La Comisión de Valores y Futuros de Hong Kong emitió una circular ordenando a las firmas de corretaje en línea y a las plataformas de negociación de activos virtuales que renueven su infraestructura de seguridad eliminando las contraseñas de un solo uso para los inicios de sesión de usuarios y el registro de dispositivos.

La medida de aplicación de la ley forma parte de la campaña en curso del regulador contra las tomas de cuenta, el fraude y las operaciones de suplantación de identidad dirigidas a intermediarios financieros en línea. Los datos del Centro de Coordinación de Incidentes de Ciberseguridad de Hong Kong muestran que los ataques de suplantación de identidad representaron el 57% de todos los incidentes de seguridad reportados en 2025, dijo el regulador en un comunicado el jueves.

Según el comunicado, las firmas deben dejar de usar OTPs para el inicio de sesión de clientes y la vinculación de dispositivos y adoptar alternativas como claves de acceso (passkeys) y la vinculación de dispositivos que puedan prevenir la suplantación de identidad.

La SFC exige la implementación "tan pronto como sea practicable", con un plazo de 12 meses a partir de la fecha de emisión de la circular, y dijo que las grandes firmas de corretaje en línea deberían adoptar los nuevos métodos de autenticación de inmediato.

"Para proteger las cuentas de los clientes de ataques de phishing cada vez más sofisticados y variados, es necesario un enfoque integral que combine prevención, detección, respuesta y educación", dijo el Dr. Yip Chi-hang, Director Ejecutivo de la División de Intermediarios de la SFC. "Las instituciones con licencia deben fortalecer su primera línea de defensa a través de soluciones de autenticación robustas, permanecer vigilantes ante actividades sospechosas y responder rápidamente antes de que ocurran daños."

Además de las medidas preventivas, la SFC dijo que las firmas deben implementar sistemas de detección y vigilancia para identificar inicios de sesión, operaciones y actividades de retiro sospechosas. El regulador también les exige que notifiquen rápidamente a los clientes sobre actividades significativas de la cuenta y respondan a incidentes de hacking de manera oportuna, mientras advierten regularmente a los clientes sobre estafas de suplantación de identidad emergentes y otros riesgos de ciberseguridad.

El regulador también recordó a la alta dirección de las firmas de corretaje en línea con licencia y las plataformas de negociación de activos virtuales que tienen la responsabilidad última de implementar controles apropiados para proteger las cuentas y los activos de los clientes. La SFC dijo que responsabilizará a las firmas por las pérdidas de clientes resultantes de deficiencias en sus controles internos.