Standar keamanan SMS OTP 2026: apa yang sebenarnya dibutuhkan oleh NIST, PSD2, PCI DSS dan bank sentral

Kode OTP SMS dibatasi, bukan dilarang, dalam standar-standar utama di tahun 2026. NIST SP 800-63B-4 (Juli 2025) mengklasifikasikan SMS dan kode suara sebagai autentikator "terbatas" yang masih diizinkan di AAL2 jika penyedia menawarkan alternatif dan menjelaskan risikonya, tetapi tidak di AAL3. Di bawah PSD2, European Banking Authority menerima SMS OTP sebagai elemen kepemilikan. PCI DSS 4.0.1 mewajibkan MFA yang tahan terhadap replay dan tidak dapat dilewati tanpa menyebutkan SMS. RBI India secara eksplisit mempertahankan SMS OTP mulai 1 April 2026. Pembatasan yang sebenarnya lebih sempit: bank di Singapura, Hong Kong, Malaysia, UEA, dan Filipina telah memindahkan login atau transaksi berisiko tinggi ke autentikasi berbasis aplikasi atau perangkat. Setiap persyaratan di bawah ini terhubung ke sumbernya.

Ringkasan aturan

NIST SP 800-63B-4: dibatasi, tidak dilarang

NIST telah menerbitkan SP 800-63B-4 final pada Juli 2025, menggantikan 800-63-3. Aturan ini memperlakukan kode satu kali yang dikirim melalui jaringan telepon publik (SMS atau suara) sebagai **autentikator yang dibatasi** (bagian 3.2.9). Penyedia yang menggunakan metode tersebut harus menawarkan setidaknya satu alternatif yang tidak dibatasi, memberikan pemberitahuan yang bermakna kepada pengguna mengenai risikonya, memperhitungkannya dalam penilaian risiko, dan menyimpan rencana migrasi; jika pihak yang mengandalkan menganggap risikonya tidak dapat diterima, maka metode tersebut tidak boleh digunakan.

• **Tingkat jaminan:** kode out-of-band diizinkan pada AAL2, jika dikombinasikan dengan kata sandi atau biometrik, tetapi tidak pada AAL3, yang memerlukan autentikator kriptografi yang tahan phishing. Verifikator AAL2 harus menawarkan setidaknya satu opsi yang tahan phishing.
• **Aturan kode:** minimal 6 digit dari generator acak yang disetujui, hanya diterima satu kali, dan berlaku tidak lebih dari 10 menit; kunci akun setelah tidak lebih dari 100 upaya gagal berturut-turut.
• **Sinyal risiko:** sebelum mengirimkan kode, verifikator sebaiknya memeriksa penggantian perangkat, perubahan SIM, dan porting nomor (merupakan anjuran "should", bukan kewajiban "shall").
• **Email** tidak boleh digunakan sebagai autentikator out-of-band.

Untuk pemeriksaan perubahan SIM dan porting, lihat Verifikasi Nomor dan API SIM Swap API dan pertahanan penipuan SIM swap.

CISA: ditujukan bagi individu yang menjadi target serangan tingkat tinggi

Panduan Praktik Terbaik Komunikasi Seluler CISA tertanggal 18 Desember 2024 menyatakan: "Jangan gunakan SMS sebagai faktor kedua untuk autentikasi," karena SMS tidak terenkripsi dan "tidak tahan terhadap phishing sehingga bukan merupakan autentikasi yang kuat untuk akun individu dengan target tinggi". Audiensnya adalah tokoh pemerintah dan politik senior, dan panduan tersebut merekomendasikan FIDO sebagai satu-satunya metode yang tahan terhadap phishing. Ini adalah panduan, bukan aturan untuk layanan konsumen.

UE: PSD2 menerima SMS OTP; PSD3 belum menjadi undang-undang

Standar teknis regulasi tentang autentikasi pelanggan yang kuat (Delegated Regulation (UE) 2018/389), yang berlaku sejak 14 September 2019, menetapkan standar untuk setiap kode OTP yang digunakan dalam pembayaran:

• **Pasal 4:** kode autentikasi hanya diterima satu kali dan tidak dapat dipalsukan; maksimal 5 kali upaya gagal berturut-turut sebelum pemblokiran; maksimal 5 menit ketidakaktifan setelah login.
• **Pasal 5 (penautan dinamis):** pembayar diperlihatkan jumlah nominal dan penerima, dan kode tersebut bersifat spesifik bagi mereka; setiap perubahan akan membatalkan kode tersebut.
• **Pasal 7:** elemen kepemilikan memerlukan langkah-langkah terhadap penggunaan dan replikasi yang tidak sah.
• **Pasal 9:** elemen-elemen harus bersifat independen; pada perangkat multifungsi seperti ponsel, diperlukan eksekusi aman yang terpisah dan deteksi manipulasi.

EBA mengonfirmasi dalam Q&A 2018_4039 bahwa SMS OTP dapat menjadi elemen kepemilikan jika terlindungi dari replikasi, dan opini Juni 2019 mereka mencantumkan OTP melalui SMS sebagai elemen kepemilikan yang valid. PSD3 dan Peraturan Layanan Pembayaran mencapai kesepakatan politik pada November 2025, namun hingga 22 Oktober 2026, keduanya masih menunggu adopsi dan publikasi akhir; kami tidak menemukan ketentuan yang menargetkan SMS OTP dalam teks yang telah disepakati.

PCI DSS 4.0.1: SMS tidak disebutkan

PCI DSS 4.0.1 mewajibkan autentikasi multifaktor untuk semua akses ke lingkungan data pemegang kartu (persyaratan 8.4.2) dan menetapkan bagaimana MFA harus bekerja (8.5.1): tahan terhadap replay, mustahil untuk dilewati tanpa pengecualian yang terdokumentasi dan dibatasi waktu, menggunakan setidaknya dua jenis faktor yang berbeda, dengan setiap faktor wajib berhasil. Keduanya menjadi wajib pada 31 Maret 2025. Standar tersebut tidak melarang SMS (redaksi yang dilaporkan; standar itu sendiri dibatasi lisensi); suplemen informasi MFA dari PCI SSC hanya mencatat peringatan awal NIST mengenai SMS.

Regulator Asia-Pasifik

• **Singapura:** MAS dan Association of Banks in Singapore mengumumkan pada 9 Juli 2024 bahwa bank ritel utama akan menghentikan penggunaan OTP secara bertahap untuk login dalam waktu tiga bulan bagi nasabah yang memiliki token digital (rilis MAS). Nasabah dengan token fisik tidak terdampak.
• **Hong Kong (bank):** surat edaran HKMA tanggal 14 April 2025 menjadikan perangkat terikat sebagai standar utama, sebagai pengganti SMS OTP, untuk login dan transaksi berisiko tinggi, dengan target pada kuartal ketiga (Q3) dan kuartal keempat (Q4) 2025. SMS OTP tetap dimungkinkan bagi nasabah tanpa aplikasi atau yang memilih untuk menggunakannya (surat edaran HKMA).
• **Hong Kong (broker dan platform aset virtual):** surat edaran SFC 26EC35 tanggal 9 Juli 2026 melarang OTP untuk login klien dan pengikatan perangkat, demi penggunaan passkeys atau perangkat terikat, selambat-lambatnya 8 Juli 2027.
• **Malaysia:** Bank Negara Malaysia mewajibkan lembaga keuangan untuk bermigrasi dari SMS OTP ke autentikasi yang lebih aman, yang diumumkan pada 26 September 2022 (BNM).
• **India:** Arahan Mekanisme Autentikasi RBI untuk Transaksi Pembayaran Digital, 2025, mewajibkan dua faktor dengan satu elemen dinamis mulai 1 April 2026; RBI menyatakan bahwa kerangka kerja tersebut "tidak menuntut penghentian OTP berbasis SMS" (RBI).
• **Filipina:** Surat Edaran BSP 1213, yang ditandatangani pada Mei 2025, membatasi autentikasi yang dapat diintersepsi seperti SMS OTP untuk institusi besar, mewajibkan metode biometrik, perilaku, atau tanpa kata sandi untuk transaksi berisiko tinggi, serta melarang tautan dan kode QR dalam SMS, dengan tenggat kepatuhan pada Juni 2026 (BSP).

Kawasan Teluk

Di UEA, bank memindahkan nasabah dari SMS dan OTP email ke autentikasi dalam aplikasi antara 25 Juli 2025 dan 31 Maret 2026, menurut laporan pemberitahuan Bank Sentral; tidak ada teks CBUAE publik yang tersedia. Pengirim non-bank di UEA masih menggunakan SMS OTP secara luas. Lihat SMS OTP setelah bank melarang dan lini masa regulasi perpesanan A2P.

Kesalahpahaman umum

• **"NIST melarang SMS."** Tidak. SMS adalah autentikator terbatas, diizinkan pada AAL2 di bawah kondisi tertentu dan hanya dikecualikan pada AAL3.
• **"PSD2 melarang SMS OTP."** Tidak. EBA menerimanya sebagai elemen kepemilikan; persyaratan utamanya adalah penautan dinamis dan perlindungan terhadap replikasi.
• **"PCI DSS 4.0 melarang MFA SMS."** Tidak. Hal ini mewajibkan MFA yang tahan terhadap serangan replay dan tidak dapat dilewati, serta tidak menyebutkan SMS.
• **"CISA menyuruh semua orang untuk berhenti menggunakan SMS."** Berlebihan. Panduan tersebut menargetkan individu pemerintah dan politik yang sangat spesifik.
• **"PSD3 sudah menjadi undang-undang."** Belum berlaku per 22 Oktober 2026.
• **"India sedang menghapus SMS OTP secara bertahap."** Tidak. RBI secara eksplisit tidak mewajibkan penghentiannya.
• **"Singapura melarang SMS OTP."** Lebih sempit: login bank, untuk pelanggan dengan token digital.

Daftar periksa untuk SMS OTP yang memenuhi standar ini

1. 1Hasilkan kode setidaknya 6 digit dari generator acak yang aman secara kriptografi; terima setiap kode satu kali; buat kedaluwarsa dalam waktu 10 menit (5 menit adalah hal umum untuk pembayaran).
2. 2Batasi upaya: PSD2 memblokir setelah 5 kegagalan berturut-turut; NIST mengizinkan paling banyak 100 sebelum penguncian.
3. 3Untuk pembayaran di Uni Eropa, tampilkan jumlah dan penerima pembayaran dalam pesan dan hubungkan kode tersebut dengan mereka (dynamic linking).
4. 4Periksa sinyal perubahan SIM dan portabilitas nomor sebelum mengirimkan kode ke sesi berisiko tinggi.
5. 5Tawarkan setidaknya satu alternatif yang lebih kuat (push app, passkey, FIDO) dan jadikan SMS sebagai saluran cadangan dan pemulihan.
6. 6Pastikan trafik OTP bersifat transaksional: tidak ada tautan atau penawaran dalam pesan kode, yang juga menjaganya tetap berada di luar jam tenang pemasaran dan pemblokiran tautan.
7. 7Kirim melalui rute operator langsung yang terpantau dan dilindungi oleh firewall SMS, sehingga kode tidak dicegat, tertunda, atau digelembungkan.

OTP API dari BroadNet mengirimkan kode melalui 1.000+ koneksi langsung ke operator dengan cadangan multichannel; lihat verifikasi OTP multichannel, dari SMS OTP ke passkey dan, untuk operator, firewall SMS dan perlindungan SS7.

Pertanyaan yang sering diajukan

Apakah SMS OTP masih diizinkan pada tahun 2026?

Ya, dalam sebagian besar standar. NIST SP 800-63B-4 mengklasifikasikannya sebagai terbatas namun diizinkan pada AAL2, PSD2 menerimanya sebagai elemen kepemilikan, PCI DSS tidak melarangnya dan RBI India mempertahankannya. Beberapa regulator, termasuk MAS Singapura, HKMA Hong Kong, dan BSP Filipina, telah memindahkan login bank atau transaksi berisiko tinggi ke metode yang lebih kuat.

Apakah NIST melarang autentikasi dua faktor SMS?

Tidak. NIST SP 800-63B-4 (Juli 2025) mengategorikan SMS dan kode suara sebagai autentikator terbatas: penyedia harus menawarkan alternatif non-terbatas, menjelaskan risikonya, dan melakukan penilaian. SMS diizinkan pada AAL2 tetapi tidak pada AAL3, yang memerlukan autentikator tahan phishing.

Apakah SMS OTP patuh terhadap PSD2?

Bisa jadi. Q&A 2018_4039 dari EBA menerima SMS OTP sebagai elemen kepemilikan jika terlindungi dari replikasi, dan untuk pembayaran, kode tersebut harus terhubung secara dinamis dengan jumlah dan penerima pembayaran berdasarkan Pasal 5 dari RTS tentang autentikasi pelanggan yang kuat.

Apakah PCI DSS 4.0 mengizinkan SMS untuk MFA?

PCI DSS 4.0.1 tidak menyebutkan atau melarang SMS. Persyaratan 8.4.2 dan 8.5.1, yang wajib sejak 31 Maret 2025, mewajibkan MFA untuk semua akses ke lingkungan data pemegang kartu yang tahan terhadap replay, tidak dapat dilewati, dan menggunakan setidaknya dua jenis faktor yang berbeda.

Berapa lama SMS OTP harus berlaku?

Tidak lebih dari 10 menit berdasarkan NIST SP 800-63B-4, dan setiap kode hanya boleh digunakan satu kali. Banyak alur pembayaran menggunakan waktu 5 menit atau kurang, sejalan dengan batas ketidakaktifan PSD2.

Negara mana saja yang membatasi SMS OTP untuk perbankan?

Singapura (login bank, untuk nasabah dengan token digital, sejak 2024), Hong Kong (perangkat terikat secara default untuk login bank dan transaksi berisiko tinggi pada 2025; broker pada Juli 2027), Malaysia (migrasi diwajibkan sejak 2022), UEA (OTP bank dipindahkan ke dalam aplikasi pada Maret 2026, sebagaimana dilaporkan) dan Filipina (transaksi berisiko tinggi di institusi besar, pada Juni 2026).

Apakah PSD3 sudah berlaku?

Belum per 22 Oktober 2026. PSD3 dan Peraturan Layanan Pembayaran telah mencapai kesepakatan politik pada November 2025 dan sedang menunggu adopsi serta publikasi akhir di Jurnal Resmi.

Apa cara paling aman untuk mengirim OTP melalui SMS?

Gunakan kode sekali pakai dengan setidaknya 6 digit acak yang kedaluwarsa dalam hitungan menit, batasi upaya percobaan, periksa sinyal SIM-swap dan porting untuk sesi berisiko, pastikan pesan bebas dari tautan, dan kirimkan melalui rute langsung ke operator yang dilindungi oleh SMS firewall, dengan metode yang lebih kuat ditawarkan secara bersamaan.