Niente più autenticazione tramite SMS o email. Ecco cosa prevede la nuova normativa e perché potrebbe influenzare il futuro della sicurezza nel settore.
Per molti anni ricevere un codice temporaneo via SMS o email è stato uno dei metodi più comuni per proteggere l’accesso ai propri account online. Anche nel settore delle criptovalute, gli OTP (One-Time Password) sono stati considerati uno standard di sicurezza sufficiente per verificare l’identità degli utenti.
Oggi, però, questo sistema viene ritenuto sempre meno efficace contro le truffe informatiche più moderne. Gli attacchi di phishing riescono infatti sempre più spesso a convincere gli utenti a inserire i propri codici su siti fraudolenti, consentendo ai criminali di impossessarsi degli account.
Per questo motivo Hong Kong ha deciso di cambiare approccio. La Securities and Futures Commission (SFC), l’autorità che regola i mercati finanziari locali, ha introdotto nuove disposizioni che impongono alle piattaforme crypto di abbandonare gli OTP tradizionali e adottare sistemi di autenticazione più avanzati. Una scelta che potrebbe diventare un punto di riferimento anche per altri regolatori internazionali.
Cosa cambia per le piattaforme crypto di Hong Kong
La nuova circolare della SFC introduce un cambiamento netto: SMS, email e applicazioni che generano codici temporanei non potranno più essere utilizzati per autenticare gli utenti sulle piattaforme autorizzate di trading di asset digitali, né per associare nuovi dispositivi agli account.
Al loro posto dovranno essere implementati sistemi considerati resistenti agli attacchi di phishing, come le passkey, la verifica crittografica dei dispositivi registrati e le chiavi hardware di sicurezza. Si tratta di tecnologie progettate per ridurre il rischio che un utente venga indotto a consegnare le proprie credenziali a un sito contraffatto.
Il regolatore aveva già espresso queste preoccupazioni nelle linee guida pubblicate nel febbraio 2025, ma con questa circolare le indicazioni diventano un vero e proprio obbligo regolamentare.
Le piattaforme avranno dodici mesi per completare l’adeguamento alle nuove regole. Per i principali broker online, invece, la conformità dovrà essere immediata. Oltre ai nuovi sistemi di autenticazione, gli operatori saranno tenuti a rafforzare il monitoraggio degli account, individuando eventuali comportamenti anomali durante l’accesso, il trading o i prelievi e informando tempestivamente i clienti in presenza di attività sospette.
Perché il phishing è diventato la minaccia numero uno
La decisione della SFC nasce da un contesto preciso. Nel corso del 2025 Hong Kong ha registrato 15.877 incidenti di cybersecurity, un dato in crescita del 27% rispetto all’anno precedente e più che raddoppiato rispetto ai 7.752 casi rilevati nel 2023.
L’elemento che ha maggiormente preoccupato il regolatore riguarda la tipologia degli attacchi. Ben il 57% degli incidenti è stato infatti causato da spoofing e phishing, mentre gli attacchi botnet hanno rappresentato il 18% e il malware il 15%.
In altre parole, il principale punto debole non è stato rappresentato dalle infrastrutture tecnologiche delle blockchain, ma dagli utenti stessi, spesso ingannati attraverso comunicazioni o siti web apparentemente legittimi.
La stessa circolare richiama alcuni episodi recenti. Tra questi, il furto di circa 12.300 dollari subito da un utente della piattaforma HyperSwap e una truffa da circa 400.000 dollari, realizzata tramite siti falsi che imitavano l’interfaccia di Uniswap.
Per il regolatore, quindi, migliorare l’autenticazione significa agire proprio sull’anello più sfruttato dai cybercriminali: impedire che un semplice codice temporaneo possa essere intercettato o utilizzato su una piattaforma fraudolenta.
Più responsabilità per le piattaforme e maggiore tutela per gli utenti
Le novità introdotte dalla SFC non riguardano esclusivamente gli strumenti tecnologici. Cambia anche il modo in cui viene attribuita la responsabilità in caso di problemi di sicurezza.
La circolare stabilisce infatti che il senior management delle piattaforme autorizzate potrà essere ritenuto direttamente responsabile delle perdite subite dai clienti qualora siano riconducibili a controlli di sicurezza inadeguati. In pratica, la protezione degli account non sarà più soltanto una questione tecnica affidata ai reparti informatici, ma diventerà una responsabilità che coinvolge direttamente i vertici aziendali.
Le piattaforme dovranno non solo adottare metodi di autenticazione più robusti, ma anche monitorare costantemente eventuali attività anomale e intervenire tempestivamente quando emergono segnali di rischio.
Per gli operatori che non rispetteranno le nuove disposizioni le conseguenze potrebbero essere significative: oltre a possibili azioni di enforcement da parte del regolatore, dovranno fare i conti anche con il danno reputazionale, un elemento particolarmente delicato in un settore dove la fiducia degli investitori rappresenta uno degli asset più importanti.
La decisione di Hong Kong mostra come la sicurezza stia assumendo un ruolo sempre più centrale nella regolamentazione del mercato crypto. E se oggi riguarda un singolo Paese, è possibile che in futuro standard simili vengano presi in considerazione anche da altre autorità di vigilanza nel tentativo di ridurre uno dei rischi più diffusi per gli investitori: il phishing.
