SFC din Hong Kong ordonă platformelor de criptomonede să renunțe la autentificarea prin OTP

Comisia pentru Valori Mobiliare și Contracte Futures din Hong Kong (SFC) a ordonat platformelor cripto licențiate și brokerilor de internet să înceteze utilizarea autentificării prin OTP (one-time password) pentru verificarea clienților și pentru legarea dispozitivelor. SFC spune că firmele au la dispoziție până la 12 luni de la notificarea din 9 iulie pentru a adopta metode de autentificare rezistente la phishing. Cerința vizează OTP-urile livrate prin SMS, e-mail sau aplicații de autentificare, pe care regulatorul susține că pot fi încă exploatate prin pagini de autentificare falsificate (spoofed) și prin preluări de cont în timp real. În consecință, firmele trebuie să folosească metode rezistente la phishing atât pentru autentificarea la login, cât și pentru legarea dispozitivului, inclusiv passkeys (credințe public-key, fără parolă) și autentificarea pe baza unui dispozitiv verificat/legat. Dincolo de ecranul de autentificare, SFC se așteaptă ca platformele să întărească întregul sistem de protecție a contului: să monitorizeze autentificările suspecte și activitățile de tranzacționare/retragere, să notifice clienții despre evenimente cu risc ridicat (precum logările de pe un dispozitiv nou și schimbările de passkey), să răspundă rapid la incidente și să raporteze prompt cazurile de hacking. Responsabilitatea managementului de rang înalt este legată explicit de eșecurile controalelor interne și de posibilele pierderi ale clienților. Pentru traderi, aceasta este în principal o schimbare de management al riscului și de conformitate operațională, nu o regulă directă privind structura pieței. Totuși, eliminarea logării prin OTP poate reduce rata de reușită a compromisurilor de cont determinate de phishing și poate modifica calendarul de implementare pentru platformele cu sediul în Hong Kong.