หน่วยงาน SFC ของฮ่องกงสั่งแพลตฟอร์มคริปโทให้เลิกใช้การเข้าสู่ระบบด้วย OTP

คณะกรรมการหลักทรัพย์และสัญญาซื้อขายล่วงหน้าฮ่องกง (SFC) สั่งให้แพลตฟอร์มคริปโทที่ได้รับใบอนุญาตและโบรกเกอร์ออนไลน์หยุดใช้การเข้าสู่ระบบแบบ OTP เพื่อยืนยันตัวตนของลูกค้าและการผูกอุปกรณ์ SFC ระบุว่าองค์กรมีเวลาถึง 12 เดือนนับจากประกาศเมื่อวันที่ 9 กรกฎาคม เพื่อปรับใช้การยืนยันตัวตนที่ทนต่อการฟิชชิง (phishing-resistant) ข้อกำหนดนี้มุ่งไปที่ OTP ที่ส่งผ่าน SMS อีเมล หรือแอปยืนยันตัวตน ซึ่งหน่วยงานกำกับมองว่ายังถูกโจมตีได้ด้วยการใช้หน้าล็อกอินปลอม (spoofed login pages) และการแฮ็ก/ยึดบัญชีแบบเรียลไทม์ ดังนั้นบริษัทต้องใช้วิธีที่ทนต่อฟิชชิงทั้งสำหรับการเข้าสู่ระบบและการผูกอุปกรณ์ รวมถึง passkeys (ข้อมูลรับรองแบบสาธารณะไม่ใช้รหัสผ่าน) และการยืนยันตัวตนของอุปกรณ์ที่ได้รับการตรวจสอบ/ผูกไว้แล้ว นอกเหนือจากหน้าจอล็อกอิน SFC คาดหวังว่าแพลตฟอร์มจะเสริมความแข็งแกร่งให้ “ระบบปกป้องบัญชี” ทั้งหมด เช่น เฝ้าระวังการเข้าสู่ระบบและกิจกรรมการเทรด/การถอนที่น่าสงสัย แจ้งเตือนลูกค้าเมื่อมีเหตุการณ์ที่มีความเสี่ยงสูง (เช่น การเข้าสู่ระบบจากอุปกรณ์ใหม่และการเปลี่ยนแปลง passkey) ตอบสนองอย่างรวดเร็วต่อเหตุการณ์ และรายงานกรณีถูกแฮ็กอย่างทันท่วงที โดย SFC ยังโยงความรับผิดชอบของผู้บริหารระดับสูงอย่างชัดเจนกับความล้มเหลวของการควบคุมภายในและผลกระทบที่อาจเกิดกับลูกค้า สำหรับเทรดเดอร์ นี่เป็นหลัก ๆ การเปลี่ยนแปลงด้านการบริหารความเสี่ยงของการแลกเปลี่ยนและการปฏิบัติตามข้อกำหนดเชิงปฏิบัติการ มากกว่าการเปลี่ยนแปลงโครงสร้างตลาดโดยตรง อย่างไรก็ตาม การตัดการใช้ OTP อาจลดโอกาสความสำเร็จของการโจมตีที่ยึดบัญชีซึ่งเริ่มจากฟิชชิง และอาจทำให้ไทม์ไลน์การนำไปใช้ของแพลตฟอร์มที่อยู่ในฮ่องกงเปลี่ยนแปลงได้เช่นกัน