Eliminación gradual de SMS OTP por el CBUAE en marzo de 2026: Lo que los bancos de EAU deben hacer antes de la fecha límite

El 25 de julio de 2025, el Banco Central de EAU comenzó la implementación progresiva del cambio de autenticación más significativo en la historia financiera de EAU. Para el 31 de marzo de 2026, todos los bancos e instituciones financieras con licencia de EAU deberán eliminar progresivamente la autenticación OTP por SMS y correo electrónico para las transacciones de clientes, sustituyéndolos por verificación biométrica (Reconocimiento Facial de Emirates), claves de acceso criptográficas FIDO2, aprobaciones seguras mediante notificaciones push en la aplicación o biometría conductual. EAU es el primer país del mundo en exigir esta transición. El estándar CBUAE 3057 también impone un cambio explícito en la responsabilidad por fraude: los bancos son ahora totalmente responsables de cualquier pérdida atribuible al compromiso de la autenticación basada en OTP.

Esta guía desglosa la directiva del CBUAE en profundidad operativa: el cronograma completo, los métodos de reemplazo aprobados, lo que cada banco principal de EAU ha implementado hasta ahora, el marco de responsabilidad explícito, los casos excepcionales (clientes con teléfonos básicos, residentes expatriados, clientes sin residencia en EAU, tarjetas extranjeras) y predicciones lógicas sobre qué otros reguladores del CCG seguirán a continuación. Para un contexto más amplio de OTP por SMS en EAU fuera del sector bancario, consulte nuestra página de Servicio de OTP por SMS para EAU y la Guía Completa de OTP por SMS en EAU.

Respuesta rápida: ¿Qué es la eliminación gradual de la OTP por SMS del CBUAE?

CBUAE 3057 es la directriz del Banco Central de los EAU que exige a todos los bancos e instituciones financieras con licencia en los EAU eliminar gradualmente la autenticación OTP por SMS y correo electrónico antes del 31 de marzo de 2026. La implementación progresiva comenzó el 25 de julio de 2025. Sustituciones aprobadas: Reconocimiento Facial de los Emiratos (infraestructura biométrica estatal), claves de acceso criptográficas FIDO2 (estándar de la industria), aprobaciones push seguras en la aplicación con confirmación biométrica o PIN, biometría conductual. Los EAU son el primer país del mundo en dar este paso. Los bancos son ahora totalmente responsables de cualquier fraude relacionado con la OTP por SMS; si un cliente pierde fondos debido a un intercambio de SIM o phishing, el banco los reembolsa. El mandato se aplica solo a bancos e instituciones financieras con licencia, no a BNPL, comercio electrónico, servicios de transporte, servicios gubernamentales o fintech no bancarias.

Cronograma completo de CBUAE 3057

• Marzo de 2025: El CBUAE comunicó la próxima directriz a todos los bancos e instituciones financieras con licencia en los EAU.
• 25 de julio de 2025: Comenzó la implementación progresiva. Los bancos de los EAU comenzaron a hacer la transición de los clientes a la autenticación basada en aplicaciones para transacciones financieras nacionales e internacionales.
• 6 de enero de 2026: Los bancos de los EAU comenzaron a descontinuar las OTP por SMS para pagos con tarjeta en línea, el primer plazo límite estricto para una categoría de transacción específica.
• 31 de marzo de 2026: Entrada en vigor total. La autenticación OTP por SMS y correo electrónico ya no está permitida para ninguna transacción de clientes bancarios. Los bancos son totalmente responsables de las pérdidas por fraude de SMS.

Referencia: Cobertura de Gulf News sobre el plazo límite del 6 de enero. NewsOnAir sobre la fecha límite de marzo de 2026.

Por qué actuó el CBUAE (y por qué los EAU son los primeros)

El sector bancario de los EAU experimentó un fuerte aumento en el fraude de OTP por SMS entre 2023 y 2024, con ataques documentados de intercambio de SIM que costaron a los clientes de los bancos de los EAU decenas de millones de AED. La respuesta del CBUAE combina varios factores:

• Crecimiento del fraude por intercambio de SIM: Los incidentes reportados de intercambio de SIM en los EAU aumentaron significativamente durante 2023-2024. Con el reconocimiento facial de Emirates implementado a nivel nacional (UAE PASS, Emirates ID) y la adopción de claves de acceso FIDO2 disponible, la relación costo-beneficio se alejó decisivamente de las OTP por SMS.
• Phishing e ingeniería social: Las operaciones sofisticadas de phishing dirigidas a clientes bancarios de los EAU, a menudo con suplantación de identidad del remitente aprobada por la TDRA, hicieron insostenible el modelo de SMS como ancla de confianza.
• Alternativas de vanguardia disponibles: Los EAU han invertido fuertemente en el reconocimiento facial de Emirates (UAE PASS, Autoridad Federal de Identidad, Ciudadanía, Aduanas y Seguridad Portuaria), creando una infraestructura biométrica nacional no disponible en la mayoría de los otros mercados. Las claves de acceso FIDO2 son ahora de uso generalizado en iOS y Android.
• Ventaja regulatoria por ser pionero: Al ser los primeros en exigir el cambio, los EAU posicionan a Dubái como un centro global de innovación fintech.

Análisis de BioCatch y Sardine.ai proporciona información detallada sobre la justificación del CBUAE.

Métodos de reemplazo aprobados

1. Reconocimiento facial de Emirates

Coincidencia biométrica emitida por el estado contra la base de datos de la Autoridad Federal de Identificación de los Emiratos. Nivel de confianza más alto. Utilizado hoy para la autenticación de UAE PASS, ciertos flujos de incorporación bancaria. Integración a través de la API de UAE PASS o la API directa de FA-ICP para bancos con licencia. Ideal para: aprobación de transacciones de alto valor, apertura de cuentas, resolución de disputas.

2. Claves de acceso criptográficas FIDO2

Criptografía de clave pública estándar de la industria con claves privadas vinculadas al hardware. Apple, Google, Microsoft, todos soportan las claves de acceso de forma nativa. Ideal para: inicio de sesión rutinario, aprobación de transacciones hasta un umbral definido por el cliente. Menos fricción que el reconocimiento facial. Ver Análisis de Corbado sobre la implementación de claves de acceso CBUAE para una profundización en la implementación.

3. Aprobación segura mediante notificación push en la aplicación

La aplicación móvil del banco recibe una notificación push, el cliente abre la aplicación, revisa los detalles de la transacción, confirma con datos biométricos (huella dactilar o facial) o PIN. El patrón de UX dominante que la mayoría de los bancos están implementando. Ideal para: transacciones sin tarjeta presente, compras en línea, transferencias internas.

4. Biometría conductual

Autenticación continua basada en patrones de comportamiento (ritmo de escritura, patrones de navegación, manejo del dispositivo). Funciona como una puntuación de confianza en segundo plano que reduce la fricción para los clientes de confianza y activa una autenticación reforzada para patrones sospechosos. Ideal para: autenticación continua basada en riesgos, señal de fraude superpuesta a factores de autenticación explícitos.

Lo que ha implementado cada banco principal de EAU (estado a partir del primer trimestre de 2026)

Entre los bancos de EAU, el progreso de la implementación varía sustancialmente:

Adelantados a la fecha límite

• Emirates NBD: Autenticación completa basada en aplicación para banca minorista y PYMES. Implementación de claves de acceso FIDO2 completada en el cuarto trimestre de 2025. Reconocimiento facial de Emirates integrado para transacciones de alto valor. OTP por SMS mantenido solo para segmentos de clientes de edad avanzada con consentimiento explícito.
• First Abu Dhabi Bank (FAB): Posición comparable. Aprobación push basada en aplicación dominante; soporte de claves de acceso añadido en el cuarto trimestre de 2025.
• Abu Dhabi Commercial Bank (ADCB): Autenticación basada en aplicación estándar; implementación de claves de acceso en curso.

En camino

• Mashreq, ADIB, RAK Bank: Autenticación basada en aplicación disponible; ampliando el soporte de claves de acceso; se espera que cumplan la fecha límite del 31 de marzo.

Retrasados pero se espera que recuperen terreno

• Bancos de nivel medio y más pequeños de EAU: Algunos todavía están construyendo la infraestructura de autenticación basada en aplicación. Riesgo de sanciones por incumplimiento después de la fecha límite.

Nota: el posicionamiento anterior refleja la información disponible públicamente y las evaluaciones de analistas a partir del primer trimestre de 2026. Los bancos pueden tener implementaciones adicionales no divulgadas públicamente.

El cambio explícito de responsabilidad por fraude

Entre los elementos más trascendentales de CBUAE 3057: los bancos son ahora totalmente responsables de cualquier fraude atribuido a la autenticación basada en OTP su vulneración. Las implicaciones:

• Reembolso al cliente. Si un cliente pierde fondos porque su OTP por SMS fue interceptado (intercambio de SIM, phishing, SS7), el banco debe reembolsar al cliente por la pérdida.
• Cambios en el seguro contra fraudes. La suscripción de seguros contra fraudes bancarios se está recalibrando. Se esperan aumentos del 15-25 por ciento en las primas para los bancos que sigan utilizando OTP por SMS después del segundo trimestre de 2026.
• Implicaciones en los requisitos de reserva. Los bancos están recalculando las reservas de riesgo operativo para tener en cuenta la nueva exposición a la responsabilidad.
• Mercado de seguros contra el intercambio de SIM. Está surgiendo en MENA un incipiente mercado de seguros para la protección específica contra el intercambio de SIM. Grandes aseguradoras (Allianz, Marsh, Aon) están desarrollando productos específicos para los EAU.

Casos excepcionales: Quiénes no pueden migrar (y cómo atenderlos)

1. Clientes con teléfonos básicos (se estima que representan el 3-5 por ciento de los clientes bancarios de los EAU)

Los clientes que utilizan teléfonos básicos sin capacidad de smartphone no pueden instalar aplicaciones bancarias, escanear códigos QR ni usar claves de acceso FIDO2. El CBUAE reconoce la existencia de este segmento. Solución práctica: autenticación presencial en sucursal bancaria, biometría de voz IVR o token de hardware (población reducida).

2. Residentes expatriados con presencia limitada en los EAU (2-3 por ciento)

Los clientes que utilizan cuentas bancarias de los EAU pero pasan mucho tiempo fuera de los EAU pueden tener un acceso limitado al Emirates ID, un uso intermitente de UAE PASS y complicaciones con el roaming telefónico transfronterizo. Solución: claves de hardware FIDO2 preemitidas (YubiKey), claves de acceso de Apple Watch/iPhone sincronizadas a través de iCloud entre países.

3. Clientes sin residencia en los EAU (titulares de tarjetas extranjeras, residentes del CCG que utilizan bancos de los EAU)

Turistas con tarjetas de pago emitidas en los EAU, residentes del CCG que operan con instituciones de los EAU, expatriados temporalmente fuera de los EAU. Solución: portabilidad transfronteriza de claves de acceso FIDO2 (funciona internacionalmente), biometría conductual + revisión manual adicional.

4. Clientes de edad avanzada o con necesidades de accesibilidad

Clientes con dificultades para el escaneo biométrico (discapacidad visual, dificultad motora) o con interfaces de smartphone. Solución: autenticación asistida por personal de sucursal, flujos simplificados de registro de claves de acceso, línea de atención al cliente dedicada.

Guía de migración para bancos de EAU (Cronograma de 6 meses)

Meses 1-2: Decisión de arquitectura y selección de proveedores

Elija su combinación de pila de autenticación: proveedor de claves de acceso FIDO2, infraestructura de notificaciones push en la aplicación, proveedor biométrico (o desarrolle sobre el Reconocimiento Facial de Emirates a través de la API FA-ICP), capa de biometría conductual. Combinaciones de proveedores comunes: Auth0 + Veriff + UAE PASS; Okta + Daon + FA-ICP; desarrollo personalizado sobre WebAuthn + Apple App Attest + Google Play Integrity.

Mes 3: Planificación del despliegue por segmentos de clientes

Segmente la base de clientes por adopción de smartphones, capacidad biométrica, nivel de valor de transacción y geografía (residentes en EAU vs transfronterizos). Planifique el despliegue en etapas: clientes de alta confianza (adoptadores tempranos), mercado masivo, segmentos de casos extremos al final.

Mes 4: Lanzamiento suave con SMS en paralelo

Despliegue la nueva autenticación junto con SMS durante un período paralelo de 4 a 6 semanas. Los clientes ven ambos métodos; la biometría/clave de acceso/notificación push en la aplicación se ofrece como principal; el SMS permanece como respaldo. Recopile métricas de adopción y señales de fricción.

Mes 5: Retirada del SMS OTP para transacciones

Deshabilite el SMS OTP para la autenticación principal. El SMS se mantiene solo para clientes con casos extremos documentados, según la estimación del 3-5 por ciento mencionada anteriormente. Campaña de comunicación a clientes explicando el cambio.

Mes 6: Verificación de cumplimiento e informes a CBUAE

Documente la completitud de la migración, el manejo de casos extremos, las comunicaciones con los clientes, y el marco de monitoreo continuo. Envíe los informes de cumplimiento a CBUAE.

Lo que NO se aplica al mandato de CBUAE

La directiva CBUAE 3057 se aplica específicamente a bancos e instituciones financieras con licencia en EAU para la autenticación transaccional orientada al cliente. NO se aplica a:

• Plataformas BNPL (Tabby, Tamara, Postpay, NymCard) — operan bajo los marcos de DFSA, SCA o zonas francas. El SMS OTP continúa.
• Fintech no bancaria (intercambios de criptomonedas, agregadores de seguros, plataformas de gestión patrimonial) — continúan utilizando la OTP por SMS bajo sus respectivos marcos regulatorios.
• Comercio electrónico (Noon, Carrefour EAU, Amazon EAU, Talabat) — la OTP por SMS continúa para el pago, el contra reembolso (COD) y la recuperación de cuentas.
• Servicios gubernamentales (DubaiNow, MOHRE, RTA, KHDA) — la OTP por SMS continúa como parte de UAE PASS o flujos directos.
• Recordatorios de citas médicas (proveedores de DHA, DoH) — el SMS continúa (no para IPI).
• Servicios de transporte y economía colaborativa (Careem, Uber EAU) — La OTP por SMS continúa.
• Sector inmobiliario (Property Finder, Bayut, flujos de RERA) — la OTP por SMS continúa.
• Educación (escuelas KHDA, universidades privadas) — la OTP por SMS continúa.

Predicciones: Qué reguladores del CCG seguirán a continuación

Análisis de deducción lógica basado en patrones regulatorios:

Arabia Saudita (SAMA) — 12-24 meses

SAMA históricamente sigue al CBUAE en la regulación financiera del consumidor en un plazo de 12 a 24 meses. Los bancos saudíes tienen una infraestructura biométrica moderada (Absher, Tawakkalna). Se espera que SAMA ordene la eliminación gradual de la OTP por SMS bancaria para el primer-cuarto trimestre de 2027. El mercado saudí es aproximadamente 3 veces el de EAU en volumen bancario.

Baréin (CBB) — 18 meses

El CBB históricamente se alinea con el CBUAE en cuanto a la política bancaria a nivel del CCG. El mercado de Baréin es pequeño pero innovador. Se espera una directriz comparable en un plazo de 18 meses.

Catar (QCB) — 24-36 meses

El QCB es más conservador en cuanto a los cambios que afectan al consumidor. La visión de Catar 2030 se alinea con la transformación digital, pero las medidas específicas del sector bancario van con retraso. Se espera un plazo de 24 a 36 meses.

Kuwait (CBK) — 24-36 meses

El CBK se ha centrado más en la reforma de la banca islámica; la autenticación del consumidor podría no ser una prioridad a corto plazo. Se prevé un plazo de 24 a 36 meses.

Omán (CBO) — 36-48 meses

El CBO es el regulador del CCG más mesurado. Es probable que el cambio en la autenticación bancaria siga el consenso del CCG en lugar de liderarlo. Se prevé un plazo de 36 a 48 meses.

Para las operaciones bancarias y fintech en todo el CCG, la implicación estratégica es la siguiente: su infraestructura de SMS OTP para la banca tiene una vida útil restante de 18 a 36 meses en todo el CCG. Planifique la migración a múltiples mercados ahora.

Lo que los bancos NO deben hacer

• Esperar hasta febrero de 2026 para iniciar la migración. Incluso los bancos de nivel medio necesitan de 4 a 6 meses para una implementación completa. Los inicios tardíos conllevan el riesgo de incumplimiento después de la fecha límite.
• Intentar mantener el SMS OTP como opción de respaldo para el cliente. El CBUAE espera que el SMS OTP se retire para las transacciones, manteniéndose solo para segmentos de clientes con casos excepcionales documentados. Una opción de respaldo general para el cliente no cumple con la normativa.
• Reemplazar el SMS por OTP por correo electrónico. El OTP por correo electrónico también está cubierto por la eliminación gradual.
• Crear una infraestructura de claves de acceso personalizada desde cero. Las implementaciones de la biblioteca WebAuthn de Auth0, Okta, FusionAuth o SimpleWebAuthn de código abierto ofrecen soporte de claves de acceso de nivel empresarial más rápido que las soluciones personalizadas.
• Omitir la campaña de comunicación con el cliente. La fricción durante la transición es real: los clientes necesitan una comunicación clara sobre el porqué y el cómo.

Cómo Message Central apoya a los bancos de EAU durante la transición

VerifyNow ofrece infraestructura transitoria para bancos de EAU que están dejando de usar OTP por SMS. El OTP por WhatsApp puede servir como un factor interino (inmune al intercambio de SIM, más seguro que el SMS, opción de ventana de servicio gratuita) para segmentos de clientes que aún no utilizan autenticación basada en aplicaciones. Para clientes con casos excepcionales que aún usan SMS, VerifyNow EAU ofrece detección de intercambio de SIM, análisis de comportamiento, monitoreo de fraude y registros de auditoría alineados con el CBUAE. Además, Message Central ofrece servicios de asesoramiento para la integración de claves de acceso FIDO2, el reconocimiento facial de Emirates a través de la API FA-ICP y la superposición de biometría conductual.

Para su consulta de migración, visite Servicio de OTP por SMS para EAU o contáctenos en consola de Message Central.

Referencias de Autoridades Externas

Corbado — Desglose de la Directiva de Eliminación Gradual de OTP por SMS en la Banca de EAU 2026. BioCatch — EAU, la primera nación en comenzar a eliminar gradualmente los OTP por SMS y correo electrónico. Sardine.ai — CBUAE 3057 Lo que las instituciones financieras deben saber. Gulf News — Bancos de EAU ponen fin a los OTP por SMS el 6 de enero. NewsOnAir — El Banco Central de EAU establece la fecha límite de marzo de 2026. Biometric Update — La biometría reemplaza los OTP por SMS en EAU. Oficial de CBUAE.

Preguntas Frecuentes

¿Qué es CBUAE 3057 y cuándo entra en vigor?

CBUAE 3057 es la directriz del Banco Central de los EAU que exige a todos los bancos e instituciones financieras con licencia en los EAU eliminar progresivamente la autenticación OTP por SMS y correo electrónico para las transacciones de los clientes antes del 31 de marzo de 2026. La implementación gradual comenzó el 25 de julio de 2025. La primera fecha límite estricta (pagos con tarjeta en línea) entró en vigor el 6 de enero de 2026. La plena entrada en vigor, sin OTP por SMS o correo electrónico para ninguna transacción bancaria, se producirá el 31 de marzo de 2026. Las alternativas aprobadas son biométricas (Reconocimiento Facial de Emirates), claves de acceso FIDO2, aprobación push en la aplicación con confirmación biométrica y biometría conductual.

¿Quién es responsable del fraude por OTP vía SMS después del 31 de marzo de 2026?

Los bancos de los EAU son ahora totalmente responsables de cualquier fraude atribuido a la vulneración de la autenticación basada en OTP. Si la OTP por SMS de un cliente es interceptada mediante un intercambio de SIM, phishing o un ataque SS7 y se pierden fondos, el banco debe reembolsar al cliente. Este cambio explícito de responsabilidad es uno de los mecanismos de aplicación más sólidos de la directriz.

¿La eliminación progresiva de CBUAE afecta a las plataformas BNPL, al comercio electrónico o a las fintech no bancarias?

No. La directriz CBUAE 3057 se aplica únicamente a los bancos e instituciones financieras con licencia en los EAU. Las plataformas BNPL (Tabby, Tamara, Postpay, NymCard), el comercio electrónico, los servicios de transporte, los servicios gubernamentales, la atención médica, los bienes raíces, la educación y las fintech no bancarias pueden seguir utilizando la OTP por SMS bajo sus respectivos marcos regulatorios. Consulte nuestra Guía completa de OTP por SMS en los EAU para saber qué sigue funcionando.

¿Qué bancos de los EAU ya han dejado de usar la OTP por SMS?

A partir del primer trimestre de 2026, Emirates NBD, FAB y ADCB están adelantados a la fecha límite con una autenticación completa basada en aplicaciones, la implementación de claves de acceso FIDO2 y la integración del Reconocimiento Facial de Emirates. Mashreq, ADIB y RAK Bank van por buen camino. Los bancos de nivel medio y más pequeños de los EAU todavía están construyendo infraestructura y se arriesgan a sanciones por incumplimiento después de la fecha límite.

¿Qué pasa con los clientes que no pueden usar teléfonos inteligentes?

CBUAE reconoce que un estimado del 3-5 por ciento de los clientes utilizan teléfonos básicos, el 2-3 por ciento de los residentes expatriados con presencia limitada en los EAU, los titulares de tarjetas extranjeras y los clientes mayores o con necesidades de accesibilidad. Los bancos pueden mantener la OTP por SMS para segmentos de casos excepcionales documentados. Las soluciones incluyen la autenticación presencial en sucursales bancarias, la biometría de voz IVR, las claves de hardware FIDO2 (YubiKey) y la autenticación asistida a través del personal de la sucursal.

Próximos pasos

Para planificar su migración de la OTP por SMS a una autenticación compatible con CBUAE, visite nuestra Página de la plataforma de servicio de OTP por SMS para los EAU. Para un contexto más amplio de la OTP por SMS en los EAU (qué sigue funcionando fuera de la banca), consulte Guía completa de SMS OTP en EAU 2026. Para la arquitectura fintech no bancaria, consulte Guía de SMS OTP para Fintech no bancarias en EAU. Para los plazos de aprobación de TDRA, consulte Aprobación de Sender ID de TDRA 2026. Para los precios en EAU, consulte Precios de SMS OTP en EAU 2026. Para predicciones sobre qué reguladores del CCG seguirán, consulte Predicciones sobre la eliminación gradual de SMS OTP en la banca del CCG.