# Normas de segurança SMS OTP 2026: o que NIST, PSD2, PCI DSS e os bancos centrais realmente exigem > O SMS OTP ainda é permitido? Na maioria dos casos sim, sob certas condições. NIST classifica-o como restrito, PSD2 aceita-o como um fator de posse, PCI DSS não o menciona, e o RBI da Índia manteve-o. Alguns reguladores na Ásia e no Golfo transferiram os acessos bancários para dispositivos vinculados. Eis o que cada norma diz realmente, com a respetiva cláusula e fonte. - URL canônico: https://www.broadnet.me/pt/blog/sms-otp-security-standards-2026 - Idioma: pt - Última atualização: 2026-10-22 - Editor: BroadNet (https://www.broadnet.me) - Publicado em: 2026-10-22 - Autor: BroadNet Regulatory Affairs As palavras-passe de utilização única SMS são restritas, mas não proibidas, nas principais normas em 2026. NIST SP 800-63B-4 (julho de 2025) classifica os códigos SMS e de voz como um autenticador "restrito" que ainda é permitido na AAL2 se o fornecedor oferecer uma alternativa e explicar o risco, mas não na AAL3. Sob a PSD2, a Autoridade Bancária Europeia aceita um SMS OTP como um elemento de posse. A PCI DSS 4.0.1 exige MFA resistente a replay e impossível de contornar, sem mencionar SMS. O RBI da Índia manteve explicitamente o SMS OTP a partir de 1 de abril de 2026. As restrições reais são mais limitadas: os bancos em Singapura, Hong Kong, Malásia, Emirados Árabes Unidos e Filipinas transferiram os acessos ou transações de alto risco para autenticação via aplicação ou vinculada ao dispositivo. Cada requisito abaixo contém um link para a sua fonte. > Verificado a 22 de outubro de 2026 com base nos textos oficiais, exceto onde indicado como "reportado". Esta página resume as regras para equipas de produto e de segurança; não constitui aconselhamento jurídico. ## As regras num relance | Norma ou regulador | Estado do SMS OTP | Requisito principal | Data | |---|---|---|---| | NIST SP 800-63B-4 (EUA) | Restrito; permitido em AAL2, não em AAL3 | Ofereça uma alternativa, informe os utilizadores sobre o risco e avalie-o; códigos de utilização única, com pelo menos 6 dígitos, válidos por 10 minutos | Julho de 2025 | | Orientações CISA (EUA) | Desaconselha a sua utilização para pessoas com alvos altamente específicos | Migre os altos cargos para FIDO resistentes a phishing | 18 de dezembro de 2024 | | RTS PSD2 sobre SCA (UE) | Aceite como um elemento de posse | Código de utilização única; ligação dinâmica ao montante e ao beneficiário; proteção contra replicação | Aplica-se desde 14 de Set 2019 | | PSD3 / PSR (UE) | Nenhuma regra específica de SMS encontrada | Ainda não em vigor | Pendente até Out 2026 | | PCI DSS 4.0.1 | Não nomeado | MFA para todo o acesso ao CDE; resistente a replay, sem bypass, dois tipos de fator | Obrigatório em 31 de Mar 2025 | | MAS (Singapura) | Descontinuado para login bancário | Os clientes com um token digital fazem login sem SMS OTP | A partir de julho de 2024 | | HKMA (Hong Kong) | Dispositivo associado por predefinição | Login e transações de alto risco através de dispositivo associado; SMS quando não houver aplicação | 2025 (metas para o 3.º e 4.º trimestres) | | HK SFC (corretoras, ativos virtuais) | Não se aplica a login ou associação de dispositivos | Passkeys ou dispositivos associados | Até 8 de jul. de 2027 | | BNM (Malásia) | Migração necessária | Mude para uma autenticação mais segura | Anunciado a 26 de set. de 2022 | | CBUAE (EAU) (relatado) | Eliminado gradualmente para o OTP bancário | Mude para autenticação na aplicação | 25 de jul. de 2025 – 31 de mar. de 2026 | | RBI (Índia) | Permitido | Dois fatores, um dinâmico; SMS OTP não descontinuado | A partir de 1 de abr. de 2026 | | BSP Circular 1213 (Filipinas) | Limitado para grandes instituições | Biométrico, comportamental ou sem palavra-passe para alto risco; sem links em SMS | Conformidade até junho de 2026 | ## NIST SP 800-63B-4: restrito, não proibido NIST publicou o [SP 800-63B-4](https://pages.nist.gov/800-63-4/sp800-63b.html) final em julho de 2025, que substitui a 800-63-3. Trata os códigos de utilização única enviados através da rede telefónica pública (SMS ou voz) como um **autenticador restrito** (secção 3.2.9). Um fornecedor que utilize um deve oferecer pelo menos uma alternativa que não seja restrita, dar aos utilizadores um aviso significativo sobre os riscos, considerá-los na sua avaliação de risco e manter um plano de migração; se a parte confiante considerar o risco inaceitável, este não deve ser utilizado. - **Níveis de garantia:** códigos fora de banda são permitidos em AAL2, combinados com uma palavra-passe ou biometria, mas não em AAL3, que exige autenticadores criptográficos resistentes a phishing. Os verificadores AAL2 devem oferecer pelo menos uma opção resistente a phishing. - **Regras do código:** pelo menos 6 dígitos de um gerador aleatório aprovado, aceite apenas uma vez e válido por no máximo 10 minutos; bloqueio após no máximo 100 tentativas consecutivas falhadas. - **Sinais de risco:** antes de enviar um código, os verificadores devem verificar a troca de dispositivo, a alteração de SIM e a portabilidade do número (um "deveria", não um "deve"). - O **e-mail** não deve ser utilizado como um autenticador out-of-band. Para verificações de alteração de SIM e portabilidade, consulte [Number Verify and SIM Swap APIs](https://www.broadnet.me/blog/number-verify-sim-swap-api-middle-east) e [SIM swap fraud defence](https://www.broadnet.me/blog/sim-swap-fraud-sms-otp-defense). ## CISA: direcionado a pessoas altamente visadas O [Mobile Communications Best Practice Guidance](https://www.cisa.gov/sites/default/files/2024-12/guidance-mobile-communications-best-practices.pdf) de CISA de 18 de dezembro de 2024 afirma: "Não utilize SMS como um segundo fator de autenticação", porque o SMS não é encriptado e "não é resistente a phishing e, portanto, não é uma autenticação forte para contas de indivíduos altamente visados". O seu público são figuras governamentais e políticas de alto nível, e recomenda FIDO como o único método resistente a phishing. Trata-se de uma orientação, não de uma regra para serviços de consumo. ## UE: PSD2 aceita SMS OTP; PSD3 ainda não é lei As [normas técnicas regulamentares sobre a autenticação forte do cliente](https://eur-lex.europa.eu/eli/reg_del/2018/389/oj) (Regulamento Delegado (UE) 2018/389), em aplicação desde 14 de setembro de 2019, definem o padrão para qualquer palavra-passe de utilização única usada em pagamentos: - **Artigo 4:** o código de autenticação é aceite apenas uma vez e não pode ser falsificado; no máximo 5 tentativas consecutivas falhadas antes de um bloqueio; no máximo 5 minutos de inatividade após o login. - **Artigo 5 (ligação dinâmica):** o pagador visualiza o montante e o beneficiário, e o código é específico para eles; qualquer alteração invalida-o. - **Artigo 7:** os elementos de posse necessitam de medidas contra a utilização e replicação não autorizadas. - **Artigo 9:** os elementos devem ser independentes; num dispositivo multiusos, como um telemóvel, são necessários a execução segura separada e a deteção de violação. O EBA confirmou em [Q&A 2018_4039](https://www.eba.europa.eu/single-rule-book-qa/qna/view/publicId/2018_4039) que um SMS OTP pode ser um elemento de posse se estiver protegido contra a replicação, e o seu parecer de junho de 2019 lista OTP via SMS como um elemento de posse válido. O PSD3 e o Regulamento de Serviços de Pagamento alcançaram um acordo político em novembro de 2025, mas até 22 de outubro de 2026 ainda aguardam a adoção e publicação finais; não encontrámos qualquer disposição direcionada para SMS OTP no texto acordado. ## PCI DSS 4.0.1: SMS não é mencionado O PCI DSS 4.0.1 exige autenticação multifator para todo o acesso ao ambiente de dados do titular do cartão (requisito 8.4.2) e define como a MFA deve funcionar (8.5.1): resistente a replay, impossível de contornar sem uma exceção documentada e com limite de tempo, utilizando pelo menos dois tipos de fatores diferentes, sendo que todos os fatores devem ser bem-sucedidos. Ambos tornaram-se obrigatórios a 31 de março de 2025. A norma não proíbe SMS (redação reportada; a norma em si é sujeita a licença); o [suplemento de informação MFA](https://listings.pcisecuritystandards.org/pdfs/Multi-Factor-Authentication-Guidance-v1.pdf) do PCI SSC apenas menciona o aviso anterior do NIST sobre SMS. ## Reguladores da Ásia-Pacífico - **Singapura:** o MAS e a Association of Banks in Singapore anunciaram a 9 de julho de 2024 que os principais bancos de retalho iriam eliminar gradualmente os OTP para login num prazo de três meses para clientes que possuam um token digital ([lançamento MAS](https://www.mas.gov.sg/news/media-releases/2024/banks-in-singapore-to-strengthen-resilience-against-phishing-scams)). Os clientes com tokens físicos não foram afetados. - **Hong Kong (bancos):** a circular do HKMA de 14 de abril de 2025 torna um dispositivo vinculado o predefinido, em vez de SMS OTP, para login e transações de alto risco, com metas no 3.º e 4.º trimestres de 2025. SMS OTP continua a ser possível para clientes sem a aplicação ou que optem por aderir ([circular HKMA](https://brdr.hkma.gov.hk/eng/doc-ldg/docId/getPdf/20250411-1-EN/20250411-1-EN.pdf)). - **Hong Kong (corretoras e plataformas de ativos virtuais):** a circular SFC 26EC35 de 9 de julho de 2026 proíbe os OTP para login de clientes e vinculação de dispositivos, em favor de passkeys ou dispositivos vinculados, até 8 de julho de 2027. - **Malásia:** o Bank Negara Malaysia exigiu que as instituições financeiras migrassem de SMS OTP para uma autenticação mais segura, anunciado a 26 de setembro de 2022 ([BNM](https://www.bnm.gov.my/-/financial-crime-exhibition-speech-en)). - **Índia:** as Diretrizes de Mecanismos de Autenticação para Transações de Pagamentos Digitais da RBI, 2025, exigem dois fatores com um elemento dinâmico a partir de 1 de abril de 2026; a RBI afirmou que o quadro regulamentar "não exige a descontinuação de OTP baseadas em SMS" ([RBI](https://www.rbi.org.in/scripts/BS_PressReleaseDisplay.aspx?prid=61282)). - **Filipinas:** a Circular 1213 da BSP, assinada em maio de 2025, limita a autenticação interceptável, como SMS OTP, para instituições de maior dimensão, exige métodos biométricos, comportamentais ou sem palavra-passe para transações de alto risco e proíbe links e códigos QR em SMS, com o cumprimento obrigatório até junho de 2026 ([BSP](https://www.bsp.gov.ph/Regulations/Issuances/2025/1213.pdf)). ## O Golfo Nos Emirados Árabes Unidos, os bancos transferiram os clientes de SMS e OTP por e-mail para a autenticação na aplicação entre 25 de julho de 2025 e 31 de março de 2026, de acordo com relatórios do aviso do Banco Central; não estava disponível nenhum texto público de CBUAE. Os remetentes não bancários nos Emirados Árabes Unidos ainda utilizam amplamente SMS OTP. Consulte [SMS OTP após a proibição bancária](https://www.broadnet.me/blog/sms-otp-bank-regulation-uae-india-philippines-2026) e o [cronograma da regulamentação de mensagens da A2P](https://www.broadnet.me/blog/a2p-messaging-regulation-timeline-2024-2027). ## Equívocos comuns - **"NIST proibiu SMS."** Não. A SMS é um autenticador restrito, permitido em AAL2 sob certas condições e excluído apenas em AAL3. - **"PSD2 proíbe SMS OTP."** Não. A EBA aceita-o como um elemento de posse; os requisitos rigorosos são a ligação dinâmica e a proteção contra replicação. - **"PCI DSS 4.0 proíbe MFA de SMS."** Não. Exige MFA resistente a replay e impossível de contornar, não mencionando a SMS. - **"CISA disse a todos para pararem de usar SMS."** Exagerado. As orientações visam indivíduos governamentais e políticos que são alvos frequentes. - **"PSD3 já é lei."** Não, até 22 de outubro de 2026. - **"A SMS está a eliminar o OTP."** Não. O RBI não exigiu explicitamente a sua descontinuação. - **"Singapura proibiu o SMS OTP."** Mais específico: login bancário, para clientes com um token digital. ## Uma lista de verificação para SMS OTP que cumpre estes padrões 1. Gerar códigos de pelo menos 6 dígitos a partir de um gerador aleatório criptograficamente seguro; aceitar cada um apenas uma vez; expirá-los num prazo de 10 minutos (5 minutos é o comum para pagamentos). 2. Limitar tentativas: PSD2 bloqueia após 5 falhas consecutivas; NIST permite no máximo 100 antes do bloqueio. 3. Para pagamentos na UE, mostrar o montante e o beneficiário na mensagem e associar o código a ambos (ligação dinâmica). 4. Verificar sinais de alteração de SIM e de portabilidade de número antes de enviar um código para uma sessão de alto risco. 5. Oferecer pelo menos uma alternativa mais forte (notificação push de aplicação, passkey, FIDO) e manter o SMS como canal de reserva e recuperação. 6. Manter o tráfego de OTP como transacional: sem links ou ofertas na mensagem do código, o que também o mantém fora dos períodos de silêncio de marketing e dos bloqueios de links. 7. Enviar através de rotas diretas e monitorizadas dos operadores, protegidas por um firewall SMS, para que os códigos não sejam intercetados, atrasados ou alvo de fraude. O [OTP API](https://www.broadnet.me/products/otp) da BroadNet entrega códigos através de mais de 1.000 ligações diretas com operadores e fallback multicanal; veja a [verificação OTP multicanal](https://www.broadnet.me/blog/multichannel-otp-verification-api-2026), [de SMS OTP a passkeys](https://www.broadnet.me/blog/sms-otp-to-passkeys-webauthn-2026) e, para operadores, o [firewall SMS e a SS7 proteção](https://www.broadnet.me/operators/sms-firewall). ## Perguntas frequentes ### O SMS OTP ainda é permitido em 2026? Sim, na maioria dos padrões. O NIST SP 800-63B-4 classifica-o como restrito, mas permitido em AAL2; o PSD2 aceita-o como um elemento de posse, a PCI DSS não o proíbe e o RBI da Índia manteve-o. Alguns reguladores, incluindo o MAS de Singapura, o HKMA de Hong Kong e o BSP das Filipinas, transferiram os logins bancários ou transações de alto risco para métodos mais robustos. ### O NIST proibiu a autenticação de dois fatores SMS? Não. O NIST SP 800-63B-4 (julho de 2025) classifica o SMS e os códigos de voz como um autenticador restrito: os fornecedores devem oferecer uma alternativa não restrita, explicar o risco e avaliá-lo. O SMS é permitido em AAL2, mas não em AAL3, que exige autenticadores resistentes a phishing. ### O SMS OTP PSD2 é conforme? Pode ser. O Q&A 2018_4039 do EBA aceita um SMS OTP como elemento de posse se estiver protegido contra replicação e, para pagamentos, o código deve estar dinamicamente ligado ao montante e ao beneficiário ao abrigo do Artigo 5.º do RTS sobre autenticação forte do cliente. ### O PCI DSS 4.0 permite SMS para MFA? O PCI DSS 4.0.1 não nomeia nem proíbe o SMS. Os requisitos 8.4.2 e 8.5.1, obrigatórios desde 31 de março de 2025, exigem MFA para todo o acesso ao ambiente de dados do titular do cartão que resista a replay, não possa ser contornado e utilize pelo menos dois tipos de fatores diferentes. ### Quanto tempo deve ser válida uma SMS OTP? Não mais de 10 minutos sob NIST SP 800-63B-4, e cada código só pode ser utilizado uma única vez. Muitos fluxos de pagamento utilizam 5 minutos ou menos, em conformidade com o limite de inatividade da PSD2. ### Quais os países que restringem a SMS OTP para serviços bancários? Singapura (login bancário, para clientes com um token digital, a partir de 2024), Hong Kong (dispositivos vinculados por defeito para login bancário e transações de alto risco em 2025; corretores até julho de 2027), Malásia (migração obrigatória desde 2022), Emirados Árabes Unidos (a OTP bancária será transferida para a aplicação até março de 2026, conforme reportado) e Filipinas (transações de alto risco em grandes instituições, até junho de 2026). ### A PSD3 está em vigor? Não até 22 de outubro de 2026. A PSD3 e o Regulamento de Serviços de Pagamento alcançaram um acordo político em novembro de 2025 e aguardam a adoção final e publicação no Jornal Oficial. ### Qual é a forma mais segura de enviar uma OTP por SMS? Utilize códigos de utilização única com pelo menos 6 dígitos aleatórios que expirem em poucos minutos, limite as tentativas, verifique os sinais de SIM-swap e de portabilidade para sessões de risco, mantenha a mensagem sem links e efetue a entrega através de rotas diretas de operador protegidas por um firewall SMS, oferecendo um método mais robusto em conjunto.