# SMS OTP güvenlik standartları 2026: NIST, PSD2, PCI DSS ve merkez bankalarının gerçekte ne talep ettiği > SMS OTP hâlâ izin veriliyor mu? Çoğunlukla evet, belirli koşullar altında. NIST bunu kısıtlı olarak sınıflandırıyor, PSD2 bunu bir sahiplik faktörü olarak kabul ediyor, PCI DSS ismini belirtmiyor ve Hindistan'ın RBI bunu yürürlükte tuttu. Asya ve Körfez'deki bazı düzenleyiciler, banka girişlerini bağlı cihazlara taşıdı. İşte her bir standardın madde ve kaynakla birlikte gerçekte ne söylediği. - Kanonik URL: https://www.broadnet.me/tr/blog/sms-otp-security-standards-2026 - Dil: tr - Son güncelleme: 2026-10-22 - Yayıncı: BroadNet (https://www.broadnet.me) - Yayın tarihi: 2026-10-22 - Yazar: BroadNet Regulatory Affairs 2026'daki ana standartlarda SMS tek kullanımlık şifreler yasaklanmış değil, kısıtlanmıştır. NIST SP 800-63B-4 (Temmuz 2025), sağlayıcı bir alternatif sunması ve riski açıklaması durumunda SMS ve ses kodlarını AAL2 bünyesinde hâlâ izin verilen "kısıtlı" bir kimlik doğrulayıcı olarak sınıflandırıyor, ancak AAL3 bünyesinde değil. PSD2 uyarınca, Avrupa Bankacılık Otoritesi, bir SMS OTP'yi sahiplik öğesi olarak kabul ediyor. PCI DSS 4.0.1, SMS ismini belirtmeden, tekrar saldırılarına karşı dirençli ve atlatılamaz MFA gerektiriyor. Hindistan'ın RBI, 1 Nisan 2026'dan itibaren SMS OTP'yi açıkça yürürlükte tuttu. Gerçek kısıtlamalar daha dardır: Singapur, Hong Kong, Malezya, BAE ve Filipinler'deki bankalar, girişleri veya yüksek riskli işlemleri uygulamaya veya cihaza bağlı kimlik doğrulamaya taşıdı. Aşağıdaki her bir gereklilik kendi kaynağına bağlantı vermektedir. > "Raporlandı" olarak işaretlenen yerler hariç, resmi metinlere göre 22 Ekim 2026 tarihinde kontrol edilmiştir. Bu sayfa ürün ve güvenlik ekipleri için kuralları özetlemektedir; hukuki tavsiye niteliği taşımaz. ## Kurallara hızlı bakış | Standart veya düzenleyici | SMS OTP durumu | Temel gereklilik | Tarih | |---|---|---|---| | NIST SP 800-63B-4 (ABD) | Kısıtlı; AAL2 bünyesinde izin veriliyor, AAL3 bünyesinde değil | Bir alternatif sunun, kullanıcılara riski bildirin, durumu değerlendirin; kodlar tek kullanımlıktır, en az 6 hanelidir ve 10 dakika geçerlidir | Temmuz 2025 | | CISA kılavuzu (ABD) | Yüksek risk altındaki (hedef seçilen) kişiler için bunu önermiyor | Üst düzey yetkilileri kimlik avışına (phishing) karşı dirençli FIDO sistemine taşıyın | 18 Ara 2024 | | SCA (AB) kapsamında PSD2 RTS | Bir sahiplik unsuru olarak kabul edilir | Tek kullanımlık kod; tutar ve alıcı ile dinamik eşleştirme; kopyalamaya karşı koruma | 14 Eyl 2019 tarihinden itibaren geçerlidir | | PSD3 / PSR (AB) | SMS'e özel kural bulunamadı | Henüz yürürlükte değil | Ekim 2026 itibarıyla beklemede | | PCI DSS 4.0.1 | İsimlendirilmemiş | CDE sistemine tüm erişimler için MFA; replay-resistant (yeniden oynatma saldırılarına karşı dirençli), bypass edilemez, iki faktörlü türler | 31 Mart 2025 tarihinde zorunlu | | MAS (Singapur) | Banka girişi için kademeli olarak kaldırıldı | Dijital token kullanan müşteriler SMS OTP olmadan giriş yapar | Temmuz 2024'ten itibaren | | HKMA (Hong Kong) | Varsayılan olarak bağlı cihaz | Giriş ve yüksek riskli işlemler bağlı cihaz ile; uygulama olmayan durumlarda SMS | 2025 (3. ve 4. çeyrek hedefleri) | | HK SFC (aracı kurumlar, sanal varlıklar) | Giriş veya cihaz eşleştirme için değildir | Geçiş anahtarları (passkeys) veya bağlı cihazlar | 8 Tem 2027 tarihine kadar | | BNM (Malezya) | Migrasyon gerekli | Daha güvenli kimlik doğrulamaya geçin | 26 Eyl 2022 tarihinde duyuruldu | | CBUAE (BAE) (bildirildi) | Banka OTP için kademeli olarak kaldırıldı | Uygulama içi kimlik doğrulamaya geçin | 25 Tem 2025 – 31 Mar 2026 | | RBI (Hindistan) | İzin verildi | İki faktör, tek dinamik; SMS OTP durdurulmadı | 1 Apr 2026 tarihinden itibaren | | BSP Genelgesi 1213 (Filipinler) | Büyük kurumlar için sınırlı | Yüksek risk için biyometrik, davranışsal veya şifresiz; SMS içinde bağlantı yok | Haziran 2026 itibarıyla uyumluluk | ## NIST SP 800-63B-4: kısıtlı, yasaklı değil NIST, 800-63-3 standardının yerini alan nihai [SP 800-63B-4](https://pages.nist.gov/800-63-4/sp800-63b.html) belgesini Temmuz 2025'te yayımladı. Bu belge, halka açık telefon ağı üzerinden gönderilen tek kullanımlık kodları (SMS veya ses) **kısıtlı bir kimlik doğrulayıcı** (bölüm 3.2.9) olarak kabul eder. Bu yöntemi kullanan bir sağlayıcı, kısıtlanmamış en az bir alternatif sunmalı, kullanıcılara riskler konusunda anlamlı bir bildirimde bulunmalı, risk değerlendirmesinde bu riskleri dikkate almalı ve bir geçiş planı tutmalıdır; eğer güvenen taraf riski kabul edilemez bulursa, bu yöntem kullanılmamalıdır. - **Güvence seviyeleri:** AAL2 seviyesinde, bir şifre veya biyometrik veri ile birleştirilerek bant dışı (out-of-band) kodlara izin verilir; ancak kimlik avına (phishing) karşı dirençli kriptografik kimlik doğrulayıcılar gerektiren AAL3 seviyesinde buna izin verilmez. AAL2 doğrulayıcıları, en az bir adet kimlik avına karşı dirençli seçenek sunmalıdır. - **Kod kuralları:** onaylı bir rastgele oluşturucudan en az 6 haneli, yalnızca bir kez kabul edilen ve en fazla 10 dakika geçerli olan kod; en fazla 100 ardışık hatalı denemeden sonra kilitleme. - **Risk sinyalleri:** bir kod göndermeden önce, doğrulayıcılar cihaz değişikliği, SIM değişikliği ve numara taşıma durumlarını kontrol etmelidir (bu bir zorunluluk değil, tavsiyedir). - **E-posta**, kanal dışı (out-of-band) bir doğrulayıcı olarak kullanılmayacaktır. SIM değişikliği ve taşıma kontrolleri için [Number Verify ve SIM Swap API'ler](https://www.broadnet.me/blog/number-verify-sim-swap-api-middle-east) ile [SIM swap dolandırıcılık savunması](https://www.broadnet.me/blog/sim-swap-fraud-sms-otp-defense) bölümlerine bakın. ## CISA: yüksek düzeyde hedeflenen kişilere yönelik CISA'in 18 Aralık 2024 tarihli [Mobil İletişim En İyi Uygulama Rehberi](https://www.cisa.gov/sites/default/files/2024-12/guidance-mobile-communications-best-practices.pdf) şunu belirtmektedir: "SMS'i kimlik doğrulama için ikinci bir faktör olarak kullanmayın," çünkü SMS şifrelenmemiştir ve "oltalama saldırılarına karşı dirençli değildir, bu nedenle yüksek düzeyde hedeflenen kişilerin hesapları için güçlü bir kimlik doğrulama sağlamaz". Hedef kitlesi üst düzey hükümet ve siyasi figürlerdir ve tek oltalama dirençli yöntem olarak FIDO'yi önermektedir. Bu bir rehberdir, tüketici hizmetleri için bir kural değildir. ## AB: PSD2, SMS OTP'yi kabul eder; PSD3 henüz yasa değildir 14 Eylül 2019'dan beri uygulanan [güçlü müşteri kimlik doğrulamasına ilişkin düzenleyici teknik standartlar](https://eur-lex.europa.eu/eli/reg_del/2018/389/oj) (Delegated Regulation (EU) 2018/389), ödemelerde kullanılan tüm tek kullanımlık kodlar için çıtayı belirler: - **Madde 4:** kimlik doğrulama kodu yalnızca bir kez kabul edilir ve taklit edilemez; engelleme öncesinde en fazla 5 ardışık başarısız deneme; oturum açıldıktan sonra en fazla 5 dakika hareketsizlik. - **Madde 5 (dinamik eşleştirme):** ödeyene tutar ve alıcı gösterilir ve kod onlara özeldir; herhangi bir değişiklik kodu geçersiz kılar. - **Madde 7:** sahiplik öğeleri, yetkisiz kullanım ve kopyalamaya karşı önlemlere ihtiyaç duyar. - **Madde 9:** öğeler birbirinden bağımsız olmalıdır; telefon gibi çok amaçlı bir cihazda, ayrıştırılmış güvenli yürütme ve kurcalama algılama gereklidir. EBA, [Q&A 2018_4039](https://www.eba.europa.eu/single-rule-book-qa/qna/view/publicId/2018_4039) belgesinde, kopyalamaya karşı korunduğu takdirde bir SMS OTP'nin bir sahiplik unsuru olabileceğini teyit etmiştir ve Haziran 2019 tarihli görüşünde SMS aracılığıyla OTP'yi geçerli bir sahiplik unsuru olarak listeler. PSD3 ve Ödeme Hizmetleri Yönetmeliği Kasım 2025'te siyasi mutabakata varmıştır ancak 22 Ekim 2026 itibarıyla hâlâ nihai kabul ve yayınlanma aşamasındadır; üzerinde anlaşılan metinde SMS OTP'yi hedefleyen herhangi bir hükme rastlanmamıştır. ## PCI DSS 4.0.1: SMS'ten bahsedilmemiştir PCI DSS 4.0.1, kart hamili veri ortamına tüm erişimler için çok faktörlü kimlik doğrulamayı (gereksinim 8.4.2) zorunlu kılar ve MFA'nın nasıl çalışması gerektiğini belirler (8.5.1): yeniden oynatmaya (replay) karşı dirençli, belgelenmiş ve süresi sınırlı bir istisna olmaksızın atlatılması imkansız, en az iki farklı faktör türü kullanan ve her bir faktörün başarılı olması gereken bir yapı. Her ikisi de 31 Mart 2025 tarihinde zorunlu hale gelmiştir. Standart SMS kullanımını yasaklamaz (bildirilen ifade; standardın kendisi lisans kısıtlamalıdır); PCI SSC'nin [MFA bilgi eki](https://listings.pcisecuritystandards.org/pdfs/Multi-Factor-Authentication-Guidance-v1.pdf) yalnızca NIST'nin SMS hakkındaki önceki uyarısını not eder. ## Asya-Pasifik düzenleyicileri - **Singapur:** MAS ve Singapur Bankalar Birliği, 9 Temmuz 2024 tarihinde, dijital token kullanan müşteriler için büyük perakende bankaların giriş işlemlerinde OTP'leri üç ay içinde aşamalı olarak kaldıracağını duyurdu ([MAS sürümü](https://www.mas.gov.sg/news/media-releases/2024/banks-in-singapore-to-strengthen-resilience-against-phishing-scams)). Fiziksel token kullanan müşteriler bu durumdan etkilenmemiştir. - **Hong Kong (bankalar):** HKMA'nin 14 Nisan 2025 tarihli genelgesi, giriş işlemleri ve yüksek riskli işlemler için SMS OTP yerine bağlı bir cihazı varsayılan hale getirmektedir ve 2025'in 3. ve 4. çeyreği için hedefler belirlemiştir. Uygulaması olmayan veya isteğe bağlı olarak katılan müşteriler için SMS OTP kullanımı mümkün olmaya devam etmektedir ([HKMA genelgesi](https://brdr.hkma.gov.hk/eng/doc-ldg/docId/getPdf/20250411-1-EN/20250411-1-EN.pdf)). - **Hong Kong (brokerlar ve sanal varlık platformları):** SFC'nin 9 Temmuz 2026 tarihli 26EC35 sayılı genelgesi, müşteri girişi ve cihaz eşleştirme için OTP'leri yasaklıyor ve bunların yerine geçiş anahtarları (passkeys) veya bağlı cihazlar istiyor; uyum için son tarih 8 Temmuz 2027. - **Malezya:** Bank Negara Malaysia, finansal kuruluşların SMS OTP'den daha güvenli kimlik doğrulamaya geçmelerini talep ettiğini 26 Eylül 2022 tarihinde duyurdu ([BNM](https://www.bnm.gov.my/-/financial-crime-exhibition-speech-en)). - **Hindistan:** RBI'ın Dijital Ödeme İşlemleri için Kimlik Doğrulama Mekanizmaları Yönergesi, 2025, 1 Nisan 2026 tarihinden itibaren bir dinamik içeren iki faktörlü doğrulamayı zorunlu kılmaktadır; RBI, çerçevenin "SMS tabanlı OTP kullanımının durdurulmasını gerektirmediğini" belirtmiştir ([RBI](https://www.rbi.org.in/scripts/BS_PressReleaseDisplay.aspx?prid=61282)). - **Filipinler:** Mayıs 2025'te imzalanan BSP Sirküleri 1213, büyük kurumlar için SMS OTP gibi ele geçirilebilir kimlik doğrulamaları sınırlandırmakta, yüksek riskli işlemler için biyometrik, davranışsal veya şifresiz yöntemler gerektirmekte ve SMS içinde bağlantı ile QR kodlarını yasaklamaktadır; uyum süreci Haziran 2026'ya kadar tamamlanmalıdır ([BSP](https://www.bsp.gov.ph/Regulations/Issuances/2025/1213.pdf)). ## Körfez Merkez Bankası bildirimine dayanan raporlara göre, BAE'de bankalar 25 Temmuz 2025 ile 31 Mart 2026 tarihleri arasında müşterilerini SMS ve e-posta OTP yöntemlerinden uygulama içi kimlik doğrulamaya yönlendirmiştir; kamuya açık bir CBUAE metni bulunmamaktadır. BAE'deki banka dışı göndericiler hâlâ yaygın olarak SMS OTP kullanmaktadır. [Banka yasaklarından sonra SMS OTP](https://www.broadnet.me/blog/sms-otp-bank-regulation-uae-india-philippines-2026) ve [A2P mesajlaşma düzenleme takvimine](https://www.broadnet.me/blog/a2p-messaging-regulation-timeline-2024-2027) bakınız. ## Yaygın yanlış anlaşılmalar - **"NIST SMS'i yasakladı."** Hayır. SMS kısıtlanmış bir doğrulayıcıdır, AAL2 bünyesinde belirli koşullar altında izin verilir ve yalnızca AAL3 durumunda hariç tutulur. - **"PSD2 SMS OTP kullanımını yasaklıyor."** Hayır. EBA bunu bir sahiplik öğesi olarak kabul eder; katı gereklilikler dinamik bağlantı ve kopyalamaya karşı korumadır. - **"PCI DSS 4.0, SMS MFA'yı yasaklıyor."** Hayır. Yeniden oynatma saldırılarına karşı dirençli, atlatılamaz MFA gerektirir ve SMS ismini zikretmez. - **"CISA, herkesin SMS kullanımını durdurmasını söyledi."** Abartılı bir ifade. Rehber, doğrudan hedef alınan hükümet yetkililerini ve siyasi şahısları hedef alıyor. - **"PSD3 halihazırda yasalaştı."** 22 Ekim 2026 itibarıyla henüz değil. - **"Hindistan, SMS OTP kullanımını aşamalı olarak kaldırıyor."** Hayır. RBI, bunun durdurulmasını açıkça talep etmedi. - **"Singapur, SMS OTP kullanımını yasakladı."** Daha dar bir kapsam: dijital token kullanan müşteriler için banka girişi. ## Bu standartları karşılayan SMS OTP için bir kontrol listesi 1. Kriptografik olarak güvenli bir rastgele oluşturucudan en az 6 haneli kodlar üretin; her kodu yalnızca bir kez kabul edin; kodların süresini 10 dakika içinde doldurun (ödemeler için 5 dakika yaygındır). 2. Denemeleri sınırlayın: PSD2 üst üste 5 başarısız denemeden sonra engeller; NIST kilitlenme gerçekleşmeden önce en fazla 100 denemeye izin verir. 3. AB'deki ödemeler için, mesajda tutarı ve alıcıyı gösterin ve kodu bunlara bağlayın (dinamik eşleştirme). 4. Yüksek riskli bir oturuma kod göndermeden önce SIM değişikliği ve numara taşıma sinyallerini kontrol edin. 5. En az bir adet daha güçlü alternatif (uygulama bildirimi, passkey, FIDO) sunun ve SMS'i yedek ve kurtarma kanalı olarak tutun. 6. OTP trafiğini işlemsel tutun: Kod mesajında bağlantı veya teklif bulunmamalıdır; bu durum mesajın pazarlama sessiz saatlerinin ve bağlantı engellerinin dışında kalmasını da sağlar. 7. Kodların ele geçirilmemesi, gecikmemesi veya spam trafiğine maruz kalmaması için kodları, bir SMS güvenlik duvarı ile korunan doğrudan ve izlenen operatör rotaları üzerinden gönderin. BroadNet'in [OTP API](https://www.broadnet.me/products/otp) çözümü, çok kanallı yedekleme özelliğiyle birlikte 1.000'den fazla doğrudan operatör bağlantısı üzerinden kodlar iletir; [çok kanallı OTP doğrulama](https://www.broadnet.me/blog/multichannel-otp-verification-api-2026), [SMS OTP'den passkey'lere](https://www.broadnet.me/blog/sms-otp-to-passkeys-webauthn-2026) ve operatörler için [SMS güvenlik duvarı ve SS7 koruması](https://www.broadnet.me/operators/sms-firewall) hakkında bilgi alın. ## Sıkça sorulan sorular ### 2026 yılında SMS OTP kullanımına hâlâ izin veriliyor mu? Evet, çoğu standartta izin veriliyor. NIST SP 800-63B-4 bunu kısıtlı ancak AAL2 düzeyinde izin verilen bir yöntem olarak sınıflandırır, PSD2 bunu bir sahiplik öğesi olarak kabul eder, PCI DSS yasaklamaz ve Hindistan'ın RBI'ı bunu sürdürdü. Singapur'un MAS, Hong Kong'un HKMA ve Filipinler'in BSP'i dahil olmak üzere bazı düzenleyiciler, banka girişlerini veya yüksek riskli işlemleri daha güçlü yöntemlere taşıdı. ### NIST, SMS iki faktörlü kimlik doğrulamayı yasakladı mı? Hayır. NIST SP 800-63B-4 (Temmuz 2025), SMS ve ses kodlarını kısıtlı bir doğrulayıcı olarak nitelendiriyor: sağlayıcılar kısıtlanmamış bir alternatif sunmalı, riski açıklamalı ve değerlendirmelidir. SMS AAL2'de izin verilir ancak kimlik avına (phishing) karşı dirençli doğrulayıcılar gerektiren AAL3'te izin verilmez. ### SMS OTP PSD2 uyumlu mu? Olabilir. EBA'un 2018_4039 sayılı Soru-Cevap dokümanı, kopyalamaya karşı korunduğu takdirde bir SMS OTP'yi sahiplik öğesi olarak kabul eder; ödemeler için ise kod, Güçlü Müşteri Kimlik Doğrulamasına ilişkin RTS Madde 5 uyarınca tutar ve alıcı ile dinamik olarak ilişkilendirilmelidir. ### PCI DSS 4.0, MFA için SMS kullanımına izin veriyor mu? PCI DSS 4.0.1, SMS'ü isimlendirmez veya yasaklamaz. 31 Mart 2025'ten itibaren zorunlu hale gelen 8.4.2 ve 8.5.1 numaralı gereklilikler; kart hamili veri ortamına yapılan tüm erişimler için yeniden oynatmaya (replay) karşı dirençli, atlatılamayan ve en az iki farklı faktör türünü kullanan MFA kullanımını şart koşmaktadır. ### Bir SMS OTP ne kadar süre geçerli olmalıdır? NIST SP 800-63B-4 uyarınca 10 dakikadan fazla olmamalıdır ve her kod yalnızca bir kez kullanılabilir. Birçok ödeme akışı, PSD2'nin hareketsizlik sınırı ile uyumlu olarak 5 dakika veya daha kısa süreler kullanmaktadır. ### Bankacılık için SMS OTP kullanımını hangi ülkeler kısıtlamaktadır? Singapur (banka girişi, dijital token kullanan müşteriler için, 2024'ten itibaren), Hong Kong (banka girişi ve yüksek riskli işlemler için varsayılan olarak bağlı cihazlar, 2025; brokerlar için Temmuz 2027), Malezya (2022'den beri geçiş zorunlu), BAE (bildirildiğine göre, banka OTP kullanımı Mart 2026'ya kadar uygulama içine taşınacak) ve Filipinler (büyük kurumlarda yüksek riskli işlemler, Haziran 2026'ya kadar). ### PSD3 yürürlükte mi? 22 Ekim 2026 itibarıyla değil. PSD3 ve Ödeme Hizmetleri Yönetmeliği, Kasım 2025'te siyasi anlaşmaya varmış olup nihai kabul ve Resmi Gazete'de yayımlanmayı beklemektedir. ### SMS aracılığıyla OTP göndermenin en güvenli yolu nedir? Dakikalar içinde süresi dolan en az 6 rastgele haneli tek kullanımlık şifreler kullanın, deneme sayılarını sınırlayın, riskli oturumlar için SIM swap ve numara taşıma sinyallerini kontrol edin, mesajda bağlantı (link) bulundurmayın ve mesajı, yanında daha güçlü bir yöntem sunarak, bir SMS güvenlik duvarı ile korunan doğrudan operatör rotaları üzerinden iletin.