香港、暗号資産プラットフォームでのSMSログインを禁止

香港証券先物委員会（SFC）は、認可を受けた暗号資産取引所とオンラインブローカーに対し、顧客ログインにワンタイムパスワード（OTP）を使用することを停止するよう命じた。これは、フィッシング詐欺によるアカウント乗っ取りに対する、これまでで最も直接的な規制措置の一つである。

ファイナンス・マグネイトによると香港証券先物委員会（SFC）は、仮想資産取引プラットフォーム（VATP）およびインターネットブローカーに対し、SMS、電子メール、アプリベースのワンタイムパスワード（OTP）をフィッシング対策に優れた代替手段に置き換えるよう指示する通達を発行した。SFCは、OTPにはリスクが伴うが、より強力な代替手段によってそのリスクを排除できると述べた。

企業がすべきこと

SFCは、プラットフォームに対し、パスキー、暗号的に検証された登録済みデバイス、ハードウェアセキュリティキーなどの方法を採用するよう指示している。テキストメッセージやアプリで送信されるワンタイムパスワード（OTP）は、偽のログインページで攻撃者にリアルタイムで転送される可能性があるが、パスキーやバインドされたデバイスは、アクセスを特定のデバイスまたはハードウェア認証情報に結び付けることで、その脆弱性を解消する。

認可を受けた企業は、可能な限り速やかに新たな認証フレームワークを導入することが求められ、12ヶ月以内に完全準拠する必要がある。証券先物委員会（SFC）は、大手オンライン証券会社は直ちに、より厳格な認証方法を採用すべきだと述べた。

SFCはまた、オンラインブローカーおよびVATPの経営陣に対し、顧客口座および資産を保護するための適切な管理体制を導入する最終的な責任は彼らにあり、これらの管理体制の不備から生じた顧客の損失については責任を問われることを改めて警告した。

SFCは認証に加え、企業に対し、不審なログイン、取引、出金活動を監視し、重要な口座イベントを顧客に通知し、情報漏洩に迅速に対応するよう指示した。

SFCが今行動を起こす理由

フィッシングによる損失の規模こそが、その最も明確な根拠となる。香港のサイバーセキュリティ基準が引き上げられるのは、世界の仮想通貨業界で2026年第1四半期にフィッシング攻撃やソーシャルエンジニアリング詐欺が増加したことが背景にある。これらの事件は、同期間における業界全体の損失総額4億8200万ドルのうち、3億600万ドルを占めている。

2025年に香港サイバーセキュリティ事故調整センターに報告されたセキュリティインシデントのうち、偽造や詐欺攻撃が57％を占めた。

SFC（証券先物委員会）はこれまで、既存のチャネルを置き換えるのではなく、強化することを目的として対策を講じてきた。例えば、ブローカーに対しSMS送信者登録制度への登録を促したり、テキストメッセージへの埋め込みリンクを禁止したりといった措置だ。同委員会は2025年2月付のサイバーセキュリティ通達で、企業に対しワンタイムパスワード（OTP）の使用を廃止するよう勧告していたが、今回の新たな命令で、この勧告が義務化されることになった。

香港が進めているこの方向性は、他国の規制当局の注目を集める可能性が高い。SMSによる二段階認証は長らく口座セキュリティの弱点とされてきたが、今回の動きは自主的なガイダンスが拘束力のある規則へと移行しつつあることを示している。他の主要金融センターがこれに追随するかどうかは、今後の動向を見守る必要がある。

ソース：
金融界の大物たち：香港はブローカーに対し、セキュリティコードだけでは不十分だと告げた
CoinTelegraph：香港の規制当局が暗号資産プラットフォーム向けに新たなフィッシング対策を命令
FXニュースグループ：香港の監視機関がフィッシング対策認証方法を義務付け