s palavras-passe de utilização única SMS são restritas, mas não proibidas, nas principais normas em 2026. NIST SP 800-63B-4 (julho de 2025) classifica os códigos SMS e de voz como um autenticador "restrito" que ainda é permitido na AAL2 se o fornecedor oferecer uma alternativa e explicar o risco, mas não na AAL3. Sob a PSD2, a Autoridade Bancária Europeia aceita um SMS OTP como um elemento de posse. A PCI DSS 4.0.1 exige MFA resistente a replay e impossível de contornar, sem mencionar SMS. O RBI da Índia manteve explicitamente o SMS OTP a partir de 1 de abril de 2026. As restrições reais são mais limitadas: os bancos em Singapura, Hong Kong, Malásia, Emirados Árabes Unidos e Filipinas transferiram os acessos ou transações de alto risco para autenticação via aplicação ou vinculada ao dispositivo. Cada requisito abaixo contém um link para a sua fonte.
Verificado a 22 de outubro de 2026 com base nos textos oficiais, exceto onde indicado como "reportado". Esta página resume as regras para equipas de produto e de segurança; não constitui aconselhamento jurídico.
As regras num relance
| Norma ou regulador | Estado do SMS OTP | Requisito principal | Data |
|---|---|---|---|
| NIST SP 800-63B-4 (EUA) | Restrito; permitido em AAL2, não em AAL3 | Ofereça uma alternativa, informe os utilizadores sobre o risco e avalie-o; códigos de utilização única, com pelo menos 6 dígitos, válidos por 10 minutos | Julho de 2025 |
| Orientações CISA (EUA) | Desaconselha a sua utilização para pessoas com alvos altamente específicos | Migre os altos cargos para FIDO resistentes a phishing | 18 de dezembro de 2024 |
| RTS PSD2 sobre SCA (UE) | Aceite como um elemento de posse | Código de utilização única; ligação dinâmica ao montante e ao beneficiário; proteção contra replicação | Aplica-se desde 14 de Set 2019 |
| PSD3 / PSR (UE) | Nenhuma regra específica de SMS encontrada | Ainda não em vigor | Pendente até Out 2026 |
| PCI DSS 4.0.1 | Não nomeado | MFA para todo o acesso ao CDE; resistente a replay, sem bypass, dois tipos de fator | Obrigatório em 31 de Mar 2025 |
| MAS (Singapura) | Descontinuado para login bancário | Os clientes com um token digital fazem login sem SMS OTP | A partir de julho de 2024 |
| HKMA (Hong Kong) | Dispositivo associado por predefinição | Login e transações de alto risco através de dispositivo associado; SMS quando não houver aplicação | 2025 (metas para o 3.º e 4.º trimestres) |
| HK SFC (corretoras, ativos virtuais) | Não se aplica a login ou associação de dispositivos | Passkeys ou dispositivos associados | Até 8 de jul. de 2027 |
| BNM (Malásia) | Migração necessária | Mude para uma autenticação mais segura | Anunciado a 26 de set. de 2022 |
| CBUAE (EAU) (relatado) | Eliminado gradualmente para o OTP bancário | Mude para autenticação na aplicação | 25 de jul. de 2025 – 31 de mar. de 2026 |
| RBI (Índia) | Permitido | Dois fatores, um dinâmico; SMS OTP não descontinuado | A partir de 1 de abr. de 2026 |
| BSP Circular 1213 (Filipinas) | Limitado para grandes instituições | Biométrico, comportamental ou sem palavra-passe para alto risco; sem links em SMS | Conformidade até junho de 2026 |
NIST SP 800-63B-4: restrito, não proibido
NIST publicou o SP 800-63B-4 final em julho de 2025, que substitui a 800-63-3. Trata os códigos de utilização única enviados através da rede telefónica pública (SMS ou voz) como um **autenticador restrito** (secção 3.2.9). Um fornecedor que utilize um deve oferecer pelo menos uma alternativa que não seja restrita, dar aos utilizadores um aviso significativo sobre os riscos, considerá-los na sua avaliação de risco e manter um plano de migração; se a parte confiante considerar o risco inaceitável, este não deve ser utilizado.
- **Níveis de garantia:** códigos fora de banda são permitidos em AAL2, combinados com uma palavra-passe ou biometria, mas não em AAL3, que exige autenticadores criptográficos resistentes a phishing. Os verificadores AAL2 devem oferecer pelo menos uma opção resistente a phishing.
- **Regras do código:** pelo menos 6 dígitos de um gerador aleatório aprovado, aceite apenas uma vez e válido por no máximo 10 minutos; bloqueio após no máximo 100 tentativas consecutivas falhadas.
- **Sinais de risco:** antes de enviar um código, os verificadores devem verificar a troca de dispositivo, a alteração de SIM e a portabilidade do número (um "deveria", não um "deve").
- O **e-mail** não deve ser utilizado como um autenticador out-of-band.
Para verificações de alteração de SIM e portabilidade, consulte Number Verify and SIM Swap APIs e SIM swap fraud defence.
CISA: direcionado a pessoas altamente visadas
O Mobile Communications Best Practice Guidance de CISA de 18 de dezembro de 2024 afirma: "Não utilize SMS como um segundo fator de autenticação", porque o SMS não é encriptado e "não é resistente a phishing e, portanto, não é uma autenticação forte para contas de indivíduos altamente visados". O seu público são figuras governamentais e políticas de alto nível, e recomenda FIDO como o único método resistente a phishing. Trata-se de uma orientação, não de uma regra para serviços de consumo.
UE: PSD2 aceita SMS OTP; PSD3 ainda não é lei
As normas técnicas regulamentares sobre a autenticação forte do cliente (Regulamento Delegado (UE) 2018/389), em aplicação desde 14 de setembro de 2019, definem o padrão para qualquer palavra-passe de utilização única usada em pagamentos:
- **Artigo 4:** o código de autenticação é aceite apenas uma vez e não pode ser falsificado; no máximo 5 tentativas consecutivas falhadas antes de um bloqueio; no máximo 5 minutos de inatividade após o login.
- **Artigo 5 (ligação dinâmica):** o pagador visualiza o montante e o beneficiário, e o código é específico para eles; qualquer alteração invalida-o.
- **Artigo 7:** os elementos de posse necessitam de medidas contra a utilização e replicação não autorizadas.
- **Artigo 9:** os elementos devem ser independentes; num dispositivo multiusos, como um telemóvel, são necessários a execução segura separada e a deteção de violação.
O EBA confirmou em Q&A 2018_4039 que um SMS OTP pode ser um elemento de posse se estiver protegido contra a replicação, e o seu parecer de junho de 2019 lista OTP via SMS como um elemento de posse válido. O PSD3 e o Regulamento de Serviços de Pagamento alcançaram um acordo político em novembro de 2025, mas até 22 de outubro de 2026 ainda aguardam a adoção e publicação finais; não encontrámos qualquer disposição direcionada para SMS OTP no texto acordado.
PCI DSS 4.0.1: SMS não é mencionado
O PCI DSS 4.0.1 exige autenticação multifator para todo o acesso ao ambiente de dados do titular do cartão (requisito 8.4.2) e define como a MFA deve funcionar (8.5.1): resistente a replay, impossível de contornar sem uma exceção documentada e com limite de tempo, utilizando pelo menos dois tipos de fatores diferentes, sendo que todos os fatores devem ser bem-sucedidos. Ambos tornaram-se obrigatórios a 31 de março de 2025. A norma não proíbe SMS (redação reportada; a norma em si é sujeita a licença); o suplemento de informação MFA do PCI SSC apenas menciona o aviso anterior do NIST sobre SMS.
Reguladores da Ásia-Pacífico
- **Singapura:** o MAS e a Association of Banks in Singapore anunciaram a 9 de julho de 2024 que os principais bancos de retalho iriam eliminar gradualmente os OTP para login num prazo de três meses para clientes que possuam um token digital (lançamento MAS). Os clientes com tokens físicos não foram afetados.
- **Hong Kong (bancos):** a circular do HKMA de 14 de abril de 2025 torna um dispositivo vinculado o predefinido, em vez de SMS OTP, para login e transações de alto risco, com metas no 3.º e 4.º trimestres de 2025. SMS OTP continua a ser possível para clientes sem a aplicação ou que optem por aderir (circular HKMA).
- **Hong Kong (corretoras e plataformas de ativos virtuais):** a circular SFC 26EC35 de 9 de julho de 2026 proíbe os OTP para login de clientes e vinculação de dispositivos, em favor de passkeys ou dispositivos vinculados, até 8 de julho de 2027.
- **Malásia:** o Bank Negara Malaysia exigiu que as instituições financeiras migrassem de SMS OTP para uma autenticação mais segura, anunciado a 26 de setembro de 2022 (BNM).
- **Índia:** as Diretrizes de Mecanismos de Autenticação para Transações de Pagamentos Digitais da RBI, 2025, exigem dois fatores com um elemento dinâmico a partir de 1 de abril de 2026; a RBI afirmou que o quadro regulamentar "não exige a descontinuação de OTP baseadas em SMS" (RBI).
- **Filipinas:** a Circular 1213 da BSP, assinada em maio de 2025, limita a autenticação interceptável, como SMS OTP, para instituições de maior dimensão, exige métodos biométricos, comportamentais ou sem palavra-passe para transações de alto risco e proíbe links e códigos QR em SMS, com o cumprimento obrigatório até junho de 2026 (BSP).
O Golfo
Nos Emirados Árabes Unidos, os bancos transferiram os clientes de SMS e OTP por e-mail para a autenticação na aplicação entre 25 de julho de 2025 e 31 de março de 2026, de acordo com relatórios do aviso do Banco Central; não estava disponível nenhum texto público de CBUAE. Os remetentes não bancários nos Emirados Árabes Unidos ainda utilizam amplamente SMS OTP. Consulte SMS OTP após a proibição bancária e o cronograma da regulamentação de mensagens da A2P.
Equívocos comuns
- **"NIST proibiu SMS."** Não. A SMS é um autenticador restrito, permitido em AAL2 sob certas condições e excluído apenas em AAL3.
- **"PSD2 proíbe SMS OTP."** Não. A EBA aceita-o como um elemento de posse; os requisitos rigorosos são a ligação dinâmica e a proteção contra replicação.
- **"PCI DSS 4.0 proíbe MFA de SMS."** Não. Exige MFA resistente a replay e impossível de contornar, não mencionando a SMS.
- **"CISA disse a todos para pararem de usar SMS."** Exagerado. As orientações visam indivíduos governamentais e políticos que são alvos frequentes.
- **"PSD3 já é lei."** Não, até 22 de outubro de 2026.
- **"A SMS está a eliminar o OTP."** Não. O RBI não exigiu explicitamente a sua descontinuação.
- **"Singapura proibiu o SMS OTP."** Mais específico: login bancário, para clientes com um token digital.
Uma lista de verificação para SMS OTP que cumpre estes padrões
- Gerar códigos de pelo menos 6 dígitos a partir de um gerador aleatório criptograficamente seguro; aceitar cada um apenas uma vez; expirá-los num prazo de 10 minutos (5 minutos é o comum para pagamentos).
- Limitar tentativas: PSD2 bloqueia após 5 falhas consecutivas; NIST permite no máximo 100 antes do bloqueio.
- Para pagamentos na UE, mostrar o montante e o beneficiário na mensagem e associar o código a ambos (ligação dinâmica).
- Verificar sinais de alteração de SIM e de portabilidade de número antes de enviar um código para uma sessão de alto risco.
- Oferecer pelo menos uma alternativa mais forte (notificação push de aplicação, passkey, FIDO) e manter o SMS como canal de reserva e recuperação.
- Manter o tráfego de OTP como transacional: sem links ou ofertas na mensagem do código, o que também o mantém fora dos períodos de silêncio de marketing e dos bloqueios de links.
- Enviar através de rotas diretas e monitorizadas dos operadores, protegidas por um firewall SMS, para que os códigos não sejam intercetados, atrasados ou alvo de fraude.
O OTP API da BroadNet entrega códigos através de mais de 1.000 ligações diretas com operadores e fallback multicanal; veja a verificação OTP multicanal, de SMS OTP a passkeys e, para operadores, o firewall SMS e a SS7 proteção.
Perguntas frequentes
O SMS OTP ainda é permitido em 2026?
Sim, na maioria dos padrões. O NIST SP 800-63B-4 classifica-o como restrito, mas permitido em AAL2; o PSD2 aceita-o como um elemento de posse, a PCI DSS não o proíbe e o RBI da Índia manteve-o. Alguns reguladores, incluindo o MAS de Singapura, o HKMA de Hong Kong e o BSP das Filipinas, transferiram os logins bancários ou transações de alto risco para métodos mais robustos.
O NIST proibiu a autenticação de dois fatores SMS?
Não. O NIST SP 800-63B-4 (julho de 2025) classifica o SMS e os códigos de voz como um autenticador restrito: os fornecedores devem oferecer uma alternativa não restrita, explicar o risco e avaliá-lo. O SMS é permitido em AAL2, mas não em AAL3, que exige autenticadores resistentes a phishing.
O SMS OTP PSD2 é conforme?
Pode ser. O Q&A 2018_4039 do EBA aceita um SMS OTP como elemento de posse se estiver protegido contra replicação e, para pagamentos, o código deve estar dinamicamente ligado ao montante e ao beneficiário ao abrigo do Artigo 5.º do RTS sobre autenticação forte do cliente.
O PCI DSS 4.0 permite SMS para MFA?
O PCI DSS 4.0.1 não nomeia nem proíbe o SMS. Os requisitos 8.4.2 e 8.5.1, obrigatórios desde 31 de março de 2025, exigem MFA para todo o acesso ao ambiente de dados do titular do cartão que resista a replay, não possa ser contornado e utilize pelo menos dois tipos de fatores diferentes.
Quanto tempo deve ser válida uma SMS OTP?
Não mais de 10 minutos sob NIST SP 800-63B-4, e cada código só pode ser utilizado uma única vez. Muitos fluxos de pagamento utilizam 5 minutos ou menos, em conformidade com o limite de inatividade da PSD2.
Quais os países que restringem a SMS OTP para serviços bancários?
Singapura (login bancário, para clientes com um token digital, a partir de 2024), Hong Kong (dispositivos vinculados por defeito para login bancário e transações de alto risco em 2025; corretores até julho de 2027), Malásia (migração obrigatória desde 2022), Emirados Árabes Unidos (a OTP bancária será transferida para a aplicação até março de 2026, conforme reportado) e Filipinas (transações de alto risco em grandes instituições, até junho de 2026).
A PSD3 está em vigor?
Não até 22 de outubro de 2026. A PSD3 e o Regulamento de Serviços de Pagamento alcançaram um acordo político em novembro de 2025 e aguardam a adoção final e publicação no Jornal Oficial.
Qual é a forma mais segura de enviar uma OTP por SMS?
Utilize códigos de utilização única com pelo menos 6 dígitos aleatórios que expirem em poucos minutos, limite as tentativas, verifique os sinais de SIM-swap e de portabilidade para sessões de risco, mantenha a mensagem sem links e efetue a entrega através de rotas diretas de operador protegidas por um firewall SMS, oferecendo um método mais robusto em conjunto.