La SFC di Hong Kong ordina alle piattaforme di criptovalute di eliminare gli accessi con OTP

La Securities and Futures Commission (SFC) di Hong Kong ha ordinato alle piattaforme crypto autorizzate e agli internet broker di smettere di usare gli accessi OTP per l’autenticazione dei clienti e il binding dei dispositivi. La SFC afferma che le aziende hanno fino a 12 mesi dalla comunicazione del 9 luglio per adottare metodi di autenticazione resistenti al phishing. La richiesta riguarda le OTP inviate via SMS, email o app di autenticazione, che il regolatore sostiene possano ancora essere sfruttate tramite pagine di login contraffatte e takeover di account in tempo reale. Le aziende devono quindi usare metodi resistenti al phishing sia per l’accesso sia per il binding del dispositivo, inclusi i passkey (credenziali pubbliche senza password) e l’autenticazione basata su dispositivo verificato/associato. Oltre allo schermo di login, la SFC si aspetta che le piattaforme rafforzino l’intero stack di protezione dell’account: monitorare accessi sospetti e attività di trading/prelievo, notificare ai clienti eventi ad alto rischio (come accessi da nuovi dispositivi e modifiche alle passkey), rispondere rapidamente agli incidenti e segnalare tempestivamente i casi di hacking. La responsabilità della senior management è collegata in modo esplicito ai fallimenti dei controlli interni e alle potenziali perdite per i clienti. Per i trader, si tratta principalmente di un cambiamento di risk management e di compliance operativa per lo scambio, non di una regola diretta sulla struttura del mercato. Tuttavia, rimuovere gli accessi OTP può ridurre il successo degli attacchi di phishing che portano al takeover degli account e può spostare le tempistiche di implementazione per le sedi con base a Hong Kong.