026 के प्रमुख मानकों में SMS वन-टाइम पासवर्ड प्रतिबंधित हैं, बैन नहीं किए गए हैं। NIST SP 800-63B-4 (जुलाई 2025) SMS और वॉइस कोड को एक "प्रतिबंधित" ऑथेंटिकेटर के रूप में वर्गीकृत करता है जिसे AAL2 में अभी भी अनुमति है यदि प्रदाता एक विकल्प प्रदान करता है और जोखिम समझाता है, लेकिन AAL3 में नहीं। PSD2 के तहत, European Banking Authority एक SMS OTP को पज़ेशन एलिमेंट के रूप में स्वीकार करती है। PCI DSS 4.0.1 SMS का नाम लिए बिना रिप्ले-रेसिस्टेंट (replay-resistant) और नॉन-बायपास करने योग्य MFA की आवश्यकता करता है। भारत के RBI ने 1 अप्रैल 2026 से स्पष्ट रूप से SMS OTP को बरकरार रखा है। वास्तविक प्रतिबंध अधिक सीमित हैं: सिंगापुर, हांगकांग, मलेशिया, यूएई और फिलीपींस के बैंकों ने लॉगिन या उच्च-जोखिम वाले लेनदेन को ऐप या डिवाइस-बाउंड ऑथेंटिकेशन पर स्थानांतरित कर दिया है। नीचे दिया गया प्रत्येक आवश्यकता का लिंक उसके स्रोत से जुड़ा है।
आधिकारिक टेक्स्ट के विरुद्ध 22 अक्टूबर 2026 को जांचा गया, सिवाय उन जगहों के जहाँ "रिपोर्ट किया गया" अंकित है। यह पेज प्रोडक्ट और सुरक्षा टीमों के लिए नियमों का सारांश देता है; यह कानूनी सलाह नहीं है।
नियमों पर एक नज़र
| मानक या रेगुलेटर | SMS OTP की स्थिति | मुख्य आवश्यकता | तारीख |
|---|---|---|---|
| NIST SP 800-63B-4 (US) | प्रतिबंधित; AAL2 में अनुमति है, लेकिन AAL3 में नहीं | एक विकल्प पेश करें, उपयोगकर्ताओं को जोखिम के बारे में बताएं, इसका आकलन करें; कोड सिंगल-यूज़ हैं, कम से कम 6 अंकों के हैं, और 10 मिनट के लिए वैध हैं | जुलाई 2025 |
| CISA गाइडेंस (US) | अत्यधिक लक्षित लोगों के लिए इसके विरुद्ध सलाह देता है | वरिष्ठ अधिकारियों को फ़िशिंग-प्रतिरोधी FIDO पर माइग्रेट करें | 18 Dec 2024 |
| PSD2 SCA पर RTS (EU) | कब्जे के तत्व (possession element) के रूप में स्वीकार किया गया | एक बार उपयोग होने वाला कोड; राशि और प्राप्तकर्ता के साथ डायनेमिक लिंकिंग; रेप्लिकेशन के विरुद्ध सुरक्षा | 14 Sep 2019 से लागू |
| PSD3 / PSR (EU) | कोई SMS-विशिष्ट नियम नहीं मिला | अभी तक लागू नहीं हुआ है | अक्टूबर 2026 तक लंबित |
| PCI DSS 4.0.1 | नाम नहीं दिया गया | CDE में सभी एक्सेस के लिए MFA; रिप्ले-रेसिस्टेंट, कोई बाईपास नहीं, टू-फ़ैक्टर प्रकार | 31 मार्च 2025 से अनिवार्य |
| MAS (सिंगापुर) | बैंक लॉगिन के लिए चरणबद्ध तरीके से समाप्त | डिजिटल टोकन वाले ग्राहक SMS OTP के बिना लॉगिन करते हैं | जुलाई 2024 से |
| HKMA (हांगकांग) | डिफ़ॉल्ट रूप से बाउंड डिवाइस | लॉगिन और हाई-रिस्क ट्रांजेक्शन बाउंड डिवाइस द्वारा; SMS जहाँ कोई ऐप न हो | 2025 (Q3–Q4 लक्ष्य) |
| HK SFC (ब्रोकर्स, वर्चुअल एसेट्स) | लॉगिन या डिवाइस बाइंडिंग के लिए नहीं | पासकीज़ या बाउंड डिवाइसेस | 8 जुलाई 2027 तक |
| BNM (मलेशिया) | माइग्रेशन आवश्यक है | अधिक सुरक्षित ऑथेंटिकेशन पर जाएँ | 26 Sep 2022 को घोषित |
| CBUAE (UAE) (रिपोर्ट किया गया) | बैंक OTP के लिए चरणबद्ध तरीके से समाप्त | इन-ऐप ऑथेंटिकेशन पर जाएँ | 25 जुलाई 2025 – 31 मार्च 2026 |
| RBI (भारत) | अनुमत | दो कारक, एक डायनेमिक; SMS OTP बंद नहीं किया गया है | 1 Apr 2026 से |
| BSP सर्कुलर 1213 (फिलीपींस) | बड़े संस्थानों के लिए सीमित | उच्च-जोखिम के लिए बायोमेट्रिक, व्यवहारिक या पासवर्डलेस; SMS में कोई लिंक नहीं | जून 2026 तक कंप्लायंस |
NIST SP 800-63B-4: प्रतिबंधित, बैन नहीं किया गया
NIST ने जुलाई 2025 में अंतिम SP 800-63B-4 प्रकाशित किया, जो 800-63-3 का स्थान लेता है। यह सार्वजनिक टेलीफोन नेटवर्क (SMS या वॉइस) के माध्यम से भेजे गए वन-टाइम कोड को एक **प्रतिबंधित ऑथेंटिकेटर** (सेक्शन 3.2.9) मानता है। जो प्रोवाइडर इनका उपयोग करता है, उसे कम से कम एक ऐसा विकल्प देना होगा जो प्रतिबंधित न हो, उपयोगकर्ताओं को जोखिमों के बारे में सार्थक सूचना देनी होगी, अपने जोखिम मूल्यांकन में उन्हें शामिल करना होगा और एक माइग्रेशन प्लान रखना होगा; यदि रिलायंस पार्टी जोखिम को अस्वीकार्य मानती है, तो इसका उपयोग नहीं किया जाना चाहिए।
- **आश्वासन स्तर (Assurance levels):** आउट-ऑफ-बैंड कोड AAL2 पर पासवर्ड या बायोमेट्रिक के साथ मिलकर उपयोग किए जा सकते हैं, लेकिन AAL3 पर नहीं, जिसमें फ़िशिंग-प्रतिरोधी क्रिप्टोग्राफ़िक ऑथेंटिकेटर्स की आवश्यकता होती है। AAL2 वेरीफायर को कम से कम एक फ़िशिंग-प्रतिरोधी विकल्प देना होगा।
- **कोड नियम:** एक स्वीकृत रैंडम जनरेटर से कम से कम 6 अंक, केवल एक बार स्वीकार्य, और 10 मिनट से अधिक के लिए वैध नहीं; अधिकतम 100 लगातार विफल प्रयासों के बाद लॉक कर दें।
- **जोखिम संकेत:** कोड भेजने से पहले, वेरीफायर को डिवाइस स्वैप, SIM परिवर्तन और नंबर पोर्टिंग की जांच करनी चाहिए (यह एक "चाहिए" है, "होगा" नहीं)।
- **Email** का उपयोग आउट-ऑफ-बैंड ऑथेंटिकेटर के रूप में नहीं किया जाएगा।
SIM-परिवर्तन और पोर्टिंग जांच के लिए, Number Verify और SIM Swap APIs और SIM swap धोखाधड़ी बचाव देखें।
CISA: अत्यधिक लक्षित लोगों के लिए
CISA के Mobile Communications Best Practice Guidance के अनुसार, जो 18 दिसंबर 2024 को जारी किया गया था: "प्रमाणीकरण के दूसरे कारक के रूप में SMS का उपयोग न करें," क्योंकि SMS एन्क्रिप्टेड नहीं है और "phishing-resistant नहीं है और इसलिए अत्यधिक लक्षित व्यक्तियों के खातों के लिए यह मजबूत प्रमाणीकरण नहीं है"। इसका लक्षित समूह वरिष्ठ सरकारी और राजनीतिक हस्तियां हैं, और यह FIDO को एकमात्र phishing-resistant विधि के रूप में अनुशंसित करता है। यह एक मार्गदर्शन है, उपभोक्ता सेवाओं के लिए कोई नियम नहीं।
EU: PSD2 SMS OTP को स्वीकार करता है; PSD3 अभी कानून नहीं है
strong customer authentication पर नियामक तकनीकी मानक (Delegated Regulation (EU) 2018/389), जो 14 सितंबर 2019 से लागू है, भुगतान में उपयोग किए जाने वाले किसी भी वन-टाइम कोड के लिए मानक निर्धारित करते हैं:
- **Article 4:** प्रमाणीकरण कोड केवल एक बार स्वीकार किया जाता है और इसे जाली नहीं बनाया जा सकता; ब्लॉक होने से पहले अधिकतम 5 लगातार विफल प्रयास; लॉगिन के बाद अधिकतम 5 मिनट की निष्क्रियता।
- **Article 5 (dynamic linking):** भुगतानकर्ता को राशि और प्राप्तकर्ता दिखाया जाता है, और कोड विशेष रूप से उनके लिए होता है; कोई भी बदलाव इसे अमान्य कर देता है।
- **Article 7:** कब्जे वाले तत्वों (possession elements) को अनधिकृत उपयोग और प्रतिकृति (replication) के विरुद्ध उपायों की आवश्यकता होती है।
- **Article 9:** तत्व स्वतंत्र होने चाहिए; फोन जैसे बहु-उद्देश्यीय डिवाइस पर, अलग सुरक्षित निष्पादन (secure execution) और छेड़छाड़ का पता लगाने (tamper detection) की आवश्यकता होती है।
EBA ने Q&A 2018_4039 में पुष्टि की है कि यदि SMS OTP को रेप्लिकेशन (replication) के विरुद्ध सुरक्षित रखा जाता है, तो इसे एक पजेशन एलिमेंट (possession element) माना जा सकता है, और उनकी जून 2019 की राय में SMS के माध्यम से OTP को एक वैध पजेशन एलिमेंट के रूप में सूचीबद्ध किया गया है। PSD3 और पेमेंट सर्विसेज रेगुलेशन (Payment Services Regulation) पर नवंबर 2025 में राजनीतिक सहमति बन गई थी, लेकिन 22 अक्टूबर 2026 तक, वे अभी भी अंतिम रूप से अपनाने और प्रकाशन की प्रतीक्षा कर रहे हैं; हमें सहमत टेक्स्ट में SMS OTP को लक्षित करने वाला कोई प्रावधान नहीं मिला।
PCI DSS 4.0.1: SMS का नाम नहीं दिया गया है
PCI DSS 4.0.1 कार्डधारक डेटा एनवायरनमेंट (cardholder data environment) में सभी एक्सेस के लिए मल्टी-फैक्टर ऑथेंटिकेशन (multi-factor authentication) की आवश्यकता रखता है (आवश्यकता 8.4.2) और यह निर्धारित करता है कि MFA कैसे काम करना चाहिए (8.5.1): रीप्ले (replay) के प्रति प्रतिरोधी, बिना किसी दस्तावेजीकृत, समय-सीमित अपवाद के बायपास करना असंभव, कम से कम दो अलग-अलग फैक्टर प्रकारों का उपयोग करना, जिसमें प्रत्येक फैक्टर का सफल होना आवश्यक है। दोनों 31 मार्च 2025 को अनिवार्य हो गए। मानक SMS को प्रतिबंधित नहीं करता है (रिपोर्ट की गई शब्दावली; मानक स्वयं लाइसेंस-गेटेड है); PCI SSC का MFA information supplement केवल SMS के बारे में NIST की पिछली सावधानी का उल्लेख करता है।
एशिया-प्रशांत रेगुलेटर्स
- **सिंगापुर:** MAS और एसोसिएशन ऑफ बैंक्स इन सिंगापुर ने 9 जुलाई 2024 को घोषणा की कि प्रमुख रिटेल बैंक उन ग्राहकों के लिए तीन महीने के भीतर लॉगिन के लिए OTP को चरणबद्ध तरीके से समाप्त कर देंगे जिनके पास डिजिटल टोकन है (MAS release)। फिजिकल टोकन वाले ग्राहक इससे प्रभावित नहीं हुए।
- **हांगकांग (बैंक):** HKMA का 14 अप्रैल 2025 का सर्कुलर लॉगिन और उच्च-जोखिम वाले लेनदेन के लिए SMS OTP के बजाय एक बाउंड डिवाइस (bound device) को डिफॉल्ट बनाता है, जिसके लक्ष्य Q3 और Q4 2025 में निर्धारित हैं। ऐप के बिना या जो लोग इसमें शामिल होना चुनते हैं, उनके लिए SMS OTP अभी भी संभव है (HKMA circular)।
- **हांगकांग (ब्रोकर्स और वर्चुअल-एसेट प्लेटफॉर्म):** SFC का 9 जुलाई 2026 का सर्कुलर 26EC35, 8 जुलाई 2027 तक, पासकी (passkeys) या बाउंड डिवाइस के पक्ष में, क्लाइंट लॉगिन और डिवाइस बाइंडिंग के लिए OTP पर रोक लगाता है।
- **मलेशिया:** बैंक नेगारा मलेशिया ने वित्तीय संस्थानों को SMS OTP से अधिक सुरक्षित ऑथेंटिकेशन पर माइग्रेट करने की आवश्यकता बताई, जिसकी घोषणा 26 सितंबर 2022 को की गई थी (BNM)।
- **भारत:** RBI के डिजिटल पेमेंट ट्रांजेक्शन ऑथेंटिकेशन मैकेनिज्म डायरेक्शंस, 2025, के अनुसार 1 अप्रैल 2026 से एक डायनेमिक के साथ दो फ़ैक्टर की आवश्यकता होगी; RBI ने कहा है कि यह फ्रेमवर्क "SMS आधारित OTP को बंद करने की मांग नहीं करता है" (RBI)।
- **फिलीपींस:** BSP सर्कुलर 1213, जिस पर मई 2025 में हस्ताक्षर किए गए थे, बड़े संस्थानों के लिए SMS OTP जैसे इंटरसेप्ट होने योग्य ऑथेंटिकेशन पर सीमा लगाता है, उच्च-जोखिम वाले ट्रांजेक्शन के लिए बायोमेट्रिक, बिहेवियरल या पासवर्डलेस तरीकों की आवश्यकता होती है और SMS में लिंक और QR कोड पर रोक लगाता है, जिसका कंप्लायंस जून 2026 तक पूरा होना चाहिए (BSP)।
खाड़ी देश
सेंट्रल बैंक के नोटिस की रिपोर्टों के अनुसार, UAE में बैंकों ने 25 जुलाई 2025 और 31 मार्च 2026 के बीच ग्राहकों को SMS और ईमेल OTP से हटाकर इन-ऐप ऑथेंटिकेशन पर स्थानांतरित कर दिया; कोई भी सार्वजनिक CBUAE टेक्स्ट उपलब्ध नहीं था। UAE में गैर-बैंक सेंडर अभी भी व्यापक रूप से SMS OTP का उपयोग करते हैं। बैंकों द्वारा प्रतिबंध लगाने के बाद SMS OTP देखें और A2P मैसेजिंग रेगुलेशन टाइमलाइन देखें।
सामान्य गलतफहमियाँ
- **"NIST ने SMS पर प्रतिबंध लगा दिया है।"** नहीं। SMS एक प्रतिबंधित ऑथेंटिकेटर है, जिसे शर्तों के तहत AAL2 पर अनुमति दी गई है और केवल AAL3 पर ही बाहर रखा गया है।
- **"PSD2 SMS OTP को वर्जित करता है।"** नहीं। EBA इसे एक पजेशन एलिमेंट के रूप में स्वीकार करता है; सख्त आवश्यकताएं डायनेमिक लिंकिंग और रेप्लिकेशन के खिलाफ सुरक्षा हैं।
- **"PCI DSS 4.0 SMS MFA पर प्रतिबंध लगाता है।"** नहीं। यह रिप्ले-रेसिस्टेंट, नॉन-बायपास करने योग्य MFA की मांग करता है और SMS का नाम नहीं लेता है।
- **"CISA ने सभी को SMS का उपयोग बंद करने के लिए कहा है।"** यह बढ़ा-चढ़ाकर कहा गया है। यह मार्गदर्शन विशेष रूप से लक्षित सरकारी और राजनीतिक व्यक्तियों पर केंद्रित है।
- **"PSD3 पहले से ही कानून है।"** 22 October 2026 तक ऐसा नहीं है।
- **"भारत SMS OTP को चरणबद्ध तरीके से समाप्त कर रहा है।"** नहीं। RBI ने स्पष्ट रूप से इसे बंद करने की आवश्यकता नहीं बताई थी।
- **"सिंगापुर ने SMS OTP पर प्रतिबंध लगा दिया है।"** यह अधिक सीमित है: डिजिटल टोकन वाले ग्राहकों के लिए बैंक लॉगिन।
इन मानकों को पूरा करने वाले SMS OTP के लिए एक चेकलिस्ट
- एक क्रिप्टोग्राफ़िक रूप से सुरक्षित रैंडम जनरेटर से कम से कम 6 अंकों के कोड जेनरेट करें; प्रत्येक को केवल एक बार स्वीकार करें; उन्हें 10 मिनट के भीतर समाप्त (expire) कर दें (पेमेंट के लिए 5 मिनट सामान्य है)।
- प्रयासों को सीमित करें: 5 लगातार विफलताओं के बाद PSD2 ब्लॉक कर देता है; NIST लॉकआउट से पहले अधिकतम 100 प्रयासों की अनुमति देता है।
- EU में भुगतान के लिए, मैसेज में राशि और प्राप्तकर्ता को दिखाएं और कोड को उनके साथ जोड़ें (डायनामिक लिंकिंग)।
- हाई-रिस्क सेशन में कोड भेजने से पहले SIM-चेंज और नंबर-पोर्टिंग सिग्नल्स की जाँच करें।
- कम से कम एक मजबूत विकल्प (ऐप पुश, पासकी, FIDO) प्रदान करें और SMS को फ़ालबैक और रिकवरी चैनल के रूप में रखें।
- OTP ट्रैफिक को ट्रांजैक्शनल रखें: कोड मैसेज में कोई लिंक या ऑफर न दें, जिससे यह मार्केटिंग के शांत घंटों (quiet hours) और लिंक ब्लॉक से भी बाहर रहता है।
- एक SMS फ़ायरवॉल द्वारा सुरक्षित, सीधे और मॉनिटर किए गए ऑपरेटर रूट्स के माध्यम से भेजें, ताकि कोड को इंटरसेप्ट, डिले या पंप न किया जा सके।
BroadNet का OTP API मल्टीचैनल फ़ालबैक के साथ 1,000+ सीधे ऑपरेटर कनेक्शन के माध्यम से कोड डिलीवर करता है; मल्टीचैनल OTP वेरिफ़िकेशन, SMS OTP से पासकी तक देखें और, ऑपरेटरों के लिए, SMS फ़ायरवॉल और SS7 सुरक्षा देखें।
अक्सर पूछे जाने वाले प्रश्न
क्या 2026 में भी SMS OTP की अनुमति है?
हाँ, अधिकांश मानकों में। NIST SP 800-63B-4 इसे प्रतिबंधित लेकिन AAL2 पर अनुमत मानता है, PSD2 इसे एक पज़ेशन एलिमेंट के रूप में स्वीकार करता है, PCI DSS इस पर रोक नहीं लगाता है और भारत के RBI ने इसे बनाए रखा है। सिंगापुर के MAS, हांगकांग के HKMA और फिलीपींस के BSP सहित कुछ रेगुलेटर्स ने बैंक लॉगिन या हाई-रिस्क ट्रांजेक्शन को अधिक मजबूत तरीकों पर स्थानांतरित कर दिया है।
क्या NIST ने SMS टू-फ़ैक्टर ऑथेंटिकेशन पर प्रतिबंध लगा दिया है?
नहीं। NIST SP 800-63B-4 (जुलाई 2025) SMS और वॉइस कोड को एक प्रतिबंधित ऑथेंटिकेटर मानता है: प्रदाताओं को एक गैर-प्रतिबंधित विकल्प देना होगा, जोखिम समझाना होगा और उसका आकलन करना होगा। AAL2 में SMS की अनुमति है लेकिन AAL3 में नहीं, जिसमें फ़िशिंग-प्रतिरोधी ऑथेंटिकेटर्स की आवश्यकता होती है।
क्या SMS OTP PSD2 कंप्लायंट है?
यह हो सकता है। EBA का Q&A 2018_4039 एक SMS OTP को पज़ेशन एलिमेंट के रूप में स्वीकार करता है यदि इसे रेप्लिकेशन से सुरक्षित रखा गया हो, और भुगतान के लिए, स्ट्रॉन्ग कस्टमर ऑथेंटिकेशन पर RTS के अनुच्छेद 5 के तहत कोड को राशि और प्राप्तकर्ता से डायनामिक रूप से लिंक किया जाना चाहिए।
क्या PCI DSS 4.0 MFA के लिए SMS की अनुमति देता है?
PCI DSS 4.0.1 SMS का नाम नहीं लेता और न ही इस पर प्रतिबंध लगाता है। आवश्यकताएँ 8.4.2 और 8.5.1, जो 31 मार्च 2025 से अनिवार्य हैं, कार्डधारक डेटा एनवायरनमेंट में सभी एक्सेस के लिए MFA की आवश्यकता करती हैं जो रीप्ले को रोकता हो, जिसे बायपास न किया जा सके और जिसमें कम से कम दो अलग-अलग फ़ैक्टर प्रकारों का उपयोग किया गया हो।
एक SMS OTP कितने समय तक वैध होना चाहिए?
NIST SP 800-63B-4 के तहत 10 मिनट से अधिक नहीं, और प्रत्येक कोड का उपयोग केवल एक बार किया जा सकता है। कई पेमेंट फ्लो PSD2 की इनएक्टिविटी लिमिट के अनुरूप 5 मिनट या उससे कम समय का उपयोग करते हैं।
बैंकिंग के लिए कौन से देश SMS OTP पर प्रतिबंध लगाते हैं?
सिंगापुर (बैंक लॉगिन, डिजिटल टोकन वाले ग्राहकों के लिए, 2024 से), हांगकांग (2025 तक बैंक लॉगिन और हाई-रिस्क ट्रांजैक्शन के लिए डिफ़ॉल्ट रूप से बाउंड डिवाइसेस; जुलाई 2027 तक ब्रोकर्स के लिए), मलेशिया (2022 से माइग्रेशन आवश्यक), यूएई (रिपोर्ट के अनुसार, मार्च 2026 तक बैंक OTP इन-ऐप स्थानांतरित), और फिलीपींस (जून 2026 तक बड़े संस्थानों में हाई-रिस्क ट्रांजैक्शन)।
क्या PSD3 लागू है?
22 अक्टूबर 2026 तक नहीं। PSD3 और Payment Services Regulation नवंबर 2025 में राजनीतिक सहमति पर पहुँच गए थे और अब अंतिम रूप से अपनाने और Official Journal में प्रकाशन की प्रतीक्षा कर रहे हैं।
SMS के माध्यम से OTP भेजने का सबसे सुरक्षित तरीका क्या है?
कम से कम 6 रैंडम डिजिट वाले सिंगल-यूज़ कोड का उपयोग करें जो कुछ ही मिनटों में समाप्त हो जाएं, प्रयासों को सीमित करें, जोखिम भरे सत्रों के लिए SIM-स्वैप और पोर्टिंग सिग्नल की जाँच करें, मैसेज को लिंक से मुक्त रखें, और SMS फ़ायरवॉल द्वारा सुरक्षित ऑपरेटरों से सीधे कनेक्शन के माध्यम से डिलीवर करें, साथ ही एक अधिक मजबूत तरीका भी उपलब्ध कराएं।