أمرت هيئة الأوراق المالية والعقود الآجلة في هونغ كونغ وسطاء الإنترنت ومنصات تداول الأصول الافتراضية المرخصة باستبدال كلمات المرور لمرة واحدة بطرائق مصادقة مقاومة للاختراق عبر التصيّد الاحتيالي، وذلك في متطلبات نُشرت في 9 يوليو. يتعين على الشركات تطبيق ضوابط أقوى لتسجيل الدخول وربط الأجهزة خلال 12 شهرًا، ومن المتوقع أن يبدأ اعتمادها على الفور لدى كبار الوسطاء. تتناول هذه التوجيهات هجمات التصيّد الاحتيالي التي شكّلت 57% من جميع حوادث الأمن السيبراني المُبلّغ عنها إلى مركز تنسيق الاستجابة لطوارئ الحاسوب في هونغ كونغ خلال 2025. وقالت هيئة SFC إن كلمات المرور لمرة واحدة التقليدية لم تعد كافية في مواجهة حملات التصيّد الاحتيالي الأكثر تعقيدًا التي تستهدف حسابات التداول عبر الإنترنت. وتعزّز هذه الخطوة نهج هونغ كونغ المتمثل في إخضاع شركات الأصول الرقمية لمعايير تنظيمية مماثلة لتلك المفروضة على المؤسسات المالية التقليدية.
هيئة SFC تعلن أن كلمات المرور لمرة واحدة لم تعد كافية لحماية الحسابات
قالت هيئة SFC إن وسطاء الإنترنت ومشغلي منصات تداول الأصول الافتراضية ينبغي أن يتوقفوا عن استخدام كلمات المرور لمرة واحدة لكل من تسجيل دخول العميل وربط الجهاز، لأن تقنيات مصادقة أكثر أمانًا باتت متاحة على نطاق واسع. وأشارت الجهة التنظيمية إلى تكنولوجيا «مفاتيح المرور» و«ربط الجهاز» بوصفهما أمثلة على طرائق مصادقة مقاومة للتصيّد الاحتيالي يمكنها منع المهاجمين من الوصول حتى إذا تم خداع العملاء للكشف عن بيانات اعتمادهم.
يربط ربط الجهاز حساب العميل بجهاز كمبيوتر أو جهاز جوّال مُسجّلًا بشكل آمن عبر خصائص جهاز فريدة، ما يجعل من الصعب للغاية على المجرمين تسجيل الدخول من عتاد غير مُصرّح به. وكانت هيئة SFC قد حذّرت الشركات لأول مرة في فبراير 2025 بشأن أوجه الضعف المرتبطة بالمصادقة المعتمدة على كلمات المرور لمرة واحدة، وذلك عقب مراجعة أمن سيبراني. وتحوّل الدائرة الأخيرة هذا التوجيه إلى متطلب تنظيمي.
منصات العملات المشفرة تواجه معايير المصادقة نفسها التي تطبّق على الوسطاء التقليديين
تنطبق المتطلبات الجديدة على نحو متساوٍ على وسطاء الأوراق المالية المرخصين ومشغلي منصات تداول الأصول الافتراضية. وبالإضافة إلى المصادقة الأقوى، يتعين على الشركات إدخال أنظمة مراقبة فعالة قادرة على كشف محاولات تسجيل الدخول المريبة، والنشاطات التجارية غير المعتادة، وطلبات السحب غير الاعتيادية. ومن المتوقع أيضًا أن تقوم الشركات بإخطار العملاء بسرعة بالأحداث المهمة المتعلقة بالحساب، والاستجابة بسرعة لحوادث الاختراق، وتحذير العملاء بانتظام بشأن حملات التصيّد الاحتيالي الناشئة وغيرها من التهديدات السيبرانية.
قالت هيئة SFC إن الإدارة العليا ستظل مسؤولة في النهاية عن حماية أصول العملاء، وحذّرت من إمكانية مساءلة الشركات عن الخسائر الناتجة عن ضوابط أمن سيبراني غير كافية. وقال د. إريك ييب، المدير التنفيذي لهيئة SFC للشؤون المتعلقة بالوسطاء: «إن حماية حسابات العملاء من هجمات التصيّد الاحتيالي المتزايدة في التعقيد والأكثر مراوغة تتطلب تدابير شاملة تجمع بين المنع والكشف والاستجابة والتثقيف. ينبغي للشركات المرخصة تعزيز خط الدفاع الأول لديها بحلول مصادقة قوية، والبقاء يقظة إزاء الأنشطة المشبوهة، والاستجابة بسرعة قبل وقوع الضرر».
تكتسب مفاتيح المرور دعمًا تنظيميًا كحل تكنولوجي مقاوم للتصيّد الاحتيالي
على عكس بيانات الاعتماد التقليدية، تعتمد مفاتيح المرور على مصادقة تشفيرية مرتبطة بجهاز المستخدم ولا يمكن اعتراضها بسهولة أو إعادة استخدامها عبر مواقع التصيّد الاحتيالي. وقد أدرجت شركات تكنولوجية، بما في ذلك Apple وGoogle وMicrosoft، دعم مفاتيح المرور بالفعل في أنظمة التشغيل لديها، بينما بدأت بنوك وشركات فين-تك في نشر هذه التقنية لمصادقة العملاء. وبالنسبة للوسطاء وتجار منصات تبادل العملات المشفرة، أصبح تعزيز المصادقة أكثر أهمية مع توجّه مجرمي الإنترنت إلى استهداف حسابات التداول التي قد تمنح وصولًا مباشرًا إلى النقد والأوراق المالية والأصول الرقمية.
هيئة SFC تحث المستثمرين على اتباع ممارسات أساسية للأمن السيبراني
إلى جانب الضوابط التقنية، حثت هيئة SFC المستثمرين على مواصلة اتباع ممارسات أساسية للأمن السيبراني، بما في ذلك استخدام كلمات مرور قوية وفريدة، وإبقاء الأجهزة محدثة، والوصول إلى الحسابات فقط عبر المواقع والتطبيقات الرسمية، ومراجعة كشوف الحساب للتحقق من أي نشاط غير مُصرّح به. ونصحت الجهة التنظيمية المستثمرين الذين يشتبهون في اختراق بيانات اعتمادهم بالتواصل فورًا مع وسيطهم أو منصتهم للأصول الافتراضية، وتأمين حساباتهم، والإبلاغ عن الحادث إلى السلطات المختصة.
الأسئلة الشائعة
ما طرائق المصادقة التي أمرت هيئة الأوراق المالية والعقود الآجلة في هونغ كونغ الوسطاء ومنصات العملات المشفرة باستبدالها؟
أمرت هيئة SFC وسطاء الإنترنت ومنصات تداول الأصول الافتراضية المرخصة باستبدال كلمات المرور لمرة واحدة بطرائق مصادقة مقاومة للتصيّد الاحتيالي مثل مفاتيح المرور وربط الجهاز، في المتطلبات التي نُشرت في 9 يوليو.
لماذا اشترطت هيئة SFC مصادقة أقوى لحسابات التداول؟
استشهدت هيئة SFC بهجمات التصيّد الاحتيالي التي شكّلت 57% من جميع حوادث الأمن السيبراني المُبلّغ عنها إلى مركز تنسيق الاستجابة لطوارئ الحاسوب في هونغ كونغ خلال 2025، قائلة إن كلمات المرور لمرة واحدة التقليدية لم تعد كافية في مواجهة حملات التصيّد الاحتيالي الأكثر تعقيدًا التي تستهدف حسابات التداول عبر الإنترنت.
ما الموعد النهائي لتنفيذ متطلبات المصادقة الجديدة؟
يجب على الشركات تنفيذ ضوابط أقوى لتسجيل الدخول وربط الأجهزة خلال 12 شهرًا من تاريخ نشر 9 يوليو، بينما يُتوقع أن يبدأ كبار الوسطاء اعتماد التدابير فورًا.
