ワンタイムパスワードは時代遅れ？香港が取引所に廃止命令

香港証券先物委員会（SFC）は、ライセンスを持つ仮想通貨取引プラットフォームやインターネット証券会社に対し、2027年7月8日までに顧客ログインとデバイス登録におけるワンタイムパスワード（OTP）の利用を廃止するよう命じました。7月9日付の通達によるものとされています。

SFCはOTPがフィッシング攻撃に耐えられる水準を満たしていないと指摘。背景には2025年に報告された詐欺被害があり、証券会社や規制当局を装った偽サイトに認証情報を入力させ、資金を不正に送金する手口が確認されたとされています。大手ネット証券には速やかな導入が求められる一方、その他の事業者には12カ月の移行期間が設けられています。

代替手段としては、公開鍵暗号を用いる「パスキー」や生体認証などを組み合わせたデバイスバインディングが挙げられています。また不審なログインや取引の監視、顧客への迅速な通知、不正の兆候を検知した際の口座停止措置は、期限を待たず直ちに求められます。

SFCは対策が不十分なまま大規模な不正取引を防げなかった場合、事業者が顧客損失の責任を問われる可能性があるとしています。セキュリティ強化と利便性の両立が、香港の仮想通貨業界にとって今後の課題となりそうです。