香港のSFC、暗号資産プラットフォームにOTPログインの廃止を命令

香港の証券先物委員会（SFC）は、認可された暗号資産プラットフォームおよびインターネット・ブローカーに対し、顧客認証および端末の紐づけ（device binding）にOTPログインを使用することをやめるよう命じました。SFCによれば、7月9日の通知から最大12か月以内にフィッシング耐性のある認証へ移行する必要があります。 この要件は、SMS、電子メール、または認証アプリで送られるOTPを対象としており、規制当局は、なりすまし（spoofed）のログイン画面やリアルタイムのアカウント乗っ取りによって今なお悪用され得るとしています。そのため企業は、ログインと端末紐づけの両方で、フィッシング耐性の手法を用いる必要があり、passkeys（パブリックキー方式のパスワードレス認証情報）や、検証済み／紐づけ済み端末の認証を含めることが求められます。 ログイン画面の外側についても、SFCはプラットフォームに対し、アカウント保護の全体スタックを強化することを期待しています。疑わしいログインや取引／出金の動きを監視し、高リスクな出来事（新しい端末でのログイン、passkeyの変更など）について顧客へ通知し、インシデントには迅速に対応し、ハッキング事案は速やかに報告することが必要です。さらに、経営層には、内部統制の不備および顧客損失の可能性に対する説明責任が明確に紐づけられています。 トレーダーにとっては、主に取引所のリスク管理および運用上のコンプライアンスの変更であり、市場構造に直接関わるルールではありません。ただし、OTPログインをなくすことで、フィッシングによるアカウント侵害の成功率は下がる可能性があり、香港拠点の取引所・会場（venue）での実装時期にも影響が出るかもしれません。