香港证监会升级账户安全要求：一年内全面停用短信验证码

香港证监会强化账户安全监管 香港证监会正式要求所有持牌虚拟资产交易平台及线上券商，在未来12个月内全面升级用户登录认证机制，逐步淘汰短信验证码等易受攻击的传统验证方式。此举旨在系统性降低钓鱼攻击、会话劫持及账户盗用风险，提升客户资产与身份安全的底层防护能力。 认证方式明确升级路径 新规明确禁止依赖单因素、通道可窃取的认证手段（如短信、邮件验证码），转而强制采用具备抗钓鱼特性的多因素认证方案。证监会指定三类合规选项：通行密钥（Passkey）、经加密签名验证的注册设备绑定机制，以及物理形态的硬件安全密钥（如FIDO U2F/CTAP2兼容设备）。所有方案均需实现服务器端强绑定与客户端不可复制性，确保登录行为与用户真实设备及身份强关联。 一年过渡期覆盖全持牌机构 该要求适用于所有已获证监会发牌的虚拟资产交易平台及持牌线上证券商，无例外豁免。机构须在12个月内完成技术改造、用户迁移、员工培训及内部审计，并向证监会提交合规实施报告。此次调整并非临时措施，而是纳入《持牌法团客户账户保护指引》的常态化标准，标志着账户安全从“可用”迈向“可信”阶段。 数字资产监管体系同步深化 账户安全升级是香港构建稳健数字资产生态的关键一环。与此同时，稳定币监管框架正加速落地——首批受证监会及金管局联合监管的港元挂钩稳定币，预计于2026年中期至下半年投入实际流通，相关发行牌照已授予两家具商业银行背景的持牌机构。监管逻辑清晰：先筑牢账户与资金入口防线，再有序开放可信价值载体。 以数据驱动安全能力建设 证监会援引2025年本地金融机构网络安全事件统计指出，伪造类与欺诈类攻击占比高达57%，已成为最大威胁类型。监管强调，安全不能仅靠技术单点突破，须在预防（如认证升级）、侦测（实时行为分析）、响应（自动化阻断）及用户教育（识别钓鱼话术）四个维度形成闭环。金融机构需将安全能力视为核心基础设施，而非合规成本。