2026-11-06 02:49:50 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

香港证监会（SFC）要求身份认证技术升级飞天诚信FIDO Security Key助力互联网券商

原创

飞天诚信
飞天诚信

飞天诚信

2026年11月5日 16:40
北京

去阅读

今年7月，香港证券及期货事务监察委员会（SFC）发布专项监管通函，明令互联网券商及虚拟资产交易平台（VATP）用于客户账户登录及设备绑定场景采用稳健的身份认证方法，以保护客户的网上交易账户免受钓鱼攻击，并实施有效的监察和监控措施以识别客户账户中的可疑活动。

香港网络安全事故协调中心 2025 年统计数据显示，全年报告金融类网络安全事件超过一万五千起，较 2024 年增长 27%，其中仿冒券商、虚拟资产平台的钓鱼诈骗案件占比达57%。通函指出，在互联网券商及VASP向SFC申报的网络安全事件中，欺诈者针对其客户发起了大规模、无差别的短信（SMS）钓鱼活动，欺诈者发送包含恶意链接的短信，冒充这些机构并提及来自监管机构或政府机构的信息请求。客户被诱导在假网站上输入用户凭证，包括作为登录流程的一部分、用于验证客户身份的一次性密码（OTP）。据怀疑，欺诈者执行了中间人攻击，拦截客户凭证、访问客户账户并进行未经授权的交易。

通函要求，互联网券商及VASP应实施稳健措施保护客户账户及资产，包括：

稳健的预防控制：使用稳健且抗钓鱼的认证方案进行客户登录及设备绑定；
有效的检测和监控措施：识别客户账户中的可疑交易（包括交易指令及资金/虚拟资产提取），并及时通知客户其账户活动；
及时响应及黑客事件报告程序：包括遏制和缓解未经授权活动、保障客户资产、通知受影响客户并向SFC报告事件；
提升客户对钓鱼攻击及其他网络安全风险的意识：包括就入侵客户账户的常见手段向客户发出警报，以及提供良好安全做法指引。

通函强调，SFC不认为OTP（包括电邮OTP和短信OTP）是抗钓鱼的身份认证方案，不应在客户账户登录及设备绑定场景中使用。

通函在附录中给出了“稳健且抗钓鱼的身份认证方案”示例，包括：

Passkey：基于公钥密码学的无口令认证凭证，私钥安全存储在用户设备或独立设备（例如飞天诚信FIDO Security Key）中，无需传输或共享秘密，适用于各类网上交易平台；
与硬件设备绑定的身份认证：使用稳健的身份认证方法（例如PKI）将设备与客户账户关联；适用于移动及桌面交易应用。

通函特别指出，Passkey已被美国NIST、美国CISA、澳大利亚网络安全中心、英国NCSC等国际机构公认为抗钓鱼身份认证方法。

通函要求，互联网券商及VASP尽快实施能降低和缓解钓鱼攻击黑客风险的稳健身份认证方案，并设置了12个月的期限。大型互联网券商（SFC定义的标准为月度活跃客户量超 10 万人、线上交易占总成交比例高于 70%）须立即实施这些方案。

通则规定，若未能实施充分措施防止、检测和制止黑客事件后的大规模未经授权交易，SFC将追究相关公司对客户损失的责任；高级管理层（整体管理监督经理及信息科技经理）负最终责任。

Passkey 是由 FIDO 联盟推出的身份认证解决方案，已被苹果、谷歌、微软等科技巨头广泛采用，其使命正是替代传统密码（口令），在提升安全性的同时，免去用户记忆与输入密码的负担。具体而言，Passkey 基于 FIDO2/WebAuthn 标准，由公钥与私钥组成：注册时使用公钥，私钥则安全存储在用户设备（如飞天诚信FIDO Security Key这样的硬件安全密钥）中。公私钥分离的机制使登录凭据分别保存于云端与本地，可有效降低凭证被攻击者窃取的风险。

从香港 SFC 的监管倡导，到全球科技巨头的纷纷落地，Passkey 正从\"前沿方案\"加速走向\"主流标配\"。据 FIDO 联盟（FIDO Alliance）数据，全球已有超过 150 亿个用户账户具备使用 Passkey 登录的能力，较上年实现翻番；其 2026 年 Passkey Index 进一步显示，主流消费服务中已有超过三分之一（36%）的成功登录通过 Passkey 完成，较 2025 年的 26% 明显提升。与此同时，Passkey 的登录成功率达 93%，显著高于传统多因素认证（MFA）的 78%，且登录速度约为后者的 2.8 倍，单次登录平均可节省约 27 秒。

在消费者侧，Passkey 的认知度已攀升至 90%；Apple、Google、Microsoft 三大生态已完成原生支持，Amazon、PayPal、TikTok、GitHub、eBay 等主流平台亦广泛部署，行业数据显示全球约 97% 的设备已具备 Passkey 能力。企业侧同样提速：FIDO 联盟数据显示，68% 的组织已部署或正在部署面向员工的 Passkey，82% 的组织将\"完全无口令（Passwordless）\"列为终极目标。Passkey正成为数字身份基础设施中不可或缺的一环。

飞天诚信自 2014 年加入联盟以来，始终深耕无口令身份认证生态。作为 FIDO 联盟董事会成员，我们深知，Passkey 的安全基石，既在于开放标准的成熟，也在于可信硬件的托底——私钥只有留在用户设备、由安全芯片守护，抗钓鱼的能力才能真正落地。这正是飞天诚信 FIDO Security Key 系列产品的价值所在。通过 FIDO Level 2 认证的 FEITIAN FIDO Security Key，支持 USB-A、USB-C、NFC 与 BLE 多种连接方式，可无缝对接 Google、AWS 等全球主流在线服务，为用户提供\"即插即用\"的抗钓鱼登录体验。从监管合规到日常使用，从大型企业到个人用户，飞天诚信正以完整的产品矩阵，让 Passkey 不只是标准，更是随手可得的安全。