いえ — UAE、インド、フィリピンにおいて、SMS OTPは禁止されていません。UAEの銀行は中央銀行から、顧客認証からSMSおよびe-mailのワンタイムパスワードを段階的に廃止するよう指示されています（廃止プロセスは2025年7月25日に開始されました）。インドのRBIは、2026年4月1日から施行されている技術中立的な二要素認証ルールに基づき、SMS OTPを許可された要素として維持しています。また、フィリピンのBSPは、2026年6月25日頃から、大規模な銀行に対して傍受可能なOTPを制限することを求めています。
本ガイドは、2026年9月26日時点の公開されている規制文書および報道資料をまとめたものです。これは一般的な情報であり、法的助言ではありません。お客様の義務については、規制当局または弁護士にご確認ください。
主なポイント
- UAE：段階的な廃止は、自社の顧客を認証する銀行に適用され、承認プロセスを銀行のモバイルアプリへと移行させます。中央銀行の通知自体は公開されていません。日付は報道資料（Gulf News、Khaleej Times、2025年7月24日）に基づいています。
- インド：RBI Authentication Mechanisms Directions, 2025により、2026年4月1日からデジタル決済において2つの異なる要素が必要となり、カード提示型決済を除くすべての決済において少なくとも1つの動的要素が求められます。SMS OTPは引き続き許可されています。
- フィリピン：BSP Circular No. 1213（2025年5月30日署名）は、BSPの監督下にある金融機関に対し、SMSおよびe-mailによって送信されるOTPを制限することを定めており、大規模な金融機関に対しては、当該通達の発効から1年以内に生体認証、パスワードレス認証、またはアダプティブ認証を採用することを義務付けています。
- 非金融機関（eコマース、配送、旅行、SaaS、政府系ポータルなど）は、これら3つの制度のいずれの対象にもなりません。OTP認証SMSは、電話番号の確認やログインを行うための通常の手段として引き続き利用されます。
- 銀行業務において、SMSは依然として規制上の役割を担っています。BSPの通達では、リアルタイムの取引通知チャネルとしてSMSが挙げられており、サウジアラビアのSAMAルールブックでは、口座取引に対する即時のSMS通知が義務付けられています。
UAEではOTP認証SMSは禁止されていますか？
いいえ。UAEで起きていることは銀行セクターの変化であり、国全体での禁止ではありません。2025年7月24日、Gulf Newsは「UAEの銀行は、7月25日（金）から、SMSおよびメールで送信されるワンタイムパスワード（OTP）の段階的な廃止を開始する」と報じており、顧客は銀行のスマートアプリ内の「アプリによる認証」機能へと移行します。Khaleej Timesも同日、この動きは「UAE中央銀行の指令に従ったものであり、段階的に実施される」と報じました。Gulf Newsは、2026年3月までにSMSおよびメールによるOTPの完全な廃止が義務付けられると述べています。
この件に基づきポリシーを策定する際には、2つの注意点があります。第一に、UAE中央銀行（CBUAE）自体はその通知を公開していません。オンラインで流通している数字や正確な文言はベンダーのブログによるものなので、未確認の情報として扱う必要があります。第二に、公開されているすべてのレポートは、銀行が自社の顧客の取引やログインを認証することに関するものです。電話番号の確認、配送の確認、またはユーザーのサインインにSMSコードを使用する他の企業に対して、この変更が適用されるとは書かれていません。
実務上、UAEの銀行顧客は現在、スマートフォンの生体認証やアプリのPINを使用して、銀行アプリ内でカード決済や機密性の高い操作を承認しています。送信元IDの登録、プロモーション期間、同意に関するより広範な規制の文脈については、当社のUAE SMS規制ページをご覧ください。
RBIは2026年4月からOTP認証SMSを禁止しますか？
いいえ。インド準備銀行（デジタル決済取引のための認証メカニズム）指令、2025年は2025年9月25日に発行され、「銀行および非銀行機関を含むすべての決済システムプロバイダーおよび決済システム参加者」に適用され、これらは2026年4月1日までに遵守しなければなりません。核心となるルールは、「すべてのデジタル決済取引は、少なくとも2つの異なる認証要素によって認証されなければならない」であり、カード提示型取引以外のすべてについては、「認証要素のうち少なくとも1つが動的に生成または証明される」必要があります。
本指針は、特定の技術を指定するのではなく、原則を定めるものです。RBIによれば、特定の要素は義務付けられていないものの、エコシステムは「主にSMSベースのワンタイムパスワード（OTP）を追加要素として採用している」とされており、本文中でこれを禁止する記述はありません。変更点は責任の所在です。「本指針に従わずに実行された取引から損失が生じた場合、発行体は顧客に対してその損失を全額補償しなければならない」とされています。また、発行体は2要素に加えて、位置情報、行動、またはデバイス属性に基づくリスクベースのチェックを追加することも可能です。
新たな期限が設定されました。カード発行体は、2026年10月1日までに、海外の加盟店またはアクワイアラによって発生する非継続的なクロスボーダーのカード非対面（CNP）取引を検証するメカニズムを導入しなければなりません。インドのメッセージング規則（DLT登録、ヘッダー、テンプレート）については、インド SMS規制をご参照ください。
フィリピンにおけるBSP Circular No. 1213の要件は何ですか？
BSP Circular No. 1213, Series of 2025は、2025年5月22日に通貨委員会（Monetary Board）によって承認され、2025年5月30日に署名、2025年6月10日に公開されました。本通達は公開から15暦日後に発効し、BSPの監督下にある金融機関（BSFI）は「発効日から1年以内」に遵守しなければなりません。これは2026年6月25日頃に該当します。通達自体には具体的な日付は記載されていません。一部の報道では6月30日とされていますが、1年ルールに基づくと6月25日となります。
重要な一文は、禁止ではなく制限に関するものです。BSFIは「取引に関係のない第三者によって共有されたり、傍受されたりする可能性のある認証メカニズムの使用を制限すべき」としており、その例としてSMS経由のOTPや電子メールが挙げられています。「複雑な電子製品およびサービスに従事し、オンライン取引の総額が高い」機関（過去6ヶ月間の月間平均取引額が少なくともPHP 75,000,000以上）は、強力な認証を採用しなければなりません。具体的には、生体認証（指紋、顔、または音声）、行動生体認証、FIDOキーやハードウェアトークンのようなパスワードレス認証、またはアダプティブ認証に加え、強力なデバイスフィンガープリントが必要です。
本通達では、SMSについても考慮されています。引き続き送信されるOTPメッセージは「十分な取引詳細を含むパーソナライズされたものにすべき」であり、リアルタイム通知は「モバイルアプリ、メッセージングアプリ、電子メール、またはSMSなどの安全なチャネルを通じて」行うことができます。また、BSFIは、顧客が要求した場合、リンクが情報提供のみである場合、または認証情報を求めるページに誘導しない場合を除き、電子メール、メッセージングアプリ、またはSMSを通じて、クリック可能なリンクやQRコードを送信してはなりません。国のコンテキスト：Philippines SMS regulations。
3つの規則の比較
| 市場 | 規制当局および規制手段 | 主要な日付 | 対象範囲 | SMS OTPは引き続き許可されていますか？ |
|---|---|---|---|---|
| UAE | UAE中央銀行による銀行への指令（通知は未公開、2025年7月24日に報道） | 2025年7月25日から段階的に廃止、2026年3月までに完了（報道による） | 自社顧客の認証を行う銀行 | 銀行顧客向けにはアプリ内認証への置き換えが進んでおり、非銀行部門については未対応 |
| インド | RBIデジタル決済取引のための認証メカニズムに関する指針、2025年（2025年9月25日） | 2026年4月1日までにコンプライアンス対応、クロスボーダーCNPについては2026年10月1日まで | すべての決済システムプロバイダーおよび参加者、銀行および非銀行 | はい — 2つの異なる要素が必要で、そのうち1つは動的である必要があります。OTP認証SMSは許可されている要素です |
| フィリピン | BSP通達No. 1213, Series of 2025（2025年5月30日署名） | 発効日から1年 — 2026年6月25日頃 | BSPの監督下にある金融機関。大量送信を行う機関には強力な認証義務が課されます | 制限はありますが、禁止はされていません。SMSは引き続き通知チャネルとして機能します |
| サウジアラビア | SMS OTPを段階的に廃止するという公式なSAMAの命令は見当たりません（2026年9月26日確認） | — | — | はい。SAMAのルールブックでは、口座取引に関する即時のSMS通知が義務付けられています |
対象範囲と対象外について
最も頻繁に見られる間違いは、認証コードを送信するすべての企業に銀行認証ルールが適用されると思い込むことです。実際にはそうではありません。対象範囲は、規制当局が監督する対象によって決定されます。
- UAEでの対象：顧客のログインおよび取引を認証するライセンス保有銀行（報道による）。
- インドでの対象：デジタル決済取引におけるすべての決済システムプロバイダーおよび参加者（銀行、カード発行会社、ウォレット、その他の非銀行決済事業者）。
- フィリピンでの対象：BSPが監督する金融機関。強力な認証の対象リストは、月間しきい値PHP 75 millionを超える機関に適用されます。
- これら3カ国のいずれの対象にも含まれないもの：eコマースのログインおよびアカウント復旧、配車・配送確認、旅行予約、SaaSのサインアップ、マーケットプレイス、ゲーム（その企業自体が規制対象の決済事業者である場合を除く）。
- 対象外：目的が決済の承認ではなく、電話番号の保有を証明することであるサインアップ時の電話番号認証。
銀行顧客にとって、OTP認証SMSに代わる手段は何ですか？
これらの代替手段に共通する考え方は、詐欺師に読み上げられたり、SIMの交換後に傍受されたりするようなコードに紐付けるのではなく、顧客のデバイスや生体情報に承認を紐付けることです。
- アプリ内承認：銀行独自のアプリへのプッシュ通知を行い、生体認証またはアプリのPINで確認する方法です。これはUAEの銀行が採用した手法です。
- 生体認証および行動生体認証：BSP Circular 1213において明示的に指定されています。
- パスワードレスおよびパスキー：デバイスに保存されるFIDOベースのキーです。詳細は、当社のガイドSMS OTPからパスキーへをご覧ください。
- ネットワークベースのチェック：サイレントネットワーク認証とSIMスワップ信号により、通信事業者を通じて番号を検証します。詳細はサイレントネットワーク認証vs SMS OTPをご覧ください。
- アダプティブ（リスクベース）認証：デバイス、位置情報、または動作に異常が見られる場合にのみ、ステップアップ認証を行います。これはインドで許可されており、フィリピンでもリスト化されています。
2026年もSMSが活躍する領域
銀行認証からSMSを排除しても、銀行業務からSMSが排除されるわけではありません。同じ規制当局が、通知チャネルとしてSMSを維持しており、決済以外の用途においては、アプリをインストールしていない電話番号にリーチするための最も普遍的な方法であり続けています。
- 取引アラート：BSPの通達では、リアルタイム通知チャネルの一つとしてSMSが挙げられており、SAMAは口座取引に対して即時のSMS通知を求めています。
- 登録時および電話番号変更時の電話番号認証。理想的にはSIMスワップチェックと組み合わせるのが望ましいです。
- 非金融アプリのログインおよびリカバリ。これらのケースでは、SMSがすべてのユーザーが受信可能な唯一の要素となることがよくあります。
- インド：もう一方の要素が別個（独立）のものであることを条件に、2要素のうちの1つとしてSMS OTPを利用できます。
- フォールバック：プッシュ通知やアプリ内チャネルが失敗した場合、マルチチャネル認証サービスは、規定が許可する範囲内でWhatsApp、音声、またはSMSへとフォールバックできます。
銀行および決済会社向けのチェックリスト
- ログイン、受取人追加、非対面決済、限度額変更、デバイス変更など、現在認証コードを送信しているすべてのフローを洗い出し、どの規制当局の規則が適用されるかをタグ付けしてください。
- リスクの高い承認プロセスをデバイスに紐付いた方法（生体認証によるアプリ内プッシュ通知、パスキー）に移行し、インドにおける第2要素について文書化してください。
- BSPが想定している通り、取引の詳細（加盟店、金額）を記載して、現在送信しているすべてのOTPをパーソナライズしてください。その際、クリック可能なリンクは決して含めないでください。
- 所有要素を信頼する前に、リスクシグナル（SIMスワップ、デバイス変更、ベロシティ）を追加してください。
- リアルタイムの取引アラートにSMSを使用し、配信状況を監視してください。詳細は当社の銀行OTP配信モニタリングプレイブックをご覧ください。
- 監査人が各フローでその手法を採用している理由を確認できるよう、確認日とともに市場ごとの決定事項を記録してください。
非銀行アプリ向けチェックリスト
- 規制対象の決済事業者ではないことを確認してください。規制対象である場合は、銀行向けチェックリストが決済フローに適用されます。
- 新規登録およびログインにはSMS OTPを使用し、到達率とコストの観点からフォールバックチャネルとしてWhatsAppまたは音声を追加してください。
- 機密性の高いアカウント変更を行う前に、最近のSIMスワップがないか確認してください。
- リピーター向けにパスキーをオプションとして提供し、リカバリ用にSMSを維持します。
- OTPセキュリティ計算機を使用して、各フローの不正リスクを推定します。
BroadNetは、200以上の国々において通信事業者との直接接続を通じて、99.99%のプラットフォームSLAでOTPを配信します。SIMスワップと番号インテリジェンスによるチェック、およびSMS、WhatsApp、音声への自動フォールバックを備えています。詳細は、OTP API、マルチチャネルMyOTP認証サービス、および当社の銀行・金融ソリューションをご覧ください。
よくある質問
UAEではSMS OTPは禁止されていますか？
いいえ。UAEの銀行は、中央銀行の指示により、2025年7月25日から開始され2026年3月に完了予定の、顧客認証におけるSMSおよびEメールによるOTPの段階的な廃止と、代わりにアプリ内認証を使用することが求められています。この変更は、自社の顧客を認証する銀行に適用されるものであり、他の企業に対するSMSコードの国家的な禁止ではありません。
CBUAEの規則は、Eコマース、BNPL、または配送アプリに適用されますか？
公開されている報告書では、この指令は銀行に適用されるものとされています。Eコマース、配送、またはその他の非銀行系アプリについては言及されていません。決済に関して中央銀行からライセンスを受けている企業は、通知文がまだ公開されていないため、規制当局に対して自社のライセンス義務を確認する必要があります。
UAEの銀行顧客向けに、SMS OTPに代わって導入されたものは何ですか？
アプリ内認証です。顧客は、SMSやEメールで受信したコードを入力する代わりに、通常はスマートフォンの生体認証やアプリのPINを使用して、銀行のモバイルアプリ内で決済や機密性の高い操作を承認します。
RBIは2026年4月からSMS OTPを禁止しますか？
いいえ。2026年4月1日から施行されるRBIの指針では、デジタル決済において少なくとも2つの異なる認証要素が必要であり、カード提示型取引を除き、少なくとも1つは動的な要素である必要があります。特定の技術を義務付けたり禁止したりするものではなく、SMS OTPは引き続き許可される要素です。発行体は、コンプライアンスに準拠していない取引による損失について、顧客に完全に補償しなければなりません。
BSP通達第1213号とは何ですか？
これは2025年5月30日に署名されたBangko Sentral ng Pilipinasの通達であり、BSPの監督下にある金融機関の認証および不正管理基準を更新するものです。この通達は、SMSやEメールのOTPのような傍受可能な認証を制限するよう指示しており、大量の取引を行う金融機関に対しては、施行日から1年以内（2026年6月25日頃まで）に、生体認証、パスワードレス認証、またはアダプティブ認証を採用することを義務付けています。
電話番号の認証にSMS OTPをまだ使用することはできますか？
はい。3つの規則のいずれも、新規登録時や電話番号変更時に、ユーザーが電話番号を所有していることを証明するためにSMSコードを使用することを制限していません。このチェックをSIMスワップのルックアップと組み合わせることで、悪用を大幅に困難にすることができます。
サウジアラビアのSAMAはOTP認証SMSを禁止していますか？
2026年9月26日現在、OTP認証SMSを段階的に廃止するというSAMAの公式な命令は確認されていません。SAMAの規定では、銀行に対して口座取引の即時SMS通知を行うことが義務付けられています。オンライン上で流布しているSAMAの期限に関する情報は、SAMAが公式発表を行うまでは憶測に過ぎません。
アプリが利用できない場合、銀行は何を使用すべきですか？
それは規制当局によります。フィリピンの通達では、OTP認証SMSを禁止するのではなく制限しています。また、インドでは2つの異なる要素のうちの1つとして認められています。市場ごとに文書化されたフォールバック（例：2つ目のデバイス紐付け方式や、サポートチャネルなど）を設計し、SMSをフォールバックとして利用する前に、規制当局に確認してください。
出典
- インド準備銀行 — Authentication Mechanisms for Digital Payment Transactions Directions, 2025, 2025年9月25日：rbi.org.in（2026年9月26日閲覧）。
- フィリピン中央銀行 — Circular No. 1213, Series of 2025, 2025年5月30日署名：bsp.gov.ph（2026年9月26日閲覧）。
- Gulf News — 「UAEの銀行、7月25日からSMSおよびメールによるOTP送信を停止へ」、2025年7月24日：gulfnews.com。
- Khaleej Times — UAE banks to phase out OTPs from July 25（2025年7月24日）：khaleejtimes.com。
- サウジ中央銀行（SAMA）規則集 — 即時SMS通知サービス：rulebook.sama.gov.sa（2026年9月26日閲覧）。