ayır — SMS OTP BAE, Hindistan veya Filipinler'de yasaklanmadı. BAE bankalarına Merkez Bankası tarafından müşteri kimlik doğrulama süreçlerinden SMS ve e-posta tek kullanımlık şifreleri kademeli olarak çıkarmaları talimatı verildi (kademeli çıkarma süreci 25 Temmuz 2025 tarihinde başladı), Hindistan'ın RBI'ü, 1 Nisan 2026'dan beri yürürlükte olan teknoloji nötr iki faktörlü kurallar kapsamında SMS OTP'yi izin verilen bir faktör olarak tuttu ve Filipinler'in BSP'si, büyük bankaların yaklaşık 25 Haziran 2026'dan itibaren ele geçirilebilir OTP'leri sınırlandırmasını gerektiriyor.
Bu kılavuz, 26 Eylül 2026 itibarıyla kamuya açık düzenleyici metinleri ve basın raporlarını özetlemektedir. Genel bilgilendirme amaçlıdır, hukuki tavsiye değildir — yükümlülüklerinizi düzenleyici kurumunuz veya hukuk danışmanınızla teyit edin.
Önemli çıkarımlar
- BAE: kademeli çıkarma işlemi, kendi müşterilerini doğrulayan bankalar için geçerlidir ve onay sürecini bankanın mobil uygulamasına taşır. Merkez Bankası bildirimi tek başına yayınlanmamıştır; tarihler basın raporlarından (Gulf News, Khaleej Times, 24 Temmuz 2025) alınmıştır.
- Hindistan: RBI Kimlik Doğrulama Mekanizmaları Direktifleri, 2025, kartın fiziksel olarak mevcut olduğu ödemeler dışındaki tüm işlemler için en az bir dinamik faktörle birlikte, 1 Nisan 2026'dan itibaren dijital ödemeler için iki farklı faktör gerektirmektedir. SMS OTP izin verilebilir olmaya devam etmektedir.
- Filipinler: BSP Sirküler No. 1213 (30 Mayıs 2025'te imzalandı), BSP denetimindeki kurumların SMS ve e-posta yoluyla gönderilen OTP'leri sınırlandırmasını söyler ve yüksek hacimli kurumların, sirkülerin yürürlüğe girdiği tarihten itibaren bir yıl içinde biyometrik, şifresiz veya adaptif kimlik doğrulamayı benimsemelerini gerektirir.
- E-ticaret, teslimat, seyahat, SaaS ve devlet tarzı portallar gibi banka dışı kuruluşlar, bu üç düzenlemenin hiçbirine tabi değildir. SMS OTP bir telefon numarasını doğrulamak veya oturum açmak için normal bir yöntem olmaya devam etmektedir.
- SMS bankacılıkta düzenlenmiş bir role sahiptir: BSP genelgesi, SMS'i gerçek zamanlı işlem bildirimleri için bir kanal olarak listeler ve Suudi Arabistan'ın SAMA kural kitabı, hesap işlemleri için anlık SMS bildirimlerini zorunlu kılar.
BAE'de SMS OTP yasaklandı mı?
Hayır. BAE'de yaşanan durum ulusal bir yasak değil, bankacılık sektörüne yönelik bir değişikliktir. 24 Temmuz 2025 tarihinde Gulf News, "BAE'deki bankaların 25 Temmuz Cuma gününden itibaren SMS ve e-posta yoluyla gönderilen tek kullanımlık şifreleri (OTP) aşamalı olarak kaldırmaya başlayacağını" ve müşterilerin bankalarının akıllı uygulamalarındaki "Uygulama Üzerinden Kimlik Doğrulama" özelliğine geçeceğini bildirdi. Khaleej Times da aynı gün yaptığı haberde, bu adımın "BAE Merkez Bankası direktiflerini takip ettiğini ve aşamalı olarak uygulanacağını" belirtti. Gulf News, Mart 2026 itibarıyla SMS ve e-posta OTP'lerinin tamamen durdurulmasının zorunlu kılındığını aktardı.
Bu konudan politika hazırlayan herkes için iki önemli uyarı bulunmaktadır. Birincisi, BAE Merkez Bankası (CBUAE) bu bildiriyi bizzat yayınlamamıştır; internette dolaşan sayı ve tam ifadeler tedarikçi bloglarından gelmektedir, bu nedenle bunları doğrulanmamış olarak kabul edin. İkincisi, tüm kamuya açık raporlar, bankaların kendi müşterilerinin işlemlerini ve oturum açma işlemlerini doğrulamaları hakkındadır. Bunların hiçbiri, bir telefon numarasını doğrulamak, bir teslimatı onaylamak veya bir kullanıcıyı sisteme dahil etmek için SMS kodlarını kullanan diğer şirketleri kapsamamaktadır.
Uygulamada, BAE'deki banka müşterileri artık kart ödemelerini ve hassas işlemleri, genellikle telefonun biyometrik verileri veya bir uygulama PIN kodu ile bankanın uygulaması içinden onaylamaktadır. Daha geniş düzenleyici bağlam — gönderici adı kaydı, promosyon pencereleri ve onay — için BAE SMS düzenlemeleri sayfamıza bakın.
RBI Nisan 2026'dan itibaren SMS OTP'yi yasaklıyor mu?
Hayır. Reserve Bank of India (Authentication Mechanisms for Digital Payment Transactions) Directions, 2025, 25 Eylül 2025 tarihinde yayımlanmıştır ve 1 Nisan 2026 tarihine kadar uyum sağlaması gereken "bankalar ve banka dışı kuruluşlar da dahil olmak üzere tüm Ödeme Sistemi Sağlayıcıları ve Ödeme Sistemi Katılımcıları" için geçerlidir. Temel kural şudur: "Tüm dijital ödeme işlemleri en az iki farklı kimlik doğrulama faktörü ile doğrulanmalıdır" ve kartın fiziksel olarak mevcut olduğu işlemler dışındaki tüm işlemler için "kimlik doğrulama faktörlerinden en az biri dinamik olarak oluşturulmalı veya kanıtlanmalıdır".
Yönergeler bir teknolojiyi isimlendirmek yerine ilkeleri belirlemektedir. RBI, belirli bir faktörün zorunlu kılınmadığını, ancak ekosistemin "öncelikle SMS tabanlı Tek Kullanımlık Şifre (OTP) yöntemini ek faktör olarak benimsediğini" belirtmektedir — ve metinde bunu yasaklayan hiçbir unsur bulunmamaktadır. Değişen şey sorumluluktur: "Bu yönergelere uyulmadan gerçekleştirilen işlemlerden herhangi bir kayıp doğması durumunda, ödeme aracını ihraç eden kuruluş, müşterinin zararını tam olarak tazmin edecektir." İhraç eden kuruluşlar ayrıca iki faktöre ek olarak konum, davranış veya cihaz özelliklerine dayalı risk tabanlı kontroller de ekleyebilirler.
Bir tarih daha yürürlüğe girdi: Kart ihraççıları, 1 Ekim 2026 tarihine kadar, yurt dışındaki bir üye iş yeri veya edindiren (acquirer) tarafından başlatılan, tekrarlayan olmayan sınır ötesi kartın fiziksel olarak bulunmadığı (card-not-present) işlemleri doğrulamak için bir mekanizma kurmalıdır. Hindistan mesajlaşma kuralları — DLT kaydı, başlıklar ve şablonlar — için Hindistan SMS düzenlemelerine bakınız.
Filipinler'de BSP Genelge No. 1213 ne gerektirmektedir?
BSP Genelge No. 1213, 2025 Serisi, Para Kurulu tarafından 22 Mayıs 2025 tarihinde onaylanmış, 30 Mayıs 2025'te imzalanmış ve 10 Haziran 2025'te yayımlanmıştır. Yayınlanmasından 15 takvim günü sonra yürürlüğe girer ve BSP denetimindeki finansal kuruluşlar (BSFIs) "yürürlüğe girdiği tarihten itibaren bir (1) yıl içinde" buna uymalıdır — bu da yaklaşık 25 Haziran 2026 tarihine tekabül etmektedir. Genelge kendi başına bir takvim tarihi vermemektedir; bazı basın raporları 30 Haziran dese de, bir yıllık kural 25 Haziran'ı işaret etmektedir.
Kilit ifade bir yasak değil, bir sınırlamadır: BSFIs, "işlemle ilgisi olmayan üçüncü taraflarca paylaşılabilecek veya ele geçirilebilecek kimlik doğrulama mekanizmalarının kullanımını sınırlamalıdır"; bu konuda SMS ve e-posta aracılığıyla OTP'ler örnek olarak verilmiştir. "Karmaşık elektronik ürün ve hizmetlerle uğraşan ve yüksek toplam online işlem hacmini yöneten" kuruluşlar — son altı ayda aylık ortalama işlem değeri en az PHP 75.000.000 olanlar — güçlü kimlik doğrulamayı benimsemelidir: biyometri (parmak izi, yüz veya ses), davranışsal biyometri, FIDO anahtarları veya donanım tokenları gibi şifresiz kimlik doğrulama veya adaptif kimlik doğrulama ile birlikte güçlü cihaz parmak izi (device fingerprinting).
Sirküler ayrıca SMS'i de sürece dahil etmektedir. Hala gönderilen OTP mesajları "yeterli işlem detaylarıyla kişiselleştirilmelidir", gerçek zamanlı bildirimler "mobil uygulamalar, mesajlaşma uygulamaları, e-posta veya SMS gibi güvenli kanallar aracılığıyla" iletilebilir ve BSFIs; müşteri talep etmedikçe, bağlantı sadece bilgilendirme amaçlı olmadıkça veya bağlantı kimlik bilgileri istenen bir sayfaya yönlendirmiyorsa, e-posta, mesajlaşma uygulamaları veya SMS üzerinden tıklanabilir bağlantılar veya QR kodlar göndermemelidir. Ülke bağlamı: Filipinler SMS düzenlemeleri.
Üç kural yan yana
| Pazar | Düzenleyici kurum ve mevzuat | Önemli tarih | Kapsam dahilindekiler | SMS OTP kullanımı hâlâ serbest mi? |
|---|---|---|---|---|
| BAE | BAE Merkez Bankası'nın bankalara yönelik direktifi (resmi bildirim yayımlanmadı; 24 Tem 2025 tarihinde raporlandı) | 25 Tem 2025'ten itibaren kademeli olarak kaldırılma; Mart 2026'ya kadar tamamlanma (basın raporları) | Kendi müşterilerini doğrulayan bankalar | Banka müşterileri için uygulama içi kimlik doğrulama ile değiştiriliyor; banka dışı kuruluşlar için henüz bir düzenleme yapılmadı |
| Hindistan | RBI Dijital Ödeme İşlemleri İçin Kimlik Doğrulama Mekanizmaları Yönergesi, 2025 (25 Eyl 2025) | 1 Nis 2026 tarihine kadar uyum sağlanmalı; sınır ötesi CNP işlemleri için son tarih 1 Eki 2026 | Tüm ödeme sistemi sağlayıcıları ve katılımcıları, bankalar ve banka dışı kuruluşlar | Evet — biri dinamik olmak üzere iki farklı faktör; SMS OTP izin verilen bir faktördür |
| Filipinler | BSP Genelge No. 1213, 2025 Serisi (30 May 2025 tarihinde imzalandı) | Yürürlük tarihinden itibaren bir yıl — yaklaşık 25 Haz 2026 | BSP denetimindeki finansal kuruluşlar; yüksek hacimli olanlar için güçlü kimlik doğrulama yükümlülüğü | Sınırlı, yasaklanmış değil; SMS bir bildirim kanalı olmaya devam ediyor |
| Suudi Arabistan | SMS OTP'nin aşamalı olarak kaldırılmasına yönelik resmi bir SAMA zorunluluğu bulunmamaktadır (26 Eyl 2026 tarihinde kontrol edildi) | — | — | Evet; SAMA kural kitabı, hesap işlemleri için anlık SMS bildirimlerini gerektirir |
Kapsam dahilinde kimler var — ve kimler yok?
En sık yapılan hata, bir banka kimlik doğrulama kuralının kod gönderen her işletme için geçerli olduğunu varsaymaktır. Bu doğru değildir. Kapsam, düzenleyici kurumun denetlediği kuruluşlara göre belirlenir.
- BAE'de kapsam dahilindekiler: Müşteri girişlerini ve işlemlerini doğrulayan lisanslı bankalar (basın raporlarına göre).
- Hindistan'da kapsam dahilindekiler: Dijital ödeme işlemleri için her bir ödeme sistemi sağlayıcısı ve katılımcısı — bankalar, kart ihraç eden kuruluşlar, cüzdanlar ve diğer banka dışı ödeme kuruluşları.
- Filipinler'de kapsam dahilindekiler: BSP tarafından denetlenen finansal kuruluşlar; güçlü kimlik doğrulama listesi, aylık PHP 75 milyon eşiğinin üzerindekiler için geçerlidir.
- Bu üçünün de kapsamı dışındakiler: İşletmenin kendisi düzenlemeye tabi bir ödeme kuruluşu olmadığı sürece; e-ticaret girişleri ve hesap kurtarma işlemleri, araç çağırma ve teslimat onayları, seyahat rezervasyonları, SaaS kayıtları, pazaryerleri ve oyunlar.
- Kapsam dışındakiler: Amacın bir ödemeyi yetkilendirmekten ziyade bir telefon numarasına sahip olduğunuzu kanıtlamak olduğu kayıt sırasında yapılan telefon numarası doğrulaması.
Banka müşterileri için SMS OTP'nin yerini ne alıyor?
Bu alternatiflerin ortak bir fikri var: Onayı, bir dolandırıcıya sesli olarak okunabilecek veya bir SIM değişimi sonrası ele geçirilebilecek bir koda değil, müşterinin cihazına veya biyometrisine bağlamak.
- Uygulama içi onay: Bankanın kendi uygulamasına gönderilen bir bildirim ile biyometrik veriler veya uygulama PIN koduyla onaylama — BAE bankalarının izlediği rota.
- Biyometri ve davranışsal biyometri: BSP 1213 sayılı Genelgesi'nde açıkça belirtilmiştir.
- Parolasız kimlik doğrulama ve passkey'ler: Cihazda saklanan FIDO tabanlı anahtarlar; SMS OTP'den passkey'lere rehberimize göz atın.
- Ağ tabanlı kontroller: Sessiz ağ kimlik doğrulaması ve SIM değişimi sinyalleri, numarayı operatör üzerinden doğrular; sessiz ağ kimlik doğrulaması ile SMS OTP karşılaştırması yazımıza göz atın.
- Uyarlanabilir (risk tabanlı) kimlik doğrulama: Sadece cihaz, konum veya davranış olağandışı göründüğünde ek doğrulama adımı istenir — Hindistan'da izin verilmekte ve Filipinler'de listelenmektedir.
2026 yılında SMS'in hâlâ yer bulduğu alanlar
Bankacılık kimlik doğrulamasından SMS'i çıkarmak, bankacılıktan SMS'i çıkarmaz. Aynı düzenleyici kurumlar, bunu bildirimler için bir kanal olarak tutmaya devam ediyor ve ödemeler dışında, uygulamanızı yüklememiş bir telefon numarasına ulaşmanın en evrensel yolu olmaya devam ediyor.
- İşlem uyarıları: BSP genelgesi, gerçek zamanlı bildirim kanalları arasında SMS'i listeler ve SAMA, hesap işlemleri için anlık SMS bildirimlerini gerektirir.
- Kayıt sırasında ve numara değişikliğinde telefon numarası doğrulaması; ideal olarak bir SIM değişim kontrolü ile eşleştirilmelidir.
- Bankacılık dışı uygulamalar için giriş ve kurtarma süreçlerinde SMS, genellikle her kullanıcının alabileceği tek faktördür.
- Hindistan: Diğer faktör farklı olduğu sürece, iki faktörden biri olarak SMS OTP.
- Yedek plan: Bir anlık bildirim (push) veya uygulama içi kanal başarısız olduğunda, çok kanallı bir doğrulama servisi, kuralların izin verdiği durumlarda WhatsApp, ses veya SMS yöntemine geçiş yapabilir.
Bankalar ve ödeme şirketleri için kontrol listesi
- Bugün kod gönderen tüm akışları —giriş, alıcı ekleme, kartın fiziksel olarak bulunmadığı (CNP) ödemeler, limit değişikliği, cihaz değişikliği— haritalandırın ve hangi düzenleyici kurumun kuralının geçerli olduğunu etiketleyin.
- Yüksek riskli onayları cihaza bağlı yöntemlere (biyometrik özellikli uygulama içi anlık bildirim, passkey) taşıyın ve Hindistan için ikinci faktörü belgeleyin.
- BSP'nin beklediği şekilde, gönderdiğiniz tüm OTP mesajlarını işlem detaylarıyla (üye iş yeri, tutar) kişiselleştirin ve asla tıklanabilir bir bağlantı eklemeyin.
- Herhangi bir sahiplik faktörüne güvenmeden önce risk sinyallerini — SIM değişimi, cihaz değişikliği, hız (velocity) — kontrol edin.
- Gerçek zamanlı işlem uyarıları için SMS kullanın ve iletimi izleyin; banka OTP iletim izleme kılavuzumuza göz atın.
- Denetçilerin her akışın neden o yöntemi kullandığını görebilmesi için, kontrol edilen tarihle birlikte her pazar için kararınızı kaydedin.
Banka dışı uygulamalar için kontrol listesi
- Düzenlemeye tabi bir ödeme kuruluşu olmadığınızı teyit edin; eğer öyleyseniz, ödeme akışlarınız için banka kontrol listesi geçerlidir.
- Kayıt ve giriş işlemleri için SMS OTP kullanın; erişim ve maliyet için yedek kanallar olarak WhatsApp veya sesli aramayı ekleyin.
- Hassas hesap değişikliklerinden önce yakın zamanda gerçekleşen SIM değişimlerini kontrol edin.
- Geri dönen kullanıcılar için geçiş anahtarlarını (passkeys) bir seçenek olarak sunun, SMS'i ise kurtarma için saklayın.
- OTP güvenlik hesaplayıcısı ile her bir akışın dolandırıcılık riskini tahmin edin.
BroadNet; 200'den fazla ülkede, SIM-swap ve numara zekası kontrolleri ile SMS, WhatsApp ve ses üzerinden otomatik yedekleme özellikleriyle, %99,99 platform SLA oranıyla doğrudan operatör bağlantıları üzerinden OTP sağlar. OTP API, çok kanallı MyOTP doğrulama hizmeti ve bankacılık ve finans çözümlerimize göz atın.
Sıkça sorulan sorular
SMS OTP Birleşik Arap Emirlikleri'nde yasak mı?
Hayır. BAE Merkez Bankası, 25 Temmuz 2025 tarihinde başlayıp Mart 2026'da tamamlanması beklenen bir süreçle, bankalara müşteri kimlik doğrulama işlemlerinde SMS ve e-posta OTP'lerini aşamalı olarak kullanımdan kaldırmalarını ve bunun yerine uygulama içi kimlik doğrulamayı kullanmalarını talimat olarak vermiştir. Bu değişiklik, kendi müşterilerini doğrulayan bankalar için geçerlidir; diğer işletmeler için SMS kodlarına yönelik ulusal bir yasak değildir.
CBUAE kuralı e-ticaret, BNPL veya teslimat uygulamaları için geçerli mi?
Kamuya açık raporlar, direktifin bankalar için geçerli olduğunu belirtmektedir. E-ticaret, teslimat veya diğer banka dışı uygulamalardan bahsedilmemektedir. Ödemeler için Merkez Bankası tarafından lisanslanmış bir şirket, bildiri metni henüz yayımlanmadığı için kendi lisans yükümlülüklerini düzenleyici kurumla kontrol etmelidir.
BAE banka müşterileri için SMS OTP'nin yerini ne aldı?
Uygulama içi kimlik doğrulama. Müşteriler, SMS veya e-posta yoluyla alınan bir kodu yazmak yerine, ödemeleri ve hassas işlemleri genellikle telefonun biyometrik verileri veya bir uygulama PIN kodu ile bankalarının mobil uygulamasından onaylarlar.
RBI, Nisan 2026'dan itibaren SMS OTP kullanımını yasaklıyor mu?
Hayır. 1 Nisan 2026 tarihinde yürürlüğe giren RBI direktifleri, kartın fiziksel olarak mevcut olduğu işlemler hariç, dijital ödemeler için en az biri dinamik olmak üzere en az iki farklı kimlik doğrulama faktörü gerektirmektedir. Herhangi bir teknolojiyi zorunlu kılmazlar veya yasaklamazlar; SMS OTP izin verilen bir faktör olmaya devam etmektedir. İhraç eden kuruluşlar, uyumsuz işlemlerden kaynaklanan kayıplar için müşterileri tam olarak tazmin etmelidir.
BSP Sirküler No. 1213 nedir?
30 Mayıs 2025 tarihinde imzalanan Bangko Sentral ng Pilipinas genelgesi, BSP denetimindeki finansal kuruluşlar için kimlik doğrulama ve dolandırıcılık yönetimi standartlarını güncellemektedir. Bu genelge, kuruluşlara SMS ve e-posta OTP'leri gibi ele geçirilebilir kimlik doğrulama yöntemlerini sınırlandırmalarını söylemekte ve yüksek hacimli kuruluşların, genelgenin yürürlüğe girdiği tarihten itibaren —yaklaşık 25 Haziran 2026— bir yıl içinde biyometrik, şifresiz veya adaptif kimlik doğrulamayı benimsemelerini gerektirmektedir.
SMS OTP, bir telefon numarasını doğrulamak için hâlâ kullanılabilir mi?
Evet. Üç kuraldan hiçbiri, kayıt sırasında veya numara değişikliğinde bir kullanıcının bir telefon numarasını kontrol ettiğini kanıtlamak için SMS kodu kullanılmasını kısıtlamaz. Bu kontrolü bir SIM-swap sorgusuyla eşleştirmek, kötüye kullanımı önemli ölçüde zorlaştırır.
Suudi Arabistan'ın SAMA, SMS OTP kullanımını yasaklıyor mu?
26 Eylül 2026 itibarıyla SMS OTP kullanımının aşamalı olarak kaldırılmasına yönelik resmi bir SAMA talimatı bulunmamaktadır. SAMA kural kitabı, bankaların hesap işlemleri için anlık SMS bildirimleri göndermesini gerektirmektedir. İnternette dolaşan SAMA son tarih iddiaları, SAMA tarafından resmi bir açıklama yapılana kadar yalnızca spekülasyondan ibarettir.
Uygulama kullanılamadığında bir banka ne kullanmalıdır?
Bu durum düzenleyici kuruma bağlıdır: Filipinler genelgesi SMS OTP kullanımını yasaklamak yerine sınırlandırmaktadır; Hindistan ise bunu iki ayrı faktörden biri olarak kabul etmektedir. Her pazar için belgelenmiş bir yedek plan tasarlayın — örneğin ikinci bir cihaza bağlı yöntem veya destekli bir kanal — ve SMS'i yedek yöntem olarak kullanmadan önce bunu düzenleyici kurumunuzla teyit edin.
Kaynaklar
- Reserve Bank of India — Authentication Mechanisms for Digital Payment Transactions Directions, 2025, 25 Eylül 2025: rbi.org.in (erişim tarihi 26 Eylül 2026).
- Bangko Sentral ng Pilipinas — Circular No. 1213, Series of 2025, imzalanma tarihi 30 Mayıs 2025: bsp.gov.ph (erişim tarihi 26 Eylül 2026).
- Gulf News — "BAE bankaları 25 Temmuz'dan itibaren SMS ve e-posta yoluyla OTP göndermeyi durduruyor", 24 Temmuz 2025: gulfnews.com.
- Khaleej Times — BAE bankaları 25 Temmuz'dan itibaren OTP'leri aşamalı olarak kaldırıyor, 24 Temmuz 2025: khaleejtimes.com.
- Suudi Arabistan Merkez Bankası (SAMA) Kural Kitabı — Anlık SMS bildirim servisi: rulebook.sama.gov.sa (erişim tarihi 26 Eylül 2026).