홍콩 증권선물위원회(SFC)가 금융권의 피싱 공격 피해를 막기 위해 고객 로그인 및 기기 연동 시 원타임 패스워드(OTP) 사용을 금지하고, 12개월 이내에 피싱 방지 기능이 탑재된 인증 방식을 도입하도록 명령했다.

이번 조치는 고객 인증 정보를 훔치는 피싱 공격의 위협이 커지는 가운데 나왔다. SFC는 목요일 통지문을 발행해 인터넷 브로커와 가상자산 거래 플랫폼 운영사(VATPs)가 고객 로그인과 기기 연동 시 피싱 방지 인증 방식을 채택하도록 요구했으며, 대형 증권사에는 즉각적인 도입을 촉구했다. 관련 위험성과 더 강력한 인증 대안의 존재를 고려할 때, 패스키(passkeys)와 연동 기기 활용이 더 강력한 피싱 방지 인증 방식의 대표적인 예라고 SFC는 밝혔다.

SFC는 인터넷 브로커와 가상자산 거래 플랫폼 운영사가 의심스러운 로그인, 거래, 출금을 식별할 수 있는 효과적인 모니터링 및 감시 시스템을 구축해야 한다고 전했다. 이들은 중요한 계정 활동을 고객에게 신속히 알리고 해킹 사건이 발생했을 때 신속하게 대처해야 한다. 아울러 새로운 피싱 위협과 기타 사이버 보안 위험에 대해 고객에게 정기적으로 경고하고 상기시킬 것을 권고받았다.

SFC의 중개인 부문 전무이사인 에릭 잎(Eric Yip)은 면허를 취득한 회사들이 강력한 인증 솔루션으로 제1방어선을 강화하고, 의심스러운 활동을 경계하며, 피해가 발생하기 전에 신속하게 대응해야 한다고 말했다. SFC는 인터넷 브로커와 가상자산 거래 플랫폼 운영사의 최고 경영진에게 고객 계정과 자산을 보호하기 위한 적절한 통제 조치를 시행할 궁극적인 책임이 그들에게 있음을 강조했다. 또한 통제 실패로 인해 발생하는 고객의 손실에 대해 책임을 지게 될 것이라고 밝혔다.