m 23 de agosto de 2026, o Banco Central do Egito (CBE) emitiu o seu Regulamento de Serviços da Plataforma de Identidade Financeira Digital, o conjunto de regras para abertura de contas bancárias e verificação remota de clientes (eKYC). Para a verificação SMS, a diretriz principal é direta: um banco que verifica clientes por meio da sua própria aplicação deve confirmar que o número de telemóvel pertence ao cliente e está na sua posse, enviando uma mensagem de texto contendo uma palavra-passe de uso único (OTP). Regras antigas de carteira CBE, ainda publicadas, dizem que SMS não deve fornecer o segundo fator para ações de alto risco. Este guia detalha o que cada regra estabelece e como a BroadNet sugere que bancos egípcios, carteiras e fintechs projetem OTP com base nelas.
Este guia resume textos regulatórios públicos até 10 de outubro de 2026. Trata-se de informações gerais, não de aconselhamento jurídico — confirme as suas obrigações com o Banco Central do Egito, o NTRA, o PDPC ou o seu consultor jurídico antes de utilizá-lo.
Principais conclusões
- O Conselho do CBE aprovou as regulamentações de Identidade Financeira Digital (DFI) em 17 de junho de 2026; uma circular datada de 23 de agosto de 2026 as encaminhou aos bancos. Elas se aplicam a todos os bancos no Egito, entidades licenciadas que podem aderir à plataforma e agentes bancários autorizados por CBE.
- Um banco que verifica clientes na sua própria aplicação deve checar a posse do número de telemóvel "enviando uma mensagem de texto contendo uma palavra-passe de uso único (OTP)", e então vincular um certificado DFI ao dispositivo.
- A plataforma autentica por meio de quatro mecanismos: o certificado DFI vinculado ao dispositivo, OTP, um PIN Global de seis dígitos e biometria.
- Ela pode substituir uma assinatura manuscrita para transações não financeiras; a autenticação de transações financeiras exige uma aprovação CBE separada.
- As regras de pagamento móvel do CBE (abril de 2021) exigem dois fatores para ações de alto risco na carteira e dizem que OTPs não devem ser enviadas automaticamente e diretamente por SMS ou e-mail para essas finalidades. O SMS permanece como o canal designado para alertas.
- De acordo com o PDPC, os dados mantidos pelo CBE e pelas entidades que ele supervisiona estão fora da lei de proteção de dados, exceto para empresas de transferência de dinheiro e casas de câmbio.
O que o Banco Central do Egito emitiu em agosto de 2026?
O comunicado do CBE de 23 de agosto de 2026 afirma que o seu Conselho aprovou "as regulamentações que regem os serviços da Plataforma de Identidade Financeira Digital (DFI) para identificar clientes bancários e verificar as suas identidades eletronicamente (eKYC)"; a circular de cobertura regista a aprovação do Conselho em 17 de junho de 2026. O Governador Hassan Abdalla afirmou que a plataforma permite que os cidadãos abram contas e obtenham produtos bancários por meio de canais digitais sem visitar uma agência, com aceitação eletrónica de termos e autenticação eletrónica "como uma alternativa às assinaturas manuscritas".
As regras abrangem o eKYC (identificação, verificação e atualizações de identidade), a autenticação eletrónica de transações, ordens de pagamento e transferência e a aceitação de termos, além da partilha do DFI do cliente entre os participantes. A plataforma é operada no Egito pela Digital Financial Identity Company, "Haweya", que lê dados de identidade nacional por meio de fontes confiáveis, como a Organização de Registo Civil, além da leitura de chip NFC e deteção de vivacidade (liveness detection). A circular de agosto afirmou que a unidade de combate à lavagem de dinheiro (EMLCU) emitiria os procedimentos de identificação eletrónica; uma circular da CBE de 28 de setembro de 2026 afirma que a EMLCU aprovou a sua primeira edição naquele mês. Nenhum desses textos estabelece um prazo de conformidade separado.
Onde o SMS OTP aparece nas regulamentações da DFI?
| Cláusula (regulamentações DFI) | O que diz | O que significa para OTP |
|---|---|---|
| 4, Segundo, 2.1 | Um banco que utiliza as suas próprias aplicações deve verificar se o número de telemóvel pertence ao cliente e está na sua posse por meio de um SMS contendo um OTP | A verificação de posse de SMS OTP é o onboarding — ela deve alcançar o número registado na primeira vez |
| 4, Segundo, 2.2 | Em seguida, emita o certificado DFI e vincule-o ao dispositivo e às aplicações do cliente | Os logins rotineiros dependem do dispositivo vinculado; o SMS torna-se o canal de recuperação e novo vínculo |
| 5, item 7.2 | O Haweya oferece quatro mecanismos: certificado DFI na mesma aplicação e dispositivo, OTP, PIN Global e biometria | O OTP é um dos quatro fatores, não o modelo completo |
| 4, Primeiro, 7 | Notifique o cliente de que a criação do DFI foi concluída por meio de mais de um método | Combine uma confirmação de SMS com um aviso na aplicação ou por e-mail |
| 4, Fifth, 1 | Monitorize logins repetidos com falha e tentativas de autenticação incorretas num curto período; entre em contacto com o cliente imediatamente | Registe cada tentativa de OTP e emita alertas em caso de surtos de falhas |
Os controlos adjacentes também são rigorosos: deteção de root e jailbreak e certificate pinning na aplicação, notificação de incidente ao CBE em até seis horas, aviso de 48 horas para interrupções planeadas e — antes do lançamento — testes de penetração, um relatório SOC 2 Tipo 1 (Tipo 2 em até seis meses) e uma avaliação de impacto de privacidade.
O SMS OTP é suficiente para pagamentos no Egito?
Não para todas as ações. As Regulamentações de Serviços de Pagamento Móvel do CBE (terceira edição, abril de 2021) definem que atividades de alto risco incluem ordens de pagamento para vários beneficiários simultaneamente, ordens isentas do limite de transferência e alterações em dados de contacto. Para essas, os bancos devem usar dois meios combinados e não devem conceder palavras-passe de uso único "automaticamente e diretamente" por SMS ou e-mail; os OTP de dispositivos token ou aplicações devem ter pelo menos seis caracteres e ser válidos por no máximo 90 segundos. Outras transações são reautenticadas com um PIN de pelo menos seis dígitos, com no máximo cinco tentativas falhas antes da suspensão. O SMS ainda tem uma função definida: os bancos devem alertar os utilizadores da carteira sobre transações e atividades de alto risco por SMS ou e-mail, a menos que eles solicitem o descadastramento, e uma ordem de pagamento não pode ser criada por SMS, embora o SMS possa confirmar uma.
As regras da Instant Payment Network (IPN) de outubro de 2021 exigem dois fatores para cada pagamento IPN: vinculação rígida do telefone (impressão digital do dispositivo mais o número) e um PIN IPN de seis dígitos, com os OTP sendo tratados apenas dentro da biblioteca segura da rede. Os bancos devem notificar os clientes sobre as transações "por meio de mensagens de texto ou qualquer outro método aprovado". As regras de tokenização de cartão de março de 2023 do CBE concedem um SMS OTP ao telefone registado no banco como uma forma de verificar o titular do cartão.
| Momento na jornada | Papel do SMS nos textos CBE | Fonte |
|---|---|---|
| onboarding de eKYC na própria aplicação do banco | Obrigatório: SMS OTP comprova a posse do número | Regulamentações DFI 2026, 4-Second-2.1 |
| Abertura de carteira para um cliente existente | O banco deve confirmar a propriedade ou posse do número | Regras de pagamento móvel 2021, 3-3-20 |
| Adição de um cartão à carteira do dispositivo | SMS OTP para o telefone registado é um método de exemplo | Regras de tokenização 2023, 3-2-5 |
| Ação de carteira de alto risco | Dois fatores; OTP não enviado automaticamente e diretamente por SMS ou e-mail | Regras de pagamento móvel 2021, 3-4-5-1 |
| Pagamento IPN | Vinculação de dispositivo + PIN IPN | Regras IPN 2021, 4-7 a 4-9 |
| Alertas de transação | SMS nomeado como o canal | Regras de pagamento móvel 3-6-8; regras IPN 3-1-9 |
SMS comprova o número, vincula o dispositivo e mantém o cliente informado; as ações mais fortes dependem do dispositivo somado a um PIN ou biometria. Comparamos os Emirados Árabes Unidos, Índia e Filipinas em O OTP SMS é banido?.
O que as regras NTRA significam para mensagens OTP para o Egito?
A Autoridade Reguladora Nacional de Telecomunicações (NTRA) licencia o SMS em massa sob a sua estrutura para serviços móveis de valor agregado, que define o "SMS em massa (um para um)" — a categoria na qual os OTP se enquadram. Os licenciados devem exibir o nome da entidade remetente em cada mensagem, precedido por um código definido pelo NTRA; notificar a NTRA sobre o nome de cada cliente e o ID do remetente antes da contratação; garantir que o remetente esteja no Egito; e não encaminhar mensagens internacionais para o Egito sem a aprovação prévia por escrito da NTRA. Portanto, o OTP de um banco precisa de um ID do remetente registado com o nome do banco, enviado por um canal local licenciado.
A página de cobertura no Egito da BroadNet lista a terminação licenciada com conexões diretas com Vodafone Egypt, Orange Egypt, e& Egypt e WE, além do registo de ID do remetente em 7–14 dias úteis; a documentação está em nosso guia de A2P SMS no Egito e no registo de ID do remetente no Egito. Do lado da operadora, a /customers/case-studies/e-egypt e& Egypt executa o firewall A2P da BroadNet contra rotas cinzas. As regras da carteira da NTRA estabelecem que cada número pode abrir apenas uma carteira e nenhuma transação é concluída sem o PIN do cliente, portanto, o número de telefone é a identidade da carteira — verifique possíveis trocas de SIM e números reciclados (Verificação de Número e APIs de Troca de SIM).
Como a lei de proteção de dados do Egito trata o tráfego de OTP?
A Lei nº 151 de 2020 agora possui regulamentos executivos, os quais o Centro de Proteção de Dados Pessoais (PDPC) cita como o Regulamento Executivo nº 816 de 2025. O PDPC lista "dados pessoais mantidos pelo Banco Central do Egito e entidades sob a sua supervisão e controlo, exceto empresas de transferência de dinheiro e casas de câmbio" entre as isenções, portanto, os bancos seguem as regras de dados da CBE, como os controlos de DFI; se uma fintech está dentro dessa exceção é uma questão para assessoria jurídica. Onde a lei se aplica, a necessidade contratual é uma base legal — o ajuste para um código solicitado pelo utilizador — enquanto o marketing exige consentimento explícito, um descadastramento livre e, possivelmente, uma licença de e-marketing. Violações devem ser reportadas à PDPC em até 72 horas, e transferências para o exterior exigem uma licença ou permissão da PDPC, portanto, pergunte aos fornecedores onde os logs de mensagens ficam armazenados (residência de dados).
Como os bancos e carteiras egípcios devem projetar o OTP?
Recomendações da BroadNet para cumprir estas regras:
- Use OTP de SMS para a verificação de posse no onboarding e, em seguida, vincule o dispositivo; mantenha o SMS para recuperação e novo vínculo.
- Para ações de carteira de alto risco, use um código de aplicação ou token mais um segundo fator e, em seguida, envie um alerta de SMS.
- Registe um ID do remetente OTP dedicado com o nome da sua marca, separado do marketing, em rotas locais licenciadas.
- Coloque o código primeiro. O árabe utiliza UCS-2, portanto, um SMS comporta 70 caracteres, não 160 (guia de codificação); adicione a linha de preenchimento automático.
- Use expiração curta, limite de tentativas e logs completos de envios, relatórios de entrega e verificações — as regras da DFI exigem a monitorização de falhas de autenticação.
- Se nenhum relatório de entrega chegar no seu intervalo, tente novamente uma vez em outra rota e, então, ofereça voice OTP; nunca reenvie indefinidamente.
- Verifique se houve trocas de SIM antes de enviar para um número alterado recentemente (fraude de troca de SIM).
- Alimente os processos de fraude e incidentes com métricas de OTP (playbook de monitorização de OTP bancário).
A OTP da BroadNet API cobre este padrão: SMS com fallback de voz automático quando não há retorno de relatório de entrega, tratamento de ID do remetente por destino e relatórios de entrega em cada tentativa. Os preços de lista no Egito começam em $0.028 por SMS na e& Egypt (Etisalat Misr), $0.030 na Vodafone Egypt, $0.032 na Orange Egypt e $0.035 na WE (preços da SMS no Egito); para dúvidas sobre fornecedores, consulte o melhor fornecedor de SMS no Egito.
A BroadNet opera mensagens de nível de operadora desde 2003, com mais de 1.000 conexões diretas com operadoras, SLA de 99,99% e SOC 2 Tipo II. Solicite acesso de teste e um engenheiro responderá num dia útil; a integração geralmente leva de 2 a 5 dias úteis, com a aprovação do ID do remetente ocorrendo simultaneamente.
Perguntas frequentes
O que é a plataforma de Identidade Financeira Digital CBE?
A plataforma aprovada pela CBE para criar a identidade financeira digital do cliente e verificar clientes eletronicamente (eKYC), operada no Egito pela Digital Financial Identity Company, Haweya. As suas regras foram emitidas numa circular CBE datada de 23 de agosto de 2026.
As regras de eKYC da CBE exigem SMS OTP?
Sim, num caso: um banco que verifica a identidade nas suas próprias aplicações deve confirmar a posse do número de telemóvel com um SMS OTP antes de vincular um certificado DFI ao dispositivo. O OTP também é um dos quatro mecanismos de autenticação da plataforma.
Quem deve cumprir as regulamentações do DFI?
Todos os bancos que operam no Egito, entidades licenciadas elegíveis para ingressar na plataforma e agentes bancários autorizados pelo CBE. As regras são o requisito mínimo, além das regras de banking eletrónico, AML/CFT e de risco operacional do CBE.
A plataforma DFI pode autenticar pagamentos?
Os bancos podem utilizá-la para transações não financeiras em substituição a uma assinatura manuscrita. A autenticação de transações financeiras exige uma aprovação CBE adicional e a conformidade com os seus controlos de autenticação eletrónica.
As carteiras móveis no Egito podem usar SMS OTP para transferências?
Não para ações de alto risco, como o pagamento de vários beneficiários de uma só vez: as regras de pagamento móvel de 2021 exigem dois fatores e proíbem o envio automático e direto desses OTPs por SMS ou e-mail. Outras transações utilizam um PIN, e o SMS envia os alertas.
O PDPL do Egito se aplica aos dados de OTP dos bancos?
De acordo com o PDPC, os dados mantidos pelo CBE e pelas entidades que ele supervisiona estão fora do PDPL, exceto para empresas de transferência de dinheiro e casas de câmbio. Estas duas, e empresas fora da supervisão do CBE, são abrangidas pela lei.
Mensagens OTP para o Egito precisam de um ID do remetente registado?
Sim. O framework NTRA exige o nome do remetente em cada mensagem e que o ID do remetente seja notificado à NTRA antes da assinatura do contrato com o cliente.
As rotas internacionais podem entregar OTPs para o Egito?
Não sem aprovação: detentores de licença NTRA não podem trazer mensagens internacionais para o Egito sem a aprovação prévia por escrito da NTRA. Utilize um fornecedor que realize a terminação por meio de canais locais licenciados.
Lemos todos os textos abaixo em 10 de outubro de 2026 no próprio site do regulador; textos apenas em árabe foram lidos em árabe. Consulte nossos padrões editoriais e as regulamentações de SMS do Egito.
Fontes
- CBE — comunicado de imprensa sobre as regulamentações de eKYC, 23 de agosto de 2026: cbe.org.eg.
- CBE — página de Identidade Financeira Digital, atualizada em 23 de agosto de 2026: cbe.org.eg.
- CBE — regulamentações de DFI, texto em inglês: cbe.org.eg.
- CBE — Circular de 23 de agosto de 2026 sobre as regras de DFI (árabe): cbe.org.eg.
- CBE — Circular de 28 de setembro de 2026 sobre KYC de clientes de bancos (árabe), lista de circulares: cbe.org.eg.
- CBE — Regras de serviços de pagamento móvel, 3ª edição, abril de 2021 (árabe): cbe.org.eg.
- CBE — Regras da Rede de Pagamentos Instantâneos, outubro de 2021: cbe.org.eg.
- CBE — Circular de tokenização de cartões, 8 de março de 2023 (árabe): cbe.org.eg.
- NTRA — Estrutura de serviços móveis de valor agregado (tra.gov.eg, PDF) e regras regulatórias de carteiras móveis (tra.gov.eg), acedido em 10 de outubro de 2026.
- PDPC — FAQs sobre a Lei nº 151 de 2020 e o Regulamento Executivo nº 816 de 2025, acedido em 10 de outubro de 2026: portal.pdpc.gov.eg.