Эксперты оценили применение биометрии для подтверждения подозрительных операций
Изображение: recraft
Использование биометрии для подтверждения подозрительных финансовых операций может повысить эффективность антифрод-систем, однако такая проверка должна быть дополнительным, а не единственным фактором идентификации клиента. Такое мнение высказал Кирилл Лёвкин, проджект-менеджер ГК Softline (MD Audit).
Возможность использования биометрической идентификации для дополнительного подтверждения гражданами подозрительных операций предусмотрена проектом доктрины развития системы противодействия правонарушениям, совершаемым с использованием информационно-коммуникационных технологий. Документ опубликован Минцифры России для общественного обсуждения и может быть доработан.
«Биометрия способна усилить защиту клиента, если операция выбивается из его обычного финансового поведения. Такой фактор нельзя передать собеседнику по телефону столь же легко, как СМС-код или пароль. Однако считать биометрию универсальным средством защиты нельзя: злоумышленники уже используют дипфейки, подмену изображения, синтез голоса и перехват пользовательских сессий. Поэтому распознавание лица или голоса должно дополняться проверкой присутствия живого человека, анализом устройства и других обстоятельств совершения операции», — отметил Кирилл Лёвкин.
По его словам, биометрическое подтверждение целесообразно встраивать в риск-ориентированную модель. Дополнительная проверка может запрашиваться, например, при переводе нетипичной суммы, использовании нового устройства, резком изменении географии операций или появлении нескольких признаков возможного мошенничества одновременно.
Решение о подтверждении или блокировке операции не должно приниматься на основании одного сигнала. Биометрия должна стать частью многофакторной системы, которая оценивает совокупность признаков риска. При этом важно обеспечить защищенную обработку биометрических шаблонов, минимизировать передачу и хранение исходных изображений и голосовых записей, шифровать данные на всех этапах, а также предусмотреть альтернативный способ подтверждения для граждан, которые не используют биометрию.
Отдельного внимания, подчеркнул эксперт, потребует защита самой биометрической инфраструктуры. Пароль при компрометации можно заменить, тогда как биометрические характеристики человека остаются с ним на протяжении длительного времени. Утечка таких данных создает более долгосрочные риски, поэтому при реализации инициативы необходимо установить единые требования к защите биометрических шаблонов, обнаружению подделок, разграничению доступа, журналированию операций и реагированию на инциденты.
Важно также разделять две разные задачи: подтверждение того, что перед системой находится конкретный человек, и подтверждение того, что он действительно понимает смысл операции и совершает ее без давления мошенников. Биометрия может помочь решить первую задачу, но не вторую. Если клиент действует под влиянием социальной инженерии, он способен лично пройти проверку и подтвердить перевод злоумышленникам. Поэтому биометрию необходимо сочетать с поведенческой аналитикой, антифрод-мониторингом и механизмами приостановки операций.
Среди других положений проекта доктрины — развитие обмена информацией о киберпреступлениях, возможность создания криминалистического учета на основе цифровых следов компьютерных устройств, а также рассмотрение вопроса о включении профессии антифрод-специалиста в общероссийский классификатор специальностей по образованию.
