Descontinuação de SMS OTP pelo CBUAE em Março de 2026: O Que os Bancos dos EAU Devem Fazer Antes do Prazo Final

Em 25 de julho de 2025, o Banco Central dos EAU iniciou a implementação gradual da mudança de autenticação mais significativa na história financeira dos EAU. Até 31 de março de 2026, todos os bancos e instituições financeiras licenciadas dos EAU devem descontinuar a autenticação por SMS e e-mail OTP para transações de clientes, substituindo-a por verificação biométrica (Reconhecimento Facial Emirates), chaves de acesso criptográficas FIDO2, aprovações seguras por push no aplicativo ou biometria comportamental. Os EAU são o primeiro país do mundo a determinar esta transição. O padrão CBUAE 3057 também impõe uma mudança explícita na responsabilidade por fraude: os bancos são agora totalmente responsáveis por quaisquer perdas rastreadas a comprometimentos de autenticação baseada em OTP.

Este guia detalha a diretriz CBUAE em profundidade operacional: o cronograma completo, os métodos de substituição aprovados, o que cada grande banco dos EAU realmente implementou até agora, a estrutura de responsabilidade explícita, casos extremos (clientes com telefones básicos, residentes expatriados, clientes sem residência nos EAU, cartões estrangeiros) e previsões lógicas sobre quais outros reguladores do CCG seguirão o exemplo. Para um contexto mais amplo de SMS OTP EAU contexto fora do setor bancário, consulte nossa página Serviço de SMS OTP para EAU e o Guia Completo de SMS OTP para EAU.

Resposta Rápida: O que é a descontinuação do OTP por SMS do CBUAE?

CBUAE 3057 é a diretriz do Banco Central dos EAU que obriga todos os bancos e instituições financeiras licenciados nos EAU a descontinuar a autenticação por OTP via SMS e e-mail até 31 de março de 2026. A implementação gradual começou em 25 de julho de 2025. Substituições aprovadas: Reconhecimento Facial dos Emirados (infraestrutura biométrica estatal), chaves de acesso criptográficas FIDO2 (padrão da indústria), aprovações push seguras no aplicativo com confirmação biométrica ou por PIN, biometria comportamental. Os EAU são o primeiro país do mundo a dar este passo. Os bancos são agora totalmente responsáveis por qualquer fraude ligada ao OTP por SMS; se um cliente perder fundos devido a troca de SIM ou phishing, o banco reembolsa. A diretriz aplica-se apenas a bancos e IFs licenciados, não a BNPL, e-commerce, serviços de transporte por aplicativo, serviços governamentais ou fintechs não bancárias.

O Cronograma Completo do CBUAE 3057

• Março de 2025: O CBUAE comunicou a diretriz futura a todos os bancos e instituições financeiras licenciados nos EAU.
• 25 de julho de 2025: A implementação gradual começou. Os bancos dos EAU começaram a fazer a transição dos clientes para a autenticação baseada em aplicativo para transações financeiras domésticas e internacionais.
• 6 de janeiro de 2026: Os bancos dos EAU começaram a descontinuar os OTPs por SMS para pagamentos com cartão online, o primeiro prazo final rigoroso para uma categoria de transação específica.
• 31 de março de 2026: Efeito total. A autenticação por OTP via SMS e e-mail não é mais permitida para nenhuma transação bancária de cliente. Bancos totalmente responsáveis por perdas por fraude via SMS.

Referência: Cobertura do Gulf News sobre o prazo final de 6 de janeiro. NewsOnAir sobre o prazo final de março de 2026.

Por que o CBUAE Agiu (e por que os EAU são os Primeiros)

O setor bancário dos EAU registrou um aumento acentuado na fraude de OTP por SMS entre 2023 e 2024, com ataques de troca de SIM documentados custando dezenas de milhões de AED aos clientes de bancos dos EAU. A resposta do CBUAE combina vários fatores:

• Crescimento da fraude de troca de SIM: Os incidentes de troca de SIM reportados nos EAU aumentaram materialmente ao longo de 2023-2024. Com o Reconhecimento Facial dos Emirados implementado nacionalmente (UAE PASS, Emirates ID) e a adoção de chaves de acesso FIDO2 disponível, a relação custo-benefício afastou-se decisivamente do SMS OTP.
• Phishing e engenharia social: Operações sofisticadas de phishing visando clientes de bancos dos EAU, frequentemente com falsificação de ID de remetente aprovada pela TDRA, tornaram o modelo de SMS como âncora de confiança insustentável.
• Alternativas de ponta em vigor: Os EAU investiram pesadamente no Reconhecimento Facial dos Emirados (UAE PASS, Autoridade Federal para Identidade, Cidadania, Alfândega e Segurança Portuária), criando uma infraestrutura biométrica nacional indisponível na maioria dos outros mercados. As chaves de acesso FIDO2 são agora amplamente utilizadas em iOS e Android.
• Vantagem regulatória de pioneirismo: Ao ser o primeiro a determinar a mudança, os EAU posicionam Dubai como um centro global de inovação fintech.

Análise de BioCatch e Sardine.ai fornece informações detalhadas sobre a lógica do CBUAE.

Métodos de Substituição Aprovados

1. Reconhecimento Facial dos Emirados

Correspondência biométrica emitida pelo Estado contra a base de dados da Autoridade Federal de Identidade dos Emirados. Nível de confiança mais alto. Usado atualmente para autenticação UAE PASS, certos fluxos de integração bancária. Integração via API UAE PASS ou API direta FA-ICP para bancos licenciados. Melhor para: aprovação de transações de alto valor, abertura de contas, resolução de disputas.

2. Chaves de Acesso Criptográficas FIDO2

Criptografia de chave pública padrão da indústria com chaves privadas vinculadas a hardware. Apple, Google, Microsoft suportam chaves de acesso nativamente. Melhor para: login rotineiro, aprovação de transações até um limite definido pelo cliente. Menos atrito do que o reconhecimento facial. Consulte a análise de implementação de chaves de acesso CBUAE da Corbado para profundidade de implementação.

3. Aprovação Segura por Push no Aplicativo

O aplicativo móvel do banco recebe notificação push, o cliente abre o aplicativo, revisa os detalhes da transação, confirma com biometria (impressão digital ou facial) ou PIN. O padrão de UX dominante que a maioria dos bancos está implementando. Mais adequado para: transações sem cartão presente, compras online, transferências internas.

4. Biometria Comportamental

Autenticação contínua baseada em padrões de comportamento (ritmo de digitação, padrões de navegação, manuseio do dispositivo). Funciona como uma pontuação de confiança em segundo plano que reduz o atrito para clientes considerados confiáveis e aciona uma autenticação mais rigorosa para padrões suspeitos. Mais adequado para: autenticação contínua baseada em risco, sinal de fraude sobreposto a fatores de autenticação explícitos.

O Que Cada Grande Banco dos EAU Implementou (Situação no 1º trimestre de 2026)

Entre os bancos dos EAU, o progresso da implementação varia significativamente:

À frente do prazo

• Emirates NBD: Autenticação completa baseada em aplicativo para bancos de varejo e PMEs. Lançamento da chave de acesso FIDO2 concluído no 4º trimestre de 2025. Emirates Face Recognition integrado para transações de alto valor. SMS OTP mantido apenas para segmentos de clientes idosos com adesão explícita.
• First Abu Dhabi Bank (FAB): Posição comparável. Aprovação push baseada em aplicativo dominante; suporte a chaves de acesso adicionado no 4º trimestre de 2025.
• Abu Dhabi Commercial Bank (ADCB): Autenticação baseada em aplicativo padrão; lançamento de chaves de acesso em andamento.

No caminho certo

• Mashreq, ADIB, RAK Bank: Autenticação baseada em aplicativo disponível; expandindo o suporte a chaves de acesso; espera-se que cumpra o prazo de 31 de março.

Atrasados, mas com expectativa de recuperar o atraso

• Bancos de médio porte e menores dos EAU: Alguns ainda estão construindo infraestrutura de autenticação baseada em aplicativo. Risco de penalidades por não conformidade após o prazo.

Nota: o posicionamento acima reflete informações publicamente disponíveis e avaliações de analistas no 1º trimestre de 2026. Os bancos podem ter implementações adicionais não divulgadas publicamente.

A Mudança Explícita de Responsabilidade por Fraude

Entre os elementos mais impactantes do CBUAE 3057: os bancos são agora totalmente responsáveis por qualquer fraude rastreada até autenticação baseada em OTP comprometimento. As implicações:

• Reembolso ao cliente. Se um cliente perder fundos porque seu OTP por SMS foi interceptado (troca de SIM, phishing, SS7), o banco deve reembolsar o cliente pela perda.
• Mudanças no seguro contra fraudes. A subscrição de seguros contra fraudes bancárias está sendo recalibrada. Espere aumentos de prêmio de 15-25 por cento para bancos que ainda utilizam OTP por SMS após o segundo trimestre de 2026.
• Implicações nos requisitos de reserva. Os bancos estão recalculando as reservas de risco operacional para contabilizar a nova exposição à responsabilidade.
• Mercado de seguros contra troca de SIM. Um mercado de seguros nascente para proteção específica contra troca de SIM está surgindo na região MENA. Grandes seguradoras (Allianz, Marsh, Aon) estão desenvolvendo produtos específicos para os Emirados Árabes Unidos.

Casos Limite: Quem Não Consegue Migrar (e Como Atendê-los)

1. Clientes com feature phones básicos (estimado em 3-5 por cento dos clientes bancários dos EAU)

Clientes que usam feature phones básicos sem capacidade de smartphone não conseguem instalar aplicativos bancários, escanear códigos QR ou usar passkeys FIDO2. O CBUAE reconhece a existência deste segmento. Solução prática: autenticação presencial em agência bancária, biometria de voz IVR ou token de hardware (pequena população).

2. Residentes expatriados com presença limitada nos EAU (2-3 por cento)

Clientes que usam contas bancárias nos EAU, mas passam um tempo significativo fora dos EAU podem ter acesso limitado ao Emirates ID, uso intermitente do UAE PASS e complicações com roaming telefônico transfronteiriço. Solução: chaves de hardware FIDO2 pré-emitidas (YubiKey), passkeys de Apple Watch/iPhone sincronizadas via iCloud entre países.

3. Clientes sem residência nos EAU (titulares de cartões estrangeiros, residentes do CCG que usam bancos dos EAU)

Turistas com cartões de pagamento emitidos nos EAU, residentes do CCG que operam com instituições dos EAU, expatriados temporariamente fora dos EAU. Solução: portabilidade de passkey FIDO2 transfronteiriça (funciona internacionalmente), biometria comportamental + revisão manual adicional.

4. Clientes idosos ou com necessidades de acessibilidade

Clientes que têm dificuldade com a leitura biométrica (deficiência visual, dificuldade motora) ou com interfaces de smartphone. Solução: autenticação assistida por funcionários da agência, fluxos simplificados de registo de passkey, linha de apoio dedicada.

Guia de Migração para Bancos dos EAU (Cronograma de 6 Meses)

Mês 1-2: Decisão de arquitetura e seleção de fornecedores

Escolha a sua combinação de pilha de autenticação: fornecedor de passkey FIDO2, infraestrutura de push no aplicativo, fornecedor de biometria (ou construa sobre o Reconhecimento Facial dos Emirados via API FA-ICP), camada de biometria comportamental. Combinações comuns de fornecedores: Auth0 + Veriff + UAE PASS; Okta + Daon + FA-ICP; construção personalizada sobre WebAuthn + Apple App Attest + Google Play Integrity.

Mês 3: Planeamento de implementação considerando os segmentos de clientes

Segmente a base de clientes por adoção de smartphone, capacidade biométrica, nível de valor da transação e geografia (residentes nos EAU vs transfronteiriços). Planeie a implementação em fases: clientes de alta confiança (early adopters), mercado de massa, segmentos de casos extremos por último.

Mês 4: Lançamento suave com SMS paralelo

Implemente a nova autenticação juntamente com SMS por um período paralelo de 4-6 semanas. Os clientes veem ambos os métodos; biometria/passkey/push no aplicativo é oferecido como principal; SMS permanece como alternativa. Colete métricas de adoção e sinais de atrito.

Mês 5: Desative o SMS OTP para transações

Desative o SMS OTP para autenticação primária. SMS retido apenas para clientes de casos extremos documentados, conforme a estimativa de 3-5 por cento acima. Campanha de comunicação com o cliente explicando a mudança.

Mês 6: Verificação de conformidade e relatórios ao CBUAE

Documente a conclusão da migração, o tratamento de casos extremos, comunicações com o cliente, e a estrutura de monitorização contínua. Envie os relatórios de conformidade ao CBUAE.

O Que NÃO Se Aplica ao Mandato do CBUAE

A diretiva CBUAE 3057 aplica-se especificamente a bancos e instituições financeiras licenciados nos EAU para autenticação transacional voltada para o cliente. NÃO se aplica a:

• Plataformas BNPL (Tabby, Tamara, Postpay, NymCard) — operam sob as estruturas DFSA, SCA ou de zonas francas. O SMS OTP continua.
• Fintech não bancária (corretoras de criptomoedas, agregadores de seguros, plataformas de gestão de patrimônio) — continuam a usar OTP por SMS sob os seus respetivos quadros regulatórios.
• E-commerce (Noon, Carrefour UAE, Amazon UAE, Talabat) — O OTP por SMS continua para finalização de compra, pagamento na entrega, recuperação de conta.
• Serviços governamentais (DubaiNow, MOHRE, RTA, KHDA) — O OTP por SMS continua como parte do UAE PASS ou de fluxos diretos.
• Lembretes de consultas médicas (prestadores DHA, DoH) — O SMS continua (não para PHI).
• Transporte por aplicativo e economia gig (Careem, Uber UAE) — OTP por SMS continua.
• Imobiliário (Property Finder, Bayut, fluxos RERA) — O OTP por SMS continua.
• Educação (escolas KHDA, universidades privadas) — O OTP por SMS continua.

Previsões: Quais Reguladores do CCG Seguirão em Seguida

Análise por dedução lógica baseada em padrões regulatórios:

Arábia Saudita (SAMA) — 12-24 meses

A SAMA historicamente segue o CBUAE na regulamentação financeira do consumidor dentro de 12-24 meses. Os bancos sauditas possuem uma infraestrutura biométrica moderada (Absher, Tawakkalna). Espera-se que a SAMA determine a descontinuação do OTP por SMS bancário até o 1º-4º trimestre de 2027. O mercado saudita é ~3 vezes maior que o dos EAU em volume bancário.

Bahrein (CBB) — 18 meses

O CBB historicamente se alinha com o CBUAE para políticas bancárias em todo o CCG. O mercado do Bahrein é pequeno, mas inovador. Espere uma diretriz comparável dentro de 18 meses.

Catar (QCB) — 24-36 meses

O QCB é mais conservador em relação a mudanças voltadas para o consumidor. A visão Qatar 2030 se alinha com a transformação digital, mas as ações específicas para o setor bancário estão atrasadas. Espere um cronograma de 24-36 meses.

Kuwait (CBK) — 24-36 meses

O CBK tem se concentrado mais na reforma do setor bancário islâmico; a autenticação do consumidor pode não ser uma prioridade de curto prazo. Espere 24-36 meses.

Omã (CBO) — 36-48 meses

O CBO é o regulador mais ponderado do CCG. A mudança na autenticação bancária provavelmente seguirá o consenso do CCG, em vez de liderar. Espere 36-48 meses.

Para operações bancárias e fintech em todo o CCG, a implicação estratégica é: sua infraestrutura de SMS OTP para bancos tem uma vida útil restante de 18-36 meses em todo o CCG. Planeje a migração para múltiplos mercados agora.

O Que os Bancos NÃO Devem Fazer

• Esperar até fevereiro de 2026 para iniciar a migração. Mesmo bancos de médio porte precisam de 4-6 meses para uma implementação completa. Inícios tardios arriscam a não conformidade após o prazo.
• Tentar manter o SMS OTP como uma opção de fallback para o cliente. O CBUAE espera que o SMS OTP seja descontinuado para transações, sendo mantido apenas para segmentos de clientes com casos de uso específicos e documentados. Um fallback amplo por escolha do cliente não é compatível.
• Substituir SMS por OTP por e-mail. O OTP por e-mail também está incluído na descontinuação.
• Construir uma infraestrutura de passkey personalizada do zero. Implementações de bibliotecas WebAuthn de Auth0, Okta, FusionAuth ou do SimpleWebAuthn de código aberto oferecem suporte a passkey de nível empresarial mais rapidamente do que construções personalizadas.
• Pular a campanha de comunicação com o cliente. O sinal de atrito durante a transição é real — os clientes precisam de mensagens claras sobre o porquê e como.

Como a Message Central Apoia os Bancos dos EAU Ao Longo da Transição

VerifyNow oferece infraestrutura de transição para bancos dos EAU que estão a migrar do OTP por SMS. O OTP por WhatsApp pode servir como um fator provisório (imune a troca de SIM, mais seguro que SMS, opção de janela de serviço gratuita) para segmentos de clientes que ainda não utilizam autenticação baseada em app. Para clientes de casos extremos que permanecem com SMS, o VerifyNow EAU oferece deteção de troca de SIM, análise comportamental, monitorização de fraude e registos de auditoria alinhados com o CBUAE. Além disso, a Message Central oferece serviços de consultoria para integração de passkeys FIDO2, Reconhecimento Facial dos Emirados via API FA-ICP e camadas de biometria comportamental.

Para a sua consulta de migração, visite Serviço de OTP por SMS para os EAU ou contacte-nos em Message Central console.

Referências de Fontes Externas

Corbado — Análise da Diretiva de Eliminação Progressiva do OTP por SMS na Banca dos EAU em 2026. BioCatch — EAU: Primeira Nação a Começar a Eliminar Progressivamente os OTPs por SMS e E-mail. Sardine.ai — CBUAE 3057: O Que as Instituições Financeiras Precisam Saber. Gulf News — Bancos dos EAU Terminam OTPs por SMS a 6 de Janeiro. NewsOnAir — Banco Central dos EAU Impõe Prazo de Março de 2026. Biometric Update — Biometria a Substituir OTPs por SMS nos EAU. Oficial da CBUAE.

Perguntas Frequentes

O que é o CBUAE 3057 e quando entra em vigor?

O CBUAE 3057 é a diretriz do Banco Central dos EAU que exige que todos os bancos e instituições financeiras licenciados nos EAU eliminem gradualmente a autenticação OTP por SMS e e-mail para transações de clientes até 31 de março de 2026. A implementação faseada começou em 25 de julho de 2025. O primeiro prazo final (pagamentos com cartão online) entrou em vigor em 6 de janeiro de 2026. A entrada em vigor total, sem OTP por SMS ou e-mail para qualquer transação bancária, ocorre em 31 de março de 2026. As substituições aprovadas são biometria (Reconhecimento Facial dos Emirados), chaves de acesso FIDO2, aprovação push no aplicativo com confirmação biométrica e biometria comportamental.

Quem é o responsável por fraudes de OTP por SMS após 31 de março de 2026?

Os bancos dos EAU são agora totalmente responsáveis por qualquer fraude rastreada até o comprometimento da autenticação baseada em OTP. Se o OTP por SMS de um cliente for interceptado via troca de SIM, phishing ou ataque SS7 e houver perda de fundos, o banco deve reembolsar o cliente. Essa transferência explícita de responsabilidade é um dos mecanismos de aplicação mais fortes da diretriz.

A eliminação gradual do CBUAE afeta BNPL, e-commerce ou fintechs não bancárias?

Não. A diretriz CBUAE 3057 aplica-se apenas a bancos e instituições financeiras licenciados nos EAU. Plataformas BNPL (Tabby, Tamara, Postpay, NymCard), e-commerce, serviços de transporte por aplicativo, serviços governamentais, saúde, imóveis, educação e fintechs não bancárias podem continuar usando OTP por SMS sob seus respectivos arcabouços regulatórios. Veja nosso Guia Completo de OTP por SMS nos EAU para o que ainda funciona.

Quais bancos dos EAU já migraram do OTP por SMS?

No primeiro trimestre de 2026, Emirates NBD, FAB e ADCB estão à frente do prazo com autenticação completa baseada em aplicativo, implementação de chaves de acesso FIDO2 e integração do Reconhecimento Facial dos Emirados. Mashreq, ADIB e RAK Bank estão no caminho certo. Bancos de médio porte e menores dos EAU ainda estão construindo infraestrutura e correm o risco de penalidades por não conformidade após o prazo.

E quanto aos clientes que não podem usar smartphones?

O CBUAE reconhece os estimados 3-5 por cento de clientes com telefones básicos, os 2-3 por cento de residentes expatriados com presença limitada nos EAU, titulares de cartões estrangeiros e clientes idosos ou com necessidades de acessibilidade. Os bancos podem manter o OTP por SMS para segmentos de casos extremos documentados. As soluções incluem autenticação presencial em agências bancárias, biometria de voz IVR, chaves de hardware FIDO2 (YubiKey) e autenticação assistida por funcionários da agência.

Próximos Passos

Para planejar sua migração do OTP por SMS para uma autenticação em conformidade com o CBUAE, visite nossa página da plataforma de Serviço de OTP por SMS para os EAU. Para um contexto mais amplo de OTP por SMS nos EAU (o que ainda funciona fora do setor bancário), veja Guia Completo de SMS OTP para os EAU 2026. Para arquitetura de fintechs não bancárias, consulte Guia de SMS OTP para Fintechs Não Bancárias dos EAU. Para os prazos de aprovação da TDRA, consulte Aprovação de ID de Remetente da TDRA 2026. Para preços nos EAU, consulte Preços de SMS OTP nos EAU 2026. Para previsões sobre quais reguladores do CCG seguirão, consulte Previsões de Eliminação Gradual de SMS OTP Bancário no CCG.