——在阿联酋、印度或菲律宾，SMS OTP并未被禁用。阿联酋央行已指示银行逐步淘汰用于客户身份验证的验证码短信和电子邮件一次性密码（逐步淘汰工作已于2025年7月25日开始）；印度的RBI在自2026年4月1日起实施的“技术中立”双因素认证规则下，仍将验证码短信作为允许的验证因素；而菲律宾的BSP则要求大型银行从2026年6月25日左右开始限制可被拦截的OTP。
本指南汇总了截至2026年9月26日的公开监管文本和新闻报道。本文仅供参考，不构成法律建议——请向您的监管机构或法律顾问确认您的义务。
核心要点
- 阿联酋：逐步淘汰适用于为自身客户进行身份验证的银行，并将审批流程转移至银行的移动应用程序中。央行通知本身并未公布；相关日期源自新闻报道（《海湾新闻》、 《海湾时报》，2025年7月24日）。
- 印度：《RBI身份验证机制指令，2025》要求从2026年4月1日起，数字支付必须使用两种不同的验证因素，且除刷卡支付外，所有支付至少需包含一种动态因素。SMS OTP仍被允许使用。
- 菲律宾：《BSP第1213号通告》（2025年5月30日签署）要求受BSP监管的机构限制通过验证码短信和电子邮件发送的OTP，并要求高业务量机构在通告生效后一年内采用生物识别、无密码或自适应身份验证。
- 非银行机构——如电子商务、物流、旅游、SaaS、政府类门户网站——均不受这三项指令的影响。短信OTP仍是验证手机号码或登录的常规方式。
- 短信在银行业仍承担着受监管的角色：BSP通告将短信列为实时交易通知的渠道，而沙特阿拉伯的SAMA规则手册要求对账户交易进行即时短信通知。
阿联酋是否禁止短信OTP？
没有。阿联酋发生的是银行业变革，而非全国性禁令。2025年7月24日，《海湾新闻》（Gulf News）报道称，“阿联酋的银行将从7月25日星期五开始，逐步停止通过短信和电子邮件发送一次性密码（OTP）”，客户将转向其银行智能应用程序中的“通过App进行身份验证”功能。《海湾时报》（Khaleej Times）在同一天报道称，此举“遵循了阿联酋中央银行的指示，并将分阶段实施”。《海湾新闻》描述称，根据指令，到2026年3月将完全停止使用短信和电子邮件OTP。
对于任何基于此制定政策的人来说，有两个注意事项。首先，阿联酋中央银行（CBUAE）尚未发布该通知本身；网络上流传的编号和确切措辞来自供应商博客，因此请将其视为未经确认的信息。其次，每份公开报告都是关于银行验证其自身客户的交易和登录。其中没有任何一项将此变化扩展到其他使用短信验证码来验证手机号码、确认配送或登录用户的公司。
在实践中，阿联酋的银行客户现在通过银行App内的手机生物识别或App PIN码来批准银行卡支付和敏感操作。关于更广泛的监管背景——发送者ID报备、促销窗口和授权——请参阅我们的阿联酋短信法规页面。
RBI是否从2026年4月起禁止短信OTP？
没有。印度储备银行（数字支付交易身份验证机制）指令，2025于2025年9月25日发布，适用于“所有支付系统提供商和支付系统参与者，包括银行和非银行实体”，他们必须在2026年4月1日前遵守该指令。核心规则是：“所有数字支付交易应至少通过两个不同的身份验证因素进行身份验证”，对于除刷卡交易以外的所有交易，“至少有一个身份验证因素是动态创建或证明的”。
这些指令设定的是原则，而非指定某种特定技术。RBI指出，虽然没有强制要求特定的因素，但生态系统“主要采用基于短信的一次性密码（OTP）作为附加因素”——且文本中没有任何内容禁止这样做。改变的是问责机制：“如果因未遵守这些指令而导致交易产生任何损失，发行方应全额补偿客户的损失。”除了双因素认证外，发行方还可以在位置、行为或设备属性方面增加基于风险的检查。
另一个截止日期现已生效：发卡机构必须在2026年10月1日之前，建立一种机制来验证由海外商户或收单机构发起的非经常性跨境无卡交易。关于印度消息规则——包括DLT注册、发送者ID和模板——请参阅印度短信法规。
菲律宾BSP第1213号通告有哪些要求？
BSP第1213号通告，2025年系列已于2025年5月22日获得货币委员会批准，并于2025年5月30日签署，2025年6月10日发布。该通告在发布后15个日历日生效，且BSP监管的金融机构（BSFIs）必须“在生效之日起一（1）年内”完成合规——即大约在2026年6月25日左右。该通告本身并未给出具体的日历日期；部分新闻报道称是6月30日，但根据一年规则来看，应为6月25日。
这一关键条款是一种限制而非禁止：银行、金融机构及保险公司（BSFIs）“应限制使用可能被与交易无关的第三方共享或拦截的身份验证机制”，并以通过短信和电子邮件发送的OTP作为示例。对于“从事复杂的电子产品和服务并处理高累计在线交易额”的机构——即在过去六个月内平均每月交易额至少达到PHP 75,000,000的机构——必须采用强身份验证：生物识别（指纹、面部或语音）、行为生物识别、无密码身份验证（如FIDO密钥或硬件令牌）或自适应身份验证，并结合强设备指纹技术。
该通告也将短信纳入监管范围。对于仍需发送的OTP消息，“应包含充足的交易详情以实现个性化”；实时通知可以“通过移动应用、即时通讯应用、电子邮件或短信等安全渠道”进行；除非客户主动要求、链接仅用于提供信息、或链接不会跳转至要求输入凭据的页面，否则银行、金融机构及保险机构（BSFIs）不得通过电子邮件、即时通讯应用或短信发送可点击的链接或二维码。国家背景：菲律宾短信法规。
三条规则并列展示
| 市场 | 监管机构与法规 | 关键日期 | 适用范围 | OTP短信是否仍被允许？ |
|---|---|---|---|---|
| 阿联酋 | 阿联酋中央银行对银行的指令（通知尚未发布；据2025年7月24日报道） | 自2025年7月25日起逐步淘汰；预计2026年3月完成（新闻报道） | 为自身客户进行身份验证的银行 | 正被银行客户的App内认证所取代；非银行机构尚未涉及 |
| 印度 | RBI《数字支付交易认证机制指令》2025年（2025年9月25日） | 2026年4月1日前完成合规；2026年10月1日前完成跨境CNP合规 | 所有支付系统提供商及参与者，包括银行与非银行机构 | 是——两个不同的因素，其中一个必须是动态的；短信OTP是允许使用的因素 |
| 菲律宾 | BSP第1213号通告，2025年系列（2025年5月30日签署） | 生效日期后一年——约2026年6月25日 | BSP监管的金融机构；高业务量机构需履行强身份验证义务 | 受限而非禁止；短信仍作为一种通知渠道 |
| 沙特阿拉伯 | 未发现官方SAMA强制逐步淘汰短信OTP的指令（已于2026年9月26日核实） | — | — | 是；SAMA的规则手册要求针对账户交易进行即时短信通知 |
哪些属于监管范围——哪些不属于？
最常见的错误是认为银行身份验证规则适用于所有发送验证码的企业。事实并非如此。监管范围是由监管机构的管辖对象决定的。
- 阿联酋的监管范围：根据新闻报道，负责验证客户登录和交易的持牌银行。
- 印度的监管范围：所有数字支付交易的支付系统提供商和参与者——包括银行、发卡机构、钱包以及其他非银行支付实体。
- 菲律宾的监管范围：受BSP监管的金融机构；强身份验证清单适用于月交易额超过PHP 75 million阈值的机构。
- 不属于上述三者的监管范围：电子商务登录和账号找回、网约车和配送确认、旅游预订、SaaS注册、电商平台和游戏——除非企业本身是受监管的支付实体。
- 不属于监管范围：注册时的手机号码验证，其目的是证明号码的所有权，而非授权支付。
针对银行客户，什么可以取代OTP短信？
这些替代方案的核心理念一致：将审批与客户的设备或生物特征绑定，而不是绑定到一个可以被朗读给诈骗者听、或在进行SIM交换后被拦截的代码上。
- 应用内审批：通过银行自身的App发送推送，并使用生物识别或App PIN码进行确认——这是阿联酋银行所采取的方案。
- 生物识别与行为生物识别：在BSP第1213号通函中被明确提及。
- 无密码认证与通行密钥：基于FIDO存储在设备上的密钥；请参阅我们的指南 从短信OTP到通行密钥。
- 基于网络的检查：静默网络认证和SIM卡更换（SIM swap）信号通过运营商验证号码；请参阅静默网络认证vs短信OTP。
- 自适应（基于风险的）认证：仅在设备、位置或行为看起来异常时才进行加强认证——这在印度是允许的，并在菲律宾被列入清单。
2026年短信依然适用的场景
将短信从银行身份验证中移除并不意味着将其从银行业务中移除。同样的监管机构仍将其保留为通知通道，且在支付业务之外，对于未安装您App的手机号码，短信仍然是触达用户最通用的方式。
- 交易警报：BSP通函将短信列为实时通知渠道之一，且SAMA要求针对账户交易进行即时短信通知。
- 注册及更换号码时的手机号验证，理想情况下应配合 SIM-swap检查 使用。
- 非银行类应用的登录与找回，在这些场景中，短信通常是每位用户都能收到的唯一因素。
- 印度：短信OTP可作为双因素认证之一，前提是另一因素必须是独立的。
- 自动回退：当推送或应用内渠道失败时，多渠道验证服务可以在规则允许的情况下，自动回退至WhatsApp、语音或短信。
银行及支付公司检查清单
- 梳理目前发送验证码的所有流程——登录、添加收款人、无卡支付、限额变更、设备变更——并标注受哪家监管机构的规则约束。
- 将高风险审批转移至设备绑定的方式（带有生物识别的应用内推送、通行密钥），并记录针对印度的第二因素。
- 按照BSP的要求，为您仍在发送的任何OTP添加交易详情（商户、金额），且切勿包含可点击的链接。
- 在信任任何持有因素之前，请添加风险信号——SIM交换、设备变更、频率。
- 使用短信进行实时交易提醒并监控送达情况；请参阅我们的 银行OTP送达监控指南。
- 按市场记录您的决策及检查日期，以便审计人员了解为何每条流程都使用该特定方法。
非银行应用检查清单
- 确认您并非受监管的支付实体；如果您是，则银行检查清单适用于您的支付流程。
- 针对注册和登录保留短信OTP，并添加WhatsApp或语音作为备用通道，以提高触达率并降低成本。
- 在进行敏感账户变更前，请检查近期是否存在SIM交换。
- 为回访用户提供通行密钥（passkeys）作为选项，并保留短信作为恢复手段。
- 使用 OTP安全计算器 评估每种流程的欺诈风险敞口。
BroadNet通过运营商直连在200多个国家提供OTP服务，平台SLA达99.99%，并具备SIM交换和号码智能检测功能，以及涵盖短信、WhatsApp和语音的自动回退机制。请参阅 OTP API、多渠道 MyOTP 验证服务以及我们的 银行与金融 解决方案。
常见问题
阿联酋是否禁止使用短信OTP？
没有。阿联酋央行已指示银行逐步停止在客户身份验证中使用短信和电子邮件OTP，该进程将于2025年7月25日开始，预计于2026年3月完成，并改为使用应用内身份验证。此项变更适用于对自身客户进行身份验证的银行；这并非针对其他企业的短信验证码全国性禁令。
CBUAE规则是否适用于电子商务、先买后付（BNPL）或配送类应用？
公开报告将该指令描述为适用于银行。报告并未提及电子商务、配送或其他非银行类应用。获得央行支付牌照的公司应向监管机构核实其自身的牌照义务，因为通知全文尚未公布。
什么取代了阿联酋银行客户使用的OTP验证码短信？
应用内身份验证。客户通过银行移动应用批准付款和敏感操作，通常使用手机的生物识别技术或应用PIN码，而不是输入通过短信或电子邮件收到的验证码。
RBI是否会从2026年4月起禁止OTP验证码短信？
不会。自2026年4月1日起生效的RBI指令要求数字支付必须至少具备两个不同的身份验证因素，除刷卡交易外，其中至少一个必须是动态因素。这些指令并未强制或禁止任何特定技术，OTP验证码短信仍属于允许使用的因素。发卡机构必须全额补偿客户因不合规交易而遭受的损失。
什么是BSP第1213号通函？
这是菲律宾中央银行（Bangko Sentral ng Pilipinas）于2025年5月30日签署的通函，旨在更新受BSP监管的金融机构的身份验证和欺诈管理标准。该通函要求金融机构限制使用短信和电子邮件OTP等易被拦截的身份验证方式，并要求高交易量机构在生效日期（约2026年6月25日）起一年内采用生物识别、无密码或自适应身份验证。
SMS OTP验证码是否仍可用于验证手机号码？
是的。这三项规则均未限制在注册或更改号码时使用短信验证码来证明用户对手机号码的控制权。将该检查与SIM swap查询相结合，可以显著提高滥用难度。
沙特阿拉伯的SAMA是否在禁用SMS OTP？
截至2026年9月26日，我们尚未发现SAMA有任何关于逐步淘汰SMS OTP的官方指令。SAMA的规则手册确实要求银行针对账户交易发送即时短信通知。网络上流传的关于SAMA截止日期的说法在SAMA发布正式公告前均属于推测。
当应用程序无法使用时，银行应该使用什么？
这取决于监管机构：菲律宾的通函是对SMS OTP进行限制而非禁用，而印度则允许将其作为两种不同因素之一。请根据不同市场设计并记录好备选方案——例如第二种绑定设备的验证方式或辅助渠道——并在依赖短信作为备选方案之前，先向您的监管机构进行确认。
来源
- 印度储备银行 — 《数字支付交易身份验证机制指令，2025年》, 2025年9月25日：rbi.org.in（访问日期：2026年9月26日）。
- 菲律宾中央银行 — 《2025年第1213号通函》，2025年5月30日签署：bsp.gov.ph（访问日期：2026年9月26日）。
- Gulf News — “阿联酋银行将于7月25日起停止通过短信和电子邮件发送OTP”，2025年7月24日：gulfnews.com。
- 《海湾时报》—— 阿联酋银行将于7月25日起逐步淘汰OTP。2025年7月24日：khaleejtimes.com。
- 沙特中央银行（SAMA）规则手册 —— 即时短信通知服务：rulebook.sama.gov.sa（访问日期：2026年9月26日）。