# SMS OTP가 금지되었나요? 2026년 UAE, 인도, 필리핀 은행 규정이 실제로 요구하는 사항

> 아니요 — SMS OTP는 금지되지 않았습니다. UAE 은행들은 고객 인증에서 SMS 및 이메일 OTP를 단계적으로 폐지하라는 지침을 받았으며, 인도의 RBI는 SMS OTP를 허용된 인증 요소로 유지했고, 필리핀의 BSP는 대형 은행들이 이를 제한하도록 요구하고 있습니다. 적용 대상과 일정, 그리고 이를 대체할 인증 수단에 대해 안내해 드립니다.

- 정식 URL: https://www.broadnet.me/ko/blog/sms-otp-bank-regulation-uae-india-philippines-2026
- 언어: ko
- 최종 업데이트: 2026-09-26
- 발행처: BroadNet (https://www.broadnet.me)

- 게시일: 2026-09-26
- 작성자: BroadNet Regulatory Affairs

아니요 — UAE, 인도 또는 필리핀에서 SMS OTP는 금지되지 않았습니다. UAE 은행들은 중앙은행으로부터 고객 인증 시 SMS 및 이메일 일회용 비밀번호를 단계적으로 폐지하라는 지침을 받았습니다(단계적 폐지는 2025년 7월 25일에 시작되었습니다). 인도의 RBI는 2026년 4월 1일부터 시행된 기술 중립적 2단계 인증 규정에 따라 SMS OTP를 허용된 인증 요소로 유지했으며, 필리핀의 BSP는 2026년 6월 25일경부터 대형 은행들이 가로채기가 가능한 OTP를 제한하도록 요구하고 있습니다.

> 본 가이드는 2026년 9월 26일 기준의 공개 규제 문서 및 언론 보도를 요약한 것입니다. 이는 일반적인 정보이며 법적 자문이 아닙니다. 규제 기관이나 법률 고문에게 귀사의 의무 사항을 확인하시기 바랍니다.

## 핵심 요약

- UAE: 단계적 폐지는 자체 고객을 인증하는 은행에 적용되며, 승인 절차를 은행의 모바일 앱으로 전환합니다. 중앙은행 공고 자체는 공개되지 않았으며, 관련 일정은 언론 보도(Gulf News, Khaleej Times, 2025년 7월 24일)를 통해 확인되었습니다.
- 인도: RBI 인증 메커니즘 지침(Authentication Mechanisms Directions, 2025)에 따라 2026년 4월 1일부터 디지털 결제 시 두 가지의 서로 다른 인증 요소를 요구하며, 카드 실물 결제를 제외한 모든 결제에는 최소 하나 이상의 동적 요소가 포함되어야 합니다. SMS OTP는 여전히 허용됩니다.
- 필리핀: BSP 회람 제1213호(2025년 5월 30일 서명)는 BSP의 감독을 받는 기관들이 SMS 및 이메일로 전송되는 OTP를 제한하도록 규정하고 있으며, 대량 거래 기관은 회람 발효일로부터 1년 이내에 생체 인증, 비밀번호 없는 인증 또는 적응형 인증을 도입해야 합니다.
- 이커머스, 배송, 여행, SaaS, 정부 스타일 포털과 같은 비금융권 기업들은 이 세 가지 규제 대상에 해당하지 않습니다. SMS OTP는 전화번호 인증이나 로그인을 위한 일반적인 방식으로 유지됩니다.
- 금융 분야에서 SMS는 여전히 규제된 역할을 수행합니다. BSP 회람에는 SMS가 실시간 거래 알림 채널로 명시되어 있으며, 사우디아라비아의 SAMA 규정집은 계좌 거래에 대한 즉각적인 SMS 알림을 요구합니다.

## UAE에서 SMS OTP가 금지되었나요?

아니요. UAE에서 발생한 일은 은행 부문의 변화이지 국가적 금지가 아닙니다. 2025년 7월 24일 Gulf News는 "UAE 은행들이 7월 25일 금요일부터 SMS 및 이메일로 전송되는 일회용 비밀번호(OTP)를 단계적으로 폐지하기 시작할 것이며", 고객들은 은행 스마트 애플리케이션의 "앱을 통한 인증" 기능으로 전환할 것이라고 보도했습니다. Khaleej Times는 같은 날 이번 조치가 "UAE 중앙은행의 지침을 따르며 단계적으로 시행될 것"이라고 보도했습니다. Gulf News는 2026년 3월까지 SMS 및 이메일 OTP의 완전한 중단이 의무화될 것이라고 설명했습니다.

이 내용을 바탕으로 정책을 작성할 때 두 가지 주의 사항이 있습니다. 첫째, UAE 중앙은행(CBUAE)은 해당 공고를 직접 발표하지 않았습니다. 온라인에 유포되는 번호와 정확한 문구는 벤더 블로그에서 나온 것이므로 확인되지 않은 정보로 취급해야 합니다. 둘째, 모든 공개 보고서는 은행이 자사 고객의 거래 및 로그인을 인증하는 것에 관한 것입니다. 그 어떤 보고서도 전화번호 인증, 배송 확인 또는 사용자 로그인을 위해 SMS 인증번호를 사용하는 다른 기업들까지 이 변화를 확장 적용하지는 않습니다.

실제로 현재 UAE 은행 고객들은 일반적으로 휴대폰의 생체 인식이나 앱 PIN을 사용하여 은행 앱 내에서 카드 결제 및 민감한 작업을 승인합니다. 발신자 ID 등록, 프로모션 시간 및 수신 동의와 같은 더 넓은 규제 맥락에 대해서는 당사의 [UAE SMS 규정](https://www.broadnet.me/regulations/uae) 페이지를 참조하세요.

## RBI가 2026년 4월부터 SMS OTP를 금지하나요?

아니요. [인도 중앙은행(디지털 결제 거래 인증 메커니즘) 지침, 2025](https://www.rbi.org.in/Scripts/NotificationUser.aspx?Id=12898)는 2025년 9월 25일에 발행되었으며, 2026년 4월 1일까지 준수해야 하는 "은행 및 비은행 엔티티를 포함한 모든 결제 시스템 제공업체 및 결제 시스템 참여자"에게 적용됩니다. 핵심 규칙은 다음과 같습니다: "모든 디지털 결제 거래는 최소 두 가지의 서로 다른 인증 요소로 인증되어야 하며", 카드 실물 제시 거래를 제외한 모든 경우에는 "인증 요소 중 적어도 하나는 동적으로 생성되거나 증명되어야 합니다".

본 지침은 특정 기술을 명시하기보다 원칙을 설정합니다. RBI에 따르면 특정 요소가 강제되지는 않았으나, 생태계는 "주로 SMS 기반의 일회용 비밀번호(OTP)를 추가 인증 요소로 채택해 왔으며" 본문 내용 중 이를 금지하는 조항은 없습니다. 변화하는 점은 책임 소재입니다. "본 지침을 준수하지 않고 이루어진 거래로 인해 손실이 발생할 경우, 발행사는 고객에게 손실액 전액을 보상해야 합니다." 또한 발행사는 두 가지 인증 요소 외에 위치, 행동 또는 기기 속성에 기반한 리스크 기반 점검을 추가할 수 있습니다.

새로운 기한이 적용됩니다. 카드 발행사는 2026년 10월 1일까지 해외 가맹점 또는 매입사가 요청한 비반복적 해외 비대면(CNP) 카드 거래를 검증할 수 있는 메커니즘을 구축해야 합니다. 인도의 메시징 규정 — DLT 등록, 헤더 및 템플릿 — 에 관한 내용은 [인도 SMS 규정](https://www.broadnet.me/regulations/india)을 참조하십시오.

## 필리핀의 BSP Circular No. 1213에서 요구하는 사항은 무엇입니까?

[BSP Circular No. 1213, Series of 2025](https://www.bsp.gov.ph/Regulations/Issuances/2025/1213.pdf)는 2025년 5월 22일 통화위원회(Monetary Board)에서 승인되었으며, 2025년 5월 30일에 서명되어 2025년 6월 10일에 공표되었습니다. 본 지침은 공표 후 15일이 경과한 날부터 효력이 발생하며, BSP 감독 금융기관(BSFIs)은 "효력 발생일로부터 1년 이내"에 이를 준수해야 합니다. 이는 2026년 6월 25일경에 해당합니다. 해당 회람 자체에는 특정 날짜가 명시되어 있지 않으나, 일부 언론 보도에서는 6월 30일을 언급하고 있지만 1년 규정에 따르면 6월 25일이 됩니다.

핵심 문구는 금지가 아닌 제한 사항입니다. BSFIs는 "거래와 무관한 제3자에게 공유되거나 가로채기 가능한 인증 메커니즘의 사용을 제한해야 하며", 그 예시로 SMS 및 이메일을 통한 OTP가 제시되었습니다. "복잡한 전자 제품 및 서비스를 제공하며 온라인 거래 총액이 높은" 기관 — 즉, 지난 6개월 동안 월평균 거래액이 최소 PHP 75,000,000 이상인 기관 — 은 생체 인증(지문, 얼굴 또는 음성), 행동 생체 인증, FIDO 키 또는 하드웨어 토큰과 같은 비밀번호 없는 인증, 또는 적응형 인증과 강력한 기기 핑거프린팅을 포함한 강력한 인증 방식을 채택해야 합니다.

본 회람은 SMS의 역할도 유지하고 있습니다. 여전히 발송되는 OTP 메시지는 "충분한 거래 세부 정보를 포함하여 개인화되어야 하며", 실시간 알림은 "모바일 앱, 메시징 앱, 이메일 또는 SMS와 같은 보안 채널을 통해" 전송될 수 있습니다. 또한 BSFIs는 고객이 요청했거나, 링크가 정보 제공용이거나, 또는 인증 정보를 요구하는 페이지로 연결되지 않는 경우를 제외하고는 이메일, 메시징 앱 또는 SMS를 통해 클릭 가능한 링크나 QR 코드를 전송해서는 안 됩니다. 국가별 상황: [Philippines SMS regulations](https://www.broadnet.me/regulations/philippines).

## 세 가지 규정 비교

| 시장 | 규제 기관 및 법규 | 주요 날짜 | 적용 대상 | SMS OTP를 계속 사용할 수 있습니까? |
|---|---|---|---|---|
| UAE | UAE 중앙은행의 은행 대상 지침 (공식 공고 전; 2025년 7월 24일 보도) | 2025년 7월 25일부터 단계적 폐지; 2026년 3월까지 완료 (언론 보도) | 자사 고객을 인증하는 은행 | 은행 고객의 경우 인앱 인증으로 대체 중이며, 비은행권은 아직 다뤄지지 않음 |
| 인도 | RBI 디지털 결제 트랜잭션 인증 메커니즘 지침, 2025 (2025년 9월 25일) | 2026년 4월 1일까지 준수; 국가 간 CNP는 2026년 10월 1일까지 | 모든 결제 시스템 제공자 및 참여자, 은행 및 비은행권 | 예 — 두 가지 서로 다른 요소 중 하나는 동적 요소여야 하며, SMS OTP는 허용되는 요소임 |
| 필리핀 | BSP Circular No. 1213, Series of 2025 (2025년 5월 30일 서명) | 발효일로부터 1년 — 약 2026년 6월 25일 | BSP 감독 금융 기관; 대량 발송 기관의 경우 강력한 인증 의무 적용 | 제한적이며 금지된 것은 아님; SMS는 여전히 알림 채널로 유지됨 |
| 사우디아라비아 | SMS OTP를 단계적으로 폐지하라는 공식적인 SAMA 명령은 발견되지 않음 (2026년 9월 26일 확인) | — | — | 예; SAMA 규정집에 따라 계정 거래 시 즉각적인 SMS 알림이 필요함 |

## 적용 대상은 누구이며, 제외 대상은 누구인가요?

가장 흔한 실수는 인증번호를 발송하는 모든 기업에 은행 인증 규정이 적용된다고 가정하는 것입니다. 그렇지 않습니다. 적용 범위는 규제 기관이 감독하는 대상에 따라 결정됩니다.

- UAE 적용 대상: 고객 로그인 및 거래를 인증하는 라이선스 보유 은행 (언론 보도 기준).
- 인도 적용 대상: 디지털 결제 거래를 처리하는 모든 결제 시스템 제공업체 및 참여자 — 은행, 카드 발급사, 지갑 및 기타 비은행 결제 기관.
- 필리핀 적용 대상: BSP 감독 금융 기관. 강력 인증 목록은 월간 임계값 PHP 7,500만를 초과하는 기관에 적용됩니다.
- 세 국가 모두 적용 제외: 이커머스 로그인 및 계정 복구, 차량 호출 및 배달 확인, 여행 예약, SaaS 가입, 마켓플레이스 및 게임 — 단, 해당 기업 자체가 규제 대상 결제 기관인 경우는 제외.
- 적용 제외: 결제 승인이 아닌 번호 소유 여부를 증명하기 위한 목적의 가입 시 전화번호 인증.

## 은행 고객을 위한 SMS OTP의 대체 수단은 무엇인가요?

이러한 대체 방식들은 하나의 아이디어를 공유합니다. 승인 절차를 사기꾼에게 소리 내어 읽어주거나 SIM 스왑 이후 가로챌 수 있는 코드가 아니라, 고객의 기기나 생체 정보에 결합하는 것입니다.

- 앱 내 승인: 은행 자체 앱으로 푸시를 보내 생체 인식이나 앱 PIN으로 확인하는 방식입니다. UAE 은행들이 채택한 방식입니다.
- 생체 인식 및 행동 생체 인식: BSP Circular 1213에 명시적으로 언급되어 있습니다.
- 패스워드리스 및 패스키: 기기에 저장되는 FIDO 기반 키입니다. [SMS OTP에서 패스키까지](https://www.broadnet.me/blog/sms-otp-to-passkeys-webauthn-2026) 가이드를 확인하세요.
- 네트워크 기반 확인: 사이런트 네트워크 인증(silent network authentication)과 SIM 스왑 신호를 통해 통신사를 거쳐 번호를 검증합니다. [사이런트 네트워크 인증 vs SMS OTP](https://www.broadnet.me/blog/silent-network-authentication-vs-sms-otp-2026)를 확인하세요.
- 적응형(리스크 기반) 인증: 기기, 위치 또는 행동이 비정상적으로 보일 때만 추가 인증을 요구합니다. 인도에서 허용되며 필리핀에서도 목록에 포함되어 있습니다.

## 2026년에도 SMS가 여전히 필요한 영역

은행 인증에서 SMS를 제외한다고 해서 뱅킹 서비스에서 SMS가 사라지는 것은 아닙니다. 동일한 규제 기관들이 SMS를 알림 채널로 유지하고 있으며, 결제 외의 영역에서 SMS는 앱을 설치하지 않은 전화번호에 도달할 수 있는 가장 보편적인 수단으로 남아 있습니다.

- 거래 알림: BSP 회람은 실시간 알림 채널 중 하나로 SMS를 나열하고 있으며, SAMA는 계정 거래에 대한 즉각적인 SMS 알림을 요구합니다.
- 가입 및 번호 변경 시 전화번호 인증을 수행하며, [SIM-swap 확인](https://www.broadnet.me/answers/what-is-sim-swap-fraud)과 결합하는 것이 가장 이상적입니다.
- 비금융 앱의 로그인 및 계정 복구 시, SMS는 모든 사용자가 수신할 수 있는 유일한 인증 요소인 경우가 많습니다.
- 인도: 다른 인증 요소가 별도로 존재한다면, SMS OTP를 2단계 인증 요소 중 하나로 사용할 수 있습니다.
- 대체 발송: 푸시 알림이나 인앱 채널이 실패할 경우, 멀티채널 인증 서비스는 규정이 허용하는 범위 내에서 WhatsApp, 음성 또는 SMS로 대체 발송할 수 있습니다.

## 은행 및 결제 기업을 위한 체크리스트

1. 현재 인증번호를 전송하는 모든 흐름(로그인, 수취인 추가, 비대면 결제, 한도 변경, 기기 변경 등)을 파악하고, 각 흐름이 어떤 규제 기관의 규칙을 따르는지 분류하십시오.
2. 고위험 승인 절차는 기기 기반 방식(생체 인증을 포함한 인앱 푸시, 패스키)으로 전환하고, 인도의 경우 2단계 인증 요소를 문서화하십시오.
3. BSP의 요구사항에 따라, 여전히 OTP를 발송하는 경우 거래 상세 정보(가맹점, 금액)를 포함하여 개인화하되, 클릭 가능한 링크는 절대 포함하지 마십시오.
4. 소유 기반 인증 요소를 신뢰하기 전에 SIM 스왑, 기기 변경, 전송 빈도(velocity)와 같은 위험 신호를 추가하십시오.
5. 실시간 거래 알림을 위해 문자를 사용하고 전송 상태를 모니터링하십시오. 당사의 [은행 OTP 전송 결과 보고 모니터링 플레이북](https://www.broadnet.me/blog/bank-otp-delivery-monitoring-fraud-playbook)을 참조하십시오.
6. 감사인이 각 흐름에서 해당 방식을 사용하는 이유를 확인할 수 있도록, 확인 날짜와 함께 시장별 결정 사항을 기록하십시오.

## 비금융 앱을 위한 체크리스트

1. 귀사가 규제 대상 결제 기관이 아님을 확인하십시오. 규제 대상인 경우, 결제 흐름에 은행 체크리스트가 적용됩니다.
2. 가입 및 로그인 시에는 문자 OTP를 사용하고, 도달률과 비용을 고려하여 WhatsApp 또는 음성을 대체 발송 채널로 추가하십시오.
3. 민감한 계정 변경을 수행하기 전에 최근의 SIM 스왑 여부를 확인하십시오.
4. 재방문 사용자를 위한 옵션으로 패스키를 제공하고, 복구용으로는 문자를 유지하세요.
5. [OTP 보안 계산기](https://www.broadnet.me/tools/otp-security-calculator)를 사용하여 각 프로세스의 사기 노출 위험을 추정해 보세요.

> BroadNet은 200개국 이상의 통신사 직접 연동을 통해 99.99%의 플랫폼 SLA를 보장하며 OTP를 제공합니다. 또한 SIM-스왑 및 번호 인텔리전스 체크와 함께 문자, WhatsApp, 음성을 아우르는 자동 대체 발송 기능을 지원합니다. [OTP API](https://www.broadnet.me/products/otp), 멀티채널 [MyOTP](https://www.broadnet.me/products/myotp) 인증 서비스, 그리고 [금융](https://www.broadnet.me/solutions/banking-finance) 솔루션을 확인해 보세요.

## 자주 묻는 질문

### UAE에서 SMS OTP 사용이 금지되었나요?

아니요. UAE 중앙은행은 은행들이 고객 인증 시 SMS 및 이메일 OTP를 단계적으로 폐지하고, 대신 앱 내 인증을 사용하도록 지시했습니다. 이 조치는 2025년 7월 25일에 시작되어 2026년 3월에 완료될 예정입니다. 이 변경 사항은 자체 고객을 인증하는 은행에 적용되며, 다른 기업들을 대상으로 한 SMS 인증번호의 국가적 금지는 아닙니다.

### CBUAE 규정이 이커머스, BNPL 또는 배달 앱에도 적용되나요?

공식 보고에 따르면 해당 지침은 은행에 적용되는 것으로 설명되어 있습니다. 이커머스, 배달 또는 기타 비은행 앱에 대해서는 언급되지 않았습니다. 결제 관련 중앙은행 라이선스를 보유한 기업은 공고문 전문이 아직 발표되지 않았으므로, 규제 기관을 통해 자체 라이선스 의무 사항을 확인해야 합니다.

### UAE 은행 고객을 위한 SMS OTP의 대체 수단은 무엇인가요?

인앱 인증입니다. 고객은 SMS나 이메일로 받은 코드를 직접 입력하는 대신, 일반적으로 휴대폰의 생체 인식이나 앱 PIN을 사용하여 은행 모바일 앱 내에서 결제 및 민감한 작업을 승인합니다.

### RBI가 2026년 4월부터 SMS OTP를 금지하나요?

아니요. 2026년 4월 1일부터 시행되는 RBI 지침에 따라 디지털 결제 시 최소 두 가지의 서로 다른 인증 요소를 요구하며, 카드 실물 결제를 제외하고는 최소 하나 이상의 동적 요소를 포함해야 합니다. 특정 기술을 의무화하거나 금지하지 않으므로 SMS OTP는 여전히 허용되는 인증 요소로 남습니다. 카드 발행사는 규정을 준수하지 않은 거래로 인한 고객의 손실을 전액 보상해야 합니다.

### BSP Circular No. 1213란 무엇인가요?

2025년 5월 30일에 서명된 Bangko Sentral ng Pilipinas의 회람으로, BSP 감독 대상 금융 기관의 인증 및 사기 방지 표준을 업데이트하는 내용입니다. 이 지침은 SMS 및 이메일 OTP와 같이 가로채기가 가능한 인증 방식을 제한하도록 규정하며, 대량 거래 금융 기관은 지침 발효일로부터 1년 이내인 2026년 6월 25일경까지 생체 인식, 비밀번호 없는 인증 또는 적응형 인증을 도입해야 합니다.

### 전화번호 인증을 위해 여전히 SMS OTP를 사용할 수 있나요?

네. 세 가지 규칙 중 어느 것도 회원 가입 시 또는 번호 변경 시 사용자가 전화번호를 소유하고 있음을 증명하기 위해 SMS 인증번호를 사용하는 것을 제한하지 않습니다. 이 확인 절차를 SIM 스왑(SIM-swap) 조회와 결합하면 오용을 훨씬 더 어렵게 만들 수 있습니다.

### 사우디아라비아의 SAMA가 SMS OTP를 금지하나요?

2026년 9월 26일 현재, SMS OTP를 단계적으로 폐지하라는 SAMA의 공식적인 명령은 확인되지 않았습니다. SAMA의 규정집에 따르면 은행은 계좌 거래에 대해 즉각적인 SMS 알림을 전송해야 합니다. 온라인에 떠도는 SAMA 마감 시한에 대한 주장은 SAMA가 공식 발표하기 전까지는 추측에 불과합니다.

### 앱을 사용할 수 없는 경우 은행은 무엇을 사용해야 합니까?

이는 규제 기관에 따라 다릅니다. 필리핀의 회람은 SMS OTP를 금지하기보다는 제한하는 수준이며, 인도는 이를 두 가지 별개의 인증 요소 중 하나로 허용합니다. 시장별로 문서화된 대체 수단(fallback)을 설계하십시오. 예를 들어, 두 번째 기기 기반 방식이나 지원 채널 등을 설계한 후, SMS를 대체 수단으로 사용하기 전에 해당 규제 기관에 확인을 거쳐야 합니다.

## 출처

- 인도 중앙은행(Reserve Bank of India) — 디지털 결제 거래 인증 메커니즘 지침, 2025년, 2025년 9월 25일: [rbi.org.in](https://www.rbi.org.in/Scripts/NotificationUser.aspx?Id=12898) (2026년 9월 26일 접속).
- 필리핀 중앙은행(Bangko Sentral ng Pilipinas) — 2025년 시리즈 회람 제1213호, 2025년 5월 30일 서명: [bsp.gov.ph](https://www.bsp.gov.ph/Regulations/Issuances/2025/1213.pdf) (2026년 9월 26일 접속).
- Gulf News — "UAE 은행들, 7월 25일부터 SMS 및 이메일을 통한 OTP 발송 중단", 2025년 7월 24일: [gulfnews.com](https://gulfnews.com/business/banking/new-rule-uae-banks-to-stop-sending-otps-via-sms-and-email-from-july-25-1.500209071).
- Khaleej Times — UAE 은행들, 7월 25일부터 OTP 단계적으로 폐지, 2025년 7월 24일: [khaleejtimes.com](https://www.khaleejtimes.com/uae/banks-to-cancel-otp-from-july-25).
- 사우디 중앙은행 (SAMA) 규정집 — 즉시 문자 알림 서비스: [rulebook.sama.gov.sa](https://rulebook.sama.gov.sa/en/instant-sms-notification-service) (2026년 9월 26일 접속).