La Securities and Futures Commission de Hong Kong a ordonné aux plateformes crypto agréées et aux courtiers en ligne d'abandonner progressivement les mots de passe à usage unique pour la connexion des clients dans un délai de 12 mois, invoquant une recrudescence des attaques par usurpation.
Why it matters
La directive marque un tournant réglementaire vers des normes d'authentification plus strictes dans l'ensemble du secteur financier de Hong Kong tourné vers la clientèle particulière. Les entreprises doivent adopter des méthodes plus sûres, notamment des clés d'accès et le rattachement à un appareil, tout en renforçant la surveillance des activités suspectes de connexion, de trading et de retrait. L'authentification par OTP est depuis longtemps un vecteur de vulnérabilité connu : les attaquants s'appuient sur des kits de phishing et des techniques de SIM-swap pour intercepter les codes à usage unique envoyés par SMS ou via des applications d'authentification.
Market impact
Le délai de 12 mois oblige les plateformes à repenser en profondeur leur infrastructure d'onboarding et de connexion, un chantier d'ingénierie non trivial qui pourrait accélérer la consolidation parmi les opérateurs les plus petits, incapables d'absorber les coûts de mise en conformité. Pour les utilisateurs, la transition signifie que les identifiants liés à l'appareil et les clés d'accès remplacent un flux familier, à faible friction, par un flux plus difficile à piéger par phishing, mais un peu plus lourd à mettre en place. Il faudra suivre la prochaine vague de recommandations de la SFC sur ce qui constitue une clé d'accès conforme, car les normes d'implémentation restent indéfinies dans la directive actuelle.
Questions fréquemment posées
-
Qu'a ordonné la SFC de Hong Kong concernant les connexions par OTP ?
La SFC a ordonné aux plateformes crypto agréées et aux courtiers en ligne d'abandonner progressivement l'authentification par mot de passe à usage unique pour la connexion des clients dans un délai de 12 mois, en raison d'une recrudescence des attaques par usurpation ciblant les systèmes basés sur l'OTP.
-
Quelles méthodes d'authentification les entreprises doivent-elles adopter à la place ?
Les entreprises doivent adopter des méthodes d'authentification plus solides, dont les clés d'accès et le rattachement à un appareil, et renforcer la surveillance des activités suspectes de connexion, de trading et de retrait.
-
Pourquoi les OTP sont-ils considérés comme vulnérables ?
Les codes OTP envoyés par SMS ou via des applications d'authentification peuvent être interceptés via des kits de phishing et des attaques de SIM-swap, ce qui permet à des attaquants de contourner la protection de connexion sans disposer du mot de passe réel de l'utilisateur.
-
Comment cela affecte-t-il les utilisateurs de crypto à Hong Kong ?
Les utilisateurs passeront des flux OTP familiers à faible friction à des identifiants liés à l'appareil et à des clés d'accès, plus difficiles à piéger par phishing, mais pouvant nécessiter une configuration initiale un peu plus poussée.
-
Quel est le délai de mise en conformité pour les plateformes ?
Les plateformes crypto agréées et les courtiers en ligne doivent abandonner les connexions par OTP dans un délai de 12 mois à compter de la directive de la SFC, ce qui signifie que les places concernées devront mettre en place une authentification conforme d'ici la mi-2027.
CryptoSlate
WuBlockchain
CoinTelegraph
CoinDesk
WatcherGuru