Durante vinte anos, um código de seis dígitos enviado por mensagem de texto foi a forma como o mundo comprovava a identidade online. Esse período está chegando ao fim, e não porque o setor tenha decidido seguir em frente. Foram os órgãos reguladores que decidiram isso.
Os Emirados Árabes Unidos estabeleceram o prazo mais rigoroso: as instituições financeiras licenciadas deveriam deixar de utilizar OTPs por SMS e e-mail até 31 de março de 2026. As Filipinas seguiram o mesmo prazo, com data limite em 30 de junho de 2026 para transações de alto risco. As novas regras de autenticação da Índia entraram em vigor em 1º de abril de 2026, embora funcionem de maneira diferente do que a maioria das reportagens sugere. Nos Estados Unidos, o NIST agora classifica o envio por meio da rede telefônica como um autenticador restrito.
A maioria das reportagens sobre essa mudança se limita ao título. A pergunta mais útil para quem administra um serviço regulamentado é outra: quando o OTP por SMS deixar de existir, para onde a fraude realmente irá?
Os deepfakes estão se tornando cada vez mais sofisticados, aumentando o risco de fraudes e manipulação de identidade em ambientes digitais. Baixe nosso guia de 10 etapas para aprender como detectar ameaças antecipadamente e proteger sua organização com práticas recomendadas comprovadas.
A situação do OTP por SMS em 2026
O quadro não se resume a uma proibição global. Trata-se de um conjunto de regras específicas de cada jurisdição que avançam na mesma direção, mas em ritmos diferentes.
| Jurisdição | Instrumento | Situação em 31 de agosto de 2026 | O que é necessário |
|---|---|---|---|
| Emirados Árabes Unidos | Aviso da CBUAE CBUAE/FCMCP/2025/3057 | O prazo expirou em 31 de março de 2026 | A eliminação do OTP por SMS e e-mail como mecanismo de autenticação para instituições financeiras licenciadas, em favor da aprovação no aplicativo, tokens de software, chaves de acesso e verificação biométrica. A responsabilidade por fraudes no 3D Secure recaiu sobre a instituição a partir de julho de 2025, antes do prazo final |
| Filipinas | Circular nº 1213 (2025) do BSP, que dá execução ao Artigo 6º da Lei contra Fraudes Financeiras em Contas Bancárias (RA 12010) | O prazo expirou em 30 de junho de 2026 | Abandonar o uso de mecanismos passíveis de interceptação (OTP por SMS e e-mail) para transações de alto risco e alterações críticas nas contas. O OTP mantém um único uso permitido: a confirmação da titularidade de um número de celular registrado. O BSP confirmou, em janeiro de 2026, que não prorrogaria a data |
| Índia | Diretrizes do RBI (Mecanismos de Autenticação para Transações de Pagamento Digital), 2025 | Em vigor desde 1º de abril de 2026. Obrigações transfronteiriças relativas ao CNP a partir de 1º de outubro de 2026 | Dois fatores independentes para pagamentos digitais domésticos. Para transações que não sejam com cartão físico, pelo menos um fator deve ser gerado dinamicamente a cada transação ou poder ser comprovado, como um dado biométrico. Não suspende o uso da senha OTP por SMS |
| Vietnã | Decisão n.º 2345/QĐ-NHNN do SBV | Em vigor desde 1º de julho de 2024 | Verificação biométrica, comparada com o cartão de identificação com chip ou com o banco de dados nacional da população, para o primeiro uso de serviços bancários móveis, novos dispositivos e transferências acima de limites definidos |
| Cingapura | Comunicado conjunto da MAS e da ABS, 9 de julho de 2024 | Concluído (medida do setor, não uma proibição legal) | Os principais bancos de varejo deixaram de utilizar a senha de uso único (OTP) para o login nas contas dos clientes que possuíam um token digital ativado, ao longo de um período de transição de três meses |
| União Europeia | Autenticação Forte do Cliente (PSD2) (RTS da EBA). A PSD3 e a PSR foram acordadas politicamente em 27 de novembro de 2025; a adoção e a aplicação ainda estão pendentes | A SCA é de longa data; o quadro sucessor ainda não está em vigor | Dois fatores independentes de categorias distintas, com vinculação dinâmica para transações de pagamento. Espera-se que o PSR torne mais rigorosas as regras relativas à autenticação de dois fatores (SCA) e à responsabilidade por fraudes, com sua aplicação amplamente prevista para 2027–2028 |
| Estados Unidos | NIST SP 800-63B-4, publicado em julho de 2025 (substituiu a revisão anterior em 1º de agosto de 2025) | Aplica-se a órgãos federais; serve de referência de fato em outros âmbitos | O uso da PSTN — ou seja, SMS e chamadas de voz — para transmitir segredos fora da banda é considerado um autenticador restrito. O uso continuado exige uma avaliação de risco documentada, a disponibilidade de uma alternativa não restrita, um aviso claro aos usuários e um plano de migração |
Três detalhes dessa tabela são frequentemente interpretados de forma errada e vale a pena esclarecê-los de forma clara.
A Índia não proibiu o OTP por SMS. As diretrizes do RBI ampliam o conjunto de fatores aceitáveis e elevam o padrão mínimo. O marco normativo afirma que “não exige a descontinuação do OTP baseado em SMS”. O que ele põe fim é à suposição de que o OTP por SMS, por si só, atenda à exigência. Além disso, é mais flexível do que geralmente se divulga: o segundo fator pode ser gerado dinamicamente ou ser comprovável, e é aí que entra a biometria.
A PSD2 também nunca considerou a senha OTP por SMS suficiente por si só. A senha OTP por SMS é um fator de posse único. No âmbito da Autenticação Forte do Cliente, sempre foi necessário um segundo fator independente. A mudança não é a regra; trata-se da tolerância a implementações inadequadas dessa regra.
O Vietnã vem utilizando a versão biométrica desse sistema há dois anos. A Decisão 2345 não restringiu o canal OTP, mas sim acrescentou uma etapa de verificação a mais, comparando os dados com os registros nacionais de identidade. Esse é o precedente existente mais próximo do que se defende no restante deste artigo.
Hong Kong, Malásia, Arábia Saudita e Indonésia encontram-se em diferentes estágios de orientação regulatória ou consulta. A tendência é consistente, mesmo nos casos em que ainda não foi definido um mandato formal.
O que, na verdade, está substituindo a OTP por SMS?
É nesse ponto que muitas interpretações ficam confusas, por isso vale a pena ser preciso.
As alternativas predominantes ao OTP por SMS na autenticação transacional são as chaves de acesso e as credenciais FIDO2, tokens de software dentro do próprio aplicativo do banco e a aprovação por notificação push no aplicativo. Todas as três compartilham a mesma característica fundamental: uma chave privada é gerada no dispositivo do usuário, nunca sai dele e assina um desafio. Nada que possa ser interceptado trafega por uma rede acessível ao invasor.
A biometria está presente nessa arquitetura, mas não na função que a maioria das pessoas imagina. Quando um cliente aprova um pagamento com o rosto ou a impressão digital em seu aplicativo bancário, na maioria das implementações, esses dados biométricos não são comparados com um servidor. Eles servem para desbloquear uma chave privada armazenada localmente no dispositivo. A biometria é um gesto local. A criptografia é o que o banco realmente verifica.
Essa distinção é importante porque representa a diferença entre autenticação e verificação, duas operações que muitas vezes são confundidas e resumidas em uma única palavra. [link interno: autenticação x verificação] A autenticação responde à pergunta: “Este é o mesmo dispositivo e a mesma credencial que registramos?” A verificação responde à pergunta: “Esta é a pessoa certa?”
O NIST os distingue no nível da estrutura do documento. A norma SP 800-63A rege o cadastro e a verificação de identidade. A norma SP 800-63B rege a autenticação e o gerenciamento de autenticadores. São volumes diferentes porque tratam de questões distintas.
A consequência: o risco muda, mas não desaparece
Uma credencial vinculada a um dispositivo é uma resposta robusta a uma pergunta. Ela comprova que um dispositivo específico, que possui uma chave específica, aprovou uma transação específica. Trata-se de uma melhoria significativa em relação a um código que pode ser obtido por meio de phishing, interceptado pela rede SS7 ou redirecionado por meio de uma troca de cartão SIM. [link interno: troca de cartão SIM e fraude em telecomunicações]
O que isso não prova é qual pessoa estava segurando o aparelho.
Todo esquema baseado em hardware ou vinculado a um dispositivo envolve um momento em que uma chave é associada a uma identidade. Esse momento é o cadastro. A segurança criptográfica de tudo o que vem a seguir depende da qualidade da verificação de identidade realizada nesse momento. Uma credencial que não pode ser alvo de phishing não representa uma melhoria se tiver sido emitida para a pessoa errada. Trata-se de uma credencial durável e à prova de phishing nas mãos de um fraudador.
Essa é a consequência prática da eliminação gradual das senhas OTP por SMS, que a maioria dos planos de migração subestima. Quando a camada de autenticação se torna mais segura, os invasores não desistem. Eles passam a atacar nos três momentos em que o dispositivo não pode responder por si mesmo:
- Cadastro. Abertura da conta e vinculação da primeira credencial. É aqui que as identidades sintéticas e as redes de “mulas” entram em cena.
- Recuperação de conta. O cliente perdeu o celular. Não há chave, nem dispositivo, nem elemento de segurança.
- Reassociação de dispositivo e escalonamento de alto risco. Adicionar um novo dispositivo ou autorizar uma transação que exceda o limite de risco que a credencial, por si só, pode suportar.
Os órgãos reguladores começaram a identificar explicitamente esses momentos. O CBUAE exige autenticação reforçada para um conjunto definido de ações sensíveis, incluindo a alteração de configurações de segurança, a atualização de dados pessoais e a solicitação de um novo cartão, e não aceita um novo SMS como forma de autenticação reforçada. O BSP amplia sua regra para além do login, abrangendo alterações críticas na conta. O padrão é o mesmo em ambos: os momentos em que a identidade precisa ser restabelecida são exatamente aqueles que o antigo mecanismo de contingência cobria.
A recuperação de contas é o ponto cego
Desses três, a recuperação é o menos discutido e o mais exposto.
A recuperação é um problema de design reconhecido em grandes implantações de senhas de acesso, e não apenas um argumento de venda dos fornecedores — a Aliança FIDO publica orientações sobre o assunto justamente porque o setor ainda não encontrou uma solução definitiva. A credencial é vinculada ao dispositivo por padrão, e é isso que a torna segura; ao mesmo tempo, é isso que faz com que a perda do dispositivo seja um problema que a credencial não consegue resolver por si só.
Nesse momento, a instituição não dispõe de nenhum recurso criptográfico para utilizar. Ela tem uma pessoa que alega ser um cliente existente. Tradicionalmente, a resposta era uma pergunta baseada em conhecimento, um atendente de call center ou um SMS enviado para o número cadastrado. A norma NIST SP 800-63A-4 estabelece que a verificação baseada em conhecimento não deve ser utilizada para verificação de identidade. A via do SMS é a que está sendo descontinuada. A verificação por call center continua sendo uma área altamente visada por ataques de engenharia social no setor bancário de varejo.
O que resta é a capacidade de verificar se uma pessoa real e viva corresponde à identidade que foi originalmente cadastrada. Trata-se da verificação biométrica de identidade, realizada em comparação com o registro de cadastro, e não de um gesto local de desbloqueio. [link interno: central de verificação de identidade]
Os órgãos reguladores reconheceram isso. A própria definição do CBUAE sobre alternativas aceitáveis inclui a verificação biométrica juntamente com métodos criptográficos, sendo que o Emirates Face Recognition — o serviço nacional de verificação facial dos Emirados Árabes Unidos — é citado em comunicações de supervisão e diretrizes do setor como uma das vias que as instituições devem utilizar. O Vietnã foi além, e mais cedo: a Decisão 2345 exige que a amostra biométrica corresponda ao registro de identidade nacional, o que significa verificação contra uma fonte oficial, e não apenas o desbloqueio de um dispositivo. Os órgãos reguladores que agiram primeiro não se limitaram exclusivamente aos tokens criptográficos.
O que isso exige da camada de verificação
Se a verificação é responsável pela segurança durante o cadastro e a recuperação, ela precisa resistir aos ataques direcionados a esses momentos específicos. A seguir, apresentamos quatro requisitos.
Detecção de ataques contra a apresentação. Fotografias impressas, gravações de tela, máscaras 3D e artefatos de silicone constituem o conjunto de ataques de referência definido no momento do cadastro. A norma ISO/IEC 30107-3 define como é medida a resistência a esses ataques, e a avaliação independente com base nessa norma é o que distingue uma alegação de um resultado.
Resistência a ataques de injeção. Uma parcela cada vez maior das fraudes de identidade remotas nunca envolve a exibição de nada para uma câmera. O invasor contorna totalmente o dispositivo de captura e injeta um vídeo sintético — cada vez mais gerado artificialmente — diretamente no fluxo do aplicativo. Detectar um deepfake convincente em um quadro é um problema técnico diferente de detectar que aquele quadro nunca veio da câmera. É preciso abordar ambos os casos.
Controle do processo de captura, com o mínimo possível de atrito. A recuperação e o cadastro já apresentam atrito; portanto, uma etapa de verificação que peça ao usuário para piscar, virar a cabeça ou seguir um alvo em movimento aumenta a taxa de abandono exatamente no momento errado. Mas a solução não é simplesmente analisar uma imagem que já foi capturada, pois é exatamente para isso que os ataques de injeção são projetados. O que importa é que o sistema controle e proteja a própria captura, e que faça isso em uma única interação rápida, que o usuário não precise aprender.
Processamento no próprio dispositivo. A captura e a análise de vivacidade realizadas no próprio celular reduzem a superfície de ataque, evitam que os dados biométricos sejam transmitidos desnecessariamente e funcionam nas condições de conectividade existentes fora dos mercados urbanos bem atendidos. Isso é importante tanto para o alcance quanto para a segurança. Um método de verificação que só funciona em um celular de última geração com boa largura de banda exclui uma grande parcela da população que os reguladores estão, ao mesmo tempo, tentando integrar ao sistema financeiro formal.
Onde o Identy.io se encaixa
O Identy.io desenvolve a camada de verificação, e não a camada de autenticação. O SDK realiza a captura sem contato de impressões digitais e do rosto com detecção de vida, processada no próprio dispositivo, e alimenta a verificação de identidade durante o cadastro, a recuperação e a reatribuição. [link interno: hub de autenticação biométrica]
Em uma avaliação independente, o Face SDK v6.3.0 da Identy.io foi testado pela iBeta, um laboratório credenciado pelo NIST/NVLAP, de acordo com a norma ISO/IEC 30107-3 no Nível 2 do PAD, apresentando uma taxa de erro de classificação de apresentação de ataques igual a zero em 1.500 tentativas de ataque. No “2025 Remote Identity Validation Rally”, organizado pela Diretoria de Ciência e Tecnologia do DHS na Instalação de Testes de Maryland, a Identy.io relatou aceitação zero de ataques na avaliação Active PAD, que avalia o processo completo de captura com usuários reais, em vez de amostras adquiridas previamente. Os resultados em ambos os casos refletem o desempenho sob os conjuntos específicos de ataques e as condições definidas por essas avaliações, que constituem a única base sobre a qual qualquer alegação de fornecedor neste campo deve ser interpretada.
A tecnologia foi projetada para funcionar em hardware comum de consumo, em vez de dispositivos de captura dedicados, o que permite que o mesmo padrão de verificação seja aplicado em mercados com perfis de dispositivos e condições de rede muito diferentes.
Lista de verificação prática para instituições que estão migrando do SMS OTP
Se você estiver planejando ou auditando uma migração, estas são as questões que vale a pena colocar em discussão:
- Qual órgão regulador, qual instrumento e qual data se aplicam a cada mercado em que você atua? As regras não estão harmonizadas e uma política global acabará por exceder ou ficar aquém dos requisitos em algum lugar.
- O seu plano de migração abrange o cadastro e a recuperação, ou apenas as etapas de login e aprovação de transações?
- O que acontece quando um cliente perde seu dispositivo? Rastreie todo o percurso e identifique quem ou o que toma a decisão sobre a identidade.
- A detecção de ataques do seu sistema de apresentação já foi avaliada de forma independente de acordo com a norma ISO/IEC 30107-3? E em que nível?
- Você consegue distinguir uma apresentação falsificada de um fluxo de vídeo injetado? Trata-se de duas formas distintas de defesa.
- A sua verificação funciona para clientes que utilizam dispositivos básicos e conexões com largura de banda limitada, ou acaba excluindo-os sem que percebam?
Perguntas frequentes
O OTP por SMS foi proibido em todo o mundo?
Não. Dois mercados foram mais longe: os Emirados Árabes Unidos, onde as instituições financeiras licenciadas tiveram que deixar de usar OTP por SMS e e-mail até 31 de março de 2026, e as Filipinas, onde as instituições supervisionadas pelo BSP tiveram que interromper o uso dessa prática para transações de alto risco e alterações críticas em contas até 30 de junho de 2026. Em outros lugares, ela é restrita, considerada obsoleta ou complementada, em vez de proibida. Nos Estados Unidos, a norma NIST SP 800-63B-4 classifica a entrega por meio da rede telefônica como um autenticador restrito, o que permite o uso continuado, desde que haja uma avaliação de risco documentada, uma alternativa disponível, notificação ao usuário e um plano de migração.
O RBI proibiu o uso de OTP por SMS na Índia?
Não. As diretrizes em vigor desde 1º de abril de 2026 exigem dois fatores independentes para pagamentos digitais domésticos. Para transações que não sejam aquelas com cartão físico, pelo menos um fator deve ser gerado dinamicamente para aquela transação ou capaz de ser comprovado, como um dado biométrico. O quadro normativo afirma que não exige a descontinuação da OTP baseada em SMS. Ele eleva o padrão mínimo, em vez de eliminar o método.
A biometria substitui a senha OTP enviada por SMS?
Não diretamente. Na maioria das implantações, a OTP por SMS é substituída por chaves de acesso, tokens de software ou aprovação por notificação push no aplicativo, em que um recurso biométrico desbloqueia uma chave privada armazenada no dispositivo. A biometria substitui a OTP por SMS em um contexto diferente: no cadastro, na recuperação de conta e na reassociação do dispositivo, onde é necessário estabelecer a identidade, em vez de reutilizar uma credencial. A Decisão 2345 do Vietnã é o exemplo regulatório mais claro do uso da biometria nesse segundo sentido.
Por que a recuperação de conta é o ponto fraco?
Isso porque as credenciais vinculadas a dispositivos são seguras justamente por estarem vinculadas a um dispositivo. Quando o dispositivo é perdido, não há chave para ser verificada. A instituição precisa confirmar a identidade do zero, e os métodos alternativos tradicionais — perguntas de segurança e SMS para um número registrado — são justamente aqueles que os órgãos reguladores estão eliminando.
O que é um autenticador restrito, segundo o NIST?
Um método que continua sendo permitido, mas que exige uma análise mais detalhada. De acordo com a norma SP 800-63B-4, o uso da PSTN — ou seja, SMS e chamadas de voz — para transmitir segredos fora da banda é restrito. As organizações que dependem dessa prática devem avaliar e aceitar o risco, garantir que haja uma alternativa sem restrições disponível para os assinantes, notificar os usuários de forma clara sobre a limitação e manter um plano de migração.
O prazo dos Emirados Árabes Unidos já expirou?
Sim. A implementação teve início em julho de 2025, e a data de conformidade foi 31 de março de 2026. A transferência de responsabilidade por fraudes relacionadas ao 3D Secure passou a vigorar antes dessa data, a partir de julho de 2025.
Quais são as mudanças na UE com a PSD3 e a PSR?
A exigência de Autenticação Forte do Cliente, por si só, não é nova. O que muda é o instrumento jurídico e o grau de rigor: o PSR é um regulamento de aplicação direta, e não uma diretiva, e torna mais rigorosas a SCA, o monitoramento de fraudes e a responsabilidade. Chegou-se a um acordo político em 27 de novembro de 2025; a adoção e a data de entrada em vigor ainda estão pendentes, sendo amplamente esperado que a aplicação ocorra entre 2027 e 2028. As instituições devem acompanhar as normas técnicas da EBA, em vez do texto principal.
Obtenha uma demonstração personalizada da nossa plataforma biométrica sem contato e veja como ela se adapta ao seu caso de uso específico.
Obtenha uma demonstração personalizada da nossa plataforma biométrica sem contato e veja como ela se adapta ao seu caso de uso específico.
Referências
- Banco Central dos Emirados Árabes Unidos. Aviso CBUAE/FCMCP/2025/3057, Normas de Proteção ao Consumidor — eliminação gradual das senhas de uso único por SMS e e-mail para instituições financeiras licenciadas. Emitido em 2025; data de cumprimento: 31 de março de 2026. centralbank.ae
- Banco Central da Índia. Banco Central da Índia (Mecanismos de autenticação para transações de pagamento digital). Diretrizes, 2025. Publicadas em 25 de setembro de 2025, com vigência a partir de 1º de abril de 2026; obrigações transfronteiriças para transações sem a presença do cartão a partir de 1º de outubro de 2026. Comunicado à imprensa que acompanha o documento, de 25 de setembro de 2025. rbi.org.in
- Bangko Sentral ng Pilipinas. Circular nº 1213, Série de 2025, que implementa a Seção 6 da Lei contra Fraudes em Contas Financeiras (Lei da República nº 12010). Data de conformidade: 30 de junho de 2026. bsp.gov.ph
- Autoridade Monetária de Cingapura e Associação dos Bancos de Cingapura. Bancos de Cingapura reforçam a resiliência contra golpes de phishing. Comunicado à imprensa, 9 de julho de 2024. https://www.mas.gov.sg/news/media-releases/2024/banks-in-singapore-to-strengthen-resilience-against-phishing-scams
- Banco Estatal do Vietnã. Decisão nº 2345/QĐ-NHNN sobre soluções de segurança e proteção em pagamentos on-line e com cartões bancários. Em vigor a partir de 1º de julho de 2024. sbv.gov.vn
- Instituto Nacional de Padrões e Tecnologia. SP 800-63B-4, Diretrizes de Identidade Digital: Autenticação e Gerenciamento de Autentificadores. Julho de 2025. https://doi.org/10.6028/NIST.SP.800-63B-4 — consulte as disposições relativas aos autenticadores restritos em https://pages.nist.gov/800-63-4/sp800-63b/authenticators/
- Instituto Nacional de Padrões e Tecnologia. SP 800-63A-4, Diretrizes para Identidade Digital: Verificação de Identidade e Cadastro. Julho de 2025. https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-63A-4.pdf
- Autoridade Bancária Europeia. Padrões Técnicos Regulatórios sobre Autenticação Forte do Cliente e comunicação comum e segura no âmbito da PSD2. eba.europa.eu
- Conselho da UE e Parlamento Europeu. Acordo político provisório sobre a Diretiva relativa aos serviços de pagamento (PSD3) e o Regulamento relativo aos serviços de pagamento (PSR), 27 de novembro de 2025.
- ISO/IEC 30107-3:2023. Tecnologia da informação — Detecção de ataques de apresentação biométrica — Parte 3: Testes e relatórios. iso.org
- Departamento de Segurança Interna dos EUA, Diretoria de Ciência e Tecnologia. Rally de Validação Remota de Identidade (RIVR). dhs.gov
- Identy.io. A tecnologia biométrica facial da Identy.io recebe a certificação PAD de nível 2 da norma ISO 30107-3 do NIST com nota máxima. 4 de novembro de 2025.
- Identy.io. A Identy.io alcança aceitação zero de ataques na avaliação de autenticidade facial do RIVR do DHS. Março de 2026.
- Garantia de Qualidade iBeta. Lista pública das cartas de confirmação PAD da norma ISO/IEC 30107-3 (IDENTY Identy.io Face SDK 6.3.0, Nível 2, 6 de outubro de 2025). ibeta.com
