Hongkongs värdepappersmyndighet har förbjudit engångslösenord för inloggning till kryptoplattformar. Reglerna riktar sig mot nätfiske som orsakar fler cyberattacker i regionen.
Securities and Futures Commission har skickat ut ett cirkulär. Det kräver att internetmäklare och kryptoplattformar slutar använda SMS, e-post och app-baserade engångslösenord.
Plattformarna måste byta till inloggning och enhetskoppling med passnycklar eller andra metoder som motstår nätfiske. Operatörer får 12 månader att följa reglerna, men stora mäklare måste byta direkt. SFC varnade redan i februari 2025 för riskerna med engångslösenord. Nu är övergången obligatorisk.
Nätfiske driver rekordmånga cyberincidenter
Hongkong rapporterade 15 877 cybersäkerhetsincidenter under 2025. SFC säger att det är en ökning på 27 % jämfört med året innan. Nätfiske stod för 57 % av dessa fall. Botnätattacker låg på 18 %, och skadeprogram svarade för 15 %.
Antalet 2025 är mer än dubbelt så högt som de 7 752 incidenter som rapporterades 2023.
Globala phishingförluster kopplade till kryptoplånböcker nådde cirka 306 miljoner USD första kvartalet 2026. Därför agerade SFC. Angripare använder oftare stulna inloggningsuppgifter än tekniska angrepp mot kryptoanvändare. BeInCrypto såg samma trend denna månad när en nätfiskesignatur tömde 999 999 USD i USDT från en Ethereum-plånbok.
Nya regler gör att kryptoplattformar går mot passnycklar
Plattformarna måste märka misstänkta inloggningar, affärer och uttag. De måste meddela kunder vid viktiga kontohändelser också. SFC:s Eric Yip säger att bolag behöver stark verifiering och snabb hantering av incidenter. Men enbart förebyggande åtgärder hindrar sällan en målmedveten angripare, tillägger han.
Under tiden möter decentraliserade kryptoplattformar samma hot. Ett falskt airdrop-nätfiske tömde nyligen 12 300 USD från en HyperSwap-användare på under 90 sekunder. Likaså tog en falsk Uniswap-nätfiskesajt cirka 400 000 USD från flera plånböcker vid samma tid. Fallen visar att förbudet mot engångslösenord bara löser en del av ett större problem med stulna uppgifter i kryptobranschen.
Globala myndigheter utsätts för samma nätfisketryck
SFC håller nu företagsledningarna direkt ansvariga för kundförluster. Svaga säkerhetsrutiner innebär också ansvar, vilket är strängare än tidigare regler. Företag som missar tolv månaders tidsgräns riskerar åtgärder och förlorat förtroende i kryptosektorn. Stora mäklare granskas dessutom genast med de nya kraven.
Myndigheter på andra håll möter samma nätfisketryck. FBI:s globala insats mot cyberbrott och Tethers kryptobeslag med TRONs T3-enhet riktar sig mot nätverk byggda på stulna inloggningsuppgifter. Hongkongs förbud väcker nu frågor för aktörer i Singapore, Storbritannien och andra länder. Kommer fler myndigheter att införa nätfiskesäkra krav, eller väntar de tills förlusterna ökar?
