香港SFC、ブローカーと仮想通貨プラットフォームにワンタイムパスワード廃止を命令
認可を受けた暗号資産プラットフォームとオンラインブローカーは、2027年7月8日までに顧客ログインと新規端末の登録・ひも付けにおけるOTPを置き換える必要があり、より厳格なサイバーセキュリティ規則の下で不正監視、通知、インシデント対応も強化しなければならない。
ファクトチェック
SFCの主要なプレスリリース（refNo=26PR101）は、規制当局がインターネット証券会社と暗号資産取引プラットフォームに対し、顧客ログインおよびデバイスひも付けにおけるワンタイムパスワードの段階的廃止を命じ、12カ月以内にフィッシング耐性のある手法を導入するよう求めたことを直接確認している。passkeys、デバイスひも付け、ハードウェアセキュリティキーへの言及は、Cointelegraphの記事でも裏付けられており、同記事はpasskeys、暗号学的検証を備えた登録済みデバイス、ハードウェアセキュリティキーを明示的に挙げている。Crypto Briefingも通達26EC35と12カ月の期限を独自に確認している。3つの情報源はいずれも中核となる事実について一致している。
要約
香港証券先物取引委員会（SFC）は、認可を受けた暗号資産サービス提供者とオンラインブローカーに対し、顧客ログインおよび新規端末の登録・ひも付けに使うワンタイムパスワードを、2027年7月8日までにフィッシング耐性のある認証方式へ置き換えるよう命じた。7月9日付の通達は、OTPがこれら2つの手続きについて求められる基準をもはや満たしていないとした一方、その他のOTP利用は変更しないとした。大手オンラインブローカーには直ちにより強固な方式の導入が求められ、より広範な対象先には12カ月の実施期間が設けられる。規制当局はまた、顧客通知、口座監視、不正監視、インシデント対応の強化を即時に求め、不十分な安全対策によりハッキング発生後の大規模な不正取引を防止・検知・停止できなかった場合、顧客損失について企業が責任を問われ得るとした。
用語解説
- パスキー: 再利用可能な秘密情報ではなく公開鍵暗号方式を使うログイン認証情報で、フィッシング防止に役立つ。
- 端末ひも付け: 本人確認後に口座を特定の端末に関連付け、不正アクセスを減らすためのセキュリティ対策。
- 公開鍵暗号方式: 公開鍵と秘密鍵の対を用いる仕組みで、秘密の認証情報をウェブサイトと共有する必要がない。