La SFC de Hong Kong ordena a las plataformas de criptomonedas que eliminen los inicios de sesión con OTP

La Comisión de Valores y Futuros de Hong Kong (SFC) ha ordenado a las plataformas de cripto con licencia y a los intermediarios de Internet que dejen de usar inicios de sesión con OTP para la autenticación de clientes y el enlace de dispositivos. La SFC indica que las empresas disponen de hasta 12 meses a partir del aviso del 9 de julio para adoptar métodos de autenticación resistentes al phishing. El requisito se dirige a las OTP entregadas por SMS, correo electrónico o aplicaciones de autenticación, que el regulador sostiene que aún pueden explotarse mediante páginas de inicio de sesión suplantadas y apropiaciones de cuentas en tiempo real. En consecuencia, las empresas deben utilizar métodos resistentes al phishing tanto para el inicio de sesión como para el enlace del dispositivo, incluidos los passkeys (credenciales públicas sin contraseña) y la autenticación de dispositivo verificada/vinculada. Más allá de la pantalla de inicio de sesión, la SFC espera que las plataformas fortalezcan el sistema completo de protección de cuentas: supervisar los inicios de sesión y las actividades de trading/retiro sospechosos, notificar a los clientes los eventos de alto riesgo (como inicios de sesión desde nuevos dispositivos y cambios en passkeys), responder con rapidez ante incidentes y reportar los casos de piratería de forma oportuna. La rendición de cuentas de la alta dirección también queda explícitamente vinculada a los fallos de control interno y a los posibles resultados de pérdida para los clientes. Para los traders, esto es principalmente un cambio de gestión de riesgos de la bolsa y de cumplimiento operativo, no una regla directa de estructura de mercado. Aun así, eliminar los inicios de sesión con OTP puede reducir la tasa de éxito de las apropiaciones de cuentas impulsadas por phishing y puede desplazar los calendarios de implementación para los centros con sede en Hong Kong.