防仿冒诈骗加码！香港证监会严令停用一次性密码

香港证券及期货事务监察委员会（证监会）7月9日发出通函，严令所有互联网经纪行及虚拟资产交易平台营运者，必须在12个月内停止使用一次性密码（OTP）作为客户登入及装置绑定的认证方式，并转用更具防仿冒能力的替代方案，例如通行密钥或绑定装置认证。大型互联网经纪行更须立即执行。

证监会指出，随着涉及客户登入资料被盗用的仿冒诈骗攻击愈趋猖獗，沿用一次性密码的风险已明显偏高，而市场上已有更稳健的认证技术可供采用。新规定要求相关机构在切实可行范围内尽快完成升级，最迟不得超逾通函发出之日起计12个月。

除了强化预防性监控措施，证监会同时要求机构必须建立有效的侦测与监视机制，以及时识别可疑的登入、交易或提取活动；对重要帐户操作须即时通知客户，并迅速应对黑客入侵事故。此外，机构还应定期就新兴的仿冒诈骗手法及其他网络保安风险，向客户发出警示和提醒。

证监会中介机构部执行董事叶志衡博士表示：“要保障客户帐户免受愈趋复杂和多变的仿冒诈骗攻击，必须结合预防、侦测、应对及教育以实施全面性措施。持牌机构应透过稳健的认证解决方案来加强其第一道防线，对可疑活动保持警惕，及在造成损害前迅速作出应对。”

通函特别点名高级管理层，明确其负有最终责任，须确保实施适当的监控措施以保障客户帐户及资产安全。若因内部监控缺失导致客户损失，证监会将直接追究管理层的相关责任。

与此同时，证监会亦提醒投资者提高自我保护意识，妥善管理交易账户及登入资料，包括使用高强度的独特密码、定期更新登入信息，并只经由官方渠道登入账户。投资者应养成定期查阅账户结单、交易记录及通知的习惯，如发现可疑情况或未经授权交易，应立即联络所属机构并举报，以最大程度降低损失风险。