Комісія з цінних паперів і ф'ючерсів Гонконгу заборонила OTP для криптовалютних платформ через зростання кількості фішингових атак

Гонконзька Комісія з цінних паперів і ф’ючерсів випустила циркуляр, у якому вимагає від платформ торгівлі віртуальними активами та інтернет-брокерів замінити одноразовий пароль на більш надійні методи безпеки. Регулятор послався на фішинг та спуфінг-атаки, які становили 57% усіх інцидентів безпеки, повідомлених до Центру реагування на кіберінциденти Гонконгу у 2025 році, як на причину запровадження цієї вимоги. Компанії мають впровадити більш сильні альтернативи, такі як паскейки та автентифікація прив’язаних пристроїв, протягом 12 місяців, а великі інтернет-брокерські компанії — негайно. Циркуляр є ескалацією регуляторного контролю у секторі цифрових активів Гонконгу, де застарілі методи автентифікації тепер вважаються недостатніми проти складних кіберзагроз.

SFC зобов’язує платформи поступово відмовитися від OTP для входу клієнтів та прив’язки пристроїв. Зобов’язані дотримуватися цього протягом 12 місяців з моменту випуску циркуляра, тоді як великі інтернет-брокерські компанії мають впровадити нові заходи негайно. Регулятор описує паскейки та автентифікацію прив’язаних пристроїв як більш стійкі та захищені від шахрайства порівняно з OTP.

SFC вимагає підвищення безпеки та відповідальності керівництва

Циркуляр окреслює обов’язки щодо виявлення, реагування та навчання клієнтів. Платформи торгівлі віртуальними активами та брокери мають впровадити системи спостереження, здатні виявляти підозрілі входи, торгівлю та зняття коштів. Компанії зобов’язані швидко повідомляти клієнтів про важливі події на рахунках і швидко реагувати на будь-які зломи. Очікується постійне попередження клієнтів про нові кіберзагрози та шахрайські схеми з імітацією.

SFC заявила, що вищий керівний склад цих компаній несе остаточну відповідальність за належний рівень захисту рахунків. Установи, виявивши недосконалі внутрішні заходи безпеки, будуть притягнуті до відповідальності за будь-які збитки клієнтів.

Регуляторний графік: від моніторингу до обов’язкових заходів

З кінця 2024 року SFC контролювала ризики, пов’язані з OTP. У лютому 2025 року регулятор випустив циркуляр, у якому закликав ліцензовані компанії відмовитися від OTP. Поточний циркуляр перетворює цю рекомендацію у обов’язковий регуляторний термін, зробивши вимогу обов’язковою, а не добровільною.

Часті запитання

Що вимагала гонконгська SFC від крипто-платформ?

Вони видали циркуляр, у якому вимагається замінити одноразовий пароль на більш надійні методи безпеки, такі як паскейки та автентифікація прив’язаних пристроїв.

Чому SFC заборонила OTP для крипто-платформ?

Регулятор послався на фішинг та спуфінг-атаки, що становили 57% усіх інцидентів безпеки у 2025 році, зазначаючи, що OTP вже недостатньо захищає від сучасних складних атак.

Який термін для виконання нових вимог автентифікації крипто-платформами?

Зобов’язані дотримуватися протягом 12 місяців з моменту випуску циркуляра, тоді як великі інтернет-брокери мають впровадити нові заходи негайно.