Hongkongse SFC: crypto-platforms moeten tegen juli 2027 van otp af of draaien op voor phishingschade

De Hongkongse Securities and Futures Commission geeft gelicentieerde crypto-platforms 12 maanden om eenmalige-wachtwoordauthenticatie (otp) eruit te slopen en te vervangen door phishingbestendige methoden — of anders zelf op te draaien voor de kosten wanneer gebruikers worden gehackt. De richtlijn stelt een harde deadline van 8 juli 2027 en heeft een financiële angel die haar onderscheidt van gewone nalevingspapierwerk: platforms die de deadline missen, worden aansprakelijk voor gebruikersverliezen als gevolg van phishingaanvallen, aldus CryptoSlate.

De SFC was onomwonden. Eenmalige wachtwoorden — via sms of e-mail, maakt niet uit — voldoen niet aan de norm voor phishingbestendige authenticatie en mogen niet worden gebruikt voor het inloggen van klanten of voor processen waarbij apparaten aan een account worden gekoppeld, aldus de toezichthouder. In plaats daarvan eist de SFC methoden die social-engineeringaanvallen op protocolniveau weerstaan: hardware security keys, biometrisch gekoppelde apparaatauthenticatie en vergelijkbare systemen die het gat dichten dat een gestolen zescijferige code wagenwijd openzet. De circulaire geldt zowel voor traditionele brokers als voor crypto-platforms die onder het vergunningsstelsel van de SFC opereren, wat betekent dat elk gelicentieerd virtual asset trading platform in Hongkong eronder valt, meldt CoinMarketCal.

Niet alles wacht tot 2027. De monitoring- en incidentresponsverplichtingen uit de nieuwe circulaire gaan onmiddellijk in — geen enkele overgangsperiode aan de kant van toezicht en rapportage, ook al krijgen platforms een jaar om de daadwerkelijke authenticatie-infrastructuur te vernieuwen. Dat gesplitste tijdpad is bewust gekozen. Het maakt duidelijk dat het opsporen van en reageren op phishingaanvallen al tot de taak van platforms behoort; de deadline heeft alleen betrekking op de technologische upgrade.

De aansprakelijkheidsclausule geeft deze maatregel echt tanden. Een platform dat na 8 juli 2027 nog steeds op otp-logins leunt en vervolgens een gebruiker ziet worden gephisht, zou die verliezen uit eigen zak moeten vergoeden — waardoor het mandaat verandert van een regelgevend vinkje in een harde commerciële risico-afweging die regelrecht op het bureau van de cfo belandt. Voor een gelicentieerde exchange wordt de kostprijs van het implementeren van ondersteuning voor hardware keys of biometrische apparaatkoppeling nu direct afgewogen tegen de kosten van het vergoeden van elke gebruiker die geld verliest aan een phishingoplichting die de exchange niet wist te voorkomen. De SFC heeft zwakke authenticatie feitelijk tot een onverzekerbare aansprakelijkheid gemaakt.

Phishing is al jaren de dominante aanvalsvector tegen cryptogebruikers. De SFC noemde het patroon expliciet — social-engineeringcampagnes, nepinlogpagina’s, sim-swapaanvallen die sms-codes onderscheppen, e-mailspoofing die inloggegevens buit maakt — die verantwoordelijk zijn voor een aanzienlijk deel van de veiligheidsincidenten bij crypto-platforms, aldus het CoinMarketCap-bericht dat verwijst naar de onderbouwing van de toezichthouder. Otp-systemen zijn bijzonder kwetsbaar omdat codes in realtime kunnen worden doorgespeeld door een aanvaller die zich voordoet als de legitieme dienst; phishingbestendige protocollen zoals FIDO2 en WebAuthn dichten dat lek door authenticatie te koppelen aan een specifiek apparaat en een specifieke oorsprong.

De richtlijn past binnen een breder regelgevend bouwwerk dat Hongkong aan het opzetten is sinds het begon met het verlenen van vergunningen aan virtual asset trading platforms onder toezicht van de SFC. De stad heeft zich gepositioneerd als een gereguleerd knooppunt voor digitale activa — versterkt door parallelle stappen zoals het blockchain-native gestructureerde product van HSBC dat in Hongkong is uitgegeven — en de SFC lijkt vastbesloten ervoor te zorgen dat veiligheidsnormen gelijke tred houden met regels voor markttoegang. Een vergunningsstelsel dat institutioneel en particulier kapitaal aantrekt maar gebruikers niet kan beschermen tegen diefstal van inloggegevens, ondermijnt zijn eigen geloofwaardigheid. Hongkong wil concurreren op vertrouwen, niet alleen op soepelheid.

Voor gelicentieerde platforms betekent naleving echt technisch werk binnen een krap tijdsbestek. Hardware security keys vereisen distributielogistiek en gebruikersvoorlichting; biometrische apparaatkoppeling hangt af van updates voor mobiele en desktopclients die moeten worden uitgerold over besturingssystemen heen zonder bestaande sessies te breken. Passkeys — de consumentgerichte implementatie van FIDO2 — winnen terrein, maar kampen nog steeds met interoperabiliteitsproblemen tussen wallet-apps en exchange-interfaces. Twaalf maanden is niet royaal voor platforms die hun hele inlogproces hebben opgebouwd rond sms- of e-mail-otp’s, en doordat de SFC apparaatkoppeling in het mandaat heeft opgenomen, raakt de verandering aan onboarding, accountherstel en sessiebeheer. Niet alleen aan het inlogscherm.

Er blijven open vragen. Of de aansprakelijkheidsclausule met terugwerkende kracht geldt voor incidenten tijdens de overgangsperiode van 12 maanden — of alleen voor aanvallen na de deadline van juli 2027 — zal bepalen hoe agressief platforms de upgrade prioriteit geven. Of offshore-platforms met een Hongkongse vergunning dezelfde verplichtingen krijgen als lokaal gevestigde exploitanten, is van belang voor het concurrentielandschap. En of de SFC een goedgekeurde lijst met specifieke authenticatiemethoden heeft gepubliceerd, of het aan platforms overlaat om “phishingbestendig” zelf te interpreteren, zal bepalen hoe snel compliance-teams van planning naar uitvoering kunnen overgaan.

Wereldwijd sluit de richtlijn aan bij een regelgevende trend die in een stroomversnelling is geraakt nu phishing- en social-engineeringaanvallen cryptogebruikers miljarden hebben gekost. Jurisdicties die het vergunningsmodel van Hongkong volgen, zullen vooral goed letten op het aansprakelijkheidsmechanisme — sterkere authenticatie aanbevelen is één ding; platforms laten betalen wanneer ze die niet invoeren is iets heel anders. De monitoring- en incidentresponsverplichtingen zijn al van kracht. De deadline van 8 juli 2027 is de klok die nu voor elk gelicentieerd platform in Hongkong loopt.