證監會收緊網上交易安全指引 勒令券商及虛擬資產平台棄用一次性密碼

鑑於近年涉及客户登入資料被盜用的仿冒詐騙攻擊日趨猖獗，為提升本港金融服務業界的網絡保安水平，證監會今日發出最新通函，明確要求互聯網經紀行及虛擬資產交易平台營運者（下稱「虛擬資產平台」）必須就客户登入及裝置綁定採用更為穩健且有效防範仿冒詐騙的認證方法。 證監會特別指出，傳統的一次性密碼（OTP）容易受到截取及社會工程攻擊，存在固有風險，已不能滿足當前保安要求。為此，證監會勒令業界停止使用一次性密碼，轉而採用更高強度的替代方案，例如通行密鑰（Passkeys）及綁定裝置等，以提供更為堅固及可防止仿冒詐騙的認證方式。 新認證方法須於通函發出日期起計12個月內盡快實施。然而，對於規模較大的互聯網經紀行，證監會則要求其必須「即時」採用這些更嚴謹的認證措施，以應對迫切的網絡安全挑戰。 除了強化預防性監控措施外，證監會亦強調，互聯網經紀行及虛擬資產平台應同時建立有效的偵測及監視系統，以便即時識別可疑的登入、交易及資金提取活動。一旦偵測到重要賬户活動，機構須及時通知客户，並迅速應對任何黑客入侵事故。此外，為提升客户警覺性，它們亦應定期向客户警示及提醒有關新興的仿冒詐騙及其他網絡保安風險。 證監會中介機構部執行董事葉志衡指出，面對日益複雜及多變的仿冒詐騙攻擊，金融機構必須結合預防、偵測、應對及教育等多方面措施，方能全面保障客户賬户安全。他強調，持牌機構應透過穩健的認證方案加強其第一道防線，並對可疑活動保持高度警惕，務求在造成實際損害前迅速採取應對行動。 證監會同時重申，互聯網經紀行及虛擬資產平台的高級管理層在實施適當監控措施以保障客户賬户及資產方面，肩負最終責任。倘若客户因機構內部監控措施缺失而蒙受任何損失，證監會將會追究高級管理層的責任。 為共同構築更安全的交易環境，證監會亦提醒廣大投資者務必提高警覺，妥善保護其證券交易賬户及登入資料。投資者應採取審慎的保安措施，包括使用高強度且獨特的密碼，並妥善保管及定期更新登入資料與綁定裝置。登入賬户時，必須確保只透過其持牌法團及虛擬資產平台的官方網站或流動應用程式進行。投資者亦應定期審閲賬户結單、交易紀錄及通知，以及時識別任何可疑活動。一旦懷疑登入資料遭盜用或發現未經授權交易，應立即聯絡相關持牌法團或虛擬資產平台，並向有關當局舉報，以保障自身權益。