026년 8월 23일, 이집트 중앙은행(CBE)은 원격 계좌 개설 및 고객 인증(eKYC)을 위한 규정집인 '디지털 금융 신원 플랫폼 서비스 관리 규정'을 발표했습니다. SMS 인증과 관련된 핵심 내용은 간단합니다. 자체 앱을 통해 고객을 인증하는 은행은 일회용 비밀번호(OTP)가 포함된 문자 메시지를 전송함으로써, 해당 모바일 번호가 고객의 소유이며 고객이 보유하고 있음을 확인해야 합니다. 여전히 시행 중인 기존 CBE 지갑 규정에 따르면, 고위험 작업에 대한 2단계 인증 수단으로 SMS를 사용해서는 안 됩니다. 본 가이드는 각 규정의 내용과 BroadNet이 이집트의 은행, 지갑 및 핀테크 기업들에게 이러한 규정에 맞춘 OTP를 어떻게 설계할 것을 제안하는지 설명합니다.
본 가이드는 2026년 10월 10일 기준 공개된 규제 문구를 요약한 것입니다. 이는 일반적인 정보이며 법적 자문이 아닙니다. 본 내용을 신뢰하기 전에 이집트 중앙은행, NTRA, PDPC 또는 법률 고문과 상의하여 귀사의 의무 사항을 확인하십시오.
핵심 요약
- CBE 이사회는 2026년 6월 17일에 디지털 금융 신원(DFI) 규정을 승인했으며, 2026년 8월 23일 자 회람을 통해 이를 은행에 전달했습니다. 이 규정은 이집트의 모든 은행, 플랫폼에 참여할 수 있는 라이선스 보유 기관 및 CBE 승인 은행 대리점에 적용됩니다.
- 자체 앱에서 고객을 인증하는 은행은 "일회용 비밀번호(OTP)가 포함된 문자 메시지를 전송함으로써" 모바일 번호의 소유 여부를 확인해야 하며, 그 후 기기에 DFI 인증서를 결합해야 합니다.
- 해당 플랫폼은 기기 결합형 DFI 인증서, OTP, 6자리 글로벌 PIN 및 생체 인증의 네 가지 메커니즘으로 인증을 수행합니다.
- 비금융 거래의 경우 수기 서명을 대체할 수 있습니다. 금융 거래 인증에는 별도의 CBE 승인이 필요합니다.
- CBE의 모바일 결제 규정(2021년 4월)에 따르면 고위험 지갑 작업에는 2단계 인증이 필요하며, 이를 위해 OTP를 SMS나 이메일로 자동 및 직접 전송해서는 안 된다고 명시하고 있습니다. SMS는 알림을 위한 지정된 채널로 유지됩니다.
- PDPC에 따르면, 송금 회사와 환전소를 제외하고 CBE 및 그 감독 대상 기관이 보유한 데이터는 데이터 보호법의 적용 범위 밖에 있습니다.
이집트 중앙은행이 2026년 8월에 발행한 것은 무엇입니까?
2026년 8월 23일 발표된 CBE에 따르면, 이사회는 "은행 고객을 식별하고 전자적으로 신원을 확인하는 디지털 금융 신원(DFI) 플랫폼 서비스 규정(eKYC)"을 승인했습니다. 해당 통지문에는 2026년 6월 17일의 이사회 승인 사항이 기록되어 있습니다. Hassan Abdalla 총재는 이 플랫폼을 통해 시민들이 지점을 방문하지 않고도 디지털 채널을 통해 계좌를 개설하고 금융 상품을 이용할 수 있으며, 약관의 전자적 수락과 전자 인증이 "수기 서명을 대체하는 수단"으로 제공된다고 밝혔습니다.
해당 규정은 eKYC(식별, 확인 및 신원 업데이트), 거래의 전자 인증, 결제 및 이체 명령과 약관 수락, 그리고 참여자 간 고객 DFI 공유를 다룹니다. 이 플랫폼은 이집트 내에서 Digital Financial Identity Company인 "Haweya"가 운영하며, Civil Status Organization과 같은 신뢰할 수 있는 출처를 통해 국가 신원 데이터를 읽고 NFC 칩 판독 및 라이브니스 탐지(liveness detection)를 수행합니다. 8월 통지문에 따르면 자금세탁방지국(EMLCU)이 전자 식별 절차를 발행할 예정입니다. 2026년 9월 28일의 CBE 통지문에 따르면 EMLCU가 해당 월에 첫 번째 버전을 승인했습니다. 이 문서들 중 어느 것도 별도의 준수 기한을 설정하고 있지 않습니다.
DFI 규정에서 SMS OTP는 어디에 나타납니까?
| (DFI 규정) 조항 | 내용 | OTP에 미치는 영향 |
|---|---|---|
| 4, Second, 2.1 | 자체 앱을 사용하는 은행은 OTP가 포함된 SMS를 통해 해당 모바일 번호가 고객의 소유이며 고객이 실제로 보유하고 있는지 확인해야 합니다 | SMS OTP는 온보딩 소유권 확인 단계이며, 등록된 번호로 반드시 첫 번째에 즉시 전송되어야 합니다 |
| 4, Second, 2.2 | 그 다음 DFI 인증서를 발급하고 이를 고객의 기기 및 앱에 바인딩합니다 | 일상적인 로그인은 바인딩된 기기에 의존하며, SMS는 복구 및 재바인딩 채널 역할을 합니다 |
| 5, 항목 7.2 | Haweya는 네 가지 메커니즘을 제공합니다: 동일한 앱 및 기기에서의 DFI 인증, OTP, Global PIN, 생체 인증 | OTP는 네 가지 요소 중 하나이며, 전체 모델이 아닙니다 |
| 4, 첫째, 7 | 두 가지 이상의 방법을 통해 DFI 생성이 완료되었음을 고객에게 알리세요 | SMS 확인과 앱 내 또는 이메일 알림을 결합하세요 |
| 4, 다섯째, 1 | 짧은 시간 내에 반복되는 로그인 실패 및 잘못된 인증 시도를 모니터링하고, 즉시 고객에게 연락하세요 | 모든 OTP 시도를 기록하고 실패 급증 시 알림을 받으세요 |
주변 통제 조치 또한 엄격합니다. 앱 내 루팅 및 탈옥 탐지, 인증서 피닝(certificate pinning), CBE에 대한 6시간 이내 사고 통지, 48시간 전 계획된 서비스 중단 통지, 그리고 출시 전 침투 테스트, SOC 2 Type 1 보고서(6개월 이내 Type 2) 및 개인정보 영향 평가가 포함됩니다.
이집트 결제 시 SMS OTP만으로 충분한가요?
모든 작업에 충분한 것은 아닙니다. CBE의 모바일 결제 서비스 규정(제3판, 2021년 4월)은 여러 수취인에게 동시에 결제 명령을 내리는 경우, 이체 한도 면제 명령, 연락처 정보 변경 등을 고위험 활동으로 정의합니다. 이러한 경우 은행은 반드시 두 가지 수단을 병행해야 하며, SMS나 이메일을 통해 일회용 비밀번호를 "자동으로 직접" 부여해서는 안 됩니다. 토큰 장치나 앱을 통한 OTP는 최소 6자 이상이어야 하며 유효 기간은 90초를 초과할 수 없습니다. 기타 거래는 최소 6자리의 PIN으로 재인증되어야 하며, 최대 5회 실패 시 계정이 정지됩니다. SMS는 여전히 명확한 역할이 있습니다. 은행은 사용자가 수신 거부를 하지 않는 한 SMS나 이메일을 통해 지갑 사용자의 거래 및 고위험 활동을 알려야 하며, SMS로 결제 명령을 생성할 수는 없지만 SMS로 확인은 가능합니다.
2021년 10월의 즉시 결제 네트워크(IPN) 규정에 따르면 모든 IPN 결제 시 두 가지 요소가 필요합니다. 즉, 전화기 하드 바인딩(기기 지문 및 번호)과 6자리 IPN PIN이며, OTP는 네트워크의 보안 라이브러리 내부에서만 처리되어야 합니다. 은행은 "문자 메시지 또는 기타 승인된 방법"을 통해 고객에게 거래 내용을 통지해야 합니다. CBE의 2023년 3월 카드 토큰화 규정은 카드 소유자를 확인하는 한 가지 방법으로 은행에 등록된 전화기로 SMS OTP를 제공합니다.
| 여정의 순간 | CBE 메시지 내 SMS의 역할 | 출처 |
|---|---|---|
| 은행 자체 앱 내 eKYC 온보딩 | 필수 사항: SMS OTP를 통해 번호 소유 여부 증명 | DFI 규정 2026, 4-Second-2.1 |
| 기존 고객을 위한 지갑 개설 | 은행은 번호의 소유권 또는 점유를 확인해야 합니다 | 모바일 결제 규정 2021, 3-3-20 |
| 디바이스 지갑에 카드 추가 | 등록된 전화번호로 SMS OTP를 보내는 것이 예시 방법입니다 | 토큰화 규정 2023, 3-2-5 |
| 고위험 지갑 활동 | 2단계 인증; OTP가 SMS 또는 이메일로 자동 및 직접 전송되지 않음 | 모바일 결제 규정 2021, 3-4-5-1 |
| IPN 결제 | 기기 결합 + IPN PIN | IPN 규정 2021, 4-7 ~ 4-9 |
| 거래 알림 | 채널로 지정된 SMS | 모바일 결제 규정 3-6-8; IPN 규정 3-1-9 |
SMS는 번호를 증명하고, 기기를 결합하며, 고객에게 정보를 제공합니다. 가장 강력한 조치는 기기와 PIN 또는 생체 정보를 기반으로 합니다. SMS가 OTP 금지되었나요?에서 UAE, 인도, 필리핀을 비교합니다.
NTRA 규정이 이집트행 OTP 메시지에 미치는 영향은 무엇인가요?
국가 통신 규제국(NTRA)은 모바일 부가 서비스 프레임워크에 따라 대량 문자 발송 라이선스를 부여하며, 여기에는 OTP가 속하는 카테고리인 "대량 문자 발송(One to One)"이 정의되어 있습니다. 라이선스 소지자는 모든 메시지에 NTRA가 설정한 코드가 앞에 붙은 발송 엔티티의 이름을 표시해야 합니다. 계약 전 각 고객의 이름과 발신자 ID를 NTRA에 통지해야 하며, 발신자가 이집트 내에 있는지 확인해야 하고, NTRA의 사전 서면 승인 없이 국제 문자를 이집트로 라우팅해서는 안 됩니다. 따라서 은행의 OTP는 은행 이름이 명시된 등록된 발신자 ID를 사용해야 하며, 라이선스를 보유한 현지 채널을 통해 발송되어야 합니다.
BroadNet의 이집트 커버리지 페이지에는 Vodafone Egypt, Orange Egypt, e& Egypt 및 WE와 직접 연동된 라이선스 착신 서비스와 7~14 영업일 이내의 발신자 ID 등록 서비스가 나열되어 있습니다. 관련 서류는 당사의 이집트 A2P SMS 가이드 및 이집트 발신자 ID 등록에서 확인할 수 있습니다. 통신사 측면에서는 e& Egypt이 그레이 라우트에 대응하여 BroadNet의 A2P 방화벽을 운영합니다. NTRA의 지갑 규정에 따르면 각 번호는 하나의 지갑만 개설할 수 있으며 고객의 PIN 없이는 어떤 거래도 완료될 수 없으므로, 전화번호가 곧 지갑의 식별자가 됩니다. SIM 교체 및 재사용된 번호를 확인하세요 (번호 검증 및 SIM API 교체).
이집트 데이터 보호법은 OTP 트래픽을 어떻게 처리하나요?
2020년 제151호 법률은 현재 시행령을 갖추고 있으며, 개인정보 보호 센터(PDPC)는 이를 2025년 시행령 제816호로 인용합니다. PDPC는 면제 대상 중 하나로 "이집트 중앙은행 및 그 감독과 통제를 받는 엔티티가 보유한 개인정보(송금 회사 및 환전소 제외)"를 나열하고 있으므로, 은행은 DFI 통제와 같은 CBE 데이터 규정을 따릅니다. 핀테크 기업이 해당 예외 범위에 포함되는지는 법률 자문을 통해 확인해야 합니다. 법이 적용되는 경우, 사용자가 요청한 코드를 처리하는 것은 계약상 필요성에 따른 적법한 근거가 됩니다. 반면 마케팅에는 명시적 동의, 자유로운 수신 거부, 그리고 경우에 따라 전자 마케팅 라이선스가 필요합니다. 위반 사항은 72시간 이내에 PDPC에 보고해야 하며, 해외 전송에는 PDPC 라이선스 또는 허가가 필요하므로 메시지 로그가 어디에 저장되는지 벤더에게 문의하십시오 (데이터 거주성).
이집트 은행과 지갑 서비스는 OTP를 어떻게 설계해야 합니까?
이러한 규정을 준수하기 위한 BroadNet의 권장 사항:
- 온보딩 시 소유권 확인을 위해 SMS OTP를 사용한 후 기기를 등록하세요. 복구 및 재등록을 위해 SMS를 유지해야 합니다.
- 위험도가 높은 지갑 작업의 경우, 앱 내 인증 또는 토큰 코드에 두 번째 인증 요소를 추가하여 사용한 후 SMS 알림을 발송하세요.
- 마케팅용과 분리하여, 라이선스를 보유한 현지 경로를 통해 브랜드명으로 된 전용 OTP 발신자 ID를 등록하세요.
- 인증번호를 가장 먼저 배치하세요. 아랍어는 UCS-2를 사용하므로 SMS 한 건당 160자가 아닌 70자만 포함됩니다 (인코딩 가이드). 자동 완성 문구를 추가하세요.
- 짧은 유효 기간, 시도 횟수 제한, 그리고 발송, 전송 결과 보고 및 인증에 대한 전체 로그를 사용하세요. DFI 규정에 따라 인증 실패에 대한 모니터링이 필요합니다.
- 지정된 시간 내에 전송 결과 보고가 도착하지 않으면 다른 경로로 한 번 더 재시도한 후, 음성 OTP을 제공하세요. 무한정 재전송해서는 안 됩니다.
- 최근 변경된 번호로 메시지를 보내기 전 SIM 교체 여부를 확인하세요 (SIM 교체 사기).
- OTP 지표를 사기 및 사고 대응 프로세스에 반영하세요 (은행 OTP 모니터링 플레이북).
BroadNet의 OTP API는 다음 패턴을 지원합니다: 전송 결과 보고가 반환되지 않을 경우 자동 음성 대체 발송을 수행하는 SMS, 목적지별 발신자 ID 처리 및 모든 시도에 대한 전송 결과 보고. e& Egypt (Etisalat Misr) 기준 이집트 요금은 SMS당 $0.028부터 시작하며, Vodafone Egypt는 $0.030, Orange Egypt는 $0.032, WE는 $0.035입니다 (이집트 SMS 요금). 공급업체 관련 문의는 이집트 최고의 SMS 제공업체를 참조하세요.
BroadNet은 2003년부터 1,000개 이상의 통신사 직접 연동, 99.99% SLA 및 SOC 2 Type II를 갖춘 통신사급 메시징 서비스를 운영해 왔습니다. 테스트 액세스를 요청하시면 엔지니어가 영업일 기준 1일 이내에 회신드립니다. 통합에는 통상 영업일 기준 2~5일이 소요되며, 발신자 ID 승인은 이와 동시에 진행됩니다.
자주 묻는 질문
CBE 디지털 금융 신원 플랫폼은 무엇인가요?
고객의 디지털 금융 신원을 생성하고 고객을 전자적으로 인증(eKYC)하기 위해 CBE의 승인을 받은 플랫폼으로, 이집트의 Digital Financial Identity Company인 Haweya가 운영합니다. 관련 규정은 2026년 8월 23일자 CBE 회람을 통해 발행되었습니다.
CBE eKYC 규정에 인증번호 문자(SMS OTP)가 필요한가요?
네, 한 가지 사례가 있습니다. 자체 앱에서 신원을 확인하는 은행은 DFI 인증서를 기기에 연결하기 전에 인증번호 문자(SMS OTP)를 통해 해당 휴대폰 번호의 소유 여부를 확인해야 합니다. OTP 또한 이 플랫폼의 4가지 인증 메커니즘 중 하나입니다.
누가 DFI 규정을 준수해야 합니까?
이집트에서 운영되는 모든 은행, 플랫폼 가입 자격이 있는 라이선스 보유 기관, 그리고 CBE 승인을 받은 은행 대리점입니다. 이 규칙은 CBE의 전자 금융, AML/CFT 및 운영 리스크 규정에 더해 적용되는 최소 기준입니다.
DFI 플랫폼이 결제를 인증할 수 있습니까?
은행은 수기 서명을 대신하여 비금융 거래에 이를 사용할 수 있습니다. 금융 거래를 인증하려면 추가적인 CBE 승인과 해당 전자 인증 통제 규정 준수가 필요합니다.
이집트의 모바일 지갑은 이체를 위해 인증번호 문자(SMS OTP)를 사용할 수 있나요?
여러 수취인에게 동시에 송금하는 것과 같은 고위험 작업에는 사용할 수 없습니다. 2021년 모바일 결제 규정에 따라 2단계 인증이 필요하며, SMS 또는 이메일을 통해 해당 OTP를 자동으로 직접 전송하는 것은 금지되어 있습니다. 다른 거래에는 PIN을 사용하며, SMS는 알림을 전달하는 용도로 사용됩니다.
이집트의 PDPL이 은행의 OTP 데이터에도 적용되나요?
PDPC에 따르면, 송금 회사와 환전소를 제외하고 CBE 및 그 감독 대상 기관이 보유한 데이터는 PDPL의 범위를 벗어납니다. 이 두 유형의 기업과 CBE의 감독을 받지 않는 기업은 해당 법률의 적용을 받습니다.
이집트로 보내는 OTP 메시지에 등록된 발신자 ID가 필요한가요?
네. NTRA 프레임워크에 따라 모든 메시지에는 발신자 이름이 포함되어야 하며, 고객과 계약을 체결하기 전에 NTRA에 발신자 ID를 통지해야 합니다.
국제 경로를 통해 이집트로 OTP를 전송할 수 있나요?
승인 없이는 불가능합니다. NTRA 라이선스 보유자는 NTRA의 사전 서면 승인 없이 국제 메시지를 이집트로 반입할 수 없습니다. 라이선스를 보유한 현지 채널을 통해 착신하는 제공업체를 이용하십시오.
당사는 2026년 10월 10일 규제 기관의 공식 웹사이트에서 아래의 모든 텍스트를 확인했습니다. 아랍어 전용 텍스트는 아랍어로 확인했습니다. 당사의 편집 기준 및 이집트 SMS 규정을 참조하십시오.
출처
- CBE — eKYC 규정 뉴스 릴리스, 2026년 8월 23일: cbe.org.eg.
- CBE — 디지털 금융 신원 페이지, 2026년 8월 23일 업데이트: cbe.org.eg.
- CBE — DFI 규정, 영문 텍스트: cbe.org.eg.
- CBE — DFI 규칙에 관한 2026년 8월 23일자 회람(아랍어): cbe.org.eg.
- CBE — 은행 고객의 KYC에 관한 2026년 9월 28일자 회람(아랍어), 회람 목록: cbe.org.eg.
- CBE — 모바일 결제 서비스 규칙, 제3판, 2021년 4월(아랍어): cbe.org.eg.
- CBE — 즉시 결제 네트워크 규칙, 2021년 10월: cbe.org.eg.
- CBE — 카드 토큰화 회람, 2023년 3월 8일(아랍어): cbe.org.eg.
- NTRA — 모바일 부가 서비스 프레임워크 (tra.gov.eg, PDF) 및 모바일 지갑 규제 규칙 (tra.gov.eg), 2026년 10월 10일 접속.
- PDPC — 2020년 법률 제151호 및 2025년 시행령 제816호에 관한 FAQ, 2026년 10월 10일 접속: portal.pdpc.gov.eg.