Гонконгський регулятор SFC зобов’язав криптоплатформи відмовитися від входу через OTP

Комісія з цінних паперів і ф’ючерсів Гонконгу (SFC) зобов’язала ліцензовані криптоплатформи та інтернет-брокерів припинити використання OTP-логінів для автентифікації клієнтів і прив’язки пристроїв. SFC заявляє, що компанії мають до 12 місяців з моменту повідомлення від 9 липня, щоб запровадити автентифікацію, стійку до фішингу. Вимога спрямована на OTP, що надсилаються через SMS, електронну пошту або автентифікаційні застосунки. Регулятор стверджує, що їх усе ще можна експлуатувати через підроблені (spoofed) сторінки входу та реальні (real-time) захоплення облікових записів. Тому компаніям потрібно використовувати методи, стійкі до фішингу, як для входу, так і для прив’язки пристрою, зокрема passkeys (публічно-ключові безпарольні облікові дані) та автентифікацію прив’язаного/підтвердженого пристрою. Окрім екрана входу, SFC очікує, що платформи посилять повний “stack” захисту акаунта: моніторити підозрілі входи та торговельні/вивідні операції, сповіщати клієнтів про події з високим ризиком (наприклад, входи з нового пристрою та зміни passkeys), швидко реагувати на інциденти та своєчасно повідомляти про випадки хакерства. Відповідальність керівництва прямо пов’язують із провалами внутрішнього контролю та потенційними втратами клієнтів. Для трейдерів це насамперед зміна в управлінні ризиками біржі та операційній відповідності вимогам, а не пряме правило щодо структури ринку. Проте скасування OTP-логінів може зменшити частоту успішних компрометацій акаунтів, ініційованих фішингом, і може зрушити строки впровадження для майданчиків, що базуються в Гонконзі.