רשות SFC בהונג קונג מורה לפלטפורמות קריפטו להפסיק כניסות עם OTP

רשות ניירות הערך והחוזים של הונג קונג (SFC) הורתה לפלטפורמות קריפטו מורשות ולברוקרים באינטרנט להפסיק להשתמש בכניסות OTP לצורך אימות לקוחות וקישור מכשירים. ה-SFC מסרה שלחברות יש עד 12 חודשים מהודעת ה-9 ביולי כדי לאמץ אימות עמיד בפני פישינג. הדרישה מתמקדת ב-OTP שנשלח באמצעות SMS, דוא"ל או אפליקציות אימות, שלטענת הרגולטור עדיין ניתן לנצל באמצעות דפי התחברות מזויפים (spoofed) והשתלטויות על חשבונות בזמן אמת. לכן על החברות להשתמש באמצעי אימות עמידים בפני פישינג הן עבור ההתחברות והן עבור קישור המכשיר, כולל passkeys (קרדנציאלים מבוססי מפתח ציבורי וללא סיסמה) ואימות מכשיר מאומת/קשור (verified/bound-device). מעבר למסך ההתחברות, ה-SFC מצפה שהפלטפורמות יחזקו את כל שכבת הגנת החשבון: ניטור כניסות חשודות ופעילות מסחר/משיכות, הודעה ללקוחות על אירועים בסיכון גבוה (כמו כניסה ממכשיר חדש ושינויים ב-passkeys), תגובה מהירה לאירועים, ודיווח מיידי על מקרי פריצה. הנהלת הביניים מחויבת באופן מפורש באחריות לכשלים בבקרות פנימיות ולתוצאות אפשריות של אובדן לקוחות. עבור סוחרים, מדובר בעיקר בשינוי בניהול סיכונים של הבורסה ובציות תפעולי, ולא בכלל של מבנה שוק ישיר. עם זאת, ביטול כניסות ה-OTP יכול להפחית את שיעור ההצלחה של פישינג שמוביל לפגיעה בחשבונות, ועשוי לשנות את לוחות הזמנים ליישום עבור זירות הפועלות מהונג קונג.