Банкиры не хотят платить за подтверждение операций через национальный мессенджер
Участники финансового рынка просят не навязывать их клиентам способы подтверждения операций, которые ограничены в готовящемся ко второму чтению законопроекте «Антифрод 2.0» сообщениями в МАХ и СМС. Банкиры считают, что принятие этой нормы не приведет к заметному усилению защиты операций, но удвоит их расходы. К тому же, по словам экспертов, СМС давно ненадежны, а МАХ в нынешнем виде в ряде случаев не сможет обеспечить подтверждение операций чисто технически.
Выйти из полноэкранного режима Развернуть на весь экран Фото: Евгений Разумный, Коммерсантъ Фото: Евгений Разумный, Коммерсантъ Банкиры просят внести изменения в норму законопроекта «Антифрод 2.0», согласно которой подтверждать финансовые операции, проводимые удаленно, нужно будет обязательно при помощи и СМС, и сообщений в мессенджере МАХ. Письмо с соответствующими предложениями 23 марта направил Национальный совет финансового рынка (НСФР) в ЦБ и правительство (с ним ознакомился “Ъ”). Такое подтверждение, согласно законопроекту, будет требоваться для всех совершаемых гражданами дистанционным способом «значимых действий». Однако никаких критериев, согласно которым действие может быть признано значимым или нет, в проекте закона не обозначено. Подобное двойное подтверждение банкиры называют «юридически избыточной и необоснованно затратной» процедурой. Фактически планируется установить обязанность направления информационных сообщений по одному значимому действию по двойной стоимости. «При массовых пользовательских сценариях это может привести к многомиллиардным ежегодным дополнительным расходам, снижению рентабельности и росту цен для пользователей»,— указывает глава НСФР Андрей Емелин. Отдельную озабоченность участников финансового рынка вызывает тот факт, что при навязывании подтверждения через СМС или МАХ полностью игнорируются иные доступные варианты подтверждения, способные обеспечить более высокий уровень защиты. Авторы письма также считают, что обязательное использование МАХ может создать неприемлемые риски угроз информационной безопасности, поскольку ведет к возникновению уязвимости критического уровня в виде единой точки отказа. «Любой серьезный технический сбой или компьютерный инцидент, например DDoS-атака на национальный мессенджер, может привести к остановке на неопределенное время всей юридически значимой онлайн-деятельности в стране, включая банковские операции и совершение сделок»,— поясняет господин Емелин. Кроме того, по его словам, исходя из текущего порядка функционирования МАХ, направление исходящих односторонних сообщений от юрлица физлицу без предварительного запроса на диалог со стороны клиента сегодня технически невозможно. В пресс-службе мессенджера MAX отказались от комментариев. Представители финансового сообщества предлагают использовать альтернативные варианты, призванные снизить издержки банков для подтверждения операций. Кроме того, авторы письма просят нормативно закрепить безвозмездность оказания операторами связи услуги по доведению кодов подтверждения значимых действий (для СМС-сообщений и сообщений МАХ) либо установить регулируемый государством тариф на соответствующие услуги. Эксперты отмечают, что увеличение числа подтверждающих факторов и использование для этого национального мессенджера не приведут к значимому снижению числа мошеннических операций. Основным инструментом мошенников остается социальная инженерия, которая позволяет «вести» жертву в течение нескольких дней. «Против таких методов расширение факторов подтверждения бессильно, поскольку клиенты, как правило, подтверждают осознанность и мотивированность своих действий и родственникам, и сотрудникам банков, поэтому подтвердить их несколько раз через мессенджеры не составит труда»,— указывает глава правления ассоциации «Финансовые инновации» Роман Прохоров. Специалисты в области информбезопасности обращают внимание, что добавление в сферу МАХ, по сути, это попытка подстраховать классическое «голое» СМС. «Национальный мессенджер МАХ, поскольку он построен по современным принципам сквозного шифрования и жестко привязан к конкретному экземпляру устройства, надежнее СМС, хотя уступает по надежности биометрии или аппаратным ключам»,— говорит председатель Координационного совета негосударственной сферы безопасности РФ Игорь Бедеров. По словам ведущего инженера CorpSoft24 Михаила Сергеева, по сравнению с МАХ push-уведомления в банковских приложениях и TOTP-коды («Яндекс ID», Google Authenticator и т. д.) намного безопаснее, потому что не зависят от мобильной сети. Гендиректор SafeTech Денис Калемберг считает, что вне зависимости от количества способов отправки дополнительных кодов подтверждения операций это никак не может улучшить защиту клиентов банков, так как они перехватываются на всех этапах жизненного цикла. «Кроме того, данная схема противоречит текущим требованиям ЦБ, которые подразумевают использование криптографических средств для обеспечения безопасности трансакций»,— говорит он. В Банке России и правительстве не ответили на запрос “Ъ”. Источник: http://www.kommersant.ru/doc/8534035
