香港证监会命令经纪商和加密货币平台使用多项一次性密码（OTPs）取代 Passkeys

香港证券及期货事务监察委员会（SFC）在 7 月 9 日发布的要求中，命令互联网经纪商以及获许可的虚拟资产交易平台，将一次性密码替换为抗钓鱼的认证方法。公司必须在 12 个月内实施更强的登录和设备绑定控制；规模更大的经纪商预计将立即启动采用。该指令旨在应对钓鱼攻击，这类攻击在 2025 年期间占香港电脑应急响应协调中心报告的所有网络安全事件的 57%。SFC 表示，传统的一次性密码已无法应对日益复杂的钓鱼活动，这些活动正瞄准在线交易账户。此举强化了香港的做法：将数字资产公司置于与传统金融机构同等的监管标准之下。

SFC 宣布 OTP 已不足以保护账户

SFC 表示，互联网经纪商和虚拟资产交易平台运营商应停止在客户登录和设备绑定中使用一次性密码，因为现已有更安全的认证技术被广泛提供。监管机构举例称，通行密钥（passkeys）和设备绑定属于抗钓鱼的认证方法，能够在即便客户被诱导泄露凭据的情况下，也阻止攻击者获取访问权限。

设备绑定通过使用独特的设备特征，将客户的交易账户与已安全注册的电脑或移动设备关联起来，使不法分子从未经授权的硬件登录变得显著更困难。SFC 在 2025 年 2 月网络安全审查后，首次就与基于 OTP 的认证相关的漏洞向各公司发出警告。最新通告将该指引转化为监管要求。

加密平台面临与传统经纪商相同的认证标准

新的要求同样适用于获许可的证券经纪商以及虚拟资产交易平台运营商。除更强的认证外，公司还必须引入有效的监测系统，能够识别可疑登录尝试、异常交易活动以及异常的提款请求。同时也预计公司会及时通知客户重大账户事件，迅速应对黑客事件，并定期提醒客户有关新兴钓鱼活动及其他网络威胁。

SFC 表示，高级管理层最终仍将对保护客户资产负责，并警告称：若网络安全控制不足导致损失，公司可能会被追究责任。SFC 负责中介机构的执行董事、Intermediaries 主任 Dr. Eric Yip 表示：“要保护客户账户免受日益复杂且难以捉摸的钓鱼攻击，需要采取综合措施，将预防、检测、响应与教育结合起来。获许可的公司应通过强健的认证解决方案强化第一道防线，保持对可疑活动的警惕，并在造成损害前迅速采取行动。”

通行密钥（Passkeys）因抗钓鱼技术获得监管支持

与传统凭据不同，通行密钥依赖于与用户设备相关的加密认证，无法轻易被拦截，也不能通过钓鱼网站被重复使用，包括 Apple、Google 和 Microsoft 在内的科技公司已将通行密钥支持集成到其操作系统中；同时，银行和金融科技公司也已开始为客户认证部署该技术。对经纪商和加密交易所而言，随着网络犯罪分子瞄准可立即提供现金、证券和数字资产访问权限的交易账户，更强的认证变得愈发重要。

SFC 呼吁投资者遵循基本网络安全做法

除技术控制外，SFC 还敦促投资者继续遵循基本网络安全做法，包括使用强且唯一的密码、保持设备更新、仅通过官方网页和应用访问账户，以及审查账户对账单以发现未经授权的活动。监管机构建议：若投资者怀疑其凭据已被泄露或遭到篡改，应立即联系其经纪商或虚拟资产平台，保护其账户，并将事件报告给相关主管部门。

FAQ

香港 SFC 要求经纪商和加密平台替换哪些认证方式？

SFC 要求互联网经纪商以及获许可的虚拟资产交易平台，在 7 月 9 日发布的要求中，将一次性密码替换为抗钓鱼的认证方式，例如通行密钥（passkeys）和设备绑定。

为何 SFC 要求交易账户使用更强的认证？

SFC 指出，在 2025 年期间，钓鱼攻击占香港电脑应急响应协调中心所报告的所有网络安全事件的 57%。该委员会表示，传统一次性密码已不足以应对日益复杂、瞄准在线交易账户的钓鱼活动。

新的认证要求的实施截止时间是什么？

公司必须在 7 月 9 日发布之日起 12 个月内实施更强的登录和设备绑定控制，而规模更大的经纪商预计将立即开始采用这些措施。