香港加强支付与虚拟资产安全监管：严打冒牌FPS网站及无牌加密平台

冒牌网站借FPS名义行骗，骗取用户身份与银行资料 近期，香港银行同业结算有限公司（HKICL）发现多个仿冒网站，假借官方快速支付系统（FPS）名义运作。这些网站以“现金奖励”“虚拟钱包交易”等为诱饵，诱导用户提交敏感信息，包括香港身份证号码、身份证正反面照片、手机号码、银行账户资料及账户持有人姓名。 欺诈手法升级，伪装成官方支援服务 部分假冒网站进一步虚构服务场景，声称可协助用户申请退款、举报未经授权交易或提供“FPS交易支援”，再将用户转介至伪造客服渠道，持续套取信息或诱导转账。整个流程刻意模仿正规金融服务界面与话术，增强迷惑性。 HKICL明确划清界限，公布唯一可信入口 HKICL郑重声明：所有此类网站均与其无关，公司从不直接面向公众提供FPS服务，亦不会主动联系个人用户推广或索取资料。其唯一合法官网为 hkicl.com.hk 及 fps.hkicl.com.hk。公众若收到疑似官方讯息，应先拨打HKICL官方热线核实，切勿即时提供身份或银行信息；如已泄露资料或完成可疑操作，须立即向香港警方报案。 监管同步升级：FPS生态与虚拟资产平台双线收紧 在支付安全层面之外，香港证监会（SFC）本周宣布新网络安全要求，要求持牌虚拟资产交易平台及网上经纪商，在未来12个月内全面淘汰依赖短信、邮件或APP生成的一次性验证码（OTP）作为主要登录验证方式。 强制推行高安全性身份验证机制 新规明确要求采用三项核心替代方案：一是支持FIDO联盟标准的Passkey登录；二是基于加密验证的已登记设备绑定；三是兼容WebAuthn协议的硬件安全密钥。所有验证方式必须实现设备级绑定与强加密签名，杜绝远程劫持与中间人攻击可能。 无牌平台被点名警示，风险提示持续加码 与此同时，SFC更新警示名单，点名“Aurum/Aurum Foundation”。该实体虽宣称依《公司条例》注册，但并未持有从事任何受规管虚拟资产活动的牌照。监管机构强调，其运营行为涉嫌违法，投资者参与相关活动面临资金损失、信息泄露及法律追责等多重风险。 系统性风控正在成型 从打击钓鱼网站到重构身份验证底层逻辑，再到清理无牌加密实体，香港正构建覆盖前端欺诈识别、中端交易验证、后端牌照管理的全链条监管响应机制。这一系列动作并非孤立事件，而是本地金融基础设施迈向更高韧性与透明度的关键步骤。