टिव ऑथेंटिकेशन को अपनाना आवश्यक है।
क्या फोन नंबर को सत्यापित करने के लिए अभी भी SMS OTP का उपयोग किया जा सकता है?
हाँ। तीनों में से कोई भी नियम साइन-अप के समय या नंबर बदलने पर यह साबित करने के लिए SMS कोड का उपयोग करने पर प्रतिबंध नहीं लगाता है कि उपयोगकर्ता का फोन नंबर पर नियंत्रण है। उस चेक को SIM-स्वैप लुकअप के साथ जोड़ने से इसका दुरुपयोग करना काफी कठिन हो जाता है।
क्या सऊदी अरब का SAMA SMS OTP पर प्रतिबंध लगा रहा है?
हमें 26 सितंबर 2026 तक SMS OTP को चरणबद्ध तरीके से समाप्त करने के लिए कोई आधिकारिक SAMA आदेश नहीं मिला है। SAMA की रूलबुक बैंकों के लिए अकाउंट ट्रांजेक्शन के लिए तत्काल SMS नोटिफिकेशन भेजना अनिवार्य बनाती है। ऑनलाइन प्रसारित हो रही SAMA समय सीमा के दावे केवल अटकलें हैं जब तक कि SAMA कोई आधिकारिक घोषणा न कर दे।
जब ऐप उपलब्ध न हो, तो बैंक को किसका उपयोग करना चाहिए?
यह रेगुलेटर पर निर्भर करता है: फिलीपींस का सर्कुलर SMS OTP पर प्रतिबंध लगाने के बजाय उसे सीमित करता है, और भारत इसे दो अलग-अलग कारकों में से एक के रूप में अनुमति देता है। प्रत्येक मार्केट के लिए एक दस्तावेजीकृत फ़ालबैक (fallback) डिज़ाइन करें — उदाहरण के लिए दूसरा डिवाइस-बाउंड तरीका या एक असिस्टेड चैनल — और SMS को फ़ालबैक के रूप में उपयोग करने से पहले अपने रेगुलेटर से इसकी जाँच कर लें।
स्रोत
- Reserve Bank of India — Authentication Mechanisms for Digital Payment Transactions Directions, 2025, 25 सितंबर 2025: rbi.org.in (26 सितंबर 2026 को एक्सेस किया गया)।
- Bangko Sentral ng Pilipinas — Circular No. 1213, Series of 2025, हस्ताक्षरित 30 मई 2025: bsp.gov.ph (26 सितंबर 2026 को एक्सेस किया गया)।
- Gulf News — "UAE बैंक 25 जुलाई से SMS और ईमेल के माध्यम से OTP भेजना बंद करेंगे", 24 जुलाई 2025: gulfnews.com।
- Khaleej Times — UAE बैंक 25 जुलाई से OTPs को चरणबद्ध तरीके से समाप्त करेंगे, 24 जुलाई 2025: khaleejtimes.com।
- Saudi Central Bank (SAMA) Rulebook — इंस्टेंट SMS नोटिफिकेशन सेवा: rulebook.sama.gov.sa (26 सितंबर 2026 को देखा गया)।