Lorsqu'un régulateur ordonne la suppression des mots de passe à usage unique dans un délai de douze mois, il ne se contente pas de mettre à jour une procédure technique : il admet que le système d'accès sur lequel des millions d'investisseurs comptent chaque jour est fondamentalement compromis. C'est exactement le message que le Commission des valeurs mobilières et des contrats à terme de Hong Kong (SFC) envoyé jeudi aux plateformes de trading d'actifs virtuels et aux courtiers en ligne opérant dans la région administrative spéciale, imposant de nouvelles normes de authentification anti-phishing avec un ultimatum clair : douze mois pour se conformer ou être tenu responsable des pertes des clients.
Points clés
- La SFC de Hong Kong a ordonné aux plateformes de cryptographie et aux courtiers en ligne d'adopter des méthodes d'authentification anti-phishing d'ici 12 mois, interdisant les mots de passe à usage unique via SMS, e-mail ou applications.
- Les solutions acceptées incluent les clés d'accès, les appareils enregistrés vérifiés cryptographiquement et les clés de sécurité matérielles.
- Les attaques de phishing et les escroqueries d'ingénierie sociale ont provoqué 306 millions de dollars de pertes dans le secteur de la cryptographie au cours du seul premier trimestre 2026.
- En 2025, le 57% des incidents de cybersécurité signalés au Centre de coordination des accidents de cybersécurité de Hong Kong impliquaient de la contrefaçon et de la fraude.
- Co-fondateur de Binance, Zhao Changpengavait précédemment appelé à des mesures de sécurité plus strictes pour les portefeuilles après une arnaque de 50 millions de dollars en décembre 2025.
Hong Kong impose une connexion anti-phishing pour les plateformes de cryptographie
Le déménagement du SFC ne se fait pas dans le vide. Cela arrive à un moment où les escroqueries par phishing ont cessé d’être un problème de niche pour devenir l’une des principales sources de pertes de l’ensemble de l’écosystème cryptographique mondial. La circulaire publiée jeudi exige que les plateformes de négociation d'actifs virtuels (VATP) et les courtiers en ligne abandonnent les mots de passe à usage unique – appelés OTP – pour la connexion des utilisateurs et l'enregistrement des appareils, et introduisent à la place des systèmes qui résistent activement aux tentatives d'écoute.
Le point critique est précisément le suivant : les OTP envoyés par SMS, e-mail ou générés par des applications d’authentification peuvent être volés en temps réel grâce à des attaques de phishing sophistiquées. Un utilisateur trompé par une fausse page peut, sans le savoir, remettre ses informations d'identification temporaires à un attaquant en quelques secondes. Les nouvelles normes veulent fermer cette fenêtre.
Suppression des mots de passe temporaires dans un délai de 12 mois
La SFC a fixé un délai de 12 mois à compter de la date d'émission de la circulaire, en précisant que les grandes sociétés de courtage en ligne devraient adopter les nouvelles méthodes. immédiatement. Il ne s'agit pas seulement d'un changement technologique : le régulateur a également précisé que la haute direction des institutions licenciées porte la responsabilité ultime de l'adéquation des contrôles internes, et que le SFC tiendra les entreprises responsables des pertes de clients résultant de déficiences dans leurs systèmes de sécurité.
Ce passage est significatif. Transférer la responsabilité aux plateformes – et pas seulement à l’utilisateur qui a « cliqué sur le mauvais lien » – représente un changement de paradigme réglementaire que d’autres marchés pourraient observer attentivement.
Méthodes d'authentification approuvées et couplage d'appareils
Les solutions que le SFC considère comme conformes aux nouvelles exigences comprennent mot de passeappareils enregistrés avec vérification cryptographique et clé de sécurité matérielle. Tous trois partagent une caractéristique fondamentale : l'authentification s'effectue localement sur l'appareil de l'utilisateur, sans transmission d'informations d'identification interceptables sur le réseau. Un attaquant qui réplique une page de connexion n’obtient rien d’utile, car il n’y a pas de mot de passe à voler.
En plus des mesures préventives, les plateformes devront mettre en œuvre des systèmes de détection et de surveillance pour identifier les activités suspectes de connexion, de trading et de retrait, informer rapidement les clients des transactions importantes sur leur compte et réagir rapidement aux incidents de piratage.
Augmentation des vols et des escroqueries par phishing : les chiffres qui ont convaincu le régulateur
Pour comprendre pourquoi Hong Kong a décidé d’agir maintenant, il suffit de disposer de données. Au premier trimestre 2026, les attaques de phishing et les escroqueries d'ingénierie sociale ont donné naissance à 306 millions de dollars de pertes dans le secteur mondial de la cryptographie – sur un total de 482 millions de dollars de pertes globales sur la période. Plus de six dollars perdus sur dix ne proviennent donc pas d’exploits techniques des protocoles, mais de tromperies qui exploitent la confiance des utilisateurs.
Pertes récentes dues au phishing et à l'escroquerie à l'échelle mondiale
Les cas concrets de ces derniers mois dressent un tableau encore plus inquiétant. Un investisseur presque perdu un million de dollars après avoir signé une transaction d'approbation de jeton malveillante sur Ethereum. Un autre porte-monnaie perdu 1,65 million de dollars en se connectant à un faux échange et en signant un contrat malveillant qui donnait aux attaquants un accès illimité aux fonds, selon le chercheur Ryan Coleman. En mai, l'analyste onchain « b-block » a signalé que des fraudeurs avaient utilisé Google pour diffuser des publicités malveillantes se faisant passer pour le DEX. Uniswapsoustraire davantage 400 000 $ aux victimes.
Les pertes dues au phishing au premier semestre 2026 ont totalisé 366 millions de dollars.
Statistiques sur les incidents de cybersécurité à Hong Kong
Sur le plan local, les données du Centre de coordination des accidents de cybersécurité de Hong Kong montrent que la contrefaçon et la fraude représentaient 57 % de tous les incidents de sécurité signalés en 2025. Un fait qui explique la précipitation du régulateur : Hong Kong n'est pas un observateur extérieur du problème, il en est une partie active.
« Pour protéger les comptes clients contre des attaques de contrefaçon et de fraude de plus en plus complexes et changeantes, des mesures globales combinant prévention, détection, réponse et formation doivent être mises en œuvre », a déclaré Ye Zhiheng, directeur exécutif du département intermédiaire de la Commission chinoise de réglementation des valeurs mobilières.
Réactions de l'industrie et demandes d'une plus grande sécurité pour les portefeuilles
Le problème n’a pas échappé aux hauts responsables de l’industrie. Déjà en décembre 2025, après qu'un investisseur ait perdu 50 millions de dollars dans une escroquerie par empoisonnement d'adresse, le co-fondateur de Binance, Changpeng Zhao, avait publiquement appelé à des normes de sécurité plus strictes pour les portefeuilles. L’empoisonnement d’adresse est une technique particulièrement insidieuse : les fraudeurs créent des adresses de portefeuille visuellement similaires à des adresses légitimes, en espérant que les victimes copieront et colleront la mauvaise adresse lors d’une transaction.
Le co-fondateur de Binance plaide pour une protection plus forte des portefeuilles
L'appel de Zhao n'était pas isolé. Ce qui a changé aujourd’hui, c’est que le régulateur de Hong Kong a transformé ces préoccupations en obligations réglementaires contraignantes. La différence entre une exhortation et une circulaire avec des délais et des responsabilités explicites est considérable : les plateformes ne peuvent plus simplement recommander aux utilisateurs de « faire attention ».
Alertes en cas d'escroquerie par empoisonnement d'adresse
Il convient de mentionner qu'en mai 2024, une victime a perdu 71 millions de dollars dans une escroquerie par empoisonnement d'adresse dans une affaire inhabituelle qui s'est soldée par la restitution de la totalité de la somme deux semaines plus tard, sous la pression des enquêteurs qui affirmaient avoir retracé l'adresse IP potentielle de l'escroc. Un épilogue exceptionnel qui ne peut être considéré comme la norme.
Ce qui change vraiment pour le marché crypto de Hong Kong
La portée stratégique de cette circulaire dépasse la simple cybersécurité. Hong Kong se positionne comme une plateforme crypto réglementée en Asie, et la crédibilité de ce positionnement dépend également de sa capacité à protéger les investisseurs particuliers contre des escroqueries de plus en plus sophistiquées. Un marché perçu comme peu sûr n’attire pas les capitaux institutionnels.
L’obligation de mettre en œuvre des systèmes d’authentification anti-phishing dans un délai de douze mois impose de réels investissements technologiques aux plateformes licenciées. Ceux qui ne s’y conforment pas risquent non seulement des amendes réglementaires, mais s’exposent également directement à la responsabilité des pertes de clients – un levier que le régulateur a explicitement actionné. Pour les plateformes plus structurées, cela pourrait se traduire par un avantage concurrentiel par rapport aux opérateurs moins capitalisés : la conformité devient une barrière à l’entrée.
Le modèle de Hong Kong pourrait devenir une référence pour d’autres régulateurs en Asie et au-delà. Si les chiffres de 2026 confirment la tendance – le phishing étant le principal vecteur de perte dans l’ensemble du secteur de la cryptographie – la pression sur les autres marchés pour qu’ils adoptent des normes similaires devrait augmenter rapidement.
FAQ
Quelles nouvelles exigences de connexion le SFC de Hong Kong a-t-il imposées aux plateformes de cryptographie ?
La SFC exige que les plateformes de cryptographie et les courtiers en ligne adoptent des méthodes d’authentification anti-phishing – telles que des mots de passe, des appareils enregistrés cryptographiquement vérifiés et des clés de sécurité matérielles – interdisant les mots de passe à usage unique dans les 12 mois suivant la publication de la circulaire.
Pourquoi ces nouvelles méthodes d’authentification sont-elles rendues obligatoires désormais ?
Les attaques de phishing et les escroqueries d'ingénierie sociale ont causé 306 millions de dollars de pertes dans le secteur de la cryptographie au premier trimestre 2026, et en 2025, 57 % des incidents de cybersécurité signalés à Hong Kong impliquaient de la contrefaçon et de la fraude.
Quelles alternatives aux mots de passe à usage unique sont acceptées par le régulateur de Hong Kong ?
Les méthodes acceptées par le SFC incluent les clés d'accès, les appareils enregistrés avec vérification cryptographique et les clés de sécurité matérielles, qui sont considérées comme résistantes au phishing car l'authentification s'effectue localement sans transmettre d'informations d'identification interceptables.
Comment le secteur de la cryptographie a-t-il réagi aux menaces de phishing ?
Des personnalités du secteur telles que le cofondateur de Binance, Changpeng Zhao, ont déjà appelé à des normes de sécurité plus strictes pour les portefeuilles à la suite de l'escroquerie par empoisonnement d'adresse de 50 millions de dollars en décembre 2025. La circulaire SFC transforme ces préoccupations en obligations réglementaires contraignantes.
Contenu créé avec l’aide de l’intelligence artificielle et de la révision éditoriale humaine.
Voir l’article original en italien
