香港証券先物委員会、AIベースのサイバー脅威に対応するため仮想資産プラットフォームにフィッシング防止認証を義務化

2026年7月9日、香港証券先物委員会（SFC）は、進化するサイバー脅威に対応するため、すべてのライセンス済み仮想資産サービスプロバイダー（VASP）およびオンラインブローカーに対し、フィッシング防止ログイン要件を採用するよう命じた。今回の指針は、2026年6月に発表された回覧のフォローアップ措置であり、プラットフォームが2025年と2026年初頭に地域のセキュリティ環境を脅かしたAIベースのフィッシング攻撃に対抗し、認証インフラを全面的に刷新できるよう、12ヶ月の猶予期間を付与するものである。

SFCは、ライセンス法人およびVASPが新たに発行されたフィッシング防止ログイン要件を満たす必要があると明示した。規制当局は、規制された仮想資産エコシステムのセキュリティアップグレードのために12ヶ月の遵守期限を設定しており、これは香港内でのデジタル資産取引の安全性を確保するための義務的な措置である。プラットフォームは、定められた期限内に既存の脆弱な認証方式を置き換えなければならない。

既存の多要素認証方式は、高度化されたAIフィッシング攻撃を遮断するには限界があり、ハードウェアベースの強力な認証体系の導入が急務である。

今回の措置は、SMSコードのような従来の多要素認証（MFA）方式から脱却し、ハードウェアセキュリティキーやFIDO2標準に準拠したパスキー（Passkeys）への転換を意味する。これらの技術は、攻撃者がユーザーのログイン情報を傍受したり、偽サイトに誘導したりすることを根本的に遮断するように設計されている。特に、AIを活用した巧妙なソーシャルエンジニアリング攻撃に対応する上で、中心的な役割を果たすことが期待される。

2025年の記録的なセキュリティ事故と規制強化の背景

香港コンピュータ緊急対応チーム（HKCERT）が発表した「香港サイバーセキュリティ展望2026」レポートによると、2025年の香港におけるサイバーセキュリティ事故は計15,877件で、過去最高を記録した。これは前年比27%増の数値であり、全事故のうちフィッシングが約60%を占め、規制当局の即時介入を促した。以下の表は、2025年の香港におけるサイバーセキュリティ事故の現状をまとめたものである。

• AIベースのフィッシングメール本文およびランディングページ生成事例の急増
• 2026年1月時点でフィッシングメールの約11%がAI支援の指標を含む
• 精巧なソーシャルエンジニアリング手法を通じたユーザーの欺瞞および資産奪取の試みの強化
• サプライチェーンリスクとAI関連の攻撃が主要なセキュリティ懸念事項として浮上

2026年上半期の世界の暗号資産ハッキング事故は207件で過去最多を記録したが、総損失額は10億ドル未満の約9億7,200万ドルに減少した。これは攻撃の頻度は増えたものの、強化されたセキュリティ対策が実際の金融被害を緩和し始めたことを示唆している。香港の今回の措置も、このようなグローバルなセキュリティ強化の流れに歩調を合わせ、被害規模を最小限に抑えることを目的としている。

今回のセキュリティ命令は、2026年4月に発表されたトークン化ファンドの二次取引フレームワークなど、香港の他の規制イニシアチブと相互補完的な関係にある。強力なフィッシング防止規定は、投資家保護を最優先する「グローバル・デジタル資産ハブ」としての香港の地位を確固たるものにするための不可欠な基盤である。規制当局は、セキュリティが担保されない市場の成長は持続可能ではないという立場を明確にしている。

しかし、香港企業の約30%が専任のサイバーセキュリティ人材を欠いている状況で、中小規模のVASPが直面する実装上の困難も予想される。技術的インフラを構築するコストだけでなく、それを運用する専門人材を確保することが、今後12ヶ月間にわたりプラットフォームに課せられた主要な課題となる見通しだ。規制遵守コストの上昇が市場参入障壁として作用する可能性があるとの懸念も提起されている。

SFCは2027年6月の締め切り期限まで、「Scameter+」レポートと定期監査を通じてプラットフォームの遵守状況を継続的に監視する計画だ。規制当局は、セキュリティ事故の発生時に当該プラットフォームの対応能力と規定遵守状況を厳格に評価し、ライセンス維持の可否に反映させる方針である。投資家は、今後利用するプラットフォームがこれらのセキュリティ基準を満たしているかどうかを注意深く確認する必要がある。