香港証券先物委員会は、仮想資産取引プラットフォームやインターネットブローカーに対し、ワンタイムパスワード認証をより堅牢なセキュリティ手法に置き換えるよう通知しました。規制当局は、2025年に香港サイバーセキュリティインシデント対応センターに報告されたセキュリティインシデントの57％がフィッシングやスプーフィング攻撃によるものであることを受けて、この義務付けを行いました。企業は、パスキーやバインドデバイス認証などのより強力な代替手段を、12か月以内に採用しなければならず、大規模なインターネットブローカーは直ちにこれらの措置を実施する必要があります。この通知は、従来の認証方法が高度化したサイバー脅威に対して不十分と見なされる中、香港のデジタル資産セクターにおける規制監督の強化を示しています。
証券先物委員会は、プラットフォームに対し、顧客のログインやデバイスバインドのためのOTPの廃止を義務付けています。対象企業は、通知発行から12か月以内にこれらの規制に従う必要があり、大規模なインターネットブローカーは直ちに新しい措置を実施することが求められています。規制当局は、パスキーやバインドデバイス認証がOTPよりも耐性が高く、詐欺に対してより堅牢な検証方法であると説明しています。
SFCはセキュリティ強化と管理責任の明確化を義務付け
この通知には、検知、対応、顧客教育に関する義務が含まれています。仮想資産取引プラットフォームやブローカーは、不審なログイン、取引、出金活動を識別できる監視システムを導入しなければなりません。企業は、重要なアカウントイベントについて速やかに顧客に通知し、ハッキングなどのインシデントに迅速に対応する必要があります。新たなサイバー脅威やなりすまし詐欺に関する継続的な警告も期待されています。
SFCは、これらの企業の上層部がアカウント保護管理の最終責任を負うと述べています。内部管理が不十分と判断された場合、顧客の損失に対して責任を問われることになります。
監視から義務化までの規制タイムライン
SFCは、2024年後半からOTPに関するリスクを監視してきました。2025年2月の通知では、ライセンスを持つ企業に対しOTPからの移行を強く促していました。今回の通知は、その促しを法的な締め切りに変え、今日の義務化を任意の推奨ではなく、法的に拘束力のある要件としています。
よくある質問
香港SFCは仮想通貨プラットフォームに何を求めたのか？
香港証券先物委員会は、仮想資産取引プラットフォームやインターネットブローカーに対し、ワンタイムパスワード認証をパスキーやバインドデバイス認証などのより堅牢なセキュリティ手法に置き換えるよう通知しました。
なぜSFCはOTPを禁止したのか？
規制当局は、2025年に香港サイバーセキュリティインシデント対応センターに報告されたセキュリティインシデントの57％がフィッシングやスプーフィング攻撃によるものであると指摘し、OTP認証は高度化した現代の攻撃に対して不十分になっていると述べています。
新しい認証要件を守る期限はいつか？
対象企業は通知発行から12か月以内に従う必要があり、大規模なインターネットブローカーは直ちに新しい措置を実施することが求められています。
