香港证监会反钓鱼认证新规下证券与虚拟资产平台身份安全体系构建研究
2026 年 7 月香港证券及期货事务监察委员会(SFC)发布监管通函,强制互联网券商与持牌虚拟资产交易平台(VATP)12 个月内全面停用短信、邮件、应用程序一次性密码(OTP)开展登录与设备绑定操作,全面部署通行密钥(Passkey)、加密设备绑定等抗钓鱼认证技术,形成 “预防 - 侦测 - 处置 - 投资者教育” 一体化账户防护框架。本文以 SFC 新规为核心研究载体,梳理传统 OTP 认证在金融钓鱼攻击中的底层安全缺陷,剖析 Passkey 基于 FIDO2/WebAuthn 协议的域名绑定防钓鱼技术机理,结合 Python 后端、Web 前端完整可运行代码示例落地抗钓鱼认证模块;同时...