SFC Hong Kong mengarahkan platform kripto berhenti menggunakan log masuk OTP

Suruhanjaya Sekuriti dan Niaga Hadapan Hong Kong (SFC) telah mengarahkan platform kripto berlesen dan broker internet untuk berhenti menggunakan log masuk OTP bagi pengesahan pelanggan dan pengikatan peranti. SFC menyatakan syarikat mempunyai masa sehingga 12 bulan dari notis 9 Julai untuk mengguna pakai pengesahan yang tahan terhadap pancingan (phishing). Keperluan itu menyasar OTP yang dihantar melalui SMS, e-mel atau aplikasi pengesah, yang menurut pengawal selia masih boleh dieksploitasi melalui halaman log masuk yang dipalsukan dan pengambilalihan akaun secara masa nyata. Sebaliknya, syarikat mesti menggunakan kaedah yang tahan phishing untuk kedua-dua proses log masuk dan pengikatan peranti, termasuk passkey (kredensial tanpa kata laluan berasaskan kunci awam) serta pengesahan peranti yang disahkan/dibind. Di luar skrin log masuk, SFC menjangka platform mengukuhkan keseluruhan sistem perlindungan akaun: memantau log masuk dan aktiviti dagangan/ pengeluaran yang mencurigakan, memaklumkan pelanggan tentang peristiwa berisiko tinggi (seperti log masuk daripada peranti baharu dan perubahan passkey), bertindak cepat terhadap insiden dan melaporkan kes penggodaman dengan segera. Akauntabiliti pengurusan kanan juga dikaitkan secara jelas dengan kegagalan kawalan dalaman dan kemungkinan kehilangan pelanggan. Bagi pedagang, ini terutamanya perubahan kepada pengurusan risiko bursa dan pematuhan operasi, bukan peraturan struktur pasaran secara langsung. Namun, menghapuskan log masuk OTP boleh mengurangkan kadar kejayaan kompromi akaun yang dipacu phishing dan mungkin mengubah garis masa pelaksanaan untuk platform berasaskan Hong Kong.