Участники финансового рынка выступили против идеи дублировать подтверждение операций через мессенджер MAX. По их мнению, это приведёт к росту расходов банков, не повысит безопасность транзакций и будет противоречить действующим требованиям Банка России. Национальный совет финансового рынка (НСФР) направил в ЦБ и правительство письмо с просьбой скорректировать соответствующую норму законопроекта «Антифрод 2.0».
Документ, который оказался в распоряжении «Коммерсанта», предусматривает обязательное подтверждение «значимых» операций сразу двумя способами: через СМС и через мессенджер MAX.
В НСФР считают такую схему избыточной и затратной. Там указывают, что двойное подтверждение в среднем удвоит стоимость уведомлений. Кроме того, в самом законопроекте, как отмечают участники рынка, не определено, какие именно операции следует считать «значимыми».
«При массовых пользовательских сценариях это может привести к многомиллиардным ежегодным дополнительным расходам, снижению рентабельности и росту цен для пользователей», — заявил глава НСФР Андрей Емелин.
Отдельные вопросы у участников рынка вызывает и сама идея опоры на один мессенджер. В НСФР предупреждают, что использование MAX формирует единую точку отказа и в целом повышает риски информационной безопасности. По словам Андрея Емелина, любой серьёзный сбой или атака на MAX может затронуть работу всей финансовой системы. Кроме того, технически отправка односторонних сообщений от юридического лица физическому лицу без предварительного запроса на диалог со стороны клиента сейчас невозможна.
Сбои в работе MAX уже фиксировались. Кроме того, через него оказалось невозможно доставлять пуш-уведомления, что, как ранее сообщалось, мешает использовать мессенджер для экстренного оповещения.
Поэтому представители финансового сообщества предлагают рассмотреть другие способы уведомления клиентов. Одновременно они просят либо закрепить безвозмездное использование MAX для таких целей, либо установить для этого специальный регулируемый тариф.
Опрошенные изданием эксперты в целом согласны с тем, что дублирование подтверждений через MAX не даст заметного прироста безопасности. Как отметил глава правления ассоциации «Финансовые инновации» Роман Прохоров, такая мера также малоэффективна против схем социальной инженерии, которыми пользуются злоумышленники.
«Национальный мессенджер MAX, поскольку он построен по современным принципам сквозного шифрования и жёстко привязан к конкретному экземпляру устройства, надёжнее СМС, хотя уступает по надёжности биометрии или аппаратным ключам», — напоминает председатель Координационного совета негосударственной сферы безопасности РФ Игорь Бедеров.
По оценке ведущего инженера CorpSoft24 Михаила Сергеева, более безопасной альтернативой любым мессенджерам остаются пуш-уведомления в банковских приложениях и TOTP-коды, например в Яндекс ID. Кроме того, такие механизмы не зависят от мобильной сети.
Генеральный директор SafeTech Денис Калемберг, в свою очередь, заявил, что использование мессенджера для подтверждения операций прямо противоречит текущим требованиям ЦБ, которые предполагают применение криптографических средств защиты.
