o — SMS OTP non è vietato negli Emirati Arabi Uniti, in India o nelle Filippine. Le banche degli EAU sono state istruite dalla Banca Centrale ad eliminare gradualmente SMS e le password monouso via e-mail dall'autenticazione dei clienti (la fase di eliminazione è iniziata il 25 luglio 2025), l'RBI dell'India ha mantenuto SMS OTP come fattore consentito secondo le regole sulla tecnologia neutrale per l'autenticazione a due fattori in vigore dal 1 aprile 2026, e la BSP delle Filippine richiede alle banche di grandi dimensioni di limitare gli OTPs intercettabili a partire dal 25 giugno 2026 circa.
Questa guida riassume i testi normativi pubblici e i report stampa aggiornati al 26 settembre 2026. Si tratta di informazioni generali e non di consulenza legale — si prega di confermare i propri obblighi con il proprio ente regolatore o con un consulente legale.
Punti chiave
- EAU: l'eliminazione graduale si applica alle banche che autenticano i propri clienti e sposta l'approvazione all'interno dell'app mobile della banca. La notifica della Banca Centrale non è pubblicata; le date derivano da report della stampa (Gulf News, Khaleej Times, 24 luglio 2025).
- India: le RBI Authentication Mechanisms Directions, 2025 richiedono due fattori distinti per i pagamenti digitali dal 1 aprile 2026, con almeno un fattore dinamico per tutto ciò che non riguarda i pagamenti con carta fisica. SMS OTP rimane consentito.
- Filippine: la BSP Circular No. 1213 (firmata il 30 maggio 2025) impone alle istituzioni supervisionate dalla BSP di limitare gli OTPs inviati tramite SMS ed e-mail, e richiede alle istituzioni ad alto volume di adottare la biometria, l'autenticazione passwordless o adattiva entro un anno dalla data di entrata in vigore della circolare.
- I non-bank — e-commerce, delivery, viaggi, SaaS, portali governativi — non sono interessati da nessuno dei tre strumenti. SMS OTP rimane un metodo normale per verificare un numero di telefono o effettuare l'accesso.
- SMS ha ancora un ruolo regolamentato nel settore bancario: la circolare BSP elenca SMS come canale per le notifiche di transazione in tempo reale, e il regolamento SAMA dell'Arabia Saudita richiede notifiche SMS istantanee per le transazioni sul conto.
Il SMS OTP è vietato negli EAU?
No. Ciò che è accaduto negli EAU è un cambiamento nel settore bancario, non un divieto nazionale. Il 24 luglio 2025, Gulf News ha riportato che "le banche negli EAU inizieranno a eliminare gradualmente le password monouso (OTPs) inviate tramite SMS ed e-mail, a partire da venerdì 25 luglio", con i clienti che passeranno a una funzione di "Autenticazione tramite App" nella smart application della propria banca. Khaleej Times ha riportato lo stesso giorno che la mossa "segue le direttive della Banca Centrale degli EAU e sarà implementata in fasi". Gulf News ha descritto la completa interruzione di SMS e delle OTPs via e-mail come obbligatoria entro marzo 2026.
Due avvertenze per chiunque rediga policy basandosi su queste informazioni. In primo luogo, la Banca Centrale degli Emirati Arabi Uniti (CBUAE) non ha pubblicato la notifica stessa; il numero e la formulazione esatta che circolano online provengono dai blog dei fornitori, pertanto vanno considerati come non confermati. In secondo luogo, ogni rapporto pubblico riguarda le banche che autenticano le transazioni e i login dei propri clienti. Nessuno di essi estende il cambiamento ad altre aziende che utilizzano codici SMS per verificare un numero di telefono, confermare una consegna o autenticare un utente.
In pratica, i clienti delle banche degli Emirati Arabi Uniti approvano ora i pagamenti con carta e le operazioni sensibili all'interno dell'app della banca, tipicamente tramite la biometria del telefono o un PIN dell'app. Per il contesto normativo più ampio — registrazione dell'ID mittente, finestre promozionali e consenso — consultare la nostra pagina sulle normative SMS degli Emirati Arabi Uniti.
La RBI vieta le SMS OTP a partire dall'aprile 2026?
No. Le Reserve Bank of India (Authentication Mechanisms for Digital Payment Transactions) Directions, 2025 sono state emesse il 25 settembre 2025 e si applicano a "tutti i Payment System Providers e i Payment System Participants, incluse banche ed entità non bancarie", che dovevano conformarsi entro il 1 aprile 2026. La regola fondamentale: "Tutte le transazioni di pagamento digitale devono essere autenticate da almeno due distinti fattori di autenticazione" e, per tutto ciò che non riguarda le transazioni con carta presente, "almeno uno dei fattori di autenticazione deve essere creato o dimostrato dinamicamente".
Le direttive stabiliscono dei principi piuttosto che indicare una tecnologia specifica. La RBI osserva che, sebbene non sia stato imposto un fattore specifico, l'ecosistema "ha adottato principalmente la password monouso (OTP) basata su SMS come fattore aggiuntivo" — e nulla nel testo lo proibisce. Ciò che cambia è la responsabilità: "Se si verifica una perdita derivante da transazioni effettuate senza il rispetto di queste direttive, l'emittente dovrà risarcire integralmente il cliente per la perdita". Gli emittenti possono anche aggiungere controlli basati sul rischio relativi alla posizione, al comportamento o agli attributi del dispositivo in aggiunta ai due fattori.
Un'altra data è già operativa: gli emittenti di carte devono, entro il 1 ottobre 2026, implementare un meccanismo per convalidare le transazioni transfrontaliere non ricorrenti con carta non presente, generate da un commerciante o un acquirer estero. Per le regole di messaggistica indiane — registrazione DLT, header e template — consultare le normative SMS dell'India.
Cosa richiede la Circolare n. 1213 della BSP nelle Filippine?
La BSP Circular No. 1213, Series of 2025 è stata approvata dal Monetary Board il 22 maggio 2025, firmata il 30 maggio 2025 e pubblicata il 10 giugno 2025. Entra in vigore 15 giorni solari dopo la pubblicazione, e le istituzioni finanziarie supervisionate dalla BSP (BSFIs) devono conformarsi "entro un (1) anno dalla sua data di entrata in vigore" — ovvero intorno al 25 giugno 2026. La circolare non indica una data di calendario specifica; alcuni report stampa parlano del 30 giugno, ma la regola dell'anno porterebbe al 25 giugno.
La riga chiave è un limite, non un divieto: le BSFIs "dovrebbero limitare l'uso di meccanismi di autenticazione che possono essere condivisi o intercettati da terze parti non correlate alla transazione", con la OTPs tramite SMS ed e-mail citata come esempio. Le istituzioni "impegnate in prodotti e servizi elettronici complessi e che gestiscono elevati valori aggregati di transazioni online" — con un valore medio mensile delle transazioni di almeno PHP 75.000.000 negli ultimi sei mesi — devono adottare un'autenticazione forte: biometria (impronta digitale, volto o voce), biometria comportamentale, autenticazione passwordless come chiavi FIDO o token hardware, o autenticazione adattiva, oltre a un forte device fingerprinting.
La circolare mantiene inoltre la SMS nel quadro normativo. I messaggi OTP che vengono ancora inviati "dovrebbero essere personalizzati con sufficienti dettagli sulla transazione", le notifiche in tempo reale possono avvenire "tramite canali sicuri come app mobili, app di messaggistica, e-mail o SMS", e le BSFIs non devono inviare link cliccabili o codici QR via e-mail, app di messaggistica o SMS a meno che non sia stato richiesto dal cliente, che il link sia solo informativo o che non conduca a una pagina che richieda credenziali. Contesto nazionale: normative SMS delle Filippine.
Le tre regole a confronto
| Mercato | Regolatore e strumento | Data chiave | Chi rientra nell'ambito | SMS OTP è ancora consentito? |
|---|---|---|---|---|
| EAU | Direttiva della Banca Centrale degli EAU rivolta alle banche (avviso non pubblicato; riportato il 24 lug 2025) | Eliminazione graduale dal 25 lug 2025; completamento entro marzo 2026 (rapporti stampa) | Banche che autenticano i propri clienti | In fase di sostituzione con l'autenticazione in-app per i clienti bancari; non applicabile ai non-bancari |
| India | RBI Authentication Mechanisms for Digital Payment Transactions Directions, 2025 (25 settembre 2025) | Conformità entro il 1 aprile 2026; CNP transfrontaliero entro il 1 ottobre 2026 | Tutti i fornitori e i partecipanti ai sistemi di pagamento, banche e non-bancari | Sì — due fattori distinti, uno dinamico; SMS OTP è un fattore consentito |
| Filippine | BSP Circular No. 1213, Series of 2025 (firmata il 30 maggio 2025) | Un anno dalla data di entrata in vigore — circa 25 giugno 2026 | Istituzioni finanziarie supervisionate da BSP; obbligo di autenticazione forte per quelle ad alto volume | Limitato, non vietato; SMS rimane un canale di notifica |
| Arabia Saudita | Nessun mandato ufficiale SAMA per eliminare gli SMS OTP (verificato il 26 set 2026) | — | — | Sì; il regolamento di SAMA richiede notifiche SMS istantanee per le transazioni dell'account |
Chi è incluso nel perimetro — e chi no?
L'errore più comune è presumere che una regola di autenticazione bancaria si applichi a ogni azienda che invia un codice. Non è così. Il perimetro è definito dagli enti soggetti alla vigilanza del regolatore.
- Inclusi nel perimetro negli Emirati Arabi Uniti: banche autorizzate che autenticano l'accesso e le transazioni dei clienti (secondo i report stampa).
- Inclusi nel perimetro in India: ogni fornitore e partecipante ai sistemi di pagamento — banche, emittenti di carte, wallet e altri enti di pagamento non bancari — per le transazioni di pagamento digitale.
- Ambito di applicazione nelle Filippine: istituzioni finanziarie supervisionate da BSP; l'elenco della forte autenticazione si applica a quelle che superano la soglia mensile di PHP 75 milioni.
- Esclusi da tutti e tre i casi: login e recupero account e-commerce, conferme di ride-hailing e delivery, prenotazioni di viaggi, iscrizioni a SaaS, marketplace e gaming — a meno che l'azienda stessa non sia un ente di pagamento regolamentato.
- Esclusa: la verifica del numero di telefono al momento della registrazione, quando lo scopo è dimostrare il possesso di un numero piuttosto che autorizzare un pagamento.
Cosa sostituisce SMS OTP per i clienti bancari?
Le alternative condividono un concetto: vincolare l'approvazione al dispositivo o all'identità fisica del cliente, non a un codice che può essere letto ad alta voce a un truffatore o intercettato dopo un SIM swap.
- Approvazione in-app: una notifica push sull'app della banca stessa, confermata tramite biometria o PIN dell'app — la strada intrapresa dalle banche degli Emirati Arabi Uniti.
- Biometria e biometria comportamentale: citate esplicitamente nella Circolare 1213 di BSP.
- Passwordless e passkey: chiavi basate su FIDO memorizzate sul dispositivo; consulta la nostra guida da SMS OTP alle passkey.
- Controlli basati sulla rete: l'autenticazione silenziosa della rete (silent network authentication) e i segnali di SIM-swap verificano il numero tramite l'operatore; consulta silent network authentication vs SMS OTP.
- Autenticazione adattiva (basata sul rischio): l'autenticazione step-up avviene solo quando il dispositivo, la posizione o il comportamento appaiono insoliti — consentita in India e indicata nelle Filippine.
Perché SMS è ancora fondamentale nel 2026
Eliminare SMS dall'autenticazione bancaria non significa eliminare SMS dal settore bancario. Le stesse autorità di regolamentazione continuano a considerarlo un canale per le notifiche e, al di fuori dei pagamenti, rimane il modo più universale per raggiungere un numero di telefono che non ha installato la vostra app.
- Avvisi di transazione: la circolare BSP include SMS tra i canali di notifica in tempo reale, e SAMA richiede notifiche SMS istantanee per le transazioni sul conto.
- Verifica del numero di telefono in fase di registrazione e in caso di cambio numero, idealmente abbinata a un controllo di SIM-swap.
- Accesso e recupero per app non bancarie, dove SMS è spesso l'unico fattore che ogni utente può ricevere.
- India: SMS OTP come uno dei due fattori, a condizione che l'altro fattore sia distinto.
- Fallback: quando un canale push o in-app fallisce, un servizio di verifica multicanale può ricorrere a WhatsApp, alla voce o a SMS laddove le normative lo consentano.
Checklist per banche e società di pagamento
- Mappare ogni flusso che invia un codice oggi — login, aggiunta beneficiario, pagamento CNP (card-not-present), modifica limiti, cambio dispositivo — e indicare quale normativa di regolamentazione lo disciplina.
- Spostare le approvazioni ad alto rischio verso metodi legati al dispositivo (push in-app con biometria, passkey) e documentare il secondo fattore per l'India.
- Personalizza ogni OTP che invii con i dettagli della transazione (esercente, importo), come richiesto da BSP, e non includere mai un link cliccabile.
- Aggiungi segnali di rischio — SIM-swap, cambio dispositivo, velocità — prima di considerare affidabile qualsiasi fattore di possesso.
- Utilizza SMS per gli avvisi di transazione in tempo reale e monitora la consegna; consulta il nostro manuale di monitoraggio della consegna per OTP bancari.
- Registra la decisione per ogni mercato, indicando la data del controllo, in modo che i revisori possano comprendere il motivo per cui ogni flusso utilizza quel determinato metodo.
Checklist per app non bancarie
- Conferma di non essere un ente di pagamento regolamentato; in caso contrario, la checklist bancaria si applica ai tuoi flussi di pagamento.
- Utilizza SMS OTP per la registrazione e l'accesso, e aggiungi WhatsApp o la voce come canali di fallback per ottimizzare copertura e costi.
- Verifica eventuali recenti SIM swap prima di apportare modifiche sensibili all'account.
- Offri le passkey come opzione per gli utenti ricorrenti, mantenendo SMS per il recupero dell'account.
- Stima l'esposizione al rischio di frode di ogni flusso con il calcolatore di sicurezza OTP.
BroadNet garantisce la consegna di OTPs in oltre 200 paesi (diretti all'operatore in 86 di essi) con un SLA della piattaforma del 99,99%, con controlli di SIM-swap e number-intelligence e fallback automatico su SMS, WhatsApp e voce. Scopri il OTP API, il servizio di verifica multicanale MyOTP e le nostre soluzioni per il settore bancario e finanziario.
Domande frequenti
L'uso di SMS OTP è vietato negli Emirati Arabi Uniti?
No. La Banca Centrale ha dato istruzione alle banche degli Emirati Arabi Uniti di eliminare gradualmente SMS e le OTPs via e-mail dall'autenticazione dei clienti, a partire dal 25 luglio 2025, con il completamento previsto per marzo 2026, passando all'autenticazione in-app. Il cambiamento si applica alle banche che autenticano i propri clienti; non si tratta di un divieto nazionale per i codici SMS destinati ad altre attività commerciali.
La regola CBUAE si applica all'e-commerce, al BNPL o alle app di delivery?
Le comunicazioni ufficiali descrivono la direttiva come applicabile alle banche. Non viene menzionato l'e-commerce, il delivery o altre app non bancarie. Un'azienda autorizzata dalla Banca Centrale per i pagamenti dovrebbe verificare i propri obblighi di licenza con l'autorità di regolamentazione, poiché il testo della notifica non è stato ancora pubblicato.
Cosa ha sostituito SMS OTP per i clienti delle banche negli Emirati Arabi Uniti?
L'autenticazione in-app. I clienti approvano i pagamenti e le operazioni sensibili tramite l'app mobile della propria banca, solitamente utilizzando la biometria dello smartphone o un PIN dell'app, invece di digitare un codice ricevuto via SMS o e-mail.
RBI vieta SMS OTP da aprile 2026?
No. Le direttive RBI in vigore dal 1° aprile 2026 richiedono almeno due fattori di autenticazione distinti per i pagamenti digitali, di cui almeno uno dinamico, fatta eccezione per le transazioni con carta presente. Non impongono né vietano alcuna tecnologia specifica, e le SMS OTP rimangono un fattore consentito. Gli emittenti devono risarcire integralmente i clienti per le perdite derivanti da transazioni non conformi.
Cos'è la Circolare BSP n. 1213?
Si tratta della circolare della Bangko Sentral ng Pilipinas, firmata il 30 maggio 2025, che aggiorna gli standard di autenticazione e gestione delle frodi per le istituzioni finanziarie supervisionate da BSP. La norma impone di limitare i metodi di autenticazione intercettabili, come le SMS e le OTPs via e-mail, e richiede alle istituzioni ad alto volume di adottare la biometria, l'autenticazione passwordless o quella adattiva entro un anno dalla data di entrata in vigore — ovvero intorno al 25 giugno 2026.
È ancora possibile utilizzare le OTP di SMS per verificare un numero di telefono?
Sì. Nessuna delle tre regole vieta l'uso di un codice SMS per dimostrare che un utente ha il controllo di un numero di telefono durante la registrazione o il cambio di numero. Abbinare tale controllo a una verifica di SIM-swap rende l'abuso dell'operazione considerevolmente più difficile.
L'Arabia Saudita sta vietando le OTP SMS tramite SAMA?
Al 26 settembre 2026, non abbiamo riscontrato alcun mandato ufficiale di SAMA per l'eliminazione graduale delle SMS OTP. Il regolamento di SAMA richiede invece alle banche di inviare notifiche SMS istantanee per le transazioni sul conto. Le indiscrezioni online riguardanti una scadenza fissata per il SAMA rimangono speculazioni finché SAMA non ne pubblicherà una ufficiale.
Cosa dovrebbe utilizzare una banca in caso di indisponibilità dell'app?
Dipende dal regolatore: la circolare filippina limita piuttosto che vietare le OTP SMS, mentre l'India le consente come uno dei due fattori distinti. È necessario progettare un piano di fallback documentato per ogni mercato — ad esempio un secondo metodo basato sul dispositivo o un canale assistito — e sottoporlo al proprio regolatore prima di fare affidamento sulle SMS come soluzione di emergenza.
Fonti
- Reserve Bank of India — Authentication Mechanisms for Digital Payment Transactions Directions, 2025, 25 settembre 2025: rbi.org.in (consultato il 26 settembre 2026).
- Bangko Sentral ng Pilipinas — Circolare n. 1213, Serie 2025, firmata il 30 maggio 2025: bsp.gov.ph (consultato il 26 settembre 2026).
- Gulf News — "Le banche degli Emirati Arabi Uniti smetteranno di inviare OTPs tramite SMS ed e-mail dal 25 luglio", 24 luglio 2025: gulfnews.com.
- Khaleej Times — Le banche degli Emirati Arabi Uniti elimineranno gradualmente l'uso di OTPs dal 25 luglio, 24 luglio 2025: khaleejtimes.com.
- Saudi Central Bank (SAMA) Rulebook — Servizio di notifica istantanea SMS: rulebook.sama.gov.sa (consultato il 26 settembre 2026).