# Apakah SMS OTP dilarang? Apa yang sebenarnya diwajibkan oleh aturan perbankan di UEA, India, dan Filipina pada tahun 2026 > Tidak — SMS OTP tidak dilarang. Bank-bank di UEA diperintahkan untuk menghapus SMS dan OTP email secara bertahap dari autentikasi pelanggan, RBI di India tetap mempertahankan SMS OTP sebagai faktor yang diizinkan, dan BSP di Filipina mewajibkan bank-bank besar untuk membatasinya. Berikut adalah pihak-pihak yang termasuk dalam cakupan, tanggal pelaksanaannya, dan apa yang menggantikan kode tersebut. - URL kanonis: https://www.broadnet.me/id/blog/sms-otp-bank-regulation-uae-india-philippines-2026 - Bahasa: id - Terakhir diperbarui: 2026-09-26 - Penerbit: BroadNet (https://www.broadnet.me) - Diterbitkan: 2026-09-26 - Penulis: BroadNet Regulatory Affairs Tidak — SMS OTP tidak dilarang di UEA, India, atau Filipina. Bank-bank di UEA diarahkan oleh Bank Sentral untuk menghapus secara bertahap SMS dan kode OTP melalui email dari autentikasi pelanggan (penghapusan dimulai pada 25 Juli 2025), RBI India tetap mempertahankan SMS OTP sebagai faktor yang diizinkan di bawah aturan autentikasi dua faktor yang netral teknologi yang berlaku sejak 1 April 2026, dan BSP Filipina mewajibkan bank-bank besar untuk membatasi OTP yang dapat diintersepsi mulai sekitar 25 Juni 2026. > Panduan ini merangkum teks regulasi publik dan laporan pers per 26 September 2026. Ini adalah informasi umum, bukan nasihat hukum — konfirmasikan kewajiban Anda dengan regulator atau penasihat hukum Anda. ## Poin-poin utama - UEA: penghapusan ini berlaku bagi bank yang melakukan autentikasi pelanggan mereka sendiri, dan memindahkan persetujuan ke dalam aplikasi seluler bank. Pemberitahuan Bank Sentral itu sendiri tidak dipublikasikan; tanggal-tanggal tersebut berasal dari laporan pers (Gulf News, Khaleej Times, 24 Juli 2025). - India: RBI Authentication Mechanisms Directions, 2025 mewajibkan dua faktor berbeda untuk pembayaran digital mulai 1 April 2026, dengan setidaknya satu faktor dinamis untuk semua hal kecuali pembayaran kartu secara langsung (card-present). SMS OTP tetap diperbolehkan. - Filipina: BSP Circular No. 1213 (ditandatangani 30 Mei 2025) menginstruksikan institusi yang diawasi oleh BSP untuk membatasi OTP yang dikirim melalui SMS dan email, serta mewajibkan institusi bervolume tinggi untuk mengadopsi biometrik, autentikasi tanpa kata sandi (passwordless), atau autentikasi adaptif dalam waktu satu tahun sejak tanggal efektif sirkular tersebut. - Non-bank — e-commerce, pengiriman, perjalanan, SaaS, portal gaya pemerintah — tidak tercakup oleh ketiga instrumen tersebut. SMS OTP tetap menjadi cara normal untuk memverifikasi nomor telepon atau masuk (log in). - SMS masih memiliki peran yang diatur dalam perbankan: surat edaran BSP mencantumkan SMS sebagai saluran untuk notifikasi transaksi waktu nyata, dan buku aturan SAMA Arab Saudi mewajibkan notifikasi SMS instan untuk transaksi rekening. ## Apakah SMS OTP dilarang di UEA? Tidak. Apa yang terjadi di UEA adalah perubahan di sektor perbankan, bukan larangan nasional. Pada 24 Juli 2025, Gulf News melaporkan bahwa "bank-bank di UEA akan mulai menghapus secara bertahap kode OTP yang dikirim melalui SMS dan email, mulai Jumat, 25 Juli", dengan pelanggan beralih ke fitur "Autentikasi melalui Aplikasi" di aplikasi pintar bank mereka. Khaleej Times melaporkan di hari yang sama bahwa langkah tersebut "mengikuti arahan dari Central Bank of the UAE dan akan diimplementasikan secara bertahap". Gulf News menjelaskan penghentian total SMS dan OTP melalui email sebagaimana diamanatkan pada Maret 2026. Dua peringatan penting bagi siapa pun yang menyusun kebijakan berdasarkan hal ini. Pertama, Central Bank of the UAE (CBUAE) belum menerbitkan pemberitahuan itu sendiri; nomor dan kata-kata tepat yang beredar secara daring berasal dari blog vendor, jadi anggaplah hal tersebut belum terkonfirmasi. Kedua, setiap laporan publik adalah mengenai bank yang mengautentikasi transaksi dan login pelanggan mereka sendiri. Tidak ada satu pun dari laporan tersebut yang memperluas perubahan ini ke perusahaan lain yang menggunakan kode SMS untuk memverifikasi nomor telepon, mengonfirmasi pengiriman, atau masuk (sign in) pengguna. Dalam praktiknya, nasabah bank UEA sekarang menyetujui pembayaran kartu dan tindakan sensitif di dalam aplikasi bank, biasanya dengan biometrik ponsel atau PIN aplikasi. Untuk konteks regulasi yang lebih luas — registrasi sender ID, jendela promosi, dan persetujuan — lihat halaman [regulasi SMS UEA kami](https://www.broadnet.me/regulations/uae). ## Apakah RBI melarang SMS OTP mulai April 2026? Tidak. [Reserve Bank of India (Authentication Mechanisms for Digital Payment Transactions) Directions, 2025](https://www.rbi.org.in/Scripts/NotificationUser.aspx?Id=12898) diterbitkan pada 25 September 2025 dan berlaku untuk "semua Penyedia Sistem Pembayaran dan Peserta Sistem Pembayaran, termasuk bank dan entitas non-bank", yang harus mematuhinya paling lambat 1 April 2026. Aturan intinya: "Semua transaksi pembayaran digital harus diautentikasi oleh setidaknya dua faktor autentikasi yang berbeda", dan untuk segala hal selain transaksi kartu hadir (card-present) "setidaknya salah satu faktor autentikasi dibuat atau dibuktikan secara dinamis". Arahan tersebut menetapkan prinsip-prinsip alih-alih menyebutkan teknologi tertentu. RBI mencatat bahwa meskipun tidak ada faktor spesifik yang diwajibkan, ekosistem "utamanya telah mengadopsi One Time Password (OTP) berbasis SMS sebagai faktor tambahan" — dan tidak ada hal dalam teks tersebut yang melarangnya. Yang berubah adalah akuntabilitas: "Jika terjadi kerugian apa pun akibat transaksi yang dilakukan tanpa mematuhi arahan ini, penerbit wajib memberikan kompensasi penuh kepada pelanggan atas kerugian tersebut." Penerbit juga dapat menambahkan pemeriksaan berbasis risiko pada lokasi, perilaku, atau atribut perangkat di atas dua faktor tersebut. Satu tanggal penting lainnya telah ditetapkan: penerbit kartu harus, selambat-lambatnya pada 1 Oktober 2026, menerapkan mekanisme untuk memvalidasi transaksi kartu-tidak-hadir (card-not-present) lintas batas non-berulang yang diajukan oleh merchant atau acquirer luar negeri. Untuk aturan perpesanan India — registrasi DLT, header, dan templat — lihat [regulasi SMS India](https://www.broadnet.me/regulations/india). ## Apa yang diwajibkan oleh BSP Circular No. 1213 di Filipina? [BSP Circular No. 1213, Series of 2025](https://www.bsp.gov.ph/Regulations/Issuances/2025/1213.pdf) telah disetujui oleh Monetary Board pada 22 Mei 2025, ditandatangani pada 30 Mei 2025, dan dipublikasikan pada 10 Juni 2025. Peraturan ini mulai berlaku 15 hari kalender setelah publikasi, dan lembaga keuangan yang diawasi BSP (BSFIs) harus mematuhinya "dalam waktu satu (1) tahun sejak tanggal berlakunya" — yang jatuh sekitar 25 Juni 2026. Surat edaran tersebut tidak memberikan tanggal kalender secara spesifik; beberapa laporan pers menyebutkan 30 Juni, tetapi aturan satu tahun merujuk pada 25 Juni. Poin utamanya adalah sebuah batasan, bukan larangan: BSFIs "sebaiknya membatasi penggunaan mekanisme autentikasi yang dapat dibagikan kepada, atau dicegat oleh, pihak ketiga yang tidak terkait dengan transaksi", dengan OTP melalui SMS dan email sebagai contohnya. Institusi yang "terlibat dalam produk dan layanan elektronik kompleks serta menangani nilai agregat transaksi online yang tinggi" — dengan nilai transaksi bulanan rata-rata setidaknya PHP 75.000.000 selama enam bulan terakhir — harus mengadopsi autentikasi kuat: biometrik (sidik jari, wajah, atau suara), biometrik perilaku, autentikasi tanpa kata sandi seperti kunci FIDO atau token perangkat keras, atau autentikasi adaptif, ditambah dengan fingerprinting perangkat yang kuat. Surat edaran tersebut juga tetap menyertakan SMS dalam pertimbangannya. Pesan OTP yang masih dikirim "seharusnya dipersonalisasi dengan detail transaksi yang memadai", notifikasi waktu nyata dapat dikirim "melalui saluran aman seperti aplikasi seluler, aplikasi perpesanan, email, atau SMS", dan BSFIs tidak boleh mengirimkan tautan yang dapat diklik atau kode QR melalui email, aplikasi perpesanan, atau SMS kecuali jika diminta oleh pelanggan, tautan tersebut hanya berisi informasi, atau tidak mengarah ke halaman yang meminta kredensial. Konteks negara: [regulasi SMS Filipina](https://www.broadnet.me/regulations/philippines). ## Ketiga aturan tersebut secara berdampingan | Pasar | Regulator dan instrumen | Tanggal penting | Siapa yang termasuk dalam cakupan | Apakah SMS OTP masih diperbolehkan? | |---|---|---|---|---| | UEA | Arahan Central Bank of the UEA kepada bank (pemberitahuan belum dipublikasikan; dilaporkan pada 24 Jul 2025) | Penghapusan bertahap mulai 25 Jul 2025; selesai pada Maret 2026 (laporan pers) | Bank yang melakukan autentikasi nasabah mereka sendiri | Digantikan oleh autentikasi di dalam aplikasi untuk nasabah bank; tidak ditujukan untuk non-bank | | India | RBI Authentication Mechanisms for Digital Payment Transactions Directions, 2025 (25 Sep 2025) | Kepatuhan pada 1 Apr 2026; CNP lintas batas pada 1 Okt 2026 | Semua penyedia dan partisipan sistem pembayaran, bank dan non-bank | Ya — dua faktor berbeda, satu faktor dinamis; SMS OTP adalah faktor yang diizinkan | | Filipina | BSP Circular No. 1213, Series of 2025 (ditandatangani 30 Mei 2025) | Satu tahun dari tanggal efektif — sekitar 25 Jun 2026 | lembaga keuangan yang diawasi BSP; kewajiban autentikasi kuat untuk lembaga dengan volume tinggi | Terbatas, tidak dilarang; SMS tetap menjadi saluran notifikasi | | Arab Saudi | Tidak ditemukan mandat resmi SAMA untuk menghapus SMS OTP (diperiksa 26 Sep 2026) | — | — | Ya; buku aturan SAMA mewajibkan notifikasi SMS instan untuk transaksi akun | ## Siapa yang masuk dalam cakupan — dan siapa yang tidak? Kesalahan tunggal yang paling umum adalah mengasumsikan bahwa aturan autentikasi bank berlaku untuk setiap bisnis yang mengirimkan kode. Hal ini tidak benar. Cakupan ditentukan oleh siapa yang diawasi oleh regulator. - Masuk dalam cakupan di UEA: bank berlisensi yang melakukan autentikasi login dan transaksi nasabah (berdasarkan laporan pers). - Masuk dalam cakupan di India: setiap penyedia dan partisipan sistem pembayaran — bank, penerbit kartu, dompet digital, dan entitas pembayaran non-bank lainnya — untuk transaksi pembayaran digital. - Masuk dalam cakupan di Filipina: lembaga keuangan yang diawasi BSP; daftar autentikasi kuat berlaku bagi mereka yang berada di atas ambang batas bulanan PHP 75 juta. - Tidak masuk dalam cakupan ketiganya: login e-commerce dan pemulihan akun, konfirmasi layanan ride-hailing dan pengiriman, pemesanan perjalanan, pendaftaran SaaS, marketplace, dan game — kecuali jika bisnis tersebut merupakan entitas pembayaran yang teregulasi. - Tidak masuk dalam cakupan: verifikasi nomor telepon saat pendaftaran, di mana tujuannya adalah untuk membuktikan kepemilikan nomor alih-alih untuk mengotorisasi pembayaran. ## Apa pengganti SMS OTP untuk nasabah bank? Solusi pengganti tersebut berbagi satu ide: mengikat persetujuan ke perangkat atau biometrik nasabah, bukan ke kode yang dapat dibacakan kepada penipu atau disadap setelah SIM swap. - Persetujuan dalam aplikasi: notifikasi push ke aplikasi bank itu sendiri, dikonfirmasi dengan biometrik atau PIN aplikasi — rute yang diambil oleh bank-bank di UEA. - Biometrik dan biometrik perilaku: disebutkan secara eksplisit dalam BSP Circular 1213. - Passwordless dan passkeys: kunci berbasis FIDO yang disimpan di perangkat; lihat panduan kami [dari SMS OTP ke passkeys](https://www.broadnet.me/blog/sms-otp-to-passkeys-webauthn-2026). - Pemeriksaan berbasis jaringan: autentikasi jaringan senyap dan sinyal SIM-swap memverifikasi nomor melalui operator; lihat [autentikasi jaringan senyap vs SMS OTP](https://www.broadnet.me/blog/silent-network-authentication-vs-sms-otp-2026). - Autentikasi adaptif (berbasis risiko): peningkatan langkah (step-up) hanya saat perangkat, lokasi, atau perilaku terlihat tidak biasa — diizinkan di India dan tercantum di Filipina. ## Di mana SMS masih relevan pada tahun 2026 Menghapus SMS dari autentikasi bank tidak berarti menghapus SMS dari perbankan. Regulator yang sama tetap menjadikannya sebagai saluran untuk notifikasi, dan di luar pembayaran, ini tetap menjadi cara paling universal untuk menjangkau nomor telepon yang belum menginstal aplikasi Anda. - Peringatan transaksi: surat edaran BSP mencantumkan SMS sebagai salah satu saluran notifikasi waktu nyata, dan SAMA mewajibkan notifikasi SMS instan untuk transaksi akun. - Verifikasi nomor telepon saat registrasi dan saat perubahan nomor, idealnya dipasangkan dengan [pemeriksaan penukaran SIM](https://www.broadnet.me/answers/what-is-sim-swap-fraud). - Log-in dan pemulihan untuk aplikasi non-bank, di mana SMS sering kali menjadi satu-satunya faktor yang dapat diterima oleh setiap pengguna. - India: SMS OTP sebagai salah satu dari dua faktor, asalkan faktor lainnya berbeda. - Fallback: ketika saluran push atau dalam aplikasi gagal, layanan verifikasi multichannel dapat beralih ke WhatsApp, suara, atau SMS jika aturan mengizinkan. ## Daftar periksa untuk bank dan perusahaan pembayaran 1. Petakan setiap alur yang mengirimkan kode saat ini — log-in, penambahan penerima manfaat, pembayaran card-not-present, perubahan limit, perubahan perangkat — dan tandai aturan regulator mana yang mengaturnya. 2. Pindahkan persetujuan berisiko tinggi ke metode yang terikat perangkat (push dalam aplikasi dengan biometrik, passkeys) dan dokumentasikan faktor kedua untuk India. 3. Personalisasi setiap OTP yang masih Anda kirim dengan detail transaksi (merchant, jumlah), sebagaimana yang diharapkan oleh BSP, dan jangan pernah menyertakan tautan yang dapat diklik. 4. Tambahkan sinyal risiko — SIM-swap, perubahan perangkat, kecepatan (velocity) — sebelum mempercayai faktor kepemilikan apa pun. 5. Gunakan SMS untuk peringatan transaksi waktu nyata dan pantau pengirimannya; lihat [panduan pemantauan pengiriman OTP bank kami](https://www.broadnet.me/blog/bank-otp-delivery-monitoring-fraud-playbook). 6. Catat keputusan Anda per pasar, beserta tanggal pengecekan, agar auditor dapat melihat alasan mengapa setiap alur menggunakan metode tersebut. ## Daftar periksa untuk aplikasi non-bank 1. Pastikan Anda bukan entitas pembayaran yang teregulasi; jika Anda adalah entitas teregulasi, daftar periksa bank berlaku untuk alur pembayaran Anda. 2. Gunakan SMS OTP untuk pendaftaran dan log-in, serta tambahkan WhatsApp atau suara sebagai saluran cadangan untuk jangkauan dan efisiensi biaya. 3. Periksa adanya SIM swap baru-baru ini sebelum melakukan perubahan akun yang sensitif. 4. Tawarkan passkey sebagai opsi bagi pengguna lama, dengan tetap menggunakan SMS untuk pemulihan. 5. Estimasikan paparan penipuan dari setiap alur dengan [kalkulator keamanan OTP](https://www.broadnet.me/tools/otp-security-calculator). > BroadNet mengirimkan OTP melalui koneksi langsung ke operator di 200+ negara dengan SLA platform 99,99%, lengkap dengan SIM-swap dan pemeriksaan kecerdasan nomor serta fallback otomatis di SMS, WhatsApp, dan suara. Lihat [OTP API](https://www.broadnet.me/products/otp), layanan verifikasi [MyOTP](https://www.broadnet.me/products/myotp) multichannel, dan solusi [perbankan dan keuangan](https://www.broadnet.me/solutions/banking-finance) kami. ## Pertanyaan yang sering diajukan ### Apakah SMS OTP dilarang di UEA? Tidak. Bank-bank di UEA telah diarahkan oleh Bank Sentral untuk menghapus SMS dan OTP melalui email secara bertahap dari autentikasi pelanggan, dimulai pada 25 Juli 2025 dengan target penyelesaian pada Maret 2026, dan beralih menggunakan autentikasi di dalam aplikasi. Perubahan ini berlaku bagi bank yang mengautentikasi pelanggan mereka sendiri; ini bukan larangan nasional terhadap kode SMS untuk bisnis lainnya. ### Apakah aturan CBUAE berlaku untuk e-commerce, BNPL, atau aplikasi pengiriman? Laporan publik menjelaskan bahwa arahan tersebut berlaku untuk bank. Hal ini tidak menyebutkan e-commerce, pengiriman, atau aplikasi non-bank lainnya. Perusahaan yang memiliki lisensi pembayaran dari Bank Sentral harus memeriksa kewajiban lisensinya sendiri kepada regulator, karena teks pemberitahuan tersebut belum dipublikasikan. ### Apa yang menggantikan SMS OTP bagi nasabah bank di UEA? Autentikasi dalam aplikasi. Nasabah menyetujui pembayaran dan tindakan sensitif di aplikasi seluler bank mereka, biasanya menggunakan biometrik ponsel atau PIN aplikasi, alih-alih mengetik kode yang diterima melalui SMS atau e-mail. ### Apakah RBI melarang SMS OTP mulai April 2026? Tidak. Arahan RBI yang berlaku mulai 1 April 2026 mewajibkan setidaknya dua faktor autentikasi yang berbeda untuk pembayaran digital, dengan setidaknya satu faktor dinamis kecuali untuk transaksi kartu hadir (card-present). Arahan tersebut tidak mewajibkan atau melarang teknologi apa pun, dan SMS OTP tetap menjadi faktor yang diizinkan. Penerbit harus memberikan kompensasi penuh kepada nasabah atas kerugian dari transaksi yang tidak patuh. ### Apa itu Surat Edaran BSP No. 1213? Ini adalah surat edaran Bangko Sentral ng Pilipinas, yang ditandatangani pada 30 Mei 2025, yang memperbarui standar autentikasi dan manajemen penipuan untuk lembaga keuangan yang diawasi oleh BSP. Arahan tersebut meminta mereka untuk membatasi autentikasi yang dapat dicegat seperti SMS dan OTP e-mail, serta mewajibkan lembaga bervolume tinggi untuk mengadopsi biometrik, autentikasi tanpa kata sandi (passwordless), atau autentikasi adaptif dalam waktu satu tahun sejak tanggal berlakunya — sekitar 25 Juni 2026. ### Apakah SMS OTP masih dapat digunakan untuk memverifikasi nomor telepon? Ya. Tidak ada dari ketiga aturan tersebut yang membatasi penggunaan kode SMS untuk membuktikan bahwa seorang pengguna mengendalikan nomor telepon saat pendaftaran atau saat perubahan nomor. Memasangkan pemeriksaan tersebut dengan pencarian SIM-swap membuatnya jauh lebih sulit untuk disalahgunakan. ### Apakah SAMA di Arab Saudi melarang SMS OTP? Kami tidak menemukan mandat resmi SAMA untuk menghapus SMS OTP per 26 September 2026. Buku panduan SAMA mewajibkan bank untuk mengirimkan notifikasi SMS instan untuk transaksi rekening. Klaim mengenai tenggat waktu SAMA yang beredar secara daring merupakan spekulasi hingga SAMA menerbitkannya. ### Apa yang harus digunakan bank saat aplikasi tidak tersedia? Hal itu bergantung pada regulator: surat edaran Filipina lebih bersifat membatasi daripada melarang SMS OTP, dan India mengizinkannya sebagai salah satu dari dua faktor yang berbeda. Rancanglah metode cadangan yang terdokumentasi sesuai pasar — misalnya metode kedua yang terikat perangkat atau saluran bantuan — dan konsultasikan dengan regulator Anda sebelum mengandalkan SMS sebagai cadangan. ## Sumber - Reserve Bank of India — Authentication Mechanisms for Digital Payment Transactions Directions, 2025, 25 September 2025: [rbi.org.in](https://www.rbi.org.in/Scripts/NotificationUser.aspx?Id=12898) (diakses 26 September 2026). - Bangko Sentral ng Pilipinas — Circular No. 1213, Series of 2025, ditandatangani 30 Mei 2025: [bsp.gov.ph](https://www.bsp.gov.ph/Regulations/Issuances/2025/1213.pdf) (diakses 26 September 2026). - Gulf News — "UAE banks to stop sending OTPs via SMS and email from July 25", 24 Juli 2025: [gulfnews.com](https://gulfnews.com/business/banking/new-rule-uae-banks-to-stop-sending-otps-via-sms-and-email-from-july-25-1.500209071). - Khaleej Times — bank-bank di UEA akan menghapus OTP secara bertahap mulai 25 Juli, 24 Juli 2025: [khaleejtimes.com](https://www.khaleejtimes.com/uae/banks-to-cancel-otp-from-july-25). - Buku Aturan Saudi Central Bank (SAMA) — layanan notifikasi SMS instan: [rulebook.sama.gov.sa](https://rulebook.sama.gov.sa/en/instant-sms-notification-service) (diakses 26 September 2026).