ão — SMS OTP não é proibido nos Emirados Árabes Unidos, na Índia ou nas Filipinas. Os bancos dos Emirados Árabes Unidos foram orientados pelo Banco Central a eliminar gradualmente as palavras-passe de uso único SMS e por e-mail da autenticação de clientes (a eliminação começou em 25 de julho de 2025), a RBI da Índia manteve SMS OTP como um fator permitido sob as regras de dois fatores tecnologicamente neutras em vigor desde 1 de abril de 2026, e a BSP das Filipinas exige que os grandes bancos limitem o envio de OTPs interceptáveis a partir de cerca de 25 de junho de 2026.
Este guia resume textos regulatórios públicos e reportagens de imprensa até 26 de setembro de 2026. Trata-se de informações gerais, não de aconselhamento jurídico — confirme as suas obrigações com o seu regulador ou consultor jurídico.
Principais conclusões
- Emirados Árabes Unidos: a eliminação gradual aplica-se aos bancos que autenticam os seus próprios clientes e transfere a aprovação para a aplicação móvel do banco. O aviso do Banco Central em si não foi publicado; as datas provêm de reportagens de imprensa (Gulf News, Khaleej Times, 24 de julho de 2025).
- Índia: as RBI Authentication Mechanisms Directions, 2025 exigem dois fatores distintos para pagamentos digitais a partir de 1 de abril de 2026, com pelo menos um fator dinâmico para tudo, exceto pagamentos presenciais com cartão. SMS OTP continua permitido.
- Filipinas: a BSP Circular No. 1213 (assinada em 30 de maio de 2025) instrui as instituições supervisionadas pela BSP a limitar o envio de OTPs por SMS e e-mail, e exige que as instituições de alto volume adotem biometria, autenticação sem palavra-passe ou adaptativa no prazo de um ano após a data de vigência da circular.
- Instituições não bancárias — e-commerce, entregas, viagens, SaaS, portais governamentais — não são abrangidas por nenhum dos três instrumentos. SMS OTP continua a ser uma forma normal de verificar um número de telefone ou iniciar sessão.
- O SMS ainda possui um papel regulamentado no setor bancário: a circular BSP lista SMS como um canal para notificações de transações em tempo real, e o manual de regras SAMA da Arábia Saudita exige notificações instantâneas de SMS para transações de conta.
O SMS OTP é proibido nos Emirados Árabes Unidos?
Não. O que ocorreu nos Emirados Árabes Unidos foi uma mudança no setor bancário, não uma proibição nacional. Em 24 de julho de 2025, o Gulf News informou que "os bancos nos Emirados Árabes Unidos começarão a eliminar gradualmente as palavras-passe de uso único (OTPs) enviadas via SMS e e-mail, a partir de sexta-feira, 25 de julho", com os clientes migrando para um recurso de "Autenticação via App" na aplicação inteligente do banco. O Khaleej Times relatou no mesmo dia que a medida "segue as diretrizes do Banco Central dos Emirados Árabes Unidos e será implementada em fases". O Gulf News descreveu a descontinuação completa de SMS e de palavras-passe de uso único OTPs por e-mail conforme determinado até março de 2026.
Duas precauções são importantes para quem estiver a redigir políticas com base nisso. Primeiro, o Banco Central dos Emirados Árabes Unidos (CBUAE) não publicou o aviso propriamente dito; o número e a redação exata que circulam online vêm de blogs de fornecedores, portanto, trate-os como não confirmados. Segundo, todos os relatórios públicos referem-se a bancos autenticando as transações e logins dos seus próprios clientes. Nenhum deles estende a mudança para outras empresas que utilizam códigos SMS para verificar um número de telefone, confirmar uma entrega ou realizar o login de um utilizador.
Na prática, os clientes bancários dos Emirados Árabes Unidos agora aprovam pagamentos com cartão e ações sensíveis dentro da aplicação do banco, normalmente com a biometria do telefone ou um PIN da aplicação. Para o contexto regulatório mais amplo — registo de identificador de remetente, janelas promocionais e consentimento — consulte a nossa página sobre regulamentações de SMS nos Emirados Árabes Unidos.
O RBI proíbe o SMS OTP a partir de abril de 2026?
Não. As Diretrizes do Reserve Bank of India (Mecanismos de Autenticação para Transações de Pagamento Digital), 2025 foram emitidas em 25 de setembro de 2025 e aplicam-se a "todos os Fornecedores de Sistemas de Pagamento e Participantes de Sistemas de Pagamento, incluindo bancos e entidades não bancárias", que deveriam cumprir até 1 de abril de 2026. A regra central é: "Todas as transações de pagamento digital devem ser autenticadas por pelo menos dois fatores de autenticação distintos" e, para tudo o que não sejam transações presenciais com cartão, "pelo menos um dos fatores de autenticação deve ser criado ou comprovado dinamicamente".
As diretrizes estabelecem princípios em vez de nomear uma tecnologia. O RBI observa que, embora nenhum fator específico tenha sido exigido, o ecossistema "tem adotado principalmente a palavra-passe de uso único (OTP) baseada em SMS como o fator adicional" — e nada no texto o proíbe. O que muda é a responsabilidade: "Se qualquer perda decorrer de transações efetuadas sem o cumprimento destas diretrizes, o emissor deverá compensar o cliente pela perda na totalidade." Os emissores também podem adicionar verificações baseadas em risco, como localização, comportamento ou atributos do dispositivo, além dos dois fatores.
Outra data já está em vigor: os emissores de cartões devem, até 1 de outubro de 2026, implementar um mecanismo para validar transações de cartão não presente transfronteiriças não recorrentes, iniciadas por um comerciante ou adquirente no exterior. Para as regras de mensagens da Índia — registo de DLT, cabeçalhos e modelos — consulte as regulamentações de SMS da Índia.
O que a Circular nº 1213 do BSP exige nas Filipinas?
A Circular nº 1213 do BSP, Série de 2025 foi aprovada pelo Conselho Monetário em 22 de maio de 2025, assinada em 30 de maio de 2025 e publicada em 10 de junho de 2025. Ela entra em vigor 15 dias corridos após a publicação, e as instituições financeiras supervisionadas pelo BSP (BSFIs) devem cumprir "dentro de um (1) ano a partir da sua data de vigência" — o que ocorre por volta de 25 de junho de 2026. A circular não estabelece uma data específica no calendário; alguns relatórios de imprensa mencionam 30 de junho, mas a regra de um ano aponta para 25 de junho.
A linha principal é uma limitação, não uma proibição: as BSFIs "deveriam limitar o uso de mecanismos de autenticação que possam ser partilhados com, ou intercetados por, terceiros não relacionados à transação", com o OTPs via SMS e e-mail sendo citados como exemplo. Instituições "envolvidas em produtos e serviços eletrónicos complexos e que lidam com altos valores agregados de transações online" — um valor médio de transação mensal de pelo menos PHP 75.000.000 nos últimos seis meses — devem adotar autenticação forte: biometria (impressão digital, rosto ou voz), biometria comportamental, autenticação sem palavra-passe, como chaves FIDO ou tokens de hardware, ou autenticação adaptativa, além de identificação forte do dispositivo (device fingerprinting).
A circular também mantém o SMS em cena. Mensagens OTP que ainda são enviadas "devem ser personalizadas com detalhes suficientes da transação", as notificações em tempo real podem ocorrer "através de canais seguros, como aplicações móveis, aplicações de mensagens, e-mail ou SMS", e as BSFIs não devem enviar links clicáveis ou códigos QR por e-mail, aplicações de mensagens ou SMS, a menos que o cliente os tenha solicitado, o link seja apenas informativo ou não leve a uma página que solicite credenciais. Contexto do país: regulamentações de SMS das Filipinas.
As três regras lado a lado
| Mercado | Regulador e instrumento | Data principal | Quem está no âmbito | O SMS OTP ainda é permitido? |
|---|---|---|---|---|
| EAU | Diretiva do Banco Central dos EAU para bancos (aviso não publicado; reportado em 24 de julho de 2025) | Eliminação gradual a partir de 25 de julho de 2025; conclusão até março de 2026 (reportagens de imprensa) | Bancos autenticando os seus próprios clientes | Sendo substituído por autenticação in-app para clientes bancários; não abordado para instituições não bancárias |
| Índia | RBI Authentication Mechanisms for Digital Payment Transactions Directions, 2025 (25 de setembro de 2025) | Conformidade até 1 de abril de 2026; CNP transfronteiriço até 1 de outubro de 2026 | Todos os fornecedores e participantes de sistemas de pagamento, bancos e instituições não bancárias | Sim — dois fatores distintos, um dinâmico; SMS OTP é um fator permitido |
| Filipinas | BSP Circular No. 1213, Series of 2025 (assinada em 30 de maio de 2025) | Um ano a partir da data de vigência — aproximadamente 25 de junho de 2026 | Instituições financeiras supervisionadas pelo BSP; dever de autenticação forte para instituições de alto volume | Limitado, não proibido; SMS continua a ser um canal de notificação |
| Arábia Saudita | Nenhum mandato oficial de SAMA para eliminar SMS OTP encontrado (verificado em 26 de setembro de 2026) | — | — | Sim; o regulamento de SAMA exige notificações instantâneas de SMS para transações de conta |
Quem está no âmbito — e quem não está?
O erro mais comum é assumir que uma regra de autenticação bancária se aplica a todas as empresas que enviam um código. Não se aplica. O âmbito é definido por quem o regulador supervisiona.
- No âmbito nos Emirados Árabes Unidos: bancos licenciados que autenticam logins e transações de clientes (conforme relatórios de imprensa).
- No âmbito na Índia: todos os fornecedores e participantes de sistemas de pagamento — bancos, emissores de cartões, carteiras digitais e outras entidades de pagamento não bancárias — para transações de pagamentos digitais.
- No âmbito nas Filipinas: instituições financeiras supervisionadas por BSP; a lista de autenticação forte aplica-se àquelas acima do limite mensal de PHP 75 milhões.
- Fora do âmbito de qualquer um dos três: logins de e-commerce e recuperação de conta, confirmações de transporte por aplicação e delivery, reservas de viagens, registos em SaaS, marketplaces e games — a menos que a empresa seja, ela própria, uma entidade de pagamento regulamentada.
- Fora do âmbito: verificação de número de telefone no registo, onde o objetivo é comprovar a posse de um número em vez de autorizar um pagamento.
O que substitui SMS OTP para clientes bancários?
As substituições partilham uma ideia: vincular a aprovação ao dispositivo ou à biometria do cliente, não a um código que possa ser lido em voz alta para um fraudador ou intercetado após uma troca de SIM.
- Aprovação na aplicação: uma notificação push no próprio app do banco, confirmada com biometria ou PIN da aplicação — o caminho seguido pelos bancos dos Emirados Árabes Unidos.
- Biometria e biometria comportamental: mencionadas explicitamente na Circular 1213 de BSP.
- Passwordless e passkeys: chaves baseadas em FIDO armazenadas no dispositivo; veja o nosso guia de SMS OTP para passkeys.
- Verificações baseadas em rede: a autenticação silenciosa de rede e os sinais de troca de SIM verificam o número por meio da operadora; veja autenticação silenciosa de rede vs SMS OTP.
- Autenticação adaptativa (baseada em risco): o nível de segurança aumenta apenas quando o dispositivo, a localização ou o comportamento parecerem incomuns — permitido na Índia e listado nas Filipinas.
Onde o SMS ainda é essencial em 2026
Remover o SMS da autenticação bancária não remove o SMS do setor bancário. Os mesmos reguladores mantêm-no como um canal para notificações e, para pagamentos externos, continua a ser a forma mais universal de alcançar um número de telefone que não instalou a sua aplicação.
- Alertas de transação: a circular BSP lista o SMS entre os canais de notificação em tempo real, e a SAMA exige notificações de SMS instantâneas para transações de conta.
- Verificação de número de telefone no registo e na alteração de número, idealmente combinada com uma verificação de troca de SIM.
- Login e recuperação para aplicações não bancários, onde o SMS é frequentemente o único fator que todos os utilizadores conseguem receber.
- Índia: SMS OTP como um dos dois fatores, desde que o outro fator seja distinto.
- Fallback: quando um canal push ou in-app falha, um serviço de verificação multicanal pode recorrer ao WhatsApp, voz ou SMS, conforme permitido pelas normas.
Checklist para bancos e empresas de pagamento
- Mapeie todos os fluxos que enviam um código hoje — login, adição de beneficiário, pagamento sem cartão presente, alteração de limite, alteração de dispositivo — e identifique qual regra de regulador os rege.
- Mova aprovações de alto risco para métodos vinculados ao dispositivo (push in-app com biometria, passkeys) e documente o segundo fator para a Índia.
- Personalize qualquer OTP que você ainda envie com detalhes da transação (comerciante, valor), conforme o BSP exige, e nunca inclua um link clicável.
- Adicione sinais de risco — SIM-swap, mudança de dispositivo, velocidade — antes de confiar em qualquer fator de posse.
- Mantenha SMS para alertas de transação em tempo real e monitorize a entrega; consulte nosso guia de monitorização de entrega de OTP bancário.
- Registe a sua decisão por mercado, com a data da verificação, para que os auditores possam entender porque cada fluxo utiliza o método aplicado.
Checklist para aplicações não bancários
- Confirme que você não é uma entidade de pagamento regulamentada; caso seja, o checklist bancário se aplica aos seus fluxos de pagamento.
- Mantenha SMS OTP para registo e login, e adicione WhatsApp ou voz como canais de fallback para alcance e custo.
- Verifique se houve SIM swaps recentes antes de alterações sensíveis na conta.
- Ofereça passkeys como uma opção para utilizadores recorrentes, mantendo SMS para recuperação.
- Estime a exposição a fraudes de cada fluxo com a calculadora de segurança OTP.
A BroadNet entrega OTPs em mais de 200 países (direto à operadora em 86 deles) com um SLA de plataforma de 99,99%, com verificações de SIM-swap e inteligência de números, além de fallback automático entre SMS, WhatsApp e voz. Confira o OTP API, o serviço de verificação multicanal MyOTP e as nossas soluções para setor bancário e financeiro.
Perguntas frequentes
O SMS OTP é proibido nos Emirados Árabes Unidos?
Não. Os bancos dos Emirados Árabes Unidos foram orientados pelo Banco Central a descontinuar o uso de SMS e OTPs por e-mail na autenticação de clientes, com início em 25 de julho de 2025 e conclusão prevista para março de 2026, passando a utilizar a autenticação via aplicação (in-app). A mudança aplica-se aos bancos que autenticam os seus próprios clientes; não se trata de uma proibição nacional de códigos SMS para outras empresas.
A regra do CBUAE se aplica ao e-commerce, BNPL ou aplicações de entrega?
Relatórios públicos descrevem que a diretriz se aplica aos bancos. Não há menção a e-commerce, aplicações de entrega ou outras aplicações não bancários. Uma empresa licenciada pelo Banco Central para pagamentos deve verificar as suas próprias obrigações de licença junto ao regulador, uma vez que o texto do comunicado ainda não foi publicado.
O que substituiu o SMS OTP para os clientes dos bancos dos Emirados Árabes Unidos?
Autenticação via aplicação (in-app). Os clientes aprovam pagamentos e ações sensíveis na aplicação móvel do seu banco, geralmente por meio da biometria do telefone ou de um PIN da aplicação, em vez de digitar um código recebido por SMS ou e-mail.
O RBI proíbe SMS OTP a partir de abril de 2026?
Não. As diretrizes do RBI em vigor a partir de 1 de abril de 2026 exigem pelo menos dois fatores de autenticação distintos para pagamentos digitais, sendo pelo menos um deles um fator dinâmico, exceto para transações presenciais com cartão. Elas não mandatam nem proíbem nenhuma tecnologia, e o SMS OTP continua a ser um fator permitido. Os emissores devem compensar integralmente os clientes por perdas decorrentes de transações não conformes.
O que é a Circular No. 1213 do BSP?
É a circular do Bangko Sentral ng Pilipinas, assinada em 30 de maio de 2025, que atualiza os padrões de autenticação e gestão de fraudes para instituições financeiras supervisionadas pelo BSP. Ela determina a limitação de autenticações interceptáveis, como SMS e OTPs por e-mail, e exige que instituições de alto volume adotem biometria, autenticação sem palavra-passe ou adaptativa em até um ano após a sua data de vigência — por volta de 25 de junho de 2026.
O OTP do SMS ainda pode ser usado para verificar um número de telefone?
Sim. Nenhuma das três regras restringe o uso de um código SMS para comprovar que um utilizador controla um número de telefone no momento do registo ou na alteração do número. Combinar essa verificação com uma consulta de SIM-swap torna o abuso consideravelmente mais difícil.
A SAMA da Arábia Saudita está a proibir OTP SMS?
Não encontramos nenhum mandato oficial da SAMA para a eliminação gradual de SMS OTP até 26 de setembro de 2026. O regulamento da SAMA exige que os bancos enviem notificações SMS instantâneas para transações em conta. Alegações de um prazo da SAMA circulando online são especulações até que a SAMA publique algo.
O que um banco deve usar quando a aplicação estiver indisponível?
Isso depende do regulador: a circular das Filipinas limita, em vez de proibir, o OTP SMS, e a Índia o permite como um de dois fatores distintos. Desenvolva um plano de contingência documentado para cada mercado — por exemplo, um segundo método vinculado ao dispositivo ou um canal assistido — e valide-o com o seu regulador antes de confiar no SMS como alternativa.
Fontes
- Reserve Bank of India — Authentication Mechanisms for Digital Payment Transactions Directions, 2025, 25 de setembro de 2025: rbi.org.in (acedido em 26 de setembro de 2026).
- Bangko Sentral ng Pilipinas — Circular No. 1213, Series de 2025, assinada em 30 de maio de 2025: bsp.gov.ph (acedido em 26 de setembro de 2026).
- Gulf News — "Bancos dos Emirados Árabes Unidos deixarão de enviar OTPs via SMS e e-mail a partir de 25 de julho", 24 de julho de 2025: gulfnews.com.
- Khaleej Times — Bancos dos Emirados Árabes Unidos eliminarão gradualmente o uso de OTPs a partir de 25 de julho, 24 de julho de 2025: khaleejtimes.com.
- Saudi Central Bank (SAMA) Rulebook — Serviço de notificação instantânea de SMS: rulebook.sama.gov.sa (acedido em 26 de setembro de 2026).