La Commission des valeurs mobilières et des contrats à terme de Hong Kong (SFC) a publié une circulaire ordonnant aux sociétés de courtage en ligne et aux plateformes de trading d'actifs virtuels de réviser leur infrastructure de sécurité en éliminant les mots de passe à usage unique (OTP) pour les connexions utilisateur et l'enregistrement des appareils.

Cette mesure d'application s'inscrit dans le cadre de la campagne continue du régulateur contre les prises de contrôle de compte, la fraude et les opérations d'usurpation d'identité visant les intermédiaires financiers en ligne. Les données du Centre de coordination des incidents de cybersécurité de Hong Kong montrent que les attaques par usurpation d'identité ont représenté 57% de tous les incidents de sécurité signalés en 2025, a déclaré le régulateur dans un communiqué jeudi.

Selon le communiqué, les entreprises doivent cesser d'utiliser les OTP pour la connexion client et la liaison d'appareil, et adopter des alternatives telles que les clés d'accès (passkeys) et la liaison d'appareil qui peuvent prévenir l'usurpation d'identité.

La SFC exige une mise en œuvre "dès que possible", avec une date limite de 12 mois à compter de la date d'émission de la circulaire, et a déclaré que les grandes sociétés de courtage en ligne devraient adopter immédiatement les nouvelles méthodes d'authentification.

"Pour protéger les comptes clients des attaques de phishing de plus en plus sophistiquées et variées, une approche globale combinant prévention, détection, réponse et éducation est nécessaire", a déclaré le Dr Yip Chi-hang, Directeur exécutif de la Division des Intermédiaires de la SFC. "Les institutions agréées doivent renforcer leur première ligne de défense grâce à des solutions d'authentification robustes, rester vigilantes face à toute activité suspecte et réagir rapidement avant que des dommages ne surviennent."

En plus des mesures préventives, la SFC a déclaré que les entreprises devaient mettre en œuvre des systèmes de détection et de surveillance pour identifier les activités suspectes de connexion, de trading et de retrait. Le régulateur leur demande également de notifier rapidement les clients de toute activité de compte significative et de répondre aux incidents de piratage en temps opportun, tout en avertissant régulièrement les clients des nouvelles escroqueries par usurpation d'identité et autres risques de cybersécurité.

Le régulateur a également rappelé à la direction générale des sociétés de courtage en ligne agréées et des plateformes de trading d'actifs virtuels qu'elles portent la responsabilité ultime de la mise en œuvre de contrôles appropriés pour protéger les comptes et les actifs des clients. La SFC a déclaré qu'elle tiendrait les entreprises responsables des pertes subies par les clients résultant de lacunes dans leurs contrôles internes.