A SFC de Hong Kong proíbe OTPs para plataformas de criptomoedas devido ao aumento de ataques de phishing

A Comissão de Valores Mobiliários de Hong Kong emitiu um circular que exige que plataformas de negociação de ativos virtuais e corretoras na internet substituam a autenticação por palavra-passe única por métodos de segurança mais robustos. O regulador referiu ataques de phishing e spoofing, responsáveis por 57% de todos os incidentes de segurança reportados ao Centro de Resposta a Incidentes de Cibersegurança de Hong Kong em 2025, como o motivo para a imposição da medida. As empresas devem adotar alternativas mais fortes, como chaves de acesso e autenticação de dispositivo vinculado, no prazo de 12 meses, sendo que as grandes corretoras na internet devem implementar as medidas imediatamente. O circular representa uma intensificação da supervisão regulatória no setor de ativos digitais de Hong Kong, onde os métodos de autenticação tradicionais passaram a ser considerados insuficientes face a ameaças cibernéticas sofisticadas.

A SFC está a exigir que as plataformas eliminem as OTPs tanto nos processos de login dos clientes como na vinculação de dispositivos. As entidades abrangidas devem cumprir dentro de 12 meses após a emissão do circular, enquanto as grandes corretoras na internet devem implementar as novas medidas de imediato. O regulador descreve as chaves de acesso e a autenticação de dispositivo vinculado como métodos de verificação mais resistentes e resistentes a fraudes em comparação com as OTPs.

SFC Exige Segurança Reforçada e Responsabilidade na Gestão

O circular detalha obrigações que abrangem deteção, resposta e educação dos clientes. As plataformas de negociação de ativos virtuais e corretoras devem implementar sistemas de vigilância capazes de identificar atividades suspeitas de login, negociação e levantamento de fundos. As empresas são obrigadas a notificar rapidamente os clientes sobre eventos relevantes nas contas e a responder com rapidez a incidentes de hacking. Espera-se também que sejam emitidos alertas contínuos aos clientes sobre ameaças cibernéticas emergentes e esquemas de impersonação.

A SFC afirmou que a gestão sénior dessas empresas tem a responsabilidade final pela adequação dos controlos de proteção das contas. Instituições consideradas com salvaguardas internas insuficientes serão responsabilizadas por quaisquer perdas sofridas pelos clientes.

Cronograma Regulatório Desde Monitorização até Mandato

A SFC vinha a monitorizar os riscos relacionados com OTP desde o final de 2024. Num circular de fevereiro de 2025, o regulador incentivou fortemente as empresas licenciadas a abandonar as OTPs. O presente circular transforma esse incentivo numa obrigação regulatória firme, tornando o mandato de hoje uma exigência vinculativa em vez de uma recomendação voluntária.

Perguntas Frequentes

O que exigiu a SFC de plataformas de criptomoedas?

A Comissão de Valores Mobiliários de Hong Kong emitiu um circular que exige que plataformas de negociação de ativos virtuais e corretoras na internet substituam a autenticação por palavra-passe única por métodos de segurança mais robustos, como chaves de acesso e autenticação de dispositivo vinculado.

Por que a SFC proibiu as OTPs para plataformas de criptomoedas?

O regulador citou ataques de phishing e spoofing, responsáveis por 57% de todos os incidentes de segurança reportados ao Centro de Resposta a Incidentes de Cibersegurança de Hong Kong em 2025, observando que a autenticação por OTP tornou-se insuficiente contra ataques sofisticados modernos.

Qual é o prazo para as plataformas de criptomoedas cumprirem os novos requisitos de autenticação?

As entidades abrangidas devem cumprir dentro de 12 meses após a emissão do circular, enquanto as grandes corretoras na internet devem implementar as novas medidas de imediato.