Гонконзька Комісія з цінних паперів і ф'ючерсів (SFC) наказала скасувати 12-місячний перехідний період для криптовалютних та брокерських компаній

Комісія з цінних паперів і ф'ючерсів Гонконгу наказала ліцензованим платформам для торгівлі віртуальними активами та інтернет-брокерам відмовитися від одноразових паролів для входу клієнтів і реєстрації пристроїв протягом 12 місяців. Це рішення ухвалено у зв’язку з зростанням кількості атак із підробкою, які становили 57% усіх зафіксованих інцидентів безпеки у 2025 році за даними Центру координації кібербезпеки Гонконгу. Регулятор зазначив, що автентифікація на основі OTP вже недостатня для протидії фішингу, імітації та шахрайським операціям, які вводять користувачів у оману та змушують їх передавати коди входу, що дозволяє зловмисникам отримати доступ до акаунтів, реєструвати нові пристрої, здійснювати торги або намагатися зняти кошти до виявлення компрометації.

SFC зобов’язує використовувати Passkeys і прив’язку пристроїв для автентифікації

Циркуляр вимагає від компаній припинити використання OTP для входу клієнтів і прив’язки пристроїв і перейти до більш надійних методів автентифікації, таких як passkeys і прив’язка пристроїв. Регулятор зазначив, що впровадження має відбутися «якнайшвидше», з кінцевим терміном у 12 місяців від дати випуску циркуляра. Великі інтернет-брокери були зобов’язані негайно перейти на нові методи автентифікації. Passkeys зменшують залежність від кодів, які можна викрасти через фішингові сторінки, тоді як прив’язка пристроїв зв’язує доступ до акаунту з довіреними пристроями і ускладнює несанкціоновані спроби входу.

Ліцензовані компанії мають посилити контроль і повідомляти клієнтам про підозрілі активності

Ліцензовані компанії повинні посилити системи моніторингу для виявлення підозрілої активності при вході, торгівлі та зняттях. Це означає слідкувати за незвичними моделями доступу, активністю нових пристроїв, аномальною поведінкою у замовленнях і запитами на зняття, що можуть свідчити про компрометацію акаунту. Регулятор також вимагає швидко повідомляти клієнтів про важливі зміни в акаунтах і оперативно реагувати на випадки зломів. Освіта клієнтів є частиною вимог, і компанії мають регулярно попереджати користувачів про шахрайські схеми, фішинг і нові кіберзагрози.

Др. Йіп Чі-ханг, виконавчий директор відділу посередників SFC, сказав: «Щоб захистити акаунти клієнтів від все більш витончених і різноманітних фішингових атак, потрібен комплексний підхід, що поєднує запобігання, виявлення, реагування і просвіту. Ліцензовані установи мають посилити перший рівень захисту за допомогою надійних рішень для автентифікації, залишатися пильними щодо підозрілої активності і швидко реагувати, щоб запобігти збиткам.»

Вищий керівний склад несе остаточну відповідальність за захист акаунтів

SFC наголосила, що керівництво ліцензованих компаній несе остаточну відповідальність за належний контроль для захисту клієнтських акаунтів і активів. Регулятор попередив, що компанії можуть бути притягнені до відповідальності за збитки клієнтів через недоліки внутрішнього контролю. Політика поширюється як на інтернет-брокерів, так і на платформи торгівлі віртуальними активами, встановлюючи спільний базовий рівень онлайн-фінансового доступу для традиційних цінних паперів і криптовалютних ринків.

FAQ

Які методи автентифікації мають застосовувати гонконгські криптоплатформи і брокери замість OTP?

Компанії мають перейти на більш надійні методи, такі як passkeys і прив’язка пристроїв. Passkeys зменшують залежність від кодів, які можна викрасти через фішингові сторінки, а прив’язка пристроїв зв’язує доступ до акаунту з довіреними пристроями.

Чому SFC наказала відмовитися від входу з OTP?

Це рішення ухвалено у зв’язку з зростанням кількості атак із підробкою, які становили 57% усіх зафіксованих інцидентів безпеки у 2025 році за даними Центру координації кібербезпеки Гонконгу. Регулятор зазначив, що автентифікація на основі OTP вже недостатня для протидії фішингу, імітації та шахрайським операціям.

Який термін для компаній на виконання нових вимог SFC щодо автентифікації?

Компанії мають 12 місяців з дати випуску циркуляра, щоб відмовитися від OTP для входу клієнтів і реєстрації пристроїв. Великі інтернет-брокери були зобов’язані негайно перейти на нові методи автентифікації.