# Египет eKYC и OTP: правила CBE Digital Financial Identity и их значение для SMS верификации

> 23 августа 2026 года Центральный банк Египта выпустил правила для своей платформы Digital Financial Identity для удаленного открытия счетов. В них SMS OTP указаны как способ подтверждения банком владения номером клиента, в то время как старые правила CBE-кошельков запрещают использовать SMS в качестве второго фактора для высокорисковых операций. Разбор каждого правила и рекомендации по проектированию OTP для Египта.

- Канонический URL: https://www.broadnet.me/ru/blog/egypt-cbe-ekyc-otp-2026
- Язык: ru
- Последнее обновление: 2026-10-20
- Издатель: BroadNet (https://www.broadnet.me)

- Опубликовано: 2026-10-10
- Автор: BroadNet Regulatory Affairs

23 августа 2026 года Центральный банк Египта (CBE) выпустил «Положение о регулировании услуг платформы Digital Financial Identity» — свод правил для открытия банковских счетов и удаленной верификации клиентов (eKYC). Для SMS верификации ключевое требование лаконично: банк, проверяющий клиентов через собственное приложение, должен подтвердить, что мобильный номер принадлежит клиенту и находится в его распоряжении, отправив текстовое сообщение, содержащее одноразовый пароль (OTP). Более старые правила CBE-кошельков, которые все еще действуют, гласят, что SMS не должны использоваться в качестве второго фактора для высокорисковых операций. В данном руководстве изложены суть каждого правила и рекомендации BroadNet по проектированию OTP для египетских банков, кошельков и финтех-компаний.

> В данном руководстве обобщены официальные нормативные тексты по состоянию на 10 октября 2026 года. Информация носит ознакомительный характер и не является юридической консультацией — прежде чем полагаться на эти данные, подтвердите свои обязательства в Центральном банке Египта, NTRA, PDPC или у вашего юрисконсульта.

## Основные выводы

- Совет CBE утвердил правила Digital Financial Identity (DFI) 17 июня 2026 года; циркуляр от 23 августа 2026 года направил их в банки. Они распространяются на все банки Египта, лицензированные организации, которые могут присоединиться к платформе, и банковских агентов, уполномоченных CBE.
- Банк, верифицирующий клиентов в своем приложении, должен проверить владение мобильным номером «путем отправки текстового сообщения, содержащего одноразовый пароль (OTP)», а затем привязать сертификат DFI к устройству.
- Платформа использует четыре механизма аутентификации: привязанный к устройству сертификат DFI, OTP, шестизначный Global PIN и биометрию.
- Она может заменить собственноручную подпись для нефинансовых транзакций; для аутентификации финансовых транзакций требуется отдельное одобрение CBE.
- Правила мобильных платежей CBE (апрель 2021 г.) требуют использования двух факторов для высокорисковых операций с кошельком и гласят, что OTP не должны отправляться автоматически и напрямую через SMS или по электронной почте для таких операций. SMS остается основным каналом для уведомлений.
- Согласно PDPC, данные, хранящиеся у CBE и подконтрольных ему организаций, не подпадают под действие закона о защите данных, за исключением компаний по переводу денежных средств и обменных пунктов.

## Что выпустил Центральный банк Египта в августе 2026 года?

В релизе CBE от 23 августа 2026 года сообщается, что его Совет одобрил «положения, регулирующие услуги платформы цифровой финансовой идентификации (DFI) для идентификации банковских клиентов и электронной верификации их личности (eKYC)»; соответствующий циркуляр фиксирует одобрение Совета от 17 июня 2026 года. Управляющий Хассан Абдалла заявил, что платформа позволяет гражданам открывать счета и получать банковские продукты через цифровые каналы без посещения отделения, с электронным принятием условий и электронной аутентификацией «в качестве альтернативы собственноручной подписи».

Правила охватывают eKYC (идентификацию, верификацию и обновление данных), электронную аутентификацию транзакций, платежных и переводных поручений, а также принятие условий и обмен DFI клиента между участниками. Платформа управляется внутри Египта компанией Digital Financial Identity, «Haweya», которая считывает данные национальных удостоверений личности из доверенных источников, таких как Организация гражданского состояния, а также с помощью считывания NFC-чипа и проверки биометрии (liveness detection). В циркуляре за август указано, что подразделение по борьбе с отмыванием денег (EMLCU) выпустит процедуры электронной идентификации; циркуляр CBE от 28 сентября 2026 года гласит, что EMLCU утвердили их первое издание в этом месяце. Ни один из этих документов не устанавливает отдельного срока для соблюдения требований.

## В каких разделах положений DFI упоминается SMS OTP?

| Пункт (положения DFI) | Содержание | Что это значит для OTP |
|---|---|---|
| 4, Второй, 2.1 | Банк, использующий собственные приложения, должен подтвердить, что мобильный номер принадлежит клиенту и находится в его распоряжении, с помощью SMS, содержащего OTP | SMS OTP — это проверка владения при регистрации; при первом использовании она должна быть доставлена на номер, указанный в профиле |
| 4, Второе, 2.2 | Затем выпустите сертификат DFI и привяжите его к устройству и приложениям клиента | При обычном входе используется привязанное устройство; SMS становится каналом для восстановления доступа и повторной привязки |
| 5, пункт 7.2 | Haweya предлагает четыре механизма: сертификат DFI в том же приложении и на том же устройстве, OTP, Global PIN и биометрия | OTP — это лишь один из четырех факторов, а не вся модель целиком |
| 4, Первое, 7 | Уведомите клиента о завершении создания DFI несколькими способами | Совместите подтверждение SMS с уведомлением в приложении или по электронной почте |
| 4, Fifth, 1 | Отслеживайте повторяющиеся неудачные входы в систему и неверные попытки аутентификации за короткий промежуток времени; немедленно связывайтесь с клиентом | Регистрируйте каждую попытку OTP и оповещайте о резких всплесках ошибок |

Сопутствующие меры контроля также строги: обнаружение root-прав и джейлбрейка, а также certificate pinning в приложении, уведомление CBE об инциденте в течение шести часов, уведомление о планируемых перерывах в обслуживании за 48 часов и — перед запуском — тесты на проникновение, отчет SOC 2 Type 1 (Type 2 в течение шести месяцев) и оценка воздействия на конфиденциальность данных.

## Достаточно ли SMS OTP для проведения платежей в Египте?

Не для каждого действия. Регламент мобильных платежных услуг CBE (третье издание, апрель 2021 г.) определяет высокорисковые операции, к которым относятся платежные поручения нескольким бенефициарам одновременно, поручения, не подпадающие под лимит переводов, и изменение контактных данных. Для таких операций банки должны использовать два средства одновременно и не должны предоставлять одноразовые пароли «автоматически и напрямую» через SMS или по электронной почте; OTP с токен-устройств или приложений должны состоять как минимум из шести символов и быть действительными не более 90 секунд. Другие транзакции проходят повторную аутентификацию с помощью PIN-кода (минимум шесть цифр), при этом допускается не более пяти неудачных попыток до приостановки доступа. У SMS все еще есть четкая задача: банки должны уведомлять пользователей кошельков о транзакциях и высокорисковой активности через SMS или по электронной почте, если они не оформили отказ от рассылки, а платежное поручение не может быть создано через SMS, хотя SMS может подтвердить его.

Правила сети мгновенных платежей (IPN) от октября 2021 года требуют использования двух факторов для каждого платежа IPN: жесткой привязки телефона (отпечаток устройства плюс номер) и шестизначного IPN PIN-кода, при этом OTP обрабатываются только внутри защищенной библиотеки сети. Банки должны уведомлять клиентов о транзакциях «с помощью текстовых сообщений или любого другого утвержденного метода». Правила токенизации карт CBE от марта 2023 года позволяют использовать SMS OTP на телефоне, зарегистрированном в банке, как один из способов верификации держателя карты.

| Этап клиентского пути | Роль SMS в текстовых сообщениях CBE | Источник |
|---|---|---|
| онбординг eKYC в собственном приложении банка | Требуется: SMS OTP подтверждает владение номером | регламенты DFI 2026, 4-Second-2.1 |
| Открытие кошелька для существующего клиента | Банк должен подтвердить владение или наличие номера | Правила мобильных платежей 2021, 3-3-20 |
| Добавление карты в мобильный кошелек устройства | SMS OTP на зарегистрированный телефон является примером метода | Правила токенизации 2023, 3-2-5 |
| Высокорискованное действие в кошельке | Двухфакторная аутентификация: OTP не отправляется автоматически и напрямую через SMS или email | Правила мобильных платежей 2021, 3-4-5-1 |
| Платеж через IPN | Привязка устройства + IPN PIN-код | Правила IPN 2021, 4-7 — 4-9 |
| Уведомления о транзакциях | SMS указано в качестве канала | Правила мобильных платежей 3-6-8; правила IPN 3-1-9 |

SMS подтверждает номер, привязывает устройство и информирует клиента; наиболее надежные методы основаны на использовании устройства в сочетании с PIN-кодом или биометрией. Мы сравниваем ОАЭ, Индию и Филиппины в статье [Запрещен ли SMS OTP?](https://www.broadnet.me/blog/sms-otp-bank-regulation-uae-india-philippines-2026).

## Что означают правила NTRA для сообщений OTP в Египет?

Национальный орган по регулированию телекоммуникаций (NTRA) выдает лицензии на массовые SMS в рамках своей структуры услуг мобильной добавленной стоимости, к которой относится категория «Массовые SMS (один к одному)» (OTP). Лицензиаты обязаны указывать имя отправляющей организации в каждом сообщении, предваряя его кодом, установленным NTRA; уведомлять NTRA об имени каждого клиента и имени отправителя перед заключением договора; гарантировать, что отправитель находится в Египте; и не направлять международные сообщения в Египет без предварительного письменного одобрения NTRA. Таким образом, для OTP банка требуется зарегистрированное имя отправителя с названием банка, передаваемое через лицензированный локальный канал.

На странице [охвата Египта](https://www.broadnet.me/coverage/egypt) BroadNet указана лицензированная терминация с прямыми соединениями с Vodafone Egypt, Orange Egypt, e& Egypt и WE, а также регистрация имени отправителя в течение 7–14 рабочих дня; документация представлена в нашем [руководстве по A2P SMS в Египте](https://www.broadnet.me/blog/egypt-a2p-sms-sender-id-pdpl-guide-2026) и [регистрации имени отправителя в Египте](https://www.broadnet.me/answers/sender-id-registration-egypt-ntra). Со стороны оператора, [e& Egypt](https://www.broadnet.me/customers/case-studies/e-egypt) использует A2P-брандмауэр BroadNet для защиты от серых маршрутов. Правила кошелька NTRA гласят, что на каждый номер можно открыть только один кошелек, и ни одна транзакция не будет завершена без PIN-кода клиента, поэтому номер телефона является идентификатором кошелька — проверяйте на подмену SIM и использование повторно использованных номеров ([проверка номеров и SIM подмена API](https://www.broadnet.me/blog/number-verify-sim-swap-api-middle-east)).

## Как закон Египта о защите данных регулирует трафик OTP?

Закон № 151 от 2020 года теперь имеет исполнительный регламент, который Центр защиты персональных данных (PDPC) называет Исполнительным регламентом № 816 от 2025 года. В PDPC среди исключений указаны «персональные данные, находящиеся в распоряжении Центрального банка Египта и организаций под его надзором и контролем, за исключением компаний по переводу денежных средств и обменных пунктов», поэтому банки следуют правилам данных CBE, таким как контроль DFI; вопрос о том, подпадает ли финтех-компания под это исключение, следует решать с юристами. В случаях, когда закон применяется, договорная необходимость является законным основанием — как соответствие коду, запрошенному пользователем, — в то время как для маркетинга требуется явное согласие, возможность свободного отказа от рассылки и, возможно, лицензия на электронный маркетинг. О нарушениях необходимо сообщать в PDPC в течение 72 часов, а для передачи данных за границу требуется лицензия или разрешение PDPC, поэтому уточняйте у поставщиков, где хранятся логи сообщений ([локализация данных](https://www.broadnet.me/security/data-residency)).

## Как египетским банкам и кошелькам следует проектировать OTP?

Рекомендации BroadNet по соблюдению этих правил:

1. Используйте SMS OTP для проверки владения при регистрации, а затем привяжите устройство; сохраняйте SMS для восстановления и повторной привязки.
2. Для высокорискованных операций в кошельке используйте код в приложении или токен плюс второй фактор, а затем отправляйте оповещение SMS.
3. Зарегистрируйте выделенное имя отправителя OTP на имя вашего бренда, отдельно от маркетинговых рассылок, через лицензированные локальные маршруты.
4. Ставьте код первым. В арабском языке используется UCS-2, поэтому одна SMS вмещает 70 символов, а не 160 ([руководство по кодированию](https://www.broadnet.me/blog/sms-encoding-segmentation-gsm7-ucs2)); добавьте строку [автозаполнения](https://www.broadnet.me/blog/sms-otp-autofill-android-ios-web-guide).
5. Используйте короткий срок действия, ограничение количества попыток и полные логи отправлений, отчётов о доставке и верификаций — правила DFI требуют мониторинга неудачных попыток аутентификации.
6. Если в течение заданного окна отчёт о доставке не поступил, выполните одну повторную попытку через другой маршрут, а затем предложите [голосовой OTP](https://www.broadnet.me/products/voice); никогда не делайте бесконечных повторных отправлений.
7. Проверяйте наличие подмены SIM перед отправкой на недавно измененный номер ([фрод с подменой SIM](https://www.broadnet.me/blog/sim-swap-fraud-sms-otp-defense)).
8. Передавайте метрики OTP в процессы по борьбе с фродом и инцидентами ([план мониторинга OTP для банков](https://www.broadnet.me/blog/bank-otp-delivery-monitoring-fraud-playbook)).

[OTP](https://www.broadnet.me/products/otp) от BroadNet API охватывает этот сценарий: SMS с автоматическим переходом на голос (voice fallback), если отчёт о доставке не возвращён, обработка имени отправителя для каждого направления и отчёты о доставке при каждой попытке. Цены в Египте начинаются от $0.028 за SMS на e& Egypt (Etisalat Misr), $0.030 на Vodafone Egypt, $0.032 на Orange Egypt и $0.035 на WE ([цены SMS в Египте](https://www.broadnet.me/pricing/sms/egypt)); по вопросам выбора поставщика см. [лучший провайдер SMS в Египте](https://www.broadnet.me/compare/best-sms-provider-egypt).

> Компания BroadNet предоставляет услуги обмена сообщениями уровня оператора связи с 2003 года. Мы располагаем более чем 1000 прямых подключений к операторам, гарантируем SLA 99.99% и имеем SOC 2 Type II. Запросите тестовый доступ, и наш инженер ответит вам в течение одного рабочего дня; интеграция обычно занимает 2–5 рабочих дней, при этом процесс одобрения имени отправителя проходит параллельно.

## Часто задаваемые вопросы

### Что такое платформа цифровой финансовой идентификации CBE?

Одобренная CBE платформа для создания цифровой финансовой идентификации клиента и электронной верификации клиентов (eKYC), управляемая в Египте компанией Digital Financial Identity, Haweya. Ее правила были опубликованы в циркуляре CBE от 23 августа 2026 года.

### Требуют ли правила CBE eKYC наличия SMS OTP?

Да, в одном случае: при проверке личности в собственных приложениях банк должен подтвердить владение мобильным номером с помощью SMS OTP перед привязкой DFI сертификата к устройству. OTP также является одним из четырех механизмов аутентификации платформы.

### Кто должен соблюдать правила DFI?

Все банки, работающие в Египте, лицензированные организации, имеющие право на присоединение к платформе, и банковские агенты, уполномоченные CBE. Эти правила являются минимальными требованиями в дополнение к правилам CBE в области электронного банкинга, ПОД/ФТ и операционных рисков.

### Может ли платформа DFI аутентифицировать платежи?

Банки могут использовать её для нефинансовых транзакций вместо собственноручной подписи. Для аутентификации финансовых транзакций требуется дополнительное одобрение CBE и соблюдение его механизмов контроля электронной аутентификации.

### Могут ли мобильные кошельки в Египте использовать SMS OTP для переводов?

Не для действий с высоким уровнем риска, таких как одновременная выплата нескольким бенефициарам: правила мобильных платежей 2021 года требуют двухфакторной аутентификации и запрещают автоматическую отправку этих OTP напрямую через SMS или по электронной почте. Для других транзакций используется PIN-код, а SMS отвечает за уведомления.

### Распространяется ли египетский PDPL на данные OTP банков?

Согласно PDPC, данные, находящиеся в распоряжении CBE и поднадзорных ей организаций, не подпадают под действие PDPL, за исключением компаний по переводу денежных средств и обменных пунктов. Последние две категории, а также компании, не находящиеся под надзором CBE, подпадают под действие закона.

### Требуется ли зарегистрированное имя отправителя для сообщений OTP в Египет?

Да. Согласно правилам NTRA, в каждом сообщении должно быть указано имя отправителя, а имя отправителя должно быть согласовано с NTRA до заключения договора с клиентом.

### Могут ли международные маршруты доставлять OTP в Египет?

Только при наличии разрешения: держатели лицензий NTRA не имеют права доставлять международные сообщения в Египет без предварительного письменного согласия NTRA. Используйте провайдера, который осуществляет терминацию через лицензированные локальные каналы.

Все приведенные ниже тексты были прочитаны 10 октября 2026 года на официальном сайте регулятора; тексты только на арабском языке были прочитаны на арабском. Ознакомьтесь с нашими [редакционными стандартами](https://www.broadnet.me/about/editorial-standards) и [правилами SMS в Египте](https://www.broadnet.me/regulations/egypt).

## Источники

- CBE — пресс-релиз о правилах eKYC от 23 августа 2026 г.: [cbe.org.eg](https://www.cbe.org.eg/en/news-publications/news/2026/08/24/09/40/ekyc-2026).
- CBE — страница Digital Financial Identity, обновлено 23 августа 2026 г.: [cbe.org.eg](https://www.cbe.org.eg/en/payment-systems-and-services/digital-financial-identity).
- CBE — правила DFI, текст на английском языке: [cbe.org.eg](https://www.cbe.org.eg/-/media/project/cbe/page-content/rich-text/payment-system/digital-financial-identity/ekyc-regulations---english--.pdf).
- CBE — циркуляр от 23 августа 2026 г. о правилах DFI (на арабском): [cbe.org.eg](https://www.cbe.org.eg/-/media/project/cbe/listing/circulars/2026/august/circular-dated-23-august-2026--regarding-the-rules-of-digital-financial-identity-system-for-the-ekyc.pdf).
- CBE — циркуляр от 28 сентября 2026 г. о KYC клиентов банков (на арабском), список циркуляров: [cbe.org.eg](https://www.cbe.org.eg/en/laws-regulations/regulations/circulars).
- CBE — Правила услуг мобильных платежей, 3-е издание, апрель 2021 (на арабском): [cbe.org.eg](https://www.cbe.org.eg/-/media/project/cbe/listing/circulars/payments-regulations/3rd-version-mobile-wallet-april21.pdf).
- CBE — Правила сети мгновенных платежей, октябрь 2021: [cbe.org.eg](https://www.cbe.org.eg/-/media/project/cbe/listing/circulars/payments-regulations/ipn-services-regulations_en.pdf).
- CBE — Циркуляр по токенизации карт, 8 марта 2023 (на арабском): [cbe.org.eg](https://www.cbe.org.eg/-/media/project/cbe/listing/circulars/payments-regulations/circular-dated-8-march-2023-regarding-payment-cards-tokenization-on-electronic-devices-applications.pdf).
- NTRA — Регламент мобильных услуг с добавленной стоимостью ([tra.gov.eg](https://www.tra.gov.eg/en/the-regulatory-framework-for-the-provision-of-mobile-value-added-services/), [PDF](https://www.tra.gov.eg/wp-content/uploads/2023/11/VAS-Value-added-Service-Framework.pdf)) и нормативные правила для мобильных кошельков ([tra.gov.eg](https://www.tra.gov.eg/en/mobile-wallets-regulatory-rules/)), доступ к данным от 10 октября 2026.
- PDPC — Ответы на часто задаваемые вопросы по Закону № 151 от 2020 года и Исполнительному регламенту № 816 от 2025 года, доступ к данным от 10 октября 2026: [portal.pdpc.gov.eg](https://portal.pdpc.gov.eg/faq).