Участники финансового рынка выступили против поправок в законопроект «Антифрод 2.0», обязывающих кредитные организации подтверждать дистанционные операции клиентов одновременно через SMS и национальный мессенджер MAX. С соответствующими предложениями Национальный совет финансового рынка (НСФР) обратился в Банк России и правительство.
В письме, с которым ознакомилось издание «Ъ», банкиры называют предлагаемую норму «юридически избыточной» и экономически необоснованной. По их оценкам, внедрение двойного канала подтверждения приведет к многомиллиардным ежегодным расходам для отрасли, что в итоге может обернуться ростом тарифов для клиентов. Кроме того, в документе не прописаны критерии «значимых действий», что создает риски вольной трактовки требований.
Россияне нашли новый способ общения вместо Max
Особую озабоченность участников рынка вызывают технические ограничения и риски информационной безопасности. Специалисты указывают, что использование мессенджера MAX в качестве обязательного элемента создает «единую точку отказа»: в случае DDoS-атаки или серьезного сбоя в работе платформы проведение юридически значимых онлайн-операций по всей стране может быть парализовано. Также отмечается, что текущая архитектура MAX не всегда позволяет юридическим лицам направлять сообщения физическим лицам без предварительного запроса со стороны последнего.
Заплатит каждый россиянин из своего кармана: готовится нововведение в MAX
Эксперты отрасли сомневаются, что нововведение усилит защиту от мошенников. Основным инструментом злоумышленников остается социальная инженерия, при которой жертву убеждают совершить перевод добровольно. В таких случаях наличие двух каналов подтверждения не является препятствием. Специалисты по информбезопасности добавляют, что push-уведомления в банковских приложениях или коды двухфакторной аутентификации (TOTP) обеспечивают более высокий уровень защиты, чем SMS или MAX, так как не зависят от уязвимостей мобильных сетей.
В НСФР предлагают закрепить за операторами связи обязанность предоставлять услуги по отправке кодов подтверждения бесплатно либо установить государственное регулирование тарифов на эти услуги. В Банке России и кабинете министров ситуацию пока не комментировали.