Стандарты безопасности SMS OTP 2026: что на самом деле требуют NIST, PSD2, PCI DSS и центральные банки

В основных стандартах 2026 года одноразовые пароли SMS не запрещены, а ограничены. NIST SP 800-63B-4 (июль 2025 г.) классифицирует SMS и голосовые коды как «ограниченный» метод аутентификации, который все еще разрешен в AAL2, если провайдер предлагает альтернативу и разъясняет риски, но не разрешен в AAL3. Согласно PSD2, Европейское банковское управление (EBA) принимает SMS OTP в качестве элемента владения. PCI DSS 4.0.1 требует устойчивую к повторным атакам (replay-resistant) и невозможно обходимую MFA, не называя SMS. Индийский RBI явно сохранил SMS OTP с 1 апреля 2026 года. Реальные ограничения более узкие: банки в Сингапуре, Гонконге, Малайзии, ОАЭ и на Филиппинах перевели вход в систему или высокорисковые транзакции на аутентификацию через приложение или привязку к устройству. Каждое требование ниже содержит ссылку на источник.

Обзор правил

NIST SP 800-63B-4: ограничено, но не запрещено

NIST опубликовал окончательную версию SP 800-63B-4 в июле 2025 года, которая заменяет 800-63-3. Согласно документу, одноразовые коды, отправляемые через сети общего пользования (SMS или голос), классифицируются как **ограниченный аутентификатор** (раздел 3.2.9). Провайдер, использующий такой метод, обязан предоставить как минимум один альтернативный, не ограниченный метод, надлежащим образом уведомлять пользователей о рисках, учитывать их при оценке рисков и иметь план миграции; если полагающаяся сторона сочтет риск неприемлемым, использование данного метода должно быть прекращено.

• **Уровни уверенности:** внеполосные коды разрешены в AAL2 при сочетании с паролем или биометрией, но не в AAL3, где требуются криптографические аутентификаторы, устойчивые к фишингу. Верификаторы AAL2 должны предлагать как минимум один вариант, устойчивый к фишингу.
• **Правила кода:** минимум 6 цифр из утвержденного генератора случайных чисел, принимается только один раз и действителен не более 10 минут; блокировка после не более 100 последовательных неудачных попыток.
• **Сигналы риска:** перед отправкой кода верификаторы должны проверить смену устройства, изменение SIM и перенос номера (это «рекомендация», а не «обязательное требование»).
• **Email** не должен использоваться в качестве внеполосного (out-of-band) аутентификатора.

Для проверки смены SIM и переноса номера см. Проверка номера и SIM-смена API и защита от мошенничества при SIM-смене.

CISA: направлено на узкоспециализированные целевые группы

Руководство по передовым методам мобильной связи от CISA, опубликованное 18 декабря 2024 года, гласит: «Не используйте SMS в качестве второго фактора аутентификации», так как SMS не зашифрован и «не обладает устойчивостью к фишингу, а следовательно, не является надежным методом аутентификации для учетных записей лиц, являющихся высокоприоритетными целями». Аудитория руководства — высокопоставленные государственные и политические деятели; оно рекомендует FIDO как единственный метод, устойчивый к фишингу. Это рекомендация, а не правило для потребительских сервисов.

ЕС: PSD2 принимает SMS OTP; PSD3 еще не является законом

Регуляторные технические стандарты строгой аутентификации клиентов (Делегированный регламент (ЕС) 2018/389), применяемые с 14 сентября 2019 года, устанавливают стандарты для любого одноразового кода, используемого в платежах:

• **Статья 4:** код аутентификации принимается только один раз и не может быть подделан; не более 5 последовательных неудачных попыток до блокировки; не более 5 минут бездействия после входа в систему.
• **Статья 5 (динамическое связывание):** плательщику отображаются сумма и получатель, а код привязан именно к ним; любое изменение делает код недействительным.
• **Статья 7:** элементы владения должны иметь меры защиты от несанкционированного использования и копирования.
• **Статья 9:** элементы должны быть независимыми; на многофункциональных устройствах, таких как телефон, требуется раздельное выполнение защищенного кода и обнаружение попыток взлома.

В EBA, подтвержденном в Q&A 2018_4039, указано, что SMS OTP может являться элементом владения, если он защищен от копирования, а в заключении за июнь 2019 года OTP через SMS перечисляется как допустимый элемент владения. PSD3 и Регламент платежных услуг достигли политического соглашения в ноябре 2025 года, но по состоянию на 22 октября 2026 года они все еще ожидают окончательного принятия и публикации; в согласованном тексте мы не нашли положений, касающихся SMS OTP.

PCI DSS 4.0.1: SMS не указан

PCI DSS 4.0.1 требует многофакторную аутентификацию для любого доступа в среду данных держателя карты (требование 8.4.2) и устанавливает правила работы MFA (8.5.1): устойчивость к повторному воспроизведению, невозможность обхода без задокументированного, ограниченного по времени исключения, использование как минимум двух различных типов факторов, при этом каждый фактор должен быть успешно пройден. Оба требования стали обязательными 31 марта 2025 года. Стандарт не запрещает SMS (согласно отчетным формулировкам; сам стандарт ограничен лицензией); в дополнении по MFA от PCI SSC лишь отмечается более раннее предостережение NIST относительно SMS.

Регуляторы Азиатско-Тихоокеанского региона

• **Сингапур:** MAS и Ассоциация банков Сингапура объявили 9 июля 2024 года, что крупнейшие розничные банки в течение трех месяцев откажутся от использования OTP для входа в систему для клиентов, имеющих цифровой токен (выпуск MAS). Это не затронет клиентов с физическими токенами.
• **Гонконг (банки):** Циркуляр HKMA от 14 апреля 2025 года делает привязанное устройство стандартом по умолчанию вместо SMS OTP для входа в систему и высокорисковых транзакций, с целевыми сроками в 3-м и 4-м кварталах 2025 года. SMS OTP остается возможным для клиентов без приложения или тех, кто дает на это согласие (циркуляр HKMA).
• **Гонконг (брокеры и платформы виртуальных активов):** Циркуляр SFC 26EC35 от 9 июля 2026 года запрещает использование OTP для входа клиентов и привязки устройств, отдавая предпочтение passkeys или привязанным устройствам к 8 июля 2027 года.
• **Малайзия:** Банк Негара Малайзия потребовал от финансовых учреждений перейти с SMS OTP на более безопасную аутентификацию, о чем было объявлено 26 сентября 2022 года (BNM).
• **Индия:** согласно Директивам RBI по механизмам аутентификации для цифровых платежных транзакций 2025 года, с 1 апреля 2026 года требуется двухфакторная аутентификация с одним динамическим фактором; RBI заявила, что данные правила «не требуют прекращения использования OTP на основе SMS» (RBI).
• **Филиппины:** Циркуляр BSP 1213, подписанный в мае 2025 года, ограничивает использование перехватываемых методов аутентификации, таких как SMS OTP, для крупных финансовых институтов, требует использования биометрических, поведенческих или беспарольных методов для транзакций с высоким уровнем риска и запрещает использование ссылок и QR-кодов в SMS; соблюдение требований обязательно до июня 2026 года (BSP).

Страны Персидского залива

В ОАЭ, согласно сообщениям о распоряжении Центрального банка, в период с 25 июля 2025 года по 31 марта 2026 года банки перевели клиентов с SMS и email OTP на аутентификацию внутри приложения; публичного текста CBUAE предоставлено не было. Небанковские отправители в ОАЭ по-прежнему широко используют SMS OTP. См. SMS OTP после запрета банков и график регулирования обмена сообщениями A2P.

Распространенные заблуждения

• **«NIST запретил SMS».** Нет. SMS является ограниченным инструментом аутентификации, который разрешен в AAL2 при определенных условиях и исключается только в AAL3.
• **«PSD2 запрещает SMS OTP».** Нет. EBA принимает его в качестве элемента владения; основными требованиями являются динамическая привязка и защита от копирования.
• **«PCI DSS 4.0 запрещает MFA SMS».** Нет. Требуется устойчивая к повторным атакам (replay-resistant) и невозможно обходимая MFA, при этом SMS не упоминается.
• **«CISA велел всем прекратить использование SMS».** Это преувеличение. Рекомендации направлены на лиц, являющихся целями высокоточных атак (государственные и политические деятели).
• **«PSD3 уже является законом».** Нет, по состоянию на 22 октября 2026 года.
• **«Индия постепенно отказывается от SMS OTP».** Нет. RBI прямо не требовал прекращения его использования.
• **«Сингапур запретил SMS OTP».** Более узко: вход в банковское приложение для клиентов с цифровым токеном.

Контрольный список для SMS OTP, соответствующих этим стандартам

1. 1Генерируйте коды минимум из 6 цифр с помощью криптографически безопасного генератора случайных чисел; принимайте каждый код только один раз; устанавливайте срок действия в течение 10 минут (для платежей обычно используется 5 минут).
2. 2Ограничение попыток: PSD2 блокирует доступ после 5 последовательных неудач; NIST допускает не более 100 попыток до блокировки.
3. 3Для платежей в ЕС указывайте сумму и получателя в сообщении и привязывайте к ним код (динамическое связывание).
4. 4Проверяйте сигналы об изменении SIM и переносе номера перед отправкой кода в сессию с высоким уровнем риска.
5. 5Предлагайте как минимум одну более надежную альтернативу (push-уведомления в приложении, passkey, FIDO), оставляя SMS в качестве резервного канала и способа восстановления доступа.
6. 6Поддерживайте транзакционный характер трафика OTP: не используйте ссылки или предложения в сообщении с кодом, что также позволяет избежать блокировок ссылок и ограничений в часы тишины для маркетинга.
7. 7Отправляйте сообщения через прямые, контролируемые маршруты операторов, защищенные межсетевым экраном SMS, чтобы коды не были перехвачены, задержаны или подвержены флуду.

OTP API от BroadNet обеспечивает доставку кодов через более чем 1000 прямых соединений с операторами и многоканальным резервированием; ознакомьтесь с многоканальной OTP верификацией, переходом SMS OTP на passkeys и, для операторов, брандмауэром SMS и SS7 защитой.

Часто задаваемые вопросы

Разрешен ли SMS OTP в 2026 году?

Да, в большинстве стандартов. NIST SP 800-63B-4 классифицирует его как ограниченный, но разрешенный при AAL2, PSD2 принимает его как элемент владения, PCI DSS не запрещает его, а RBI в Индии сохранил его. Некоторые регуляторы, включая MAS в Сингапуре, HKMA в Гонконге и BSP на Филиппинах, перевели вход в банковские системы или высокорисковые транзакции на более надежные методы.

Запретил ли NIST двухфакторную аутентификацию SMS?

Нет. NIST SP 800-63B-4 (июль 2025 г.) называет SMS и голосовые коды ограниченным аутентификатором: провайдеры должны предлагать неограниченную альтернативу, разъяснять риски и проводить их оценку. SMS разрешена при AAL2, но не при AAL3, где требуются устойчивые к фишингу аутентификаторы.

Соответствует ли SMS OTP PSD2?

Это возможно. В Q&A EBA 2018_4039 SMS OTP принимается как элемент владения, если он защищен от репликации, а для платежей код должен быть динамически связан с суммой и получателем согласно Статье 5 RTS о строгой аутентификации клиентов.

Позволяет ли PCI DSS 4.0 использовать SMS для MFA?

PCI DSS 4.0.1 не называет и не запрещает SMS. Требования 8.4.2 и 8.5.1, обязательные с 31 марта 2025 года, требуют использования MFA для любого доступа в среду данных держателей карт, чтобы обеспечить устойчивость к повторным атакам (replay attacks), невозможность обхода и использование как минимум двух различных типов факторов.

Каков должен быть срок действия SMS OTP?

Не более 10 минут в рамках NIST SP 800-63B-4, при этом каждый код может быть использован только один раз. Во многих платежных процессах используется 5 минут или меньше, в соответствии с лимитом бездействия PSD2.

В каких странах действуют ограничения на SMS OTP для банковского сектора?

Сингапур (вход в банк для клиентов с цифровым токеном, с 2024 года), Гонконг (привязка устройств по умолчанию для входа в банк и высокорисковых транзакций в 2025 году; для брокеров к июлю 2027 года), Малайзия (необходим переход с 2022 года), ОАЭ (согласно отчетам, банковский OTP будет перенесен в приложение к марту 2026 года) и Филиппины (высокорисковые транзакции в крупных учреждениях к июню 2026 года).

Вступил ли PSD3 в силу?

По состоянию на 22 октября 2026 года — нет. PSD3 и Регламент платежных услуг достигли политического соглашения в ноябре 2025 года и ожидают окончательного принятия и публикации в Официальном журнале.

Какой способ отправки OTP через SMS является наиболее безопасным?

Используйте одноразовые коды, состоящие как минимум из 6 случайных цифр, которые истекают в течение нескольких минут; ограничивайте количество попыток; проверяйте сигналы SIM-swap и переноса номера для рискованных сессий; не добавляйте ссылки в сообщение; осуществляйте доставку через прямые маршруты операторов, защищенные межсетевым экраном SMS, предлагая при этом более надежный метод в качестве альтернативы.