Hong Kong interdit les connexions par SMS et par e-mail pour les plateformes de crypto-monnaies : d'autres régulateurs suivront-ils ?
Le régulateur des valeurs mobilières de Hong Kong a interdit les connexions par mot de passe à usage unique pour les plateformes de trading de crypto-monnaies. La règle vise les escroqueries par phishing derrière une augmentation des incidents de cybersécurité dans la région.
La Commission des valeurs mobilières et des contrats à terme a émis une circulaire. Elle ordonne aux courtiers en ligne et aux plateformes de trading de crypto-monnaies d'abandonner les OTP par SMS, email et applications.
Les plateformes doivent remplacer les connexions des clients et le lien des appareils par des clés d'accès et d'autres méthodes résistantes au phishing. Les opérateurs ont 12 mois pour se conformer, bien que les grands courtiers doivent changer immédiatement. La SFC avait signalé les risques liés aux OTP dans des directives de février 2025. Cette circulaire rend désormais ce changement obligatoire.
Le phishing alimente une année record d'incidents cybernétiques
Hong Kong a enregistré 15 877 incidents de cybersécurité en 2025. La SFC indique que cela représente une augmentation de 27 % par rapport à l'année précédente. Le phishing a représenté 57 % de ces cas. Les attaques par botnet ont suivi avec 18 %, et les logiciels malveillants ont été à 15 %.
Le total de 2025 est plus du double des 7 752 incidents enregistrés en 2023.
Les pertes mondiales liées au phishing associées aux portefeuilles de crypto-monnaies ont atteint environ 306 millions de dollars au cours du premier trimestre 2026 seulement. Par conséquent, ce chiffre a poussé la SFC à agir. Les attaquants s'appuient de plus en plus sur des identifiants volés plutôt que sur des exploits techniques pour cibler les utilisateurs de crypto-monnaies. BeInCrypto a suivi un schéma similaire ce mois-ci, alors qu'une signature de phishing a drainé 999 999 $ en USDT d'un seul portefeuille Ethereum.
De nouvelles règles poussent les plateformes de crypto-monnaies vers les clés d'accès
Les plateformes doivent signaler les connexions, les échanges et les retraits suspects. Elles doivent également informer les clients des événements clés liés à leur compte. Eric Yip de la SFC a déclaré que les entreprises ont besoin d'une authentification robuste associée à une réponse rapide aux incidents. Cependant, la prévention seule ne suffit généralement pas à arrêter un attaquant déterminé, a-t-il ajouté.
Pendant ce temps, les plateformes de crypto décentralisées font face à des menaces similaires. Une arnaque de phishing par airdrop falsifié a récemment siphonné 12 300 $ d'un utilisateur de HyperSwap en moins de 90 secondes. De même, un faux site de phishing Uniswap a extrait environ 400 000 $ de plusieurs portefeuilles à peu près au même moment. Ces cas montrent que l'interdiction des OTP ne traite qu'une partie d'un problème plus large de vol d'identifiants auquel l'industrie de la crypto est confrontée.
Les régulateurs mondiaux font face à la même pression de phishing
La SFC tient désormais la direction générale directement responsable des pertes des clients. De plus, des contrôles de cybersécurité faibles déclencheront cette responsabilité, un standard plus strict que les précédentes directives. Les entreprises qui manquent le délai de 12 mois risquent des actions d'exécution et des dommages à leur réputation dans le secteur de la crypto. Les grands courtiers font face à un examen immédiat sous le nouveau délai.
Les régulateurs ailleurs font face à la même pression de phishing. La répression mondiale de la cybercriminalité par le FBI et les gel d'actifs criminels en crypto de Tether avec l'unité T3 de TRON ciblent tous deux des réseaux construits sur des identifiants volés. L'interdiction de Hong Kong soulève maintenant une question claire pour ses homologues à Singapour, au Royaume-Uni et au-delà. D'autres régulateurs suivront-ils avec leurs propres mandats résistants au phishing, ou attendront-ils d'abord que les pertes s'accumulent ?
Source : BeInCrypto