香港証券先物委員会（SFC）は、暗号資産取引プラットフォームでのワンタイムパスワード（OTP）によるログインを禁止した。この措置は、同地域で急増しているサイバーセキュリティ事故の背景にあるフィッシング詐欺を標的とするもの。
証券先物委員会は通達を発出した。インターネット証券会社や暗号資産取引プラットフォームに対し、SMS・メール・アプリベースのOTPの使用を廃止するよう命じている。
各プラットフォームは、顧客のログインやデバイス認証をパスキーなどフィッシング耐性の高い方式に切り替える必要がある。運営会社は12か月以内の対応を求められるが、大手証券会社は直ちに切り替えが義務。SFCは2025年2月のガイダンスでOTPのリスクを指摘していたが、今回の通達でこの方針が義務となった。
フィッシング詐欺でサイバー事故が過去最多に
香港で2025年に記録されたサイバーセキュリティ事故は1万5877件。SFCによると、前年から27%増加した。うちフィッシングが57%を占めた。ボットネット攻撃が18%、マルウェアが15%と続く。
2025年の件数は、2023年に記録された7752件と比較し2倍を超える規模。
世界的に見ると、暗号資産ウォレットが関係するフィッシング被害額は2026年第1四半期だけで約3億600万ドルに上った。これを受け、SFCの対応が強まった。攻撃者は高度な技術的手法でなく、盗んだ認証情報による攻撃を強めている。BeInCryptoも今月、フィッシング署名でイーサリアムウォレットから99万9999 USDTが流出する事例を追跡した。
新ルールで暗号資産プラットフォームにパスキー導入を促す
プラットフォームは、不審なログインや取引、出金も監視し、重要な口座イベントを顧客に通知することが求められる。SFCのエリック・イップ氏は、企業には強固な認証と迅速なインシデント対応が必要と強調した。しかし、同氏は「予防だけでは執拗な攻撃者を完全に防げない」とも指摘した。
一方、分散型の暗号資産プラットフォームも同様の脅威に直面している。最近、偽エアドロップのフィッシング詐欺により、HyperSwapユーザーから1万2300ドルが90秒足らずで流出した。同様のタイミングで、偽のUniswapフィッシングサイトが複数のウォレットから約40万ドルを奪った。これらの事例は、OTPの禁止だけでは暗号資産業界が直面する広範な認証情報窃取問題の一部しか解決できないことを示している。
世界各国規制当局も同様のフィッシング圧力に直面
SFCは今回、顧客の損失について経営陣の個人責任を明記した。さらに、サイバーセキュリティ管理が不十分な場合も責任が問われ、従来より厳しい基準となる。12か月の期限を守れなければ、規制措置や業界全体の信用毀損につながるリスクがある。大手証券会社は新期限下で直ちに監視対象となる。
他国の規制当局も同様のフィッシング被害増加に直面している。FBIによる国際サイバー犯罪一斉摘発や、TetherがTRONのT3部門と連携した暗号資産犯罪資産の凍結も、盗まれた認証情報を基盤とするネットワークへの対応例。香港の今回の禁止措置は、シンガポールや英国など各国の規制当局に新たな問いを投げかけている。他国も同様のフィッシング耐性強化を義務化するのか、あるいは被害拡大を待つのかが問われる。
