釣魚詐騙頻生 證監勒令網上經紀及虛擬資產平台強化認證機制

鑑於市場上涉及客户登入資料被盜用的仿冒詐騙（phishing）攻擊日益猖獗，香港證券及期貨事務監察委員會（證監會）發出最新通函，要求互聯網經紀行及虛擬資產交易平台營運者（統稱「平台營運者」）提升其客户登入及裝置綁定（device binding）的認證方法，以有效防止此類詐騙行為。 證監會明確指出，現時互聯網經紀行及虛擬資產交易平台應停止使用一次性密碼（OTP）作為客户登入及裝置綁定的認證方式。此舉乃因一次性密碼在面對複雜網絡攻擊時存在安全風險，且市場上已有更高強度的替代認證方案，例如通行密鑰（passkeys）及綁定裝置等，能提供更為穩健且有效防範仿冒詐騙的認證保護。此項要求反映監管機構對數碼金融服務日益普及下網絡安全威脅的重視。 新措施的實施時間表亦已釐定。證監會要求平台營運者應在切實可行的情況下盡快採納這些可防止仿冒詐騙的認證方法。然而，所有平台營運者最遲須於通函發出日期起計12個月內完成過渡，而大型互聯網經紀行則須即時採用有關認證方案，以確保客户資產得到即時保護。 除了預防性的監控措施外，證監會亦強調平台營運者須實施有效的偵測及監視措施。這包括能夠偵測可疑的登入、交易及提取活動，並就重要的賬户活動及時通知相關客户，同時需具備迅速應對黑客入侵事故的能力。此外，平台應定期向客户發出預警及提醒，以提高他們對新興仿冒詐騙及其他網絡保安風險的警覺性。 證監會中介機構部執行董事葉志衡表示，要全面保障客户賬户免受愈趨複雜和多變的仿冒詐騙攻擊，必須結合預防、偵測、應對及教育等多方面措施。他強調，持牌機構應透過穩健的認證解決方案來加強其第一道防線，對可疑活動保持高度警惕，並在造成損害前迅速作出應對，以最大限度地降低潛在風險。 證監會重申，互聯網經紀行及虛擬資產交易平台的高級管理層，在實施適當的內部監控措施以保障客户賬户及資產方面，肩負最終責任。監管機構警告，若客户因平台內部監控措施缺失而蒙受任何損失，證監會將會就此向相關高級管理層問責，突顯其在企業管治方面的嚴格要求。 同時，證監會亦提醒廣大投資者應時刻保持警覺，妥善保障其證券交易賬户及登入資料的安全。投資者應採取多項審慎的保安措施，包括使用高強度且獨特的密碼、妥善保管並定期更新其登入資料及裝置，以及僅透過持牌法團及虛擬資產交易平台的官方網站或流動應用程式登入其賬户。此外，投資者亦應養成定期監察其賬户的習慣，並及時查閲賬户結單、交易紀錄及通知，以便及早識別任何可疑活動，確保自身權益不受損害。