Ủy ban Chứng khoán và Hợp đồng Tương lai Hồng Kông đã ban hành một thông tư yêu cầu các công ty môi giới internet và nền tảng giao dịch tài sản ảo đại tu cơ sở hạ tầng bảo mật của họ bằng cách loại bỏ mật khẩu một lần (OTP) cho việc đăng nhập người dùng và đăng ký thiết bị.

Hành động thực thi này là một phần trong chiến dịch đang diễn ra của cơ quan quản lý nhằm chống lại các vụ chiếm đoạt tài khoản, gian lận và tấn công mạo danh nhắm vào các trung gian tài chính trực tuyến. Dữ liệu từ Trung tâm Điều phối Sự cố An ninh Mạng Hồng Kông cho thấy các cuộc tấn công mạo danh chiếm 57% tổng số sự cố an ninh được báo cáo vào năm 2025, cơ quan quản lý cho biết trong một tuyên bố vào thứ Năm.

Theo tuyên bố, các công ty phải ngừng sử dụng OTP cho việc đăng nhập của khách hàng và liên kết thiết bị, đồng thời áp dụng các giải pháp thay thế như khóa bảo mật (passkeys) và liên kết thiết bị có thể ngăn chặn hành vi mạo danh.

SFC yêu cầu triển khai "càng sớm càng tốt", với thời hạn 12 tháng kể từ ngày ban hành thông tư, và cho biết các công ty môi giới internet lớn nên áp dụng các phương pháp xác thực mới ngay lập tức.

"Để bảo vệ tài khoản khách hàng khỏi các cuộc tấn công lừa đảo ngày càng tinh vi và đa dạng, một cách tiếp cận toàn diện kết hợp phòng ngừa, phát hiện, ứng phó và giáo dục là cần thiết," Tiến sĩ Yip Chi-hang, Giám đốc Điều hành Khối Trung gian của SFC, cho biết. "Các tổ chức được cấp phép nên tăng cường tuyến phòng thủ đầu tiên của mình thông qua các giải pháp xác thực mạnh mẽ, luôn cảnh giác trước các hoạt động đáng ngờ và phản ứng nhanh chóng trước khi thiệt hại xảy ra."

Ngoài các biện pháp phòng ngừa, SFC cho biết các công ty phải triển khai hệ thống phát hiện và giám sát để xác định các hoạt động đăng nhập, giao dịch và rút tiền đáng ngờ. Cơ quan quản lý cũng yêu cầu họ phải thông báo kịp thời cho khách hàng về các hoạt động tài khoản quan trọng và ứng phó với các sự cố tấn công mạng một cách nhanh chóng, đồng thời thường xuyên cảnh báo khách hàng về các chiêu trò lừa đảo mạo danh mới nổi và các rủi ro an ninh mạng khác.

Cơ quan quản lý cũng nhắc nhở ban lãnh đạo cấp cao tại các công ty môi giới internet được cấp phép và nền tảng giao dịch tài sản ảo rằng họ chịu trách nhiệm cuối cùng trong việc triển khai các biện pháp kiểm soát thích hợp để bảo vệ tài khoản và tài sản của khách hàng. SFC cho biết họ sẽ buộc các công ty phải chịu trách nhiệm về các khoản lỗ của khách hàng phát sinh từ những thiếu sót trong kiểm soát nội bộ của họ.