홍콩 SFC, 암호화폐 플랫폼에 OTP 로그인 중단 명령

홍콩의 증권선물위원회(SFC)는 라이선스를 받은 암호화폐 플랫폼과 인터넷 브로커에 대해 고객 인증 및 기기 바인딩(device binding)에 OTP 로그인을 사용하던 것을 중단하라고 명령했다. SFC는 7월 9일 통지 이후 최대 12개월 내에 피싱에 강한 인증을 도입하라고 밝혔다. 이번 요구는 SMS, 이메일 또는 인증 앱을 통해 전송되는 OTP를 겨냥한다. 규제기관은 이러한 방식이 스푸핑된(가짜) 로그인 페이지와 실시간 계정 탈취(real-time account takeovers)로 인해 여전히 악용될 수 있다고 본다. 따라서 기업은 로그인과 기기 바인딩 모두에 대해 피싱에 강한 방법을 사용해야 하며, 패스키(passkeys, 퍼블릭키 기반의 비밀번호 없는 자격증명)와 검증/바인딩된 기기 인증(verified/bound-device authentication) 등을 포함해야 한다. 로그인 화면을 넘어 SFC는 플랫폼이 계정 보호 스택 전반을 강화할 것을 기대한다. 의심스러운 로그인과 거래/출금 활동을 모니터링하고, 고위험 이벤트(새 기기 로그인, 패스키 변경 등)에 대해 고객에게 알리며, 사고 발생 시 신속히 대응하고 해킹 사례를 즉시 보고해야 한다. 또한 내부 통제 실패와 잠재적인 고객 손실 결과에 대해 책임을 지도록 고위 경영진에게도 명확히 책임을 연결했다. 트레이더 입장에서는 이는 주로 거래소의 리스크 관리 및 운영 컴플라이언스의 변화이지, 직접적인 시장 구조 규칙은 아니다. 다만 OTP 로그인을 제거하면 피싱 기반 계정 침해의 성공률이 낮아질 수 있고, 홍콩 기반 거래 장소의 구현 일정에도 영향을 줄 수 있다.