Hong Kong cấm OTP: Bước ngoặt bảo mật sàn giao dịch

Ủy ban Chứng khoán và Tương lai Hong Kong (SFC) vừa ra lệnh cấm các sàn môi giới và nền tảng tài sản ảo sử dụng mã OTP để đăng nhập, nhằm ngăn chặn làn sóng tấn công giả mạo chiếm đoạt tài khoản.

Quy định mới bắt buộc dùng Passkey

SFC yêu cầu các tổ chức tài chính chuyển sang phương thức xác thực chống giả mạo như passkey và liên kết thiết bị (device binding) trong vòng 12 tháng. Quyết định đưa ra sau khi hàng loạt tài khoản bị hacker chiếm đoạt, khiến SFC phải phong tỏa 91 triệu HKD (11,7 triệu USD) tại bốn công ty môi giới vào cuối năm ngoái.

Rủi ro từ mã OTP truyền thống

Mã OTP gửi qua SMS hoặc ứng dụng dễ dàng bị kẻ tấn công đánh cắp thông qua các trang web giả mạo thời gian thực. Ngược lại, passkey liên kết trực tiếp với thiết bị phần cứng của người dùng, loại bỏ nguy cơ bị lừa tiết lộ mã số đăng nhập.

Nhận định và khuyến nghị cho nhà đầu tư Việt Nam

Quyết định khai tử OTP của Hong Kong là bài học lớn cho thị trường tài chính Việt Nam, nơi OTP SMS và Smart OTP vẫn là phương thức xác thực phổ biến nhất. Nhà đầu tư Việt Nam cần nâng cao cảnh giác, chủ động kích hoạt xác thực sinh trắc học (FaceID/vân tay), sử dụng khóa bảo mật vật lý nếu có, và tuyệt đối không click vào các đường link lạ giả mạo công ty chứng khoán để tự bảo vệ tài sản của mình.