Комиссия по ценным бумагам и фьючерсам Гонконга (SFC) выпустила циркуляр, обязывающий интернет-брокеров и операторов платформ для торговли виртуальными активами отказаться от использования одноразовых паролей (OTP) при входе в систему и привязке устройств. Решение принято в рамках борьбы с перехватом учётных записей, мошенничеством и спуфингом: в 2025 году на подмену личности пришлось 57% всех зарегистрированных киберинцидентов в регионе.
Согласно распоряжению, компании должны прекратить применение SMS-кодов, email- или push-уведомлений как способа аутентификации и внедрить устойчивые к фишингу альтернативы — ключи-пароли (passkeys), аппаратные токены и криптографическую проверку устройств. Крупным интернет-брокерам предписано перейти на новые стандарты немедленно, всем остальным — «как можно скорее», но в пределах 12 месяцев с даты публикации циркуляра.
«Для защиты клиентских счетов от всё более изощрённых фишинговых атак необходим комплексный подход, сочетающий предотвращение, выявление, реагирование и обучение», — заявил д-р Ип Чи-хан, исполнительный директор подразделения посредников SFC. Компании также обязаны усилить системы мониторинга подозрительных входов, торговых операций и вывода средств, оперативно уведомлять клиентов о значимой активности и своевременно реагировать на взломы. SFC подчеркнула, что высшее руководство лицензированных фирм несёт личную ответственность за внедрение надлежащих мер защиты, и напомнила, что за клиентские потери, вызванные недостатками внутреннего контроля, последуют санкции.
Ужесточение требований происходит на фоне всплеска фишинговых и социоинженерных атак на криптосектор в начале 2026 года, повлёкших крупные убытки по всему миру. Регулятор также призывает пользователей самостоятельно заботиться о безопасности паролей и устройств, совершать операции только через официальные сайты и приложения, а о компрометации счетов сообщать незамедлительно.
