Национальный совет финансового рынка (НСФР) направил в ЦБ и правительство критический отзыв на законопроект «Антифрод 2.0». Банкиры выступают против обязательного дублирования кодов подтверждения через СМС и национальный мессенджер МАХ, предупреждая о многомиллиардных издержках и риске паралича финансовых операций.

Письмо с предложениями по корректировке норм 23 марта подписал глава совета Андрей Емелин. Согласно текущей редакции документа, банки будут обязаны подтверждать любые «значимые действия» клиентов в дистанционных каналах двумя способами одновременно. В НСФР подчеркивают, что это фактически удваивает стоимость каждой трансакции для финансовых организаций, что неизбежно приведет к росту цен для конечных пользователей.

Технологические риски и «точка отказа»

Банкиры указывают на серьезную уязвимость: обязательная привязка к мессенджеру создает «единую точку отказа». Любой технический сбой или мощная DDoS-атака на инфраструктуру МАХ может остановить всю юридически значимую онлайн-активность в стране — от банковских переводов до заключения сделок. Кроме того, текущая архитектура мессенджера не позволяет компаниям отправлять сообщения пользователям без предварительно открытого диалога, что делает автоматическую рассылку кодов технически невозможной.

В качестве альтернативы Национальный совет финансового рынка предлагает закрепить безвозмездность таких уведомлений со стороны операторов связи либо установить на них регулируемый государством тариф.

Бессилие против социальной инженерии

Опрошенные эксперты сходятся во мнении, что механическое увеличение факторов подтверждения не решит проблему киберпреступности. По словам главы правления ассоциации «Финансовые инновации» Романа Прохорова, дополнительные барьеры бесполезны против методов социальной инженерии. Если мошенники уже манипулируют сознанием жертвы, человек подтвердит операцию любым количеством способов.

Специалисты по безопасности выделяют несколько более надежных и дешевых инструментов:

• push-уведомления в банковских приложениях, не зависящие от мобильных сетей;
• TOTP-коды и алгоритмы генерации паролей (аналоги Google Authenticator);
• биометрическую идентификацию и аппаратные криптографические ключи.

В пресс-службе мессенджера МАХ, а также в Банке России и правительстве ситуацию пока не прокомментировали.