ada 23 Agustus 2026, Bank Sentral Mesir (CBE) mengeluarkan Peraturan yang Mengatur Layanan Platform Identitas Finansial Digital, buku panduan untuk membuka rekening bank dan memverifikasi nasabah secara jarak jauh (eKYC). Untuk verifikasi SMS, poin utamanya singkat: bank yang memverifikasi nasabah melalui aplikasinya sendiri harus mengonfirmasi bahwa nomor seluler tersebut milik nasabah, dan berada dalam penguasaan mereka, dengan mengirimkan pesan teks yang berisi kode OTP (OTP). Aturan dompet CBE yang lebih lama, yang masih dipublikasikan, menyatakan bahwa SMS tidak boleh mengirimkan faktor kedua untuk tindakan berisiko tinggi. Panduan ini menguraikan apa yang dinyatakan oleh setiap aturan dan bagaimana BroadNet menyarankan bank, dompet, dan fintech di Mesir untuk merancang OTP berdasarkan aturan tersebut.
Panduan ini merangkum teks regulasi publik per 10 Oktober 2026. Ini adalah informasi umum, bukan nasihat hukum — konfirmasikan kewajiban Anda kepada Bank Sentral Mesir, NTRA, PDPC, atau penasihat hukum Anda sebelum mengandalkannya.
Poin-poin utama
- Dewan CBE menyetujui regulasi Identitas Finansial Digital (DFI) pada 17 Juni 2026; sebuah surat edaran tertanggal 23 Agustus 2026 telah mengirimkannya ke bank-bank. Aturan ini berlaku untuk semua bank di Mesir, entitas berlisensi yang dapat bergabung dengan platform, dan agen perbankan yang diotorisasi CBE.
- Bank yang memverifikasi nasabah di aplikasinya sendiri harus memeriksa kepemilikan nomor seluler "dengan mengirimkan pesan teks yang berisi Kode OTP (OTP)", kemudian mengikat sertifikat DFI ke perangkat tersebut.
- Platform ini melakukan autentikasi dengan empat mekanisme: sertifikat DFI yang terikat pada perangkat, OTP, PIN Global enam digit, dan biometrik.
- Ini dapat menggantikan tanda tangan tulisan tangan untuk transaksi non-finansial; autentikasi transaksi finansial memerlukan persetujuan CBE terpisah.
- Aturan pembayaran seluler CBE (April 2021) mewajibkan dua faktor untuk tindakan dompet digital berisiko tinggi dan menyatakan bahwa OTP tidak boleh dikirim secara otomatis dan langsung melalui SMS atau email untuk hal tersebut. SMS tetap menjadi saluran resmi untuk peringatan.
- Menurut PDPC, data yang dipegang oleh CBE dan entitas yang diawasinya berada di luar undang-undang perlindungan data, kecuali perusahaan transfer uang dan kantor penukaran valuta asing.
Apa yang diterbitkan oleh Bank Sentral Mesir pada Agustus 2026?
Rilis CBE pada 23 Agustus 2026 menyatakan bahwa Dewan telah menyetujui "peraturan yang mengatur layanan Platform Identitas Finansial Digital (DFI) untuk mengidentifikasi nasabah bank dan memverifikasi identitas mereka secara elektronik (eKYC)"; surat edaran yang menaunginya mencatat persetujuan Dewan pada 17 Juni 2026. Gubernur Hassan Abdalla mengatakan bahwa platform tersebut memungkinkan warga untuk membuka rekening dan mendapatkan produk perbankan melalui saluran digital tanpa harus mengunjungi cabang, dengan penerimaan syarat secara elektronik dan autentikasi elektronik "sebagai alternatif tanda tangan tulisan tangan".
Aturan tersebut mencakup eKYC (identifikasi, verifikasi, dan pembaruan identitas), autentikasi elektronik transaksi, perintah pembayaran dan transfer serta penerimaan syarat, dan pembagian DFI nasabah di antara para peserta. Platform ini dijalankan di dalam Mesir oleh Digital Financial Identity Company, "Haweya", yang membaca data ID nasional melalui sumber terpercaya seperti Organisasi Status Sipil, ditambah pembacaan chip NFC dan deteksi liveness. Surat edaran Agustus menyatakan bahwa unit anti-pencucian uang (EMLCU) akan mengeluarkan prosedur identifikasi elektronik; surat edaran CBE tanggal 28 September 2026 menyatakan bahwa EMLCU telah menyetujui edisi pertama mereka pada bulan tersebut. Tidak ada satu pun dari teks ini yang menetapkan tenggat waktu kepatuhan terpisah.
Di mana SMS OTP muncul dalam peraturan DFI?
| Klausul (peraturan DFI) | Apa yang tertulis | Apa artinya bagi OTP |
|---|---|---|
| 4, Kedua, 2.1 | Bank yang menggunakan aplikasinya sendiri harus memverifikasi bahwa nomor seluler tersebut milik pelanggan dan berada dalam penguasaan mereka melalui SMS yang berisi OTP | SMS OTP adalah pemeriksaan kepemilikan saat onboarding — hal ini harus mencapai nomor yang terdaftar pada percobaan pertama |
| 4, Kedua, 2.2 | Kemudian terbitkan sertifikat DFI dan hubungkan ke perangkat serta aplikasi pelanggan | Login rutin mengandalkan perangkat yang telah terhubung; SMS menjadi saluran pemulihan dan pengikatan ulang |
| 5, item 7.2 | Haweya menawarkan empat mekanisme: DFI sertifikat pada aplikasi dan perangkat yang sama, OTP, Global PIN, biometrik | OTP adalah salah satu dari empat faktor, bukan keseluruhan model |
| 4, Pertama, 7 | Beritahu pelanggan bahwa pembuatan DFI telah selesai melalui lebih dari satu metode | Pasangkan konfirmasi SMS dengan pemberitahuan di dalam aplikasi atau email |
| 4, Kelima, 1 | Pantau login gagal yang berulang dan upaya autentikasi yang salah dalam periode singkat; segera hubungi pelanggan | Catat setiap upaya OTP dan berikan peringatan pada lonjakan kegagalan |
Kontrol di sekitarnya juga ketat: deteksi root dan jailbreak serta certificate pinning di dalam aplikasi, pemberitahuan insiden kepada CBE dalam waktu enam jam, pemberitahuan 48 jam untuk pemadaman terencana, dan — sebelum peluncuran — uji penetrasi, laporan SOC 2 Tipe 1 (Tipe 2 dalam enam bulan) serta penilaian dampak privasi.
Apakah SMS OTP sudah cukup untuk pembayaran di Mesir?
Tidak untuk setiap tindakan. Peraturan Layanan Pembayaran Seluler CBE (edisi ketiga, April 2021) mendefinisikan aktivitas berisiko tinggi termasuk perintah pembayaran ke beberapa penerima sekaligus, perintah yang dikecualikan dari batas transfer, dan perubahan rincian kontak. Untuk hal tersebut, bank harus menggunakan dua sarana secara bersamaan dan tidak boleh memberikan kode OTP secara "otomatis dan langsung" melalui SMS atau email; OTP dari perangkat token atau aplikasi harus setidaknya enam karakter dan berlaku tidak lebih dari 90 detik. Transaksi lainnya diautentikasi ulang dengan PIN setidaknya enam digit, dengan maksimal lima kali upaya gagal sebelum penangguhan. SMS tetap memiliki tugas yang ditentukan: bank harus memperingatkan pengguna dompet tentang transaksi dan aktivitas berisiko tinggi melalui SMS atau email kecuali jika mereka memilih untuk tidak menerimanya, dan perintah pembayaran tidak dapat dibuat melalui SMS, meskipun SMS dapat mengonfirmasinya.
Aturan Instant Payment Network (IPN) pada Oktober 2021 mewajibkan dua faktor untuk setiap pembayaran IPN: pengikatan perangkat secara keras (sidik jari perangkat ditambah nomor) dan PIN IPN enam digit, dengan OTP yang hanya ditangani di dalam pustaka aman jaringan tersebut. Bank harus memberi tahu nasabah tentang transaksi "melalui pesan teks atau metode lain yang disetujui". Aturan tokenisasi kartu CBE pada Maret 2023 memberikan SMS OTP pada ponsel yang terdaftar di bank sebagai salah satu cara untuk memverifikasi pemegang kartu.
| Momen dalam perjalanan | Peran SMS dalam teks CBE | Sumber |
|---|---|---|
| onboarding eKYC di aplikasi bank itu sendiri | Diperlukan: SMS OTP membuktikan kepemilikan nomor tersebut | peraturan DFI 2026, 4-Second-2.1 |
| Membuka dompet digital untuk pelanggan yang sudah ada | Bank harus mengonfirmasi kepemilikan atau penguasaan nomor tersebut | aturan pembayaran seluler 2021, 3-3-20 |
| Menambahkan kartu ke dompet perangkat | SMS OTP ke ponsel yang terdaftar adalah salah satu contoh metode | Aturan tokenisasi 2023, 3-2-5 |
| Tindakan dompet berisiko tinggi | Dua faktor; OTP tidak dikirim secara otomatis dan langsung oleh SMS atau email | Aturan pembayaran seluler 2021, 3-4-5-1 |
| Pembayaran IPN | Pengikatan perangkat + PIN IPN | Aturan IPN 2021, 4-7 hingga 4-9 |
| Peringatan transaksi | disebut sebagai saluran SMS | Aturan pembayaran seluler 3-6-8; aturan IPN 3-1-9 |
SMS membuktikan nomor, mengikat perangkat, dan memberikan informasi kepada pelanggan; tindakan terkuat bergantung pada perangkat ditambah PIN atau biometrik. Kami membandingkan UEA, India, dan Filipina dalam Apakah SMS OTP dilarang?.
Apa arti aturan NTRA bagi pesan OTP ke Mesir?
National Telecom Regulatory Authority (NTRA) melisensikan SMS massal di bawah kerangka kerjanya untuk layanan nilai tambah seluler, yang mendefinisikan "Bulk SMS (One to One)" — kategori tempat OTP bernaung. Pemegang lisensi harus mencantumkan nama entitas pengirim di setiap pesan, yang didahului oleh kode yang ditetapkan NTRA; memberitahu NTRA mengenai nama dan sender ID setiap pelanggan sebelum melakukan kontrak; memastikan pengirim berada di Mesir; dan tidak mengarahkan pesan internasional ke Mesir tanpa persetujuan tertulis sebelumnya dari NTRA. Jadi, OTP bank memerlukan sender ID terdaftar yang mencantumkan nama bank, yang dikirim melalui saluran lokal berlisensi.
Halaman cakupan Mesir milik BroadNet mencantumkan terminasi berlisensi dengan koneksi langsung ke Vodafone Egypt, Orange Egypt, e& Egypt dan WE, serta registrasi sender ID dalam 7–14 hari kerja; dokumennya tersedia di panduan A2P SMS Mesir kami dan registrasi sender ID di Mesir. Dari sisi operator, e& Egypt menjalankan firewall A2P milik BroadNet terhadap rute abu-abu. Aturan dompet NTRA menambahkan bahwa setiap nomor hanya dapat membuka satu dompet dan tidak ada transaksi yang selesai tanpa PIN pelanggan, sehingga nomor telepon adalah identitas dompet — periksa adanya penukaran SIM dan nomor yang didaur ulang (Verifikasi Nomor dan SIM Swap API).
Bagaimana hukum perlindungan data Mesir memperlakukan trafik OTP?
Undang-Undang No. 151 Tahun 2020 kini telah memiliki peraturan pelaksana, yang dikutip oleh Personal Data Protection Centre (PDPC) sebagai Peraturan Pelaksana No. 816 Tahun 2025. PDPC mencantumkan "data pribadi yang dipegang oleh Central Bank of Egypt dan entitas di bawah pengawasan serta kendalinya, kecuali perusahaan transfer uang dan kantor penukaran uang" di antara pengecualiannya, sehingga bank mengikuti aturan data CBE seperti kontrol DFI; apakah sebuah fintech termasuk dalam pengecualian tersebut adalah pertanyaan untuk penasihat hukum. Di mana hukum ini berlaku, kebutuhan kontraktual adalah dasar hukum yang sah — kesesuaian untuk kode yang diminta pengguna — sementara pemasaran memerlukan persetujuan eksplisit, opsi berhenti (opt-out) yang bebas, dan kemungkinan lisensi e-marketing. Pelanggaran harus dilaporkan ke PDPC dalam waktu 72 jam, dan transfer ke luar negeri memerlukan lisensi atau izin PDPC, jadi tanyakan kepada vendor di mana log pesan disimpan (residensi data).
Bagaimana bank dan dompet digital di Mesir harus merancang OTP?
Rekomendasi BroadNet untuk memenuhi aturan ini:
- Gunakan SMS OTP untuk pemeriksaan kepemilikan saat onboarding, lalu ikat perangkat; simpan SMS untuk pemulihan dan pengikatan ulang.
- Untuk tindakan dompet digital berisiko tinggi, gunakan kode dalam aplikasi atau token ditambah faktor kedua, lalu kirimkan peringatan SMS.
- Daftarkan sender ID OTP khusus dengan nama merek Anda, terpisah dari pemasaran, pada rute lokal berlisensi.
- Letakkan kode di bagian awal. Bahasa Arab menggunakan UCS-2, sehingga satu SMS hanya menampung 70 karakter, bukan 160 (panduan pengodean); tambahkan baris autofill.
- Gunakan masa kedaluwarsa yang singkat, batasi jumlah percobaan, dan simpan log lengkap pengiriman, laporan pengiriman, serta verifikasi — aturan DFI mewajibkan pemantauan terhadap autentikasi yang gagal.
- Jika tidak ada laporan pengiriman yang tiba dalam jendela waktu Anda, coba sekali lagi melalui rute lain, lalu tawarkan voice OTP; jangan pernah mengirim ulang tanpa henti.
- Periksa adanya penukaran SIM sebelum mengirim ke nomor yang baru saja diubah (penipuan penukaran SIM).
- Masukkan metrik OTP ke dalam proses penipuan dan insiden (buku panduan pemantauan OTP bank).
Platform OTP API milik BroadNet mencakup pola ini: SMS dengan fallback suara otomatis saat tidak ada laporan pengiriman yang kembali, penanganan sender-ID per tujuan, dan laporan pengiriman pada setiap upaya. Harga daftar di Mesir mulai dari $0,028 per SMS di e& Egypt (Etisalat Misr), $0,030 di Vodafone Egypt, $0,032 di Orange Egypt, dan $0,035 di WE (harga SMS di Mesir); untuk pertanyaan vendor, lihat penyedia SMS terbaik di Mesir.
BroadNet telah menjalankan perpesanan kelas operator sejak 2003, dengan 1.000+ koneksi langsung ke operator, SLA 99,99% dan SOC 2 Type II. Minta akses uji coba dan seorang teknisi akan membalas dalam satu hari kerja; integrasi biasanya memakan waktu 2–5 hari kerja, dengan persetujuan sender-ID yang berjalan bersamaan.
Pertanyaan yang sering diajukan
Apa itu platform Identitas Finansial Digital CBE?
Platform yang disetujui CBE untuk membuat identitas finansial digital pelanggan dan memverifikasi pelanggan secara elektronik (eKYC), yang dijalankan di Mesir oleh Digital Financial Identity Company, Haweya. Aturannya diterbitkan dalam surat edaran CBE tertanggal 23 Agustus 2026.
Apakah aturan eKYC CBE memerlukan SMS OTP?
Ya, dalam satu kasus: bank yang memverifikasi identitas di aplikasinya sendiri harus mengonfirmasi kepemilikan nomor seluler dengan SMS OTP sebelum menautkan sertifikat DFI ke perangkat tersebut. OTP juga merupakan salah satu dari empat mekanisme autentikasi platform tersebut.
Siapa yang harus mematuhi regulasi DFI?
Semua bank yang beroperasi di Mesir, entitas berlisensi yang memenuhi syarat untuk bergabung dengan platform, dan agen perbankan yang diotorisasi CBE. Aturan ini merupakan standar minimum di atas aturan perbankan elektronik, AML/CFT, dan risiko operasional dari CBE.
Dapatkah platform DFI mengautentikasi pembayaran?
Bank dapat menggunakannya untuk transaksi non-finansial sebagai pengganti tanda tangan basah. Mengautentikasi transaksi finansial memerlukan persetujuan CBE tambahan dan kepatuhan terhadap kontrol autentikasi elektroniknya.
Dapatkah dompet seluler di Mesir menggunakan SMS OTP untuk transfer?
Tidak untuk tindakan berisiko tinggi seperti membayar beberapa penerima manfaat sekaligus: aturan pembayaran seluler 2021 mewajibkan autentikasi dua faktor dan melarang pengiriman OTP tersebut secara otomatis dan langsung melalui SMS atau email. Transaksi lain menggunakan PIN, dan SMS digunakan untuk mengirimkan peringatan.
Apakah PDPL Mesir berlaku untuk data OTP bank?
Menurut PDPC, data yang dipegang oleh CBE dan entitas yang diawasinya berada di luar PDPL, kecuali perusahaan transfer uang dan kantor penukaran valuta asing. Kedua jenis tersebut, serta bisnis di luar pengawasan CBE, dicakup oleh undang-undang.
Apakah pesan OTP ke Mesir memerlukan sender ID yang terdaftar?
Ya. Kerangka kerja NTRA mewajibkan nama pengirim dalam setiap pesan dan sender ID harus didaftarkan ke NTRA sebelum kontrak pelanggan dimulai.
Dapatkah rute internasional mengirimkan OTP ke Mesir?
Tidak tanpa persetujuan: pemegang lisensi NTRA tidak boleh membawa pesan internasional ke Mesir tanpa persetujuan tertulis sebelumnya dari NTRA. Gunakan penyedia yang melakukan terminasi melalui saluran lokal berlisensi.
Kami membaca setiap teks di bawah ini pada 10 Oktober 2026 di situs web regulator itu sendiri; teks yang hanya berbahasa Arab dibaca dalam bahasa Arab. Lihat standar editorial kami dan peraturan SMS Mesir.
Sumber
- CBE — rilis berita peraturan eKYC, 23 Agustus 2026: cbe.org.eg.
- CBE — Halaman Identitas Finansial Digital, diperbarui 23 Agustus 2026: cbe.org.eg.
- CBE — Peraturan DFI, teks bahasa Inggris: cbe.org.eg.
- CBE — Surat Edaran 23 Agustus 2026 tentang aturan DFI (Bahasa Arab): cbe.org.eg.
- CBE — Surat Edaran 28 September 2026 tentang KYC nasabah bank (Bahasa Arab), daftar surat edaran: cbe.org.eg.
- CBE — Aturan layanan pembayaran seluler, edisi ke-3, April 2021 (Bahasa Arab): cbe.org.eg.
- CBE — Aturan Jaringan Pembayaran Instan, Oktober 2021: cbe.org.eg.
- CBE — Surat edaran tokenisasi kartu, 8 Maret 2023 (Bahasa Arab): cbe.org.eg.
- NTRA — Kerangka kerja layanan nilai tambah seluler (tra.gov.eg, PDF) dan aturan regulasi Dompet Seluler (tra.gov.eg), diakses 10 Oktober 2026.
- PDPC — FAQ mengenai Undang-Undang No. 151 Tahun 2020 dan Peraturan Pelaksana No. 816 Tahun 2025, diakses pada 10 Oktober 2026: portal.pdpc.gov.eg.