Ủy ban Chứng khoán và Hối đoái Hong Kong cấm OTPs cho các nền tảng tiền điện tử giữa làn sóng lừa đảo qua mạng

Ủy ban Chứng khoán và Hợp đồng tương lai Hồng Kông (SFC) đã phát hành một thông báo yêu cầu các nền tảng giao dịch tài sản ảo và các nhà môi giới internet thay thế xác thực bằng mật khẩu dùng một lần (OTP) bằng các phương pháp bảo mật mạnh hơn. Cơ quan quản lý cho biết các cuộc tấn công lừa đảo qua email và giả mạo chiếm 57% tổng số sự cố an ninh được báo cáo cho Trung tâm Phản ứng Sự cố An ninh mạng Hồng Kông trong năm 2025 là lý do thúc đẩy quy định này. Các công ty phải áp dụng các phương pháp thay thế an toàn hơn như passkeys và xác thực thiết bị liên kết trong vòng 12 tháng, trong đó các nhà môi giới internet lớn phải thực hiện ngay lập tức. Thông báo này thể hiện sự gia tăng kiểm soát của cơ quan quản lý đối với lĩnh vực tài sản kỹ thuật số tại Hồng Kông, nơi các phương pháp xác thực cũ đã bị xem là không đủ an toàn trước các mối đe dọa mạng tinh vi.

SFC bắt buộc các nền tảng loại bỏ OTP cho cả quá trình đăng nhập của khách hàng và liên kết thiết bị. Các tổ chức liên quan phải tuân thủ trong vòng 12 tháng kể từ ngày ban hành thông báo, trong khi các nhà môi giới internet lớn dự kiến thực hiện các biện pháp mới ngay lập tức. Cơ quan quản lý mô tả passkeys và xác thực thiết bị liên kết là các phương pháp xác thực an toàn và chống gian lận hơn so với OTP.

SFC Yêu Cầu Tăng Cường Bảo Mật và Trách Nhiệm Quản Lý

Thông báo nêu rõ các nghĩa vụ liên quan đến phát hiện, phản ứng và giáo dục khách hàng. Các nền tảng giao dịch tài sản ảo và nhà môi giới phải triển khai hệ thống giám sát có khả năng phát hiện các hoạt động đăng nhập, giao dịch và rút tiền đáng ngờ. Các công ty cần thông báo kịp thời cho khách hàng về các sự kiện quan trọng liên quan đến tài khoản và phản ứng nhanh chóng với các vụ tấn công mạng. Dự kiến sẽ có các cảnh báo liên tục cho khách hàng về các mối đe dọa mạng mới nổi và các vụ lừa đảo giả mạo.

SFC nhấn mạnh rằng ban lãnh đạo cấp cao của các công ty này chịu trách nhiệm cuối cùng về tính đầy đủ của các biện pháp bảo vệ tài khoản. Các tổ chức bị phát hiện có các biện pháp bảo vệ nội bộ không đủ sẽ phải chịu trách nhiệm đối với các thiệt hại của khách hàng phát sinh.

Lộ trình Quản lý và Áp dụng Quy định

SFC đã theo dõi các rủi ro liên quan đến OTP từ cuối năm 2024. Trong một thông báo vào tháng 2 năm 2025, cơ quan này đã khuyến khích các công ty có giấy phép chuyển sang các phương pháp xác thực an toàn hơn. Thông báo hiện tại biến khuyến nghị đó thành một hạn chót chính thức, chuyển từ khuyến nghị thành yêu cầu bắt buộc, không còn là đề xuất tự nguyện nữa.

Câu hỏi thường gặp

Ủy ban Chứng khoán và Hợp đồng tương lai Hồng Kông yêu cầu các nền tảng crypto làm gì?

SFC đã phát hành một thông báo yêu cầu các nền tảng giao dịch tài sản ảo và các nhà môi giới internet thay thế xác thực bằng mật khẩu dùng một lần (OTP) bằng các phương pháp bảo mật mạnh hơn như passkeys và xác thực thiết bị liên kết.

Tại sao SFC cấm OTP cho các nền tảng crypto?

Cơ quan quản lý cho biết các cuộc tấn công lừa đảo qua email và giả mạo chiếm 57% tổng số sự cố an ninh được báo cáo cho Trung tâm Phản ứng Sự cố An ninh mạng Hồng Kông trong năm 2025, và nhận thấy xác thực OTP đã trở nên không đủ an toàn trước các cuộc tấn công tinh vi hiện đại.

Thời hạn để các nền tảng crypto tuân thủ các yêu cầu xác thực mới là khi nào?

Các tổ chức liên quan phải tuân thủ trong vòng 12 tháng kể từ ngày ban hành thông báo, trong khi các nhà môi giới internet lớn dự kiến thực hiện các biện pháp mới ngay lập tức.