026年8月23日、エジプト中央銀行（CBE）は、銀行口座の開設およびリモートでの顧客認証（eKYC）のためのルールブックである「デジタル金融アイデンティティ・プラットフォームのサービスを管理する規則」を発行しました。SMS認証における重要な規定は簡潔です。自社のアプリを通じて顧客を認証する銀行は、ワンタイムパスワード（OTP）を含むテキストメッセージを送信することで、携帯電話番号が顧客に属しており、かつ顧客がそれを保有していることを確認しなければなりません。現在も公開されている従来のCBEウォレット規則では、高リスクな操作に対してSMSが二要素認証の要素となってはならないと定められています。本ガイドでは、各規則の内容と、エジプトの銀行、ウォレット事業者、フィンテック企業がそれらに基づいてどのようにOTPを設計すべきかについて、BroadNetが提案する内容をまとめます。
本ガイドは、2026年10月10日時点の公開されている規制テキストをまとめたものです。これは一般的な情報であり、法的助言ではありません。本内容を信頼する前に、エジプト中央銀行、NTRA、PDPC、または顧問弁護士に義務を確認してください。
主なポイント
- CBE理事会は2026年6月17日にデジタル金融アイデンティティ（DFI）規則を承認しました。2026年8月23日付の回状により、これらが銀行に送付されました。これらの規則は、エジプトのすべての銀行、プラットフォームへの参加が許可されたライセンス保有機関、およびCBE認定の銀行代理店に適用されます。
- 自社のアプリで顧客を認証する銀行は、「ワンタイムパスワード（OTP）を含むテキストメッセージを送信することによって」携帯電話番号の保有を確認し、その後、デバイスにDFI証明書を紐付けなければなりません。
- 本プラットフォームは、デバイスに紐付けられたDFI証明書、OTP、6桁のグローバルPIN、および生体認証の4つのメカニズムによって認証を行います。
- 非金融取引においては手書き署名の代わりとして利用できます。金融取引の認証には、別途CBEの承認が必要です。
- CBEのモバイル決済規則（2021年4月）では、リスクの高いウォレット操作に対して二要素認証を求めており、それらのためにSMSや電子メールによってOTPを自動的かつ直接送信してはならないと定めています。アラートについては、引き続きSMSが指定されたチャネルとなります。
- PDPCによれば、CBEおよびその監督対象となる団体が保持するデータは、送金会社および両替所を除き、データ保護法の対象外となります。
エジプト中央銀行は2026年8月に何を公表しましたか？
2026年8月23日付のCBEの発表によると、同理事会は「銀行顧客の特定および電子的な本人確認（eKYC）のためのデジタル金融アイデンティティ（DFI）プラットフォームのサービスを管理する規則」を承認しました。当該通達には、2026年6月17日の理事会承認が記録されています。ハッサン・アブダラ総裁は、このプラットフォームにより、市民は支店に足を運ぶことなくデジタルチャネルを通じて口座を開設し、銀行商品を取得できるようになり、利用規約の電子的な同意および「手書き署名の代替」としての電子認証が可能になると述べました。
本規則は、eKYC（特定、検証、およびアイデンティティの更新）、取引の電子認証、支払および送金指示、規約への同意、ならびに参加者間での顧客のDFIの共有を対象としています。プラットフォームは、エジプト国内でDigital Financial Identity Company（「Haweya」）によって運営されており、民事身分登録局（Civil Status Organization）などの信頼できるソースからの国民IDデータの読み取りに加え、NFCチップの読み取りやライブネス検知（liveness detection）を行います。8月の通達では、マネーロンダリング防止ユニット（EMLCU）が電子的な特定手順を発行すると述べられていました。2026年9月28日付のCBE通達によると、EMLCUはその月の第1版を承認しました。これらの文書のいずれにおいても、個別のコンプライアンス期限は設定されていません。
DFIの規則において、OTP認証SMSはどこに記載されていますか？
| 条項（DFI規則） | 内容 | OTPにとっての意味 |
|---|---|---|
| 4, Second, 2.1 | 自社アプリを使用する銀行は、モバイル番号が顧客のものであり、かつ顧客がその番号を所有していることを、OTPを含むSMSによって確認しなければなりません | SMSのOTPはオンボーディング時の所有確認です。これは初回に登録済みの番号へ確実に到達する必要があります |
| 4, Second, 2.2 | その後、DFI証明書を発行し、顧客のデバイスおよびアプリに紐付けます | 日常的なログインは紐付けられたデバイスに依存します。SMSはリカバリおよび再紐付けのチャネルとなります |
| 5、項目7.2 | Haweyaは、同じアプリおよびデバイス上のDFI証明書、OTP、Global PIN、生体認証の4つのメカニズムを提供します。 | OTPは4つの要素のうちの1つであり、モデル全体ではありません |
| 4、第一に、7 | 複数の方法を通じて、DFIの作成が完了したことを顧客に通知してください | SMSの確認を、アプリ内通知またはメール通知と組み合わせてください |
| 4、第五に、1 | 短期間における繰り返しのログイン失敗や認証試行の誤りを監視し、直ちに顧客に連絡してください | すべてのOTP試行をログに記録し、失敗が急増した際にアラートを通知します |
周囲の管理体制も厳格です。アプリ内でのルート化および脱獄検知、証明書ピンニング、CBEへの6時間以内のインシデント通知、計画停止の48時間前通知、そしてリリース前にはペネトレーションテスト、SOC 2 Type 1レポート（6か月以内にType 2）、プライバシー影響評価が義務付けられています。
エジプトでの決済において、OTP認証SMSは十分ですか？
すべての操作において十分というわけではありません。CBEのモバイル決済サービス規制（第3版、2021年4月）では、複数の受益者への同時決済指示、送金限度額の適用除外となる指示、連絡先情報の変更などが高リスク活動として定義されています。これらの場合、銀行は2つの手段を併用しなければならず、SMSやメールによってワンタイムパスワードを「自動的かつ直接的に」付与してはなりません。トークンデバイスまたはアプリからのOTPは、少なくとも6文字であり、有効期限は90秒以内である必要があります。その他の取引は、少なくとも6桁のPINで再認証され、停止に至るまでの失敗試行は最大5回までです。SMSには依然として定義された役割があります。ウォレット利用者がオプトアウトしない限り、銀行はSMSまたはメールによって取引および高リスク活動をユーザーに通知しなければならず、また、SMSによって決済指示を作成することはできませんが、SMSがそれを確認することは可能です。
即時決済ネットワーク（IPN）の2021年10月の規則では、すべてのIPN決済に対して2要素を要求しています。具体的には、電話端末のハードバインディング（デバイスフィンガープリントと電話番号）と6桁のIPN PINであり、OTPはネットワーク内のセキュアライブラリ内でのみ処理されます。銀行は「テキストメッセージまたはその他の承認された方法」を通じて顧客に取引を通知しなければなりません。CBEの2023年3月のカードトークン化規則では、カード保持者を検証する一つの方法として、銀行に登録された電話へのSMS OTPを認めています。
| ジャーニーにおけるモーメント | CBEテキストにおけるSMSの役割 | 出典 |
|---|---|---|
| 銀行独自のアプリによるeKYC | 必須事項：番号の保有を証明するSMSOTP | DFI規制2026, 4-Second-2.1 |
| 既存顧客のウォレット開設 | 銀行は番号の所有または保有を確認する必要があります | モバイル決済規則2021, 3-3-20 |
| デバイスのウォレットへのカード追加 | 登録済み電話へのSMSOTPは、手法の一例です | トークン化規則2023, 3-2-5 |
| 高リスクなウォレット操作 | 二要素認証：OTPはSMSまたはメールによって自動かつ直接送信されません | モバイル決済規則2021, 3-4-5-1 |
| IPN決済 | デバイス紐付け + IPN PIN | IPN rules 2021, 4-7 to 4-9 |
| 取引アラート | チャネルとして指定されたSMS | モバイル決済規則3-6-8; IPN規則3-1-9 |
SMSは番号を証明し、デバイスを紐付け、顧客に情報を通知します。最も強力なアクションは、デバイスに加えてPINまたは生体認証に依存します。UAE、インド、フィリピンの比較については、SMS OTPは禁止されているのか？をご覧ください。
NTRA規則は、エジプトへのOTPメッセージにどのような影響を与えますか？
国家電気通信規制局(NTRA)は、モバイル付加価値サービスのための枠組みの下で、bulk SMSのライセンスを付与しています。この枠組みでは、OTPが属するカテゴリーである「Bulk SMS (One to One)」が定義されています。ライセンス保持者は、すべてのメッセージにおいて送信主体の名称を表示し、その前にNTRAセットのコードを付加しなければなりません。また、契約前に各顧客の氏名と送信元IDをNTRAに通知すること、送信者がエジプト国内にいることを確実にすること、そしてNTRAの事前の書面による承認なしに国際メッセージをエジプトへルーティングしないことが義務付けられています。したがって、銀行のOTPには、銀行名を明示した登録済みの送信元IDが必要であり、ライセンスを受けたローカルチャネルを通じて送信する必要があります。
BroadNetのエジプトのカバレッジページには、Vodafone Egypt、Orange Egypt、e& Egypt、WEとの直接接続によるライセンス済み着信、および7〜14営業日での送信元ID登録が記載されています。書類については、当社のエジプトA2P SMSガイドおよびエジプトでの送信元ID登録をご参照ください。通信事業者の側では、e& Egyptがグレールートに対するBroadNetのA2Pファイアウォールを運用しています。NTRAのウォレット規則では、1つの番号につき1つのウォレットのみを開設でき、顧客のPINなしにはいかなる取引も完了しないと定められており、電話番号がウォレットの識別子となります。SIMの入れ替えや再利用された番号については、Number VerifyおよびSIM Swap APIでご確認ください。
エジプトのデータ保護法はOTPトラフィックをどのように扱いますか？
2020年法律第151号には現在、施行規則があり、個人データ保護センター(PDPC)はこれを2025年施行規則第816号として引用しています。PDPCでは、免責事項の中に「エジプト中央銀行およびその監督・管理下にある団体が保有する個人データ（送金会社および両替所を除く）」が挙げられています。そのため、銀行はDFI管理などのCBEデータ規則に従う必要があります。フィンテック企業がこの除外対象に含まれるかどうかは、法務顧問に確認すべき事項です。法律が適用される場合、ユーザーがリクエストしたコードへの適合性は「契約上の必要性」が適法な根拠となりますが、マーケティングには明示的な同意、自由なオプトアウト、および場合によってはeマーケティングライセンスが必要です。違反が発生した場合は72時間以内にPDPCに報告する必要があり、国外への移転にはPDPCのライセンスまたは許可が必要です。メッセージログの保管場所については、ベンダーにデータレジデンシーについて問い合わせてください。
エジプトの銀行やウォレット事業者は、どのようにOTPを設計すべきでしょうか？
これらの規則を遵守するためのBroadNetの推奨事項：
- オンボーディング時の所有権確認にはSMS OTPを使用し、その後デバイスを紐付けます。リカバリおよび再紐付けにはSMSを保持してください。
- リスクの高いウォレット操作には、アプリ内またはトークンコードに加えて二要素認証を使用し、その後SMSアラートを送信します。
- マーケティング用とは別に、ライセンスを取得したローカルルート上で、ブランド名を用いた専用のOTP送信元IDを登録してください。
- コードを最初に配置してください。アラビア語はUCS-2を使用するため、1つのSMSは160文字ではなく70文字となります（エンコーディングガイド）。オートフィル行を追加してください。
- 有効期限を短く設定し、試行回数を制限し、送信、配信レポート、および認証の完全なログを保持してください。DFIの規則では、認証失敗のモニタリングが義務付けられています。
- 指定した時間内に配信レポートが届かない場合は、別の配信ルートで一度再試行し、その後音声OTPを提供してください。際限なく再送することは避けてください。
- 最近変更された番号に送信する前に、SIMのすり替えがないか確認してください（SIMスワップ詐欺）。
- OTPのメトリクスを不正およびインシデント対応プロセスに活用してください（銀行のOTPモニタリングプレイブック）。
BroadNetのOTP APIは、配信レポートが返信されない場合に自動で音声フォールバックを行うSMS、送信先ごとの送信元ID管理、および全試行における配信レポートの提供といったパターンをカバーしています。エジプトのリスト料金は、e& Egypt (Etisalat Misr)でSMS 1通あたり$0.028から、Vodafone Egyptで$0.030、Orange Egyptで$0.032、WEで$0.035です (エジプトのSMS料金)。ベンダーに関する詳細はエジプトのSMSプロバイダー比較をご参照ください。
BroadNetは2003年からキャリアグレードのメッセージングを提供しており、1,000以上の通信事業者との直接接続、99.99%のSLA、およびSOC 2 Type IIを備えています。テストアクセスを申し込むと、エンジニアが1営業日以内にご返信します。統合には通常2〜5営業日を要し、その間に送信元IDの承認も並行して行われます。
よくある質問
CBEのデジタル金融アイデンティティ・プラットフォームとは何ですか？
顧客のデジタル金融アイデンティティを作成し、電子的に顧客を検証（eKYC）するための、CBE承認済みプラットフォームです。エジプト国内では、Digital Financial Identity CompanyであるHaweyaによって運営されています。その規則は、2026年8月23日付のCBE通達によって発行されました。
CBEのeKYC規則では、OTP認証SMSが必要ですか？
はい、あるケースにおいて、自社アプリで本人確認を行う銀行は、デバイスにDFI証明書を紐付ける前に、OTP認証SMSを用いて携帯電話番号の所有を確認する必要があります。OTPも、このプラットフォームが提供する4つの認証メカニズムの1つです。
誰がDFI規制を遵守しなければなりませんか？
エジプトで事業を展開するすべての銀行、プラットフォームへの参加資格を持つライセンス取得済みの法人、およびCBEの認可を受けた銀行代理店です。これらの規則は、CBEの電子バンキング、AML/CFT（マネーロンダリング防止／テロ資金供与対策）、およびオペレーショナル・リスクに関する規則に加えて適用される最低限の基準です。
DFIプラットフォームで決済の認証は可能ですか？
銀行は、手書き署名の代わりに、非金融取引において本プラットフォームを利用できます。金融取引の認証には、追加のCBE承認、およびCBEの電子認証コントロールへの準拠が必要です。
エジプトのモバイルウォレットは、送金にOTP認証SMSを使用できますか？
複数の受取人への一括支払いなど、高リスクなアクションには使用できません。2021年のモバイル決済規則では、二要素認証が義務付けられており、それらのOTPをSMSやメールで自動的かつ直接送信することは禁止されています。その他の取引ではPINが使用され、SMSでアラートが通知されます。
エジプトのPDPLは、銀行のOTPデータにも適用されますか？
PDPCによると、送金会社および両替所を除き、CBEおよびその監督対象機関が保有するデータはPDPLの対象外です。これら2つの業種、およびCBEの監督外の企業は、本法の適用対象となります。
エジプトへのOTPメッセージには、登録済みの送信元IDが必要ですか？
はい。NTRAの枠組みでは、すべてのメッセージに送信者名を記載することが義務付けられており、顧客と契約を結ぶ前に、送信元IDをNTRAに通知する必要があります。
国際配信ルートを使用して、エジプトへOTPを配信することは可能ですか？
承認なしでは不可能です。NTRAのライセンス保持者は、NTRAによる事前の書面による承認なしに、国際メッセージをエジプト国内に持ち込むことはできません。ライセンスを取得したローカルチャネルを通じて着信させるプロバイダーをご利用ください。
私たちは、2026年10月10日に規制当局の公式サイトにて以下のテキストをすべて確認しました。アラビア語のみのテキストはアラビア語で確認しています。当社の編集基準およびエジプトSMS規制をご参照ください。
出典
- CBE — eKYC規制に関するニュースリリース、2026年8月23日：cbe.org.eg。
- CBE — デジタル金融アイデンティティのページ、2026年8月23日更新：cbe.org.eg。
- CBE — DFI規制、原文（英語）: cbe.org.eg。
- CBE — DFI規則に関する2026年8月23日付の回報（アラビア語）: cbe.org.eg。
- CBE — 銀行顧客のKYCに関する2026年9月28日付の回報（アラビア語）、回報一覧：cbe.org.eg。
- CBE — モバイル決済サービス規則、第3版、2021年4月（アラビア語）: cbe.org.eg。
- CBE — 即時決済ネットワーク規則、2021年10月：cbe.org.eg。
- CBE — カードトークナイゼーションに関する回報、2023年3月8日（アラビア語）: cbe.org.eg。
- NTRA — モバイル付加価値サービスフレームワーク（tra.gov.eg、PDF）およびモバイルウォレット規制規則（tra.gov.eg）、2026年10月10日閲覧。
- PDPC — 2020年法律第151号および2025年執行規則第816号に関するFAQ、2026年10月10日閲覧：portal.pdpc.gov.eg。