Penghapusan Bertahap SMS OTP CBUAE Maret 2026: Apa yang Harus Dilakukan Bank-bank UEA Sebelum Batas Waktu

Pada 25 Juli 2025, Bank Sentral UEA mulai menerapkan secara bertahap perubahan autentikasi paling signifikan dalam sejarah keuangan UEA. Paling lambat 31 Maret 2026, setiap bank dan lembaga keuangan berlisensi di UEA harus menghapus autentikasi OTP SMS dan email untuk transaksi pelanggan, menggantinya dengan verifikasi biometrik (Emirates Face Recognition), passkey kriptografi FIDO2, persetujuan push dalam aplikasi yang aman, atau biometrik perilaku. UEA adalah negara pertama di dunia yang mewajibkan transisi ini. Standar CBUAE 3057 juga memberlakukan pergeseran tanggung jawab penipuan yang eksplisit: bank kini bertanggung jawab penuh atas kerugian apa pun yang berasal dari kompromi autentikasi berbasis OTP.

Panduan ini menguraikan arahan CBUAE secara mendalam dari sisi operasional: linimasa lengkap, metode penggantian yang disetujui, apa yang telah benar-benar diterapkan oleh setiap bank besar di UEA sejauh ini, kerangka tanggung jawab yang eksplisit, kasus-kasus khusus (pelanggan ponsel fitur dasar, penduduk ekspatriat, pelanggan tanpa residensi UEA, kartu asing), dan prediksi logis tentang regulator GCC lain mana yang akan menyusul. Untuk OTP SMS UEA konteks di luar perbankan, lihat halaman kami Layanan OTP SMS untuk UEA dan Panduan Lengkap OTP SMS UEA.

Jawaban Singkat: Apa Itu Penghapusan Bertahap OTP SMS CBUAE?

CBUAE 3057 adalah arahan dari Bank Sentral UEA yang mewajibkan semua bank dan lembaga keuangan berlisensi UEA untuk menghapus secara bertahap autentikasi OTP SMS dan email paling lambat 31 Maret 2026. Implementasi bertahap dimulai 25 Juli 2025. Pengganti yang disetujui: Emirates Face Recognition (infrastruktur biometrik negara), kunci sandi kriptografi FIDO2 (standar industri), persetujuan push dalam aplikasi yang aman dengan konfirmasi biometrik atau PIN, biometrik perilaku. UEA adalah negara pertama di dunia yang mengambil langkah ini. Bank sekarang bertanggung jawab penuh atas penipuan apa pun yang terkait dengan OTP SMS; jika nasabah kehilangan dana karena penukaran SIM atau phishing, bank akan menggantinya. Mandat ini hanya berlaku untuk bank dan lembaga keuangan berlisensi, bukan untuk BNPL, e-commerce, layanan ride-hailing, layanan pemerintah, atau fintech non-bank.

Linimasa Lengkap CBUAE 3057

• Maret 2025: CBUAE mengomunikasikan arahan yang akan datang kepada semua bank dan lembaga keuangan berlisensi UEA.
• 25 Juli 2025: Implementasi bertahap dimulai. Bank-bank UEA mulai mengalihkan nasabah ke autentikasi berbasis aplikasi untuk transaksi keuangan domestik dan internasional.
• 6 Januari 2026: Bank-bank UEA mulai menghentikan OTP SMS untuk pembayaran kartu online, batas waktu keras pertama untuk kategori transaksi tertentu.
• 31 Maret 2026: Berlaku penuh. Autentikasi OTP SMS dan email tidak lagi diizinkan untuk transaksi nasabah perbankan apa pun. Bank bertanggung jawab penuh atas kerugian akibat penipuan SMS.

Referensi: Liputan Gulf News tentang batas waktu 6 Januari. NewsOnAir tentang tenggat waktu Maret 2026.

Mengapa CBUAE Bertindak (dan Mengapa UEA yang Pertama)

Sektor perbankan UEA mengalami peningkatan tajam dalam penipuan OTP SMS sepanjang 2023-2024, dengan serangan penukaran SIM yang terdokumentasi merugikan nasabah bank UEA puluhan juta AED. Respons CBUAE menggabungkan beberapa faktor:

• Pertumbuhan penipuan penukaran SIM: Insiden penukaran SIM yang dilaporkan di UEA meningkat secara signifikan sepanjang tahun 2023-2024. Dengan penerapan Emirates Face Recognition secara nasional (UAE PASS, Emirates ID) dan ketersediaan adopsi passkey FIDO2, analisis biaya-manfaat bergeser secara tegas menjauhi SMS OTP.
• Phishing dan rekayasa sosial: Operasi phishing canggih yang menargetkan nasabah bank di UEA, seringkali dengan pemalsuan ID pengirim yang disetujui TDRA, membuat model SMS sebagai jangkar kepercayaan tidak dapat dipertahankan.
• Alternatif canggih yang tersedia: UEA telah berinvestasi besar-besaran dalam Emirates Face Recognition (UAE PASS, Otoritas Federal untuk Identitas, Kewarganegaraan, Bea Cukai, dan Keamanan Pelabuhan) menciptakan infrastruktur biometrik nasional yang tidak tersedia di sebagian besar pasar lain. Passkey FIDO2 kini menjadi arus utama di iOS dan Android.
• Keunggulan regulasi sebagai pelopor: Dengan menjadi yang pertama mewajibkan perubahan ini, UEA memposisikan Dubai sebagai pusat inovasi fintech global.

Analisis dari BioCatch dan Sardine.ai memberikan latar belakang terperinci mengenai dasar pemikiran CBUAE.

Metode Pengganti yang Disetujui

1. Emirates Face Recognition

Pencocokan biometrik yang dikeluarkan negara terhadap basis data Otoritas Federal Emirates ID. Tingkat kepercayaan tertinggi. Digunakan saat ini untuk autentikasi UAE PASS, alur orientasi bank tertentu. Integrasi melalui API UAE PASS atau API FA-ICP langsung untuk bank berlisensi. Paling cocok untuk: persetujuan transaksi bernilai tinggi, pembukaan rekening, penyelesaian sengketa.

2. Passkey Kriptografi FIDO2

Kriptografi kunci publik standar industri dengan kunci privat yang terikat perangkat keras. Apple, Google, Microsoft semuanya mendukung passkey secara native. Paling cocok untuk: login rutin, persetujuan transaksi hingga ambang batas yang ditentukan pelanggan. Gesekan lebih rendah dibandingkan pengenalan wajah. Lihat analisis penerapan passkey CBUAE dari Corbado untuk kedalaman implementasi.

3. Persetujuan Push Dalam Aplikasi yang Aman

Aplikasi seluler bank menerima notifikasi push, nasabah membuka aplikasi, meninjau detail transaksi, mengonfirmasi dengan biometrik (sidik jari atau wajah) atau PIN. Ini adalah pola UX dominan yang diterapkan sebagian besar bank. Paling cocok untuk: transaksi tanpa kartu, pembelian online, transfer internal.

4. Biometrik Perilaku

Autentikasi berkelanjutan berdasarkan pola perilaku (ritme pengetikan, pola navigasi, penanganan perangkat). Berfungsi sebagai skor kepercayaan latar belakang yang mengurangi gesekan bagi nasabah yang dikenal baik dan memicu peningkatan verifikasi untuk pola yang mencurigakan. Paling cocok untuk: autentikasi berkelanjutan berbasis risiko, sinyal penipuan yang ditambahkan di atas faktor autentikasi eksplisit.

Apa yang Telah Diterapkan Setiap Bank Besar di UEA (Status per Q1 2026)

Di antara bank-bank UEA, kemajuan penerapan sangat bervariasi:

Mendahului tenggat waktu

• Emirates NBD: Autentikasi berbasis aplikasi penuh untuk perbankan ritel dan UKM. Peluncuran passkey FIDO2 selesai Q4 2025. Emirates Face Recognition terintegrasi untuk transaksi bernilai tinggi. SMS OTP dipertahankan hanya untuk segmen nasabah lansia dengan persetujuan eksplisit.
• First Abu Dhabi Bank (FAB): Posisi yang sebanding. Persetujuan push berbasis aplikasi dominan; dukungan passkey ditambahkan Q4 2025.
• Abu Dhabi Commercial Bank (ADCB): Autentikasi berbasis aplikasi standar; peluncuran passkey sedang berlangsung.

Sesuai jadwal

• Mashreq, ADIB, RAK Bank: Autentikasi berbasis aplikasi tersedia; memperluas dukungan passkey; diharapkan memenuhi tenggat waktu 31 Maret.

Tertinggal tetapi diharapkan dapat mengejar ketertinggalan

• Bank-bank UEA menengah dan kecil: Beberapa masih membangun infrastruktur autentikasi berbasis aplikasi. Risiko denda ketidakpatuhan setelah tenggat waktu.

Catatan: posisi di atas mencerminkan informasi yang tersedia untuk umum dan penilaian analis per Q1 2026. Bank mungkin memiliki penerapan tambahan yang tidak diungkapkan secara publik.

Pergeseran Tanggung Jawab Penipuan yang Jelas

Di antara elemen-elemen paling penting dari CBUAE 3057: bank sekarang bertanggung jawab penuh atas setiap penipuan yang terlacak ke autentikasi berbasis OTP kompromi. Implikasinya:

• Penggantian dana pelanggan. Jika seorang nasabah kehilangan dana karena OTP SMS mereka disadap (SIM swap, phishing, SS7), bank harus mengganti kerugian nasabah atas kehilangan tersebut.
• Perubahan asuransi penipuan. Penjaminan asuransi penipuan bank sedang dikalibrasi ulang. Perkirakan kenaikan premi 15-25 persen untuk bank yang masih menggunakan OTP SMS setelah Q2 2026.
• Implikasi persyaratan cadangan. Bank sedang menghitung ulang cadangan risiko operasional untuk memperhitungkan eksposur kewajiban baru.
• Pasar asuransi SIM swap. Pasar asuransi yang baru muncul untuk perlindungan khusus SIM swap sedang berkembang di MENA. Penjamin utama (Allianz, Marsh, Aon) sedang mengembangkan produk khusus UEA.

Kasus-kasus Khusus: Siapa yang Tidak Dapat Berpindah (dan Cara Melayani Mereka)

1. Nasabah ponsel fitur dasar (diperkirakan 3-5 persen dari nasabah bank UEA)

Nasabah yang menggunakan ponsel fitur dasar tanpa kemampuan ponsel pintar tidak dapat menginstal aplikasi bank, memindai kode QR, atau menggunakan passkey FIDO2. CBUAE mengakui segmen ini ada. Solusi praktis: autentikasi langsung di cabang bank, biometrik suara IVR, atau token perangkat keras (populasi kecil).

2. Penduduk ekspatriat dengan kehadiran terbatas di UEA (2-3 persen)

Nasabah yang menggunakan rekening bank UEA tetapi menghabiskan banyak waktu di luar UEA mungkin memiliki akses terbatas ke Emirates ID, penggunaan UAE PASS yang terputus-putus, dan komplikasi roaming telepon lintas batas. Solusi: kunci perangkat keras FIDO2 yang sudah diterbitkan (YubiKey), passkey Apple Watch/iPhone yang disinkronkan melalui iCloud antar negara.

3. Nasabah tanpa residensi UEA (pemegang kartu asing, penduduk GCC yang menggunakan bank UEA)

Wisatawan dengan kartu pembayaran yang diterbitkan UEA, penduduk GCC yang bertransaksi dengan institusi UEA, ekspatriat yang sementara berada di luar UEA. Solusi: portabilitas passkey FIDO2 lintas batas (berfungsi secara internasional), biometrik perilaku + tinjauan manual tambahan.

4. Nasabah lansia atau dengan kebutuhan aksesibilitas

Pelanggan yang kesulitan dengan pemindaian biometrik (gangguan penglihatan, kesulitan motorik), atau dengan antarmuka ponsel pintar. Solusi: autentikasi terbantu melalui staf cabang, alur pendaftaran passkey yang disederhanakan, saluran bantuan khusus.

Panduan Migrasi untuk Bank di UEA (Jadwal 6 Bulan)

Bulan 1-2: Keputusan arsitektur dan pemilihan vendor

Pilih kombinasi tumpukan autentikasi Anda: penyedia passkey FIDO2, infrastruktur push dalam aplikasi, vendor biometrik (atau bangun di atas Emirates Face Recognition melalui API FA-ICP), lapisan biometrik perilaku. Kombinasi vendor umum: Auth0 + Veriff + UAE PASS; Okta + Daon + FA-ICP; pembangunan kustom di atas WebAuthn + Apple App Attest + Google Play Integrity.

Bulan 3: Perencanaan peluncuran yang mempertimbangkan segmen pelanggan

Segmentasikan basis pelanggan berdasarkan adopsi ponsel pintar, kemampuan biometrik, tingkat nilai transaksi, dan geografi (berdomisili di UEA vs lintas batas). Rencanakan peluncuran secara bertahap: pelanggan dengan kepercayaan tinggi (pengadopsi awal), pasar massal, segmen kasus khusus terakhir.

Bulan 4: Peluncuran awal dengan SMS paralel

Terapkan yang baru autentikasi bersama SMS selama periode paralel 4-6 minggu. Pelanggan melihat kedua metode; biometrik/passkey/push dalam aplikasi ditawarkan sebagai yang utama; SMS tetap sebagai cadangan. Kumpulkan metrik adopsi dan sinyal gesekan.

Bulan 5: Penghentian SMS OTP untuk transaksi

Nonaktifkan SMS OTP untuk autentikasi utama. SMS hanya dipertahankan untuk pelanggan kasus khusus yang didokumentasikan sesuai perkiraan 3-5 persen di atas. Kampanye komunikasi pelanggan yang menjelaskan perubahan tersebut.

Bulan 6: Verifikasi kepatuhan dan pelaporan CBUAE

Dokumentasikan kelengkapan migrasi, penanganan kasus khusus, komunikasi pelanggan, dan kerangka pemantauan berkelanjutan. Ajukan laporan kepatuhan CBUAE.

Apa yang TIDAK Berlaku untuk Mandat CBUAE

Arahan CBUAE 3057 berlaku khusus untuk bank dan lembaga keuangan berlisensi UEA untuk autentikasi transaksi yang berhadapan langsung dengan pelanggan. Ini TIDAK berlaku untuk:

• Platform BNPL (Tabby, Tamara, Postpay, NymCard) — beroperasi di bawah kerangka DFSA, SCA, atau zona bebas. SMS OTP tetap berlanjut.
• Fintech non-bank (bursa kripto, agregator asuransi, platform kekayaan) — terus menggunakan OTP SMS di bawah kerangka peraturan masing-masing.
• E-commerce (Noon, Carrefour UEA, Amazon UEA, Talabat) — OTP SMS terus digunakan untuk pembayaran, COD, pemulihan akun.
• Layanan pemerintah (DubaiNow, MOHRE, RTA, KHDA) — OTP SMS terus digunakan sebagai bagian dari UAE PASS atau alur langsung.
• Pengingat janji temu layanan kesehatan (DHA, penyedia DoH) — SMS terus digunakan (bukan untuk PHI).
• Transportasi daring dan ekonomi gig (Careem, Uber UEA) — OTP SMS terus berlanjut.
• Real estat (Property Finder, Bayut, alur RERA) — OTP SMS terus digunakan.
• Pendidikan (sekolah KHDA, universitas swasta) — OTP SMS terus digunakan.

Prediksi: Regulator GCC Mana yang Akan Mengikuti Selanjutnya

Analisis deduksi logis berdasarkan pola regulasi:

Arab Saudi (SAMA) — 12-24 bulan

SAMA secara historis mengikuti CBUAE dalam regulasi keuangan konsumen dalam 12-24 bulan. Bank-bank Saudi memiliki infrastruktur biometrik yang moderat (Absher, Tawakkalna). Perkirakan SAMA akan mewajibkan penghentian OTP SMS perbankan pada Q1-Q4 2027. Pasar Saudi sekitar 3 kali lipat dari UEA berdasarkan volume perbankan.

Bahrain (CBB) — 18 bulan

CBB secara historis selaras dengan CBUAE untuk kebijakan perbankan lintas-GCC. Pasar Bahrain kecil namun inovatif. Perkirakan arahan serupa dalam 18 bulan.

Qatar (QCB) — 24-36 bulan

QCB lebih konservatif dalam perubahan yang berhadapan langsung dengan konsumen. Visi Qatar 2030 selaras dengan transformasi digital, tetapi langkah-langkah khusus perbankan tertinggal. Perkirakan jangka waktu 24-36 bulan.

Kuwait (CBK) — 24-36 bulan

CBK lebih fokus pada reformasi perbankan syariah; autentikasi konsumen mungkin bukan prioritas jangka pendek. Perkirakan 24-36 bulan.

Oman (CBO) — 36-48 bulan

CBO adalah regulator GCC yang paling terukur. Perubahan autentikasi perbankan kemungkinan akan mengikuti konsensus GCC daripada memimpin. Perkirakan 36-48 bulan.

Untuk operasi perbankan dan fintech di seluruh GCC, implikasi strategisnya adalah: infrastruktur SMS OTP Anda untuk perbankan memiliki sisa masa pakai yang berguna selama 18-36 bulan di seluruh GCC. Rencanakan migrasi multi-pasar sekarang.

Apa yang TIDAK Boleh Dilakukan Bank

• Tunggu hingga Februari 2026 untuk memulai migrasi. Bahkan bank menengah membutuhkan 4-6 bulan untuk penerapan penuh. Memulai terlambat berisiko tidak patuh setelah tenggat waktu.
• Coba pertahankan SMS OTP sebagai opsi cadangan pilihan pelanggan. CBUAE mengharapkan SMS OTP dihentikan untuk transaksi, dengan retensi hanya untuk segmen pelanggan kasus khusus yang didokumentasikan. Opsi cadangan pilihan pelanggan yang luas tidak sesuai.
• Ganti SMS dengan OTP email. OTP email juga termasuk dalam penghapusan bertahap.
• Membangun infrastruktur passkey kustom dari awal. Implementasi pustaka WebAuthn dari Auth0, Okta, FusionAuth, atau SimpleWebAuthn sumber terbuka memberikan dukungan passkey tingkat perusahaan lebih cepat daripada pembangunan kustom.
• Lewati kampanye komunikasi pelanggan. Sinyal gesekan selama transisi itu nyata — pelanggan membutuhkan pesan yang jelas tentang mengapa dan bagaimana.

Dukungan Message Central untuk Bank-Bank UEA dalam Masa Transisi

VerifyNow menawarkan infrastruktur transisi bagi bank-bank di UEA yang beralih dari OTP SMS. OTP WhatsApp dapat berfungsi sebagai faktor sementara (kebal terhadap penukaran SIM, lebih aman dari SMS, opsi jendela layanan gratis) untuk segmen pelanggan yang belum menggunakan autentikasi berbasis aplikasi. Untuk pelanggan kasus khusus yang masih menggunakan SMS, VerifyNow UAE menyediakan deteksi penukaran SIM, analitik perilaku, pemantauan penipuan, dan log audit yang selaras dengan CBUAE. Selain itu, Message Central menyediakan layanan konsultasi untuk integrasi passkey FIDO2, Pengenalan Wajah Emirates melalui API FA-ICP, dan pelapisan biometrik perilaku.

Untuk konsultasi migrasi Anda, kunjungi Layanan OTP SMS untuk UEA atau hubungi kami di Konsol Message Central.

Referensi Otoritas Eksternal

Corbado — Rincian Arahan Penghapusan Bertahap OTP SMS Perbankan UEA 2026. BioCatch — UEA Negara Pertama yang Mulai Menghapus Bertahap OTP SMS dan Email. Sardine.ai — CBUAE 3057 Apa yang Perlu Diketahui Lembaga Keuangan. Gulf News — Bank-Bank UEA Mengakhiri OTP SMS pada 6 Januari. NewsOnAir — Bank Sentral UEA Menetapkan Batas Waktu Maret 2026. Biometric Update — Biometrik Menggantikan OTP SMS di UEA. Pejabat CBUAE.

Pertanyaan yang Sering Diajukan

Apa itu CBUAE 3057 dan kapan mulai berlaku?

CBUAE 3057 adalah arahan Bank Sentral UEA yang mewajibkan semua bank dan lembaga keuangan berlisensi UEA untuk secara bertahap menghentikan autentikasi OTP SMS dan email untuk transaksi pelanggan paling lambat 31 Maret 2026. Implementasi bertahap dimulai 25 Juli 2025. Batas waktu ketat pertama (pembayaran kartu online) mulai berlaku 6 Januari 2026. Pemberlakuan penuh tanpa OTP SMS atau email untuk transaksi perbankan apa pun mulai berlaku 31 Maret 2026. Pengganti yang disetujui adalah biometrik (Emirates Face Recognition), passkey FIDO2, persetujuan push dalam aplikasi dengan konfirmasi biometrik, dan biometrik perilaku.

Siapa yang bertanggung jawab atas penipuan OTP SMS setelah 31 Maret 2026?

Bank-bank UEA kini bertanggung jawab penuh atas penipuan apa pun yang terlacak dari kompromi autentikasi berbasis OTP. Jika OTP SMS pelanggan dicegat melalui penukaran SIM, phishing, atau serangan SS7 dan dana hilang, bank harus mengganti rugi pelanggan. Pergeseran tanggung jawab yang eksplisit ini adalah salah satu mekanisme penegakan terkuat dalam arahan tersebut.

Apakah penghentian bertahap CBUAE memengaruhi BNPL, e-commerce, atau fintech non-bank?

Tidak. Arahan CBUAE 3057 hanya berlaku untuk bank dan lembaga keuangan berlisensi UEA. Platform BNPL (Tabby, Tamara, Postpay, NymCard), e-commerce, ride-hailing, layanan pemerintah, layanan kesehatan, real estat, pendidikan, dan fintech non-bank dapat terus menggunakan OTP SMS di bawah kerangka peraturan masing-masing. Lihat Panduan Lengkap OTP SMS UEA kami untuk apa yang masih berfungsi.

Bank-bank UEA mana yang sudah beralih dari OTP SMS?

Per Q1 2026, Emirates NBD, FAB, dan ADCB lebih cepat dari tenggat waktu dengan autentikasi berbasis aplikasi penuh, peluncuran passkey FIDO2, dan integrasi Emirates Face Recognition. Mashreq, ADIB, dan RAK Bank sesuai jadwal. Bank-bank UEA menengah dan kecil masih membangun infrastruktur dan berisiko terkena sanksi ketidakpatuhan setelah tenggat waktu.

Bagaimana dengan pelanggan yang tidak dapat menggunakan ponsel pintar?

CBUAE mengakui perkiraan 3-5 persen pelanggan yang menggunakan ponsel fitur dasar, 2-3 persen penduduk ekspatriat dengan kehadiran terbatas di UEA, pemegang kartu asing, dan pelanggan lansia atau yang memiliki kebutuhan aksesibilitas. Bank dapat mempertahankan OTP SMS untuk segmen kasus khusus yang didokumentasikan. Solusinya meliputi autentikasi langsung di cabang bank, biometrik suara IVR, kunci perangkat keras FIDO2 (YubiKey), dan autentikasi terbantu melalui staf cabang.

Langkah Selanjutnya

Untuk merencanakan migrasi Anda dari OTP SMS ke autentikasi yang sesuai dengan CBUAE, kunjungi halaman platform Layanan OTP SMS untuk UEA. Untuk konteks OTP SMS UEA yang lebih luas (apa yang masih berfungsi di luar perbankan), lihat Panduan Lengkap SMS OTP UEA 2026. Untuk arsitektur fintech non-bank, lihat Panduan SMS OTP Fintech Non-Bank UEA. Untuk jadwal persetujuan TDRA, lihat Persetujuan ID Pengirim TDRA 2026. Untuk harga di UEA, lihat Harga SMS OTP UEA 2026. Untuk prediksi regulator GCC mana yang akan menyusul, lihat Prediksi Penghapusan Bertahap SMS OTP Perbankan GCC.