026年8月23日，埃及中央银行（CBE）发布了《数字金融身份平台服务管理条例》，这是用于远程开户和验证客户身份（eKYC）的规则手册。针对短信验证，核心条款非常简短：通过自有App验证客户的银行必须通过发送包含一次性密码（OTP）的短信，来确认移动号码属于客户且由其本人持有。目前仍在发布的旧版CBE钱包规则规定，短信不得作为高风险操作的第二因子。本指南概述了各项规则的内容，以及BroadNet建议埃及银行、钱包及金融科技公司如何围绕这些规则设计OTP。
本指南总结了截至2026年10月10日的公开监管文本。本文仅供参考，不构成法律建议——在依赖本文内容之前，请向埃及中央银行、NTRA、PDPC或您的法律顾问确认您的义务。
核心要点
- CBE董事会于2026年6月17日批准了数字金融身份（DFI）条例；一份日期为2026年8月23日的通函已将其发送至各银行。这些规则适用于埃及的所有银行、可能加入该平台的持牌实体以及经CBE授权的银行代理机构。
- 在自有App中验证客户的银行必须“通过发送包含一次性密码（OTP）的短信”来检查移动号码的持有情况，然后将DFI证书绑定至设备。
- 该平台通过四种机制进行身份验证：设备绑定的DFI证书、OTP、六位全球PIN码以及生物识别。
- 对于非金融交易，它可以替代手写签名；而金融交易的认证则需要单独的CBE批准。
- CBE的移动支付规则（2021年4月）要求针对高风险钱包操作使用双因素认证，并规定不得通过短信或电子邮件自动且直接发送OTP。短信仍是接收警报的指定渠道。
- 根据PDPC，由CBE及其监管实体持有的数据不属于数据保护法的管辖范围，货币转账公司和汇兑机构除外。
埃及中央银行在2026年8月发布了什么内容？
CBE于2026年8月23日发布的消息称，其董事会已批准“管理数字金融身份（DFI）平台服务的条例，用于识别银行客户并进行电子身份验证（eKYC）”；相关的通告记录了董事会在2026年6月17日通过了该项批准。行长Hassan Abdalla表示，该平台允许公民通过数字渠道开设账户并获取银行产品，无需前往分行，并可通过电子方式接受条款及进行电子认证，以“替代手写签名”。
这些规则涵盖了eKYC（身份识别、验证及身份更新）、交易的电子认证、支付与转账指令及条款接受，以及参与方之间共享客户的DFI。该平台在埃及境内由数字金融身份公司“Haweya”运营，该机构通过民事登记局等可信来源读取国民身份数据，并结合NFC芯片读取和活体检测技术。8月的通告指出，反洗钱部门（EMLCU）将发布电子身份识别程序；一份2026年9月28日的CBE通告称，EMLCU已于当月批准了其第一版。这些文本均未设定单独的合规截止日期。
短信OTP出现在DFI条例中的什么位置？
| 条款（DFI条例） | 原文内容 | 对OTP的意义 |
|---|---|---|
| 4, 第二，2.1 | 使用自有应用程序的银行必须通过包含OTP的短信，验证移动号码属于客户且由客户持有 | 短信OTP是入驻时的持有权检查——它必须在首次尝试时即送达备案号码 |
| 4, 第二，2.2 | 随后签发DFI证书，并将其与客户的设备及应用程序进行绑定 | 常规登录依赖于已绑定的设备；短信则成为找回账号和重新绑定的通道 |
| 5，第7.2项 | Haweya提供四种机制：DFI在同一应用和设备上的证书、OTP、Global PIN、生物识别 | OTP是四种因素之一，而非整个模型 |
| 4，首先，7 | 通过多种方式通知客户DFI创建已完成 | 将短信确认与应用内或电子邮件通知进行配对 |
| 4，第五，1 | 监控短时间内重复的登录失败和错误的身份验证尝试；立即联系客户 | 记录每一次OTP尝试，并针对失败激增的情况发出警报 |
周边控制措施也非常严格：应用内包含根权限（root）和越狱检测以及证书固定，需在六小时内向CBE发出事件通知，计划性停机需提前48小时通知，并且在发布前需进行渗透测试、一份SOC 2 Type 1报告（六个月内提供Type 2报告）以及隐私影响评估。
在埃及，短信OTP足以用于支付吗？
并非所有操作都是如此。CBE的《移动支付服务条例》（第三版，2021年4月）将高风险活动定义为：同时向多个受益人发送支付指令、豁免转账限额的指令以及联系详情的变更。对于这些活动，银行必须同时使用两种手段，且不得通过短信或电子邮件“自动且直接”地授予一次性密码；来自令牌设备或应用的OTP必须至少为六位字符，且有效期不超过90秒。其他交易需使用至少六位数字的PIN码进行重新认证，在暂停服务前最多允许五次失败尝试。短信仍承担着明确的任务：除非用户选择退订，否则银行必须通过短信或电子邮件向钱包用户发送交易和高风险活动的警报；虽然可以通过短信确认支付指令，但不能通过短信创建支付指令。
2021年10月的即时支付网络（IPN）规则要求每笔IPN支付都必须具备双因素认证：手机的硬绑定（设备指纹加号码）以及六位数字IPN PIN码，且OTP仅在网络的安全库内处理。银行必须“通过短信或任何其他经批准的方法”通知客户交易情况。CBE 2023年3月的卡片令牌化规则允许将短信OTP发送到在银行注册的手机上，作为验证持卡人的其中一种方式。
| 旅程中的时刻 | 短信在CBE监管文本中的作用 | 来源 |
|---|---|---|
| 在银行自有App中进行eKYC | 要求：通过短信OTP证明号码持有权 | DFI法规2026, 4-Second-2.1 |
| 为现有客户开通钱包 | 银行必须确认号码的所有权或持有权 | 移动支付规则2021, 3-3-20 |
| 将卡片添加到设备钱包 | 向注册手机发送短信OTP是一种示例方法 | 2023年令牌化规则，3-2-5 |
| 高风险钱包操作 | 双因素认证；OTP不会通过短信或电子邮件自动直接发送 | 2021年移动支付规则，3-4-5-1 |
| IPN支付 | 设备绑定+IPN PIN码 | 2021年IPN规则，4-7至4-9 |
| 交易警报 | 以短信作为通道 | 移动支付规则3-6-8；IPN规则3-1-9 |
短信用于验证号码、绑定设备并向客户发送通知；最强的安全措施依赖于设备结合PIN码或生物识别。我们在 短信是否被OTP禁止？ 中对比了阿联酋、印度和菲律宾的情况。
NTRA规则对发往埃及的OTP消息意味着什么？
国家电信管理局（NTRA）在其移动增值服务框架下授予群发短信许可，该框架定义了OTP所属的“群发短信（一对一）”类别。持牌方必须在每条消息中显示发送实体的名称，并在其前面加上一组NTRA代码；在签约前需向NTRA报备每位客户的姓名和发送者ID；确保发送方位于埃及境内；且未经NTRA事先书面批准，不得将国际消息路由至埃及。因此，银行的OTP需要一个标明银行名称的已注册发送者ID，并通过获许可的本地通道发送。
BroadNet的 埃及覆盖范围 页面列出了与Vodafone Egypt、Orange Egypt、e& Egypt和WE直接绑定的获许可落地服务，以及7–14个工作日内完成的发送者ID报备；相关文件可在我们的 埃及A2P短信指南 和 埃及发送者ID报备 中找到。在运营商方面，e& Egypt 运行着针对灰色通道的BroadNet A2P防火墙。NTRA的钱包规则补充规定，每个号码只能开设一个钱包，且未经客户PIN码验证，任何交易都无法完成，因此手机号码即为钱包身份——请检查是否存在SIM掉包和回收号码的情况 (号码验证与SIM掉包API)。
埃及的数据保护法如何对待OTP验证码流量？
2020年第151号法律现已出台执行条例，个人数据保护中心（PDPC）将其引用为2025年第816号执行条例。PDPC将“由埃及中央银行及其监管和控制下的实体持有的个人数据（汇款公司和兑换所除外）”列为豁免范围，因此银行需遵守CBE数据规则，例如DFI控制；金融科技公司是否属于该豁免范围需咨询法律顾问。在法律适用的范围内，合同必要性是合法依据——即满足用户请求的代码需求——而营销则需要明确的同意、自由的退订权，并可能需要电子营销许可。违规行为须在72小时内向PDPC报告，且向境外传输数据需要PDPC许可或准证，因此请向供应商询问消息日志的存储位置 (数据驻留)。
埃及的银行和电子钱包应如何设计OTP验证码？
满足这些规则的BroadNet建议：
- 使用短信OTP进行开户所有权检查，随后绑定设备；保留短信用于找回和重新绑定。
- 对于高风险钱包操作，使用应用内代码或令牌代码结合双因素认证，随后发送短信警报。
- 在获得许可的本地通道上，使用您的品牌名称注册专用的OTP发送者ID，并与营销短信分开。
- 将代码放在首位。阿拉伯语使用UCS-2编码，因此一条短信仅包含70个字符，而非160个（编码指南）；并添加 自动填充 行。
- 使用短有效期、限制尝试次数，并保留发送、状态报告和验证的完整日志——DFI规则要求对认证失败进行监控。
- 如果在预定时间内未收到状态报告，请尝试通过另一条通道重试一次，然后提供 语音OTP；切勿无休止地重复发送。
- 在向最近更改过的号码发送消息前，请检查是否存在SIM掉包风险（SIM掉包欺诈）。
- 将OTP指标纳入欺诈和事件处理流程（银行OTP监控手册）。
BroadNet的OTP API涵盖了此模式：当未收到状态报告时，短信会自动回退至语音；针对每个目的地处理发送者ID，并确保每次尝试均有状态报告。在e& Egypt (Etisalat Misr)上，埃及的列表价格每条短信从$0.028起，Vodafone Egypt为$0.030，Orange Egypt为$0.032，WE为$0.035（埃及短信价格）；有关供应商问题，请参阅埃及最佳短信供应商。
BroadNet自2003年以来一直提供电信级消息服务，拥有1,000多个运营商直连，SLA为99.99%且符合SOC 2 Type II。申请测试权限后，工程师将在一个工作日内回复；集成通常需要2–5个工作日，发送者ID报备将同步进行。
常见问题
什么是CBE数字金融身份平台？
该平台经CBE批准，用于创建客户的数字金融身份并进行电子身份验证（eKYC），由埃及数字金融身份公司Haweya在埃及境内运营。其规则已在2026年8月23日的CBE通告中发布。
CBE eKYC规则是否需要短信OTP？
是的，在一种情况下：银行在其自有应用程序中验证身份时，在将DFI证书绑定到设备之前，必须通过验证码短信确认用户持有该手机号码。OTP也是该平台四种身份验证机制之一。
谁必须遵守DFI法规？
所有在埃及运营的银行、有资格加入该平台的持牌实体，以及经CBE授权的银行代理机构。这些规则是在CBE电子银行业务、反洗钱/反恐怖融资（AML/CFT）及运营风险规则基础之上的最低要求。
DFI平台可以验证支付吗？
银行可以将其用于非金融交易，以替代手写签名。验证金融交易则需要额外的CBE批准，并需符合其电子身份验证控制要求。
埃及的移动钱包可以使用短信OTP进行转账吗？
不能用于高风险操作，例如同时向多个受益人付款：2021年的移动支付规则要求使用双因素认证，并禁止通过短信或电子邮件自动且直接发送这些OTP。其他交易使用PIN码，并通过短信发送提醒。
埃及的PDPL是否适用于银行的OTP数据？
根据PDPC，除汇款公司和兑换机构外，由CBE及其监管实体持有的数据均属于PDPL范围之外。上述两类机构以及受CBE监管之外的企业均受该法律约束。
向埃及发送OTP短信是否需要发送者ID报备？
是的。NTRA框架要求每条短信都必须包含发送者名称，并且在与客户签约前，必须向NTRA报备发送者ID。
国际通道能否向埃及发送OTP验证码？
未经批准则无法送达：未经NTRA事先书面批准，NTRA持牌方不得将国际消息引入埃及。请使用通过当地持牌通道落地服务的供应商。
我们于2026年10月10日在监管机构官网阅读了以下所有文本；仅限阿拉伯语的文本以阿拉伯语阅读。请参阅我们的编辑标准和埃及短信法规。
来源
- CBE — eKYC法规新闻发布，2026年8月23日：cbe.org.eg。
- CBE — 数字金融身份页面，更新于2026年8月23日：cbe.org.eg。
- CBE — DFI法规，英文文本：cbe.org.eg。
- CBE — 关于DFI规则的2026年8月23日通告（阿拉伯语）：cbe.org.eg。
- CBE — 关于银行客户KYC的2026年9月28日通告（阿拉伯语），通告列表：cbe.org.eg。
- CBE — 移动支付服务规则，第3版，2021年4月（阿拉伯语）：cbe.org.eg。
- CBE — 即时支付网络规则，2021年10月：cbe.org.eg。
- CBE — 卡片令牌化通告，2023年3月8日（阿拉伯语）：cbe.org.eg。
- NTRA — 移动增值服务框架（tra.gov.eg，PDF）及移动钱包监管规则（tra.gov.eg），访问日期为2026年10月10日。
- PDPC — 关于2020年第151号法律及2025年第816号执行条例的常见问题解答，访问日期为2026年10月10日：portal.pdpc.gov.eg。