Минцифры предложило обязать пользователей подтверждать «значимые действия» в интернете исключительно через мессенджер «Mакс» или СМС. Эта мера может войти в третий пакет инициатив по борьбе с мошенничеством — Антифрод 3.0, который сейчас находится на стадии обсуждения. Хотя точное определение «значимых действий» пока не дано, под новые правила могут попасть, например, крупные финансовые операции или изменение важных данных пользователя.
Ранее похожее требование уже обсуждалось при подготовке второго пакета антифрод-поправок, но тогда его не приняли из-за критики со стороны бизнеса. IT-компании и банки опасаются, что если вернуться к такой модели, компании не смогут использовать свои системы аутентификации — например, push-уведомления, встроенные подтверждения или биометрию. Сейчас организации применяют разные методы: push-коды в приложениях, генераторы одноразовых паролей (TOTP), письма, биометрические данные, а иногда и сразу несколько способов для повышения безопасности.
Экран приложения «Mакс» на смартфоне пользователя
Ассоциация компаний интернет-торговли и группа РВБ, контролирующая Wildberries, выступили против ограничения способов подтверждения. По их мнению, существующие многоуровневые механизмы уже обеспечивают необходимый уровень защиты, а новые требования приведут только к росту операционных расходов. Дополнительные траты лягут на банки и цифровые платформы, которым придётся оплачивать рассылку сообщений через «Mакс» или СМС. Многие участники рынка считают, что обязательное подтверждение через «Mакс» или СМС — это шаг назад и с точки зрения безопасности, и с точки зрения расходов. В Минцифры отмечают, что пакет мер ещё будет согласовываться с ведомствами и представителями отрасли.
Между тем, на мировом рынке наблюдается обратная тенденция: крупные онлайн-платформы всё чаще отказываются от SMS-кодов из-за уязвимостей, связанных с SIM-swap и перехватом сообщений. Вместо этого Google и Microsoft продвигают приложения-аутентификаторы, passkeys (ключи доступа) и аппаратные ключи.
СМС-подтверждение уже и так довольно распространенная практика
Банк России ранее оценивал ежегодные потери граждан от операций без добровольного согласия в десятки миллиардов рублей. Однако большинство экспертов уверены: обязательное использование только одного канала подтверждения вряд ли решит проблему мошенничества, но точно приведёт к дополнительным расходам и, возможно, новым рискам.
Как вы относитесь к идее обязательного подтверждения через MAX или СМС — усилит ли это защиту, или наоборот, создаст больше сложностей и расходов для пользователей и бизнеса?
НовостиЖелезо и технологииУтечки
Источник: vgtimes.ru