Puntos clave de la noticia:
- La SFC de Hong Kong ordenó a plataformas de activos virtuales y brokers online adoptar autenticación resistente al phishing en 12 meses, prohibiendo OTP por SMS, correo o apps.
- Los estándares apuntan a passkeys, dispositivos registrados con verificación criptográfica y llaves de seguridad físicas como alternativas más fuertes.
- La medida sigue al aumento de pérdidas por phishing e ingeniería social: $306 millones de $482 millones en Q1 2026 y 57% de incidentes locales de fraude en 2025.
La Comisión de Valores y Futuros de Hong Kong ordenó a las plataformas de trading de activos virtuales y brokers online adoptar estándares de inicio de sesión resistentes al phishing dentro de 12 meses, elevando el listón de cumplimiento para la seguridad de cuentas en el mercado financiero digital regulado de la ciudad. Los nuevos requisitos prohíben contraseñas de un solo uso enviadas por SMS, correo electrónico o inicios de sesión basados en apps, y empujan a las plataformas hacia passkeys, dispositivos registrados con verificación criptográfica y llaves de seguridad físicas. El mensaje es directo: la autenticación básica ya no basta, especialmente mientras las campañas de phishing se vuelven más adaptativas y capaces de convertir accesos rutinarios en pérdida de activos.
La autenticación pasa de comodidad a control de riesgo
Los nuevos estándares de la SFC apuntan a prevenir antes de que los fondos de clientes sean comprometidos. La vinculación de dispositivos y las verificaciones criptográficas deberían dificultar que atacantes reutilicen credenciales robadas, intercepten códigos temporales o engañen a usuarios para aprobar accesos fraudulentos. El regulador dijo que las medidas integrales deben combinar prevención, detección, respuesta y educación para proteger cuentas de clientes contra fraudes cada vez más complejos. En términos prácticos, los controles anti-phishing se están convirtiendo en infraestructura central de plataforma, no en una función periférica de seguridad que exchanges o brokers puedan postergar hasta después de un incidente.
El momento es difícil de separar de los últimos datos de pérdidas de la industria. Los ataques de phishing y las estafas de ingeniería social representaron $306 millones de los $482 millones en pérdidas del sector cripto durante el primer trimestre de 2026. En Hong Kong, la falsificación y el fraude representaron 57% de los incidentes reportados al centro local de coordinación de ciberseguridad en 2025. Esas cifras hacen que la ventana de implementación de 12 meses parezca menos generosa que urgente. El regulador responde a un patrón de amenaza medible, no a una mejora teórica de ciberseguridad para un sector cada vez más expuesto.
Casos recientes muestran por qué el estándar importa. Un inversionista cripto perdió casi $1 millón después de firmar una aprobación maliciosa de token en Ethereum, mientras otro titular de wallet perdió presuntamente $1,65 millones tras conectarse a un exchange falso y firmar un contrato malicioso. Antes, estafadores usaron anuncios de Google que imitaban a Uniswap y robaron más de $400.000 a víctimas. Líderes de la industria también han pedido mayor seguridad en wallets tras grandes incidentes de address poisoning. La próxima prueba de Hong Kong es disciplina de ejecución, porque las reglas solo protegen si las plataformas las despliegan de forma clara, consistente y antes de que los atacantes se adapten otra vez.
