3 августа 2026 года Центральный банк Египта (CBE) выпустил «Положение о регулировании услуг платформы Digital Financial Identity» — свод правил для открытия банковских счетов и удаленной верификации клиентов (eKYC). Для SMS верификации ключевое требование лаконично: банк, проверяющий клиентов через собственное приложение, должен подтвердить, что мобильный номер принадлежит клиенту и находится в его распоряжении, отправив текстовое сообщение, содержащее одноразовый пароль (OTP). Более старые правила CBE-кошельков, которые все еще действуют, гласят, что SMS не должны использоваться в качестве второго фактора для высокорисковых операций. В данном руководстве изложены суть каждого правила и рекомендации BroadNet по проектированию OTP для египетских банков, кошельков и финтех-компаний.
В данном руководстве обобщены официальные нормативные тексты по состоянию на 10 октября 2026 года. Информация носит ознакомительный характер и не является юридической консультацией — прежде чем полагаться на эти данные, подтвердите свои обязательства в Центральном банке Египта, NTRA, PDPC или у вашего юрисконсульта.
Основные выводы
- Совет CBE утвердил правила Digital Financial Identity (DFI) 17 июня 2026 года; циркуляр от 23 августа 2026 года направил их в банки. Они распространяются на все банки Египта, лицензированные организации, которые могут присоединиться к платформе, и банковских агентов, уполномоченных CBE.
- Банк, верифицирующий клиентов в своем приложении, должен проверить владение мобильным номером «путем отправки текстового сообщения, содержащего одноразовый пароль (OTP)», а затем привязать сертификат DFI к устройству.
- Платформа использует четыре механизма аутентификации: привязанный к устройству сертификат DFI, OTP, шестизначный Global PIN и биометрию.
- Она может заменить собственноручную подпись для нефинансовых транзакций; для аутентификации финансовых транзакций требуется отдельное одобрение CBE.
- Правила мобильных платежей CBE (апрель 2021 г.) требуют использования двух факторов для высокорисковых операций с кошельком и гласят, что OTP не должны отправляться автоматически и напрямую через SMS или по электронной почте для таких операций. SMS остается основным каналом для уведомлений.
- Согласно PDPC, данные, хранящиеся у CBE и подконтрольных ему организаций, не подпадают под действие закона о защите данных, за исключением компаний по переводу денежных средств и обменных пунктов.
Что выпустил Центральный банк Египта в августе 2026 года?
В релизе CBE от 23 августа 2026 года сообщается, что его Совет одобрил «положения, регулирующие услуги платформы цифровой финансовой идентификации (DFI) для идентификации банковских клиентов и электронной верификации их личности (eKYC)»; соответствующий циркуляр фиксирует одобрение Совета от 17 июня 2026 года. Управляющий Хассан Абдалла заявил, что платформа позволяет гражданам открывать счета и получать банковские продукты через цифровые каналы без посещения отделения, с электронным принятием условий и электронной аутентификацией «в качестве альтернативы собственноручной подписи».
Правила охватывают eKYC (идентификацию, верификацию и обновление данных), электронную аутентификацию транзакций, платежных и переводных поручений, а также принятие условий и обмен DFI клиента между участниками. Платформа управляется внутри Египта компанией Digital Financial Identity, «Haweya», которая считывает данные национальных удостоверений личности из доверенных источников, таких как Организация гражданского состояния, а также с помощью считывания NFC-чипа и проверки биометрии (liveness detection). В циркуляре за август указано, что подразделение по борьбе с отмыванием денег (EMLCU) выпустит процедуры электронной идентификации; циркуляр CBE от 28 сентября 2026 года гласит, что EMLCU утвердили их первое издание в этом месяце. Ни один из этих документов не устанавливает отдельного срока для соблюдения требований.
В каких разделах положений DFI упоминается SMS OTP?
| Пункт (положения DFI) | Содержание | Что это значит для OTP |
|---|---|---|
| 4, Второй, 2.1 | Банк, использующий собственные приложения, должен подтвердить, что мобильный номер принадлежит клиенту и находится в его распоряжении, с помощью SMS, содержащего OTP | SMS OTP — это проверка владения при регистрации; при первом использовании она должна быть доставлена на номер, указанный в профиле |
| 4, Второе, 2.2 | Затем выпустите сертификат DFI и привяжите его к устройству и приложениям клиента | При обычном входе используется привязанное устройство; SMS становится каналом для восстановления доступа и повторной привязки |
| 5, пункт 7.2 | Haweya предлагает четыре механизма: сертификат DFI в том же приложении и на том же устройстве, OTP, Global PIN и биометрия | OTP — это лишь один из четырех факторов, а не вся модель целиком |
| 4, Первое, 7 | Уведомите клиента о завершении создания DFI несколькими способами | Совместите подтверждение SMS с уведомлением в приложении или по электронной почте |
| 4, Fifth, 1 | Отслеживайте повторяющиеся неудачные входы в систему и неверные попытки аутентификации за короткий промежуток времени; немедленно связывайтесь с клиентом | Регистрируйте каждую попытку OTP и оповещайте о резких всплесках ошибок |
Сопутствующие меры контроля также строги: обнаружение root-прав и джейлбрейка, а также certificate pinning в приложении, уведомление CBE об инциденте в течение шести часов, уведомление о планируемых перерывах в обслуживании за 48 часов и — перед запуском — тесты на проникновение, отчет SOC 2 Type 1 (Type 2 в течение шести месяцев) и оценка воздействия на конфиденциальность данных.
Достаточно ли SMS OTP для проведения платежей в Египте?
Не для каждого действия. Регламент мобильных платежных услуг CBE (третье издание, апрель 2021 г.) определяет высокорисковые операции, к которым относятся платежные поручения нескольким бенефициарам одновременно, поручения, не подпадающие под лимит переводов, и изменение контактных данных. Для таких операций банки должны использовать два средства одновременно и не должны предоставлять одноразовые пароли «автоматически и напрямую» через SMS или по электронной почте; OTP с токен-устройств или приложений должны состоять как минимум из шести символов и быть действительными не более 90 секунд. Другие транзакции проходят повторную аутентификацию с помощью PIN-кода (минимум шесть цифр), при этом допускается не более пяти неудачных попыток до приостановки доступа. У SMS все еще есть четкая задача: банки должны уведомлять пользователей кошельков о транзакциях и высокорисковой активности через SMS или по электронной почте, если они не оформили отказ от рассылки, а платежное поручение не может быть создано через SMS, хотя SMS может подтвердить его.
Правила сети мгновенных платежей (IPN) от октября 2021 года требуют использования двух факторов для каждого платежа IPN: жесткой привязки телефона (отпечаток устройства плюс номер) и шестизначного IPN PIN-кода, при этом OTP обрабатываются только внутри защищенной библиотеки сети. Банки должны уведомлять клиентов о транзакциях «с помощью текстовых сообщений или любого другого утвержденного метода». Правила токенизации карт CBE от марта 2023 года позволяют использовать SMS OTP на телефоне, зарегистрированном в банке, как один из способов верификации держателя карты.
| Этап клиентского пути | Роль SMS в текстовых сообщениях CBE | Источник |
|---|---|---|
| онбординг eKYC в собственном приложении банка | Требуется: SMS OTP подтверждает владение номером | регламенты DFI 2026, 4-Second-2.1 |
| Открытие кошелька для существующего клиента | Банк должен подтвердить владение или наличие номера | Правила мобильных платежей 2021, 3-3-20 |
| Добавление карты в мобильный кошелек устройства | SMS OTP на зарегистрированный телефон является примером метода | Правила токенизации 2023, 3-2-5 |
| Высокорискованное действие в кошельке | Двухфакторная аутентификация: OTP не отправляется автоматически и напрямую через SMS или email | Правила мобильных платежей 2021, 3-4-5-1 |
| Платеж через IPN | Привязка устройства + IPN PIN-код | Правила IPN 2021, 4-7 — 4-9 |
| Уведомления о транзакциях | SMS указано в качестве канала | Правила мобильных платежей 3-6-8; правила IPN 3-1-9 |
SMS подтверждает номер, привязывает устройство и информирует клиента; наиболее надежные методы основаны на использовании устройства в сочетании с PIN-кодом или биометрией. Мы сравниваем ОАЭ, Индию и Филиппины в статье Запрещен ли SMS OTP?.
Что означают правила NTRA для сообщений OTP в Египет?
Национальный орган по регулированию телекоммуникаций (NTRA) выдает лицензии на массовые SMS в рамках своей структуры услуг мобильной добавленной стоимости, к которой относится категория «Массовые SMS (один к одному)» (OTP). Лицензиаты обязаны указывать имя отправляющей организации в каждом сообщении, предваряя его кодом, установленным NTRA; уведомлять NTRA об имени каждого клиента и имени отправителя перед заключением договора; гарантировать, что отправитель находится в Египте; и не направлять международные сообщения в Египет без предварительного письменного одобрения NTRA. Таким образом, для OTP банка требуется зарегистрированное имя отправителя с названием банка, передаваемое через лицензированный локальный канал.
На странице охвата Египта BroadNet указана лицензированная терминация с прямыми соединениями с Vodafone Egypt, Orange Egypt, e& Egypt и WE, а также регистрация имени отправителя в течение 7–14 рабочих дня; документация представлена в нашем руководстве по A2P SMS в Египте и регистрации имени отправителя в Египте. Со стороны оператора, e& Egypt использует A2P-брандмауэр BroadNet для защиты от серых маршрутов. Правила кошелька NTRA гласят, что на каждый номер можно открыть только один кошелек, и ни одна транзакция не будет завершена без PIN-кода клиента, поэтому номер телефона является идентификатором кошелька — проверяйте на подмену SIM и использование повторно использованных номеров (проверка номеров и SIM подмена API).
Как закон Египта о защите данных регулирует трафик OTP?
Закон № 151 от 2020 года теперь имеет исполнительный регламент, который Центр защиты персональных данных (PDPC) называет Исполнительным регламентом № 816 от 2025 года. В PDPC среди исключений указаны «персональные данные, находящиеся в распоряжении Центрального банка Египта и организаций под его надзором и контролем, за исключением компаний по переводу денежных средств и обменных пунктов», поэтому банки следуют правилам данных CBE, таким как контроль DFI; вопрос о том, подпадает ли финтех-компания под это исключение, следует решать с юристами. В случаях, когда закон применяется, договорная необходимость является законным основанием — как соответствие коду, запрошенному пользователем, — в то время как для маркетинга требуется явное согласие, возможность свободного отказа от рассылки и, возможно, лицензия на электронный маркетинг. О нарушениях необходимо сообщать в PDPC в течение 72 часов, а для передачи данных за границу требуется лицензия или разрешение PDPC, поэтому уточняйте у поставщиков, где хранятся логи сообщений (локализация данных).
Как египетским банкам и кошелькам следует проектировать OTP?
Рекомендации BroadNet по соблюдению этих правил:
- Используйте SMS OTP для проверки владения при регистрации, а затем привяжите устройство; сохраняйте SMS для восстановления и повторной привязки.
- Для высокорискованных операций в кошельке используйте код в приложении или токен плюс второй фактор, а затем отправляйте оповещение SMS.
- Зарегистрируйте выделенное имя отправителя OTP на имя вашего бренда, отдельно от маркетинговых рассылок, через лицензированные локальные маршруты.
- Ставьте код первым. В арабском языке используется UCS-2, поэтому одна SMS вмещает 70 символов, а не 160 (руководство по кодированию); добавьте строку автозаполнения.
- Используйте короткий срок действия, ограничение количества попыток и полные логи отправлений, отчётов о доставке и верификаций — правила DFI требуют мониторинга неудачных попыток аутентификации.
- Если в течение заданного окна отчёт о доставке не поступил, выполните одну повторную попытку через другой маршрут, а затем предложите голосовой OTP; никогда не делайте бесконечных повторных отправлений.
- Проверяйте наличие подмены SIM перед отправкой на недавно измененный номер (фрод с подменой SIM).
- Передавайте метрики OTP в процессы по борьбе с фродом и инцидентами (план мониторинга OTP для банков).
OTP от BroadNet API охватывает этот сценарий: SMS с автоматическим переходом на голос (voice fallback), если отчёт о доставке не возвращён, обработка имени отправителя для каждого направления и отчёты о доставке при каждой попытке. Цены в Египте начинаются от $0.028 за SMS на e& Egypt (Etisalat Misr), $0.030 на Vodafone Egypt, $0.032 на Orange Egypt и $0.035 на WE (цены SMS в Египте); по вопросам выбора поставщика см. лучший провайдер SMS в Египте.
Компания BroadNet предоставляет услуги обмена сообщениями уровня оператора связи с 2003 года. Мы располагаем более чем 1000 прямых подключений к операторам, гарантируем SLA 99.99% и имеем SOC 2 Type II. Запросите тестовый доступ, и наш инженер ответит вам в течение одного рабочего дня; интеграция обычно занимает 2–5 рабочих дней, при этом процесс одобрения имени отправителя проходит параллельно.
Часто задаваемые вопросы
Что такое платформа цифровой финансовой идентификации CBE?
Одобренная CBE платформа для создания цифровой финансовой идентификации клиента и электронной верификации клиентов (eKYC), управляемая в Египте компанией Digital Financial Identity, Haweya. Ее правила были опубликованы в циркуляре CBE от 23 августа 2026 года.
Требуют ли правила CBE eKYC наличия SMS OTP?
Да, в одном случае: при проверке личности в собственных приложениях банк должен подтвердить владение мобильным номером с помощью SMS OTP перед привязкой DFI сертификата к устройству. OTP также является одним из четырех механизмов аутентификации платформы.
Кто должен соблюдать правила DFI?
Все банки, работающие в Египте, лицензированные организации, имеющие право на присоединение к платформе, и банковские агенты, уполномоченные CBE. Эти правила являются минимальными требованиями в дополнение к правилам CBE в области электронного банкинга, ПОД/ФТ и операционных рисков.
Может ли платформа DFI аутентифицировать платежи?
Банки могут использовать её для нефинансовых транзакций вместо собственноручной подписи. Для аутентификации финансовых транзакций требуется дополнительное одобрение CBE и соблюдение его механизмов контроля электронной аутентификации.
Могут ли мобильные кошельки в Египте использовать SMS OTP для переводов?
Не для действий с высоким уровнем риска, таких как одновременная выплата нескольким бенефициарам: правила мобильных платежей 2021 года требуют двухфакторной аутентификации и запрещают автоматическую отправку этих OTP напрямую через SMS или по электронной почте. Для других транзакций используется PIN-код, а SMS отвечает за уведомления.
Распространяется ли египетский PDPL на данные OTP банков?
Согласно PDPC, данные, находящиеся в распоряжении CBE и поднадзорных ей организаций, не подпадают под действие PDPL, за исключением компаний по переводу денежных средств и обменных пунктов. Последние две категории, а также компании, не находящиеся под надзором CBE, подпадают под действие закона.
Требуется ли зарегистрированное имя отправителя для сообщений OTP в Египет?
Да. Согласно правилам NTRA, в каждом сообщении должно быть указано имя отправителя, а имя отправителя должно быть согласовано с NTRA до заключения договора с клиентом.
Могут ли международные маршруты доставлять OTP в Египет?
Только при наличии разрешения: держатели лицензий NTRA не имеют права доставлять международные сообщения в Египет без предварительного письменного согласия NTRA. Используйте провайдера, который осуществляет терминацию через лицензированные локальные каналы.
Все приведенные ниже тексты были прочитаны 10 октября 2026 года на официальном сайте регулятора; тексты только на арабском языке были прочитаны на арабском. Ознакомьтесь с нашими редакционными стандартами и правилами SMS в Египте.
Источники
- CBE — пресс-релиз о правилах eKYC от 23 августа 2026 г.: cbe.org.eg.
- CBE — страница Digital Financial Identity, обновлено 23 августа 2026 г.: cbe.org.eg.
- CBE — правила DFI, текст на английском языке: cbe.org.eg.
- CBE — циркуляр от 23 августа 2026 г. о правилах DFI (на арабском): cbe.org.eg.
- CBE — циркуляр от 28 сентября 2026 г. о KYC клиентов банков (на арабском), список циркуляров: cbe.org.eg.
- CBE — Правила услуг мобильных платежей, 3-е издание, апрель 2021 (на арабском): cbe.org.eg.
- CBE — Правила сети мгновенных платежей, октябрь 2021: cbe.org.eg.
- CBE — Циркуляр по токенизации карт, 8 марта 2023 (на арабском): cbe.org.eg.
- NTRA — Регламент мобильных услуг с добавленной стоимостью (tra.gov.eg, PDF) и нормативные правила для мобильных кошельков (tra.gov.eg), доступ к данным от 10 октября 2026.
- PDPC — Ответы на часто задаваемые вопросы по Закону № 151 от 2020 года и Исполнительному регламенту № 816 от 2025 года, доступ к данным от 10 октября 2026: portal.pdpc.gov.eg.