# 2026年短信OTP安全标准：NIST、PSD2、PCI DSS以及各国央行究竟有哪些要求

> 短信OTP仍被允许吗？在特定条件下，绝大多数情况下是可以的。NIST将其归类为受限类别，PSD2接受其作为持有要素，PCI DSS未对其进行命名，而印度的RBI则予以保留。亚洲和海湾地区的一些监管机构已将银行登录转移至绑定设备。以下是各项标准的实际规定，包含具体条款及来源。

- 规范网址: https://www.broadnet.me/zh/blog/sms-otp-security-standards-2026
- 语言: zh
- 最后更新: 2026-10-22
- 发布方: BroadNet (https://www.broadnet.me)

- 发布日期: 2026-10-22
- 作者: BroadNet Regulatory Affairs

在2026年的主要标准中，短信一次性密码属于受限类别，而非被禁止。根据NIST，SP 800-63B-4（2025年7月）将短信和语音验证码归类为“受限”身份验证方式；如果提供商能提供替代方案并解释风险，则在AAL2仍被允许，但在AAL3则不行。根据PSD2，欧洲银行管理局接受短信OTP作为持有要素。PCI DSS 4.0.1要求具备抗重放攻击且不可绕过的MFA，但并未指明短信。印度的RBI明确自2026年4月1日起保留短信OTP。真正的限制范围较窄：新加坡、香港、马来西亚、阿联酋和菲律宾的银行已将登录或高风险交易转移至应用程序或绑定设备的身份验证。以下每项要求均附有来源链接。

> 除标注为“据报道”的内容外，已于2026年10月22日根据官方文本进行核对。本页面旨在为产品和安全团队总结规则；不构成法律建议。

## 规则概览

| 标准或监管机构 | 短信OTP状态 | 核心要求 | 日期 |
|---|---|---|---|
| NIST SP 800-63B-4 (US) | 受限；允许在AAL2使用，但不允许在AAL3使用 | 提供替代方案，告知用户风险并进行评估；验证码为一次性使用，至少6位数字，有效期10分钟 | 2025年7月 |
| CISA指南（US） | 建议不要针对高目标人群使用 | 将高级官员迁移至具备防钓鱼能力的FIDO | 2024年12月18日 |
| PSD2 SCA强身份验证条例（欧盟） | 被承认为持有要素 | 一次性代码；与金额和收款人进行动态链接；防止复制 | 自2019年9月14日起生效 |
| PSD3 / PSR（欧盟） | 未发现针对短信的特定规则 | 尚未生效 | 截至2026年10月仍处于待定状态 |
| PCI DSS 4.0.1 | 未命名 | 针对所有进入CDE的访问进行MFA；具备抗重放能力，无绕过风险，支持两种双因素认证类型 | 2025年3月31日强制执行 |
| MAS（新加坡） | 银行登录已逐步淘汰 | 拥有数字令牌的客户无需通过短信OTP即可登录 | 自2024年7月起 |
| HKMA（香港） | 默认绑定设备 | 通过绑定设备进行登录和高风险交易；若无应用程序，则通过短信进行 | 2025年（第三至第四季度目标） |
| 香港SFC（经纪商、虚拟资产） | 不用于登录或设备绑定 | 通行密钥或绑定设备 | 截至2027年7月8日 |
| BNM（马来西亚） | 需要进行迁移 | 转向更安全的身份验证方式 | 2022年9月26日公布 |
| CBUAE（阿联酋）（据报道） | 银行OTP已逐步淘汰 | 转向应用内身份验证 | 2025年7月25日–2026年3月31日 |
| RBI（印度） | 允许 | 双因素，单一动态；SMS OTP未停止服务 | 自2026年4月1日起 |
| BSP通告1213（菲律宾） | 大型机构受限 | 针对高风险场景采用生物识别、行为识别或无密码认证；短信中不得包含链接 | 2026年6月前实现合规 |

## NIST SP 800-63B-4：受限，而非禁用

NIST已于2025年7月发布了最终的[SP 800-63B-4](https://pages.nist.gov/800-63-4/sp800-63b.html)，取代了800-63-3。该标准将通过公共电话网络（短信或语音）发送的一次性密码视为**受限身份验证器**（第3.2.9节）。使用此类验证器的服务提供商必须至少提供一种不受限的替代方案，向用户发出关于风险的有效通知，在风险评估中将其纳入考量，并制定迁移计划；如果依赖方认为风险不可接受，则不得使用。

- **保证级别：** 在AAL2级别下，允许使用带密码或生物识别的带外验证码，但在AAL3级别下则不允许，因为AAL3要求使用防钓鱼的加密身份验证器。AAL2验证方必须至少提供一种防钓鱼选项。
- **验证码规则：** 必须使用经批准的随机生成器生成至少6位数字，仅限使用一次，且有效期不超过10分钟；在连续失败尝试不超过100次后进行锁定。
- **风险信号：** 在发送验证码之前，验证方应检查设备更换、SIM变更和号码携带（这是“应当”而非“必须”）。
- **电子邮件**不得用作带外身份验证器。

有关SIM变更和号码携带检查，请参阅[号码验证与SIM更换API](https://www.broadnet.me/blog/number-verify-sim-swap-api-middle-east)以及[SIM更换欺诈防御](https://www.broadnet.me/blog/sim-swap-fraud-sms-otp-defense)。

## CISA：针对高价值目标人群

CISA在2024年12月18日发布的[《移动通信最佳实践指南》](https://www.cisa.gov/sites/default/files/2024-12/guidance-mobile-communications-best-practices.pdf)中指出：“不要将短信作为身份验证的第二因子”，因为短信未经过加密，“无法抵御钓鱼攻击，因此对于高价值目标人群的账户而言，不属于强身份验证方式”。该指南的受众为政府高层及政治人物，并推荐将FIDO作为唯一的防钓鱼方法。这属于指导性建议，而非针对消费者服务的强制性规则。

## 欧盟：PSD2接受短信OTP；PSD3尚未成为法律

[关于强客户身份验证的监管技术标准](https://eur-lex.europa.eu/eli/reg_del/2018/389/oj)（授权条例（EU）2018/389）自2019年9月14日起生效，为支付中使用的任何一次性密码设定了标准：

- **第4条：** 验证码仅限使用一次且不可伪造；连续失败尝试最多不得超过5次即会被锁定；登录后不活动时间最多不得超过5分钟。
- **第5条（动态链接）：** 付款人需看到金额和收款人信息，且验证码与该交易特定绑定；任何变更都会导致验证码失效。
- **第7条：** 持有要素需要具备防止未经授权使用和复制的措施。
- **第9条：** 各要素必须相互独立；在手机等多用途设备上，需要具备隔离的安全执行环境和篡改检测功能。

EBA在[Q&A 2018_4039](https://www.eba.europa.eu/single-rule-book-qa/qna/view/publicId/2018_4039)中确认，如果短信OTP能够防止被复制，则可以作为所有权要素；其2019年6月的意见列出了通过短信进行的OTP作为有效的所有权要素。PSD3与《支付服务条例》已于2025年11月达成政治协议，但截至2026年10月22日，仍处于等待最终通过和公布的阶段；我们在已达成的文本中未发现针对短信OTP的条款。

## PCI DSS 4.0.1：未提及短信

PCI DSS 4.0.1要求对进入持卡人数据环境的所有访问进行多因素认证（要求8.4.2），并规定了MFA的运作方式（8.5.1）：能够抵御重放攻击、在没有记录在案且有时限的例外情况下无法绕过、至少使用两种不同的因子类型，且每个因子都必须成功验证。这两项要求已于2025年3月31日成为强制性要求。该标准并不禁止短信（根据报告的措辞；标准本身受许可限制）；PCI SSC的[MFA信息补充](https://listings.pcisecuritystandards.org/pdfs/Multi-Factor-Authentication-Guidance-v1.pdf)仅提到了NIST早前对短信提出的谨慎意见。

## 亚太地区监管机构

- **新加坡：** MAS与新加坡银行协会于2024年7月9日宣布，对于拥有数字令牌的客户，主要零售银行将在三个月内逐步淘汰用于登录的OTP（[MAS发布](https://www.mas.gov.sg/news/media-releases/2024/banks-in-singapore-to-strengthen-resilience-against-phishing-scams)）。使用实体令牌的客户不受影响。
- **香港（银行）：** HKMA于2025年4月14日发布的通函规定，对于登录和高风险交易，绑定设备将取代短信OTP成为默认方式，目标是在2025年第三季度和第四季度实现。对于没有使用应用程序或选择加入的客户，短信OTP仍然是可选的（[HKMA通函](https://brdr.hkma.gov.hk/eng/doc-ldg/docId/getPdf/20250411-1-EN/20250411-1-EN.pdf)）。
- **香港（券商及虚拟资产平台）：** SFC于2026年7月9日发布的第26EC35号通函规定，到2027年7月8日，将禁止使用OTP进行客户登录和设备绑定，转而采用通行密钥（passkeys）或绑定设备。
- **马来西亚：** 马来西亚国家银行要求金融机构从短信OTP迁移到更安全的认证方式，该消息于2022年9月26日宣布（[BNM](https://www.bnm.gov.my/-/financial-crime-exhibition-speech-en)）。
- **印度：**根据RBI的《2025年数字支付交易身份验证机制指令》，自2026年4月1日起，要求采用包含一个动态因素的双因素认证；RBI表示该框架“并不要求停止使用基于短信的OTP” ([RBI](https://www.rbi.org.in/scripts/BS_PressReleaseDisplay.aspx?prid=61282))。
- **菲律宾：**于2025年5月签署的BSP第1213号通告，限制了大型机构使用可被拦截的身份验证方式（如短信OTP），要求高风险交易必须使用生物识别、行为识别或无密码验证方式，并禁止在短信中包含链接和二维码，合规期限为2026年6月 ([BSP](https://www.bsp.gov.ph/Regulations/Issuances/2025/1213.pdf))。

## 海湾地区

根据中央银行通知的报告，在阿联酋，银行在2025年7月25日至2026年3月31日期间，引导客户从短信和电子邮件OTP转向应用内身份验证；目前尚无公开的CBUAE文本。阿联酋的非银行发送者仍广泛使用短信OTP。请参阅[银行禁用短信后的短信OTP](https://www.broadnet.me/blog/sms-otp-bank-regulation-uae-india-philippines-2026)以及[A2P消息服务监管时间表](https://www.broadnet.me/blog/a2p-messaging-regulation-timeline-2024-2027)。

## 常见误解

- **“NIST禁止使用短信。”** 不是。短信是一种受限的身份验证方式，在满足特定条件时可在AAL2下使用，仅在AAL3中被排除。
- **“PSD2禁止短信OTP。”** 不是。EBA将其接受为持有要素；其核心要求是动态绑定和防止复制。
- **“PCI DSS 4.0禁止短信MFA。”** 不是。它要求具备抗重放能力且不可绕过的MFA，并未指明短信。
- **“CISA告诉所有人停止使用短信。”** 这种说法言过其实。该指南针对的是受到高度关注的政府及政治人物。
- **“PSD3已经是法律。”** 截至2026年10月22日，情况并非如此。
- **“印度正在逐步淘汰SMS OTP。”** 并非如此。RBI明确表示并不要求停止使用它。
- **“新加坡禁止了SMS OTP。”** 范围更窄：仅针对使用数字令牌（digital token）客户的银行登录场景。

## 符合这些标准的OTP验证码短信检查清单

1. 使用加密安全的随机生成器生成至少6位数的验证码；每个验证码仅限使用一次；并在10分钟内使其失效（支付场景通常为5分钟）。
2. 限制尝试次数：连续失败5次后，PSD2将进行拦截；NIST在锁定前最多允许100次尝试。
3. 对于欧盟境内的支付业务，应在短信中显示金额和收款人，并将验证码与两者进行绑定（动态链接）。
4. 在向高风险会话发送验证码之前，请检查SIM变更和携号转网信号。
5. 提供至少一种更强大的替代方案（应用推送、通行密钥、FIDO），并将短信作为自动回退和恢复渠道。
6. 保持OTP流量为交易型：验证码短信中不包含链接或优惠信息，这也能使其避开营销静默时段和链接拦截。
7. 通过受短信防火墙保护的运营商直连监控通道发送，以确保验证码不会被拦截、延迟或遭遇短信刷量欺诈。

BroadNet的[OTP API](https://www.broadnet.me/products/otp)通过1,000多个运营商直连通道交付验证码，并具备多渠道自动回退功能；请参阅[多渠道OTP验证](https://www.broadnet.me/blog/multichannel-otp-verification-api-2026)、[从短信OTP到通行密钥](https://www.broadnet.me/blog/sms-otp-to-passkeys-webauthn-2026)，以及针对运营商的[短信防火墙和SS7保护](https://www.broadnet.me/operators/sms-firewall)。

## 常见问题

### 2026年是否仍允许使用OTP验证码短信？

是的，在大多数标准中均如此。NIST SP 800-63B-4将其归类为受限但允许在AAL2级别使用，PSD2将其视为持有要素，PCI DSS并不禁止，且印度的RBI也予以保留。包括新加坡MAS、香港HKMA和菲律宾BSP在内的一些监管机构，已将银行登录或高风险交易转向更强的方法。

### NIST是否禁止了短信双因素认证？

没有。NIST的SP 800-63B-4（2025年7月）将短信和语音验证码归类为受限认证方式：提供商必须提供一种非受限的替代方案，解释风险并进行评估。在AAL2可以使用短信，但在AAL3中不行，因为后者要求使用具备抗钓鱼能力的认证方式。

### 短信OTP是否符合PSD2标准？

可以符合。根据EBA的Q&A 2018_4039，如果OTP验证码短信能够防止被复制，则可被视为持有要素；而对于支付业务，根据关于强客户认证的RTS第5条，验证码必须与金额和收款人进行动态绑定。

### PCI DSS 4.0是否允许使用短信进行MFA？

PCI DSS 4.0.1并未明确命名或禁止短信。自2025年3月31日起强制执行的第8.4.2和8.5.1条要求，所有进入持卡人数据环境的访问都必须使用MFA，且该认证必须能够抵御重放攻击、无法被绕过，并至少使用两种不同类型的要素。

### 短信OTP的有效期应该是多久？

根据NIST SP 800-63B-4，有效期不得超过10分钟，且每个验证码只能使用一次。许多支付流程使用5分钟或更短的时间，这符合PSD2的非活动限制。

### 哪些国家对银行业务的短信OTP设有限制？

新加坡（2024年起，针对使用数字令牌的客户进行银行登录）、香港（2025年起，银行登录及高风险交易默认绑定设备；券商需在2027年7月前完成）、马来西亚（2022年起需进行迁移）、阿联酋（据报道，银行OTP将在2026年3月前移至应用内）以及菲律宾（大型机构的高风险交易需在2026年6月前完成）。

### PSD3是否已经生效？

截至2026年10月22日尚未生效。PSD3与《支付服务条例》已于2025年11月达成政治协议，目前正等待最终通过并在官方公报上公布。

### 通过短信发送OTP验证码最安全的方式是什么？

使用至少6位随机数字且在几分钟内失效的一次性密码，限制尝试次数，针对风险会话检查SIM卡置换和携号转网信号，确保短信内容不含链接，并通过受短信防火墙保护的运营商直连通道进行发送，同时提供更强效的辅助验证方法。