Hongkongs SFC beordrar kryptoplattformar att sluta med OTP-inloggningar

Hongkongs finansinspektion för värdepapper och terminer (SFC) har beordrat licensierade kryptoplattformar och internetmäklare att sluta använda OTP-inloggningar för kundautentisering och enhetsbindning. SFC uppger att företagen har upp till 12 månader från meddelandet den 9 juli på sig att införa phishing-resistent autentisering. Kravet riktar in sig på OTP som skickas via sms, e-post eller autentiseringsappar, vilket tillsynsmyndigheten menar fortfarande kan utnyttjas genom förfalskade inloggningssidor och kontokapningar i realtid. I stället måste företagen använda phishing-resistenta metoder för både inloggning och enhetsbindning, inklusive passkeys (publiknyckelbaserade, lösenordslösa uppgifter) samt verifierad/bunden enhetsautentisering. Utöver inloggningsskärmen förväntar sig SFC att plattformarna stärker hela kontoskyddsstacken: övervaka misstänkt inloggning och handel/uttag, informera kunder om högriskhändelser (som nya enhetsinloggningar och ändringar av passkeys), reagera snabbt vid incidenter och rapportera hackningsfall omgående. Ledningen hålls uttryckligen ansvarig för brister i interna kontroller och eventuella följder för kundförluster. För handlare handlar detta främst om förändringar i börsens riskhantering och operativ efterlevnad, inte om en direkt regel för marknadsstrukturen. Ändå kan borttagandet av OTP-inloggningar minska framgångsgraden för phishingdrivna kontokompro-misser och kan även påverka tidplanerna för genomförande för handelsplattformar baserade i Hongkong.