Смогут ли мошенники использовать биометрию для доступа к чужому счету
Один блогер сказал
"Мне позвонили с неизвестного номера и с вопросительной интонацией назвали мое имя. Наверняка это мошенники ожидали, что я скажу "да", которое потом в записи можно будет использовать как ключ доступа к моему банковскому счету", - именно так начинается большинство тревожных историй в социальных сетях в преддверии появления в России Единой биометрической системы. Эта разработка компании "Ростелеком" создана по инициативе Центрального банка и Министерства цифрового развития, связи и массовых коммуникаций РФ. Она действительно может удаленно опознать клиента финансовой организации по голосу и лицу. Идентификация позволит гражданам осуществить три банковских операции: открыть счет или вклад, оформить кредит, сделать денежный перевод. Но, например, снять деньги с текущего счета с помощью Единой биометрической системы будет нельзя.
- Обмануть биометрические алгоритмы и получить данные из базы, где хранятся биометрические контрольные шаблоны граждан, невозможно, - пояснил директор по цифровой идентичности "Ростелекома" Иван Беров. - Хочу успокоить пользователей банковских услуг: по словам "подтверждаю" или "да" при ответе на телефонный звонок, о которых так много сейчас пишут в СМИ, получить данные для удаленной биометрической идентификации или снять деньги со счета невозможно. Подчеркну, что речь идет именно о Единой биометрической системе, а не о локальных биометрических системах банков.
По словам эксперта, для идентификации клиента Единая биометрическая система должна не только услышать, как человек произносит определенный набор цифр, но и увидеть, как он это делает. При этом программа использует специальный алгоритм, который позволяет определить, что перед камерой находится живой человек: проверяет клиента банка на соответствие микромимики лица и естественность поведения. Зарегистрироваться в Единой биометрической системе сегодня можно в 11 тыс. отделений 180 банков. Этой возможностью уже воспользовались более 65 тысяч человек.
"Здравствуйте, я ваша тетя!"
Несмотря на новые способы защиты клиентов финансовых организаций, фактов мошенничества в их отношении выявляется достаточно много. По словам начальника отдела безопасности и защиты информации отделения Пермь Центрального банка России Михаила Теплоухова, на сегодняшний день многие из них связаны с так называемой социальной инженерией (маскировкой под лиц, вызывающих доверие).
- Мне известен один случай, когда мошенники завладели данными о покупателях биологически активных добавок (БАД), - пояснил представитель ЦБР. - Спустя какое-то время этим людям стали поступать звонки от якобы сотрудников Следственного комитета РФ, которые рассказывали им удивительную историю: реализуемые товары оказались опасны для здоровья, и на компанию, которая их поставляла, завели несколько уголовных дел. При этом всем покупателям, пострадавшим от некачественных БАДов, полагается компенсация в размере от 500 тысяч до одного миллиона рублей. Но чтобы ее получить, необходимо заплатить небольшой налог - пять тысяч рублей.
Если мошенники получали от жертвы эту сумму, то в дальнейшем повторяли свой фокус, но представлялись уже сотрудниками регионального отделения Центрального банка России, сообщавшими, что деньги в пути, но для их окончательного получения необходимо еще немного доплатить. Желающих получить компенсацию нашлось не так уж и мало, ведь звонки поступали с номера регионального отделения ЦБР, указанного на официальном сайте финансового регулятора. Как это стало возможным? С помощью IP-телефонии - передачи данных в цифровом виде. Этот инструмент позволяет скрывать номер абонента или изменять его на другой.
В арсенале мошенников все также широко распространены технологии фишинга, которые позволяют заполучить личные данные граждан с помощью различных технических уловок. Например, информацию, необходимую для доступа к банковским счетам физлиц, злоумышленники получают с помощью фейковых сайтов - точных копий электронных ресурсов реальных финансовых организаций. Даже доменное имя сайта (в адресной строке браузера) подделывают: заменяют латинские буквы "с", "к", "а", "о" на аналогичные по отображению буквы русского алфавита. В результате ничего не подозревающий клиент банка, получив SMS-сообщение о рекламной акции, заходит по ссылке на сайт-подделку и при попытке попасть в "личный кабинет" оставляет мошенникам секретные данные доступа.
С помощью SMS-сообщения и интерактивной ссылки в нем злоумышленники могут доставить на мобильное устройство жертвы вредоносное программное обеспечение. Если активировать вирус нажатием на ссылку, можно в утратить контроль за своим гаджетом, а также за программой банка, которая на нем установлена. Поэтому важно не только с подозрением относиться к любым рекламным сообщениям с незнакомых номеров, но и не распространять информацию о своем контактном номере мобильного телефона, например, в социальных сетях. Чем меньше о вас знают мошенники, тем меньше у них шансов завладеть вашими денежными средствами.
Паспорт лучше спрятать
Помимо номера контактного телефона опасно оставлять в открытом доступе свои паспортные данные. Истории о том, что с их помощью можно взять кредит, даже не посетив офис финансовой организации, подтверждаются реальными фактами. Так, в октябре этого года суд рассмотрел иск клиента микрофинансовой организации. Истец утверждал, что с него пытаются незаконно взыскать задолженность по кредиту, который он ранее не получал.
В ходе судебного разбирательства удалось выяснить, что микрофинансовая организация оформляла кредиты дистанционно с помощью сайта в интернете. Для получения денег достаточно было заполнить электронную анкету, указать в ней паспортные данные, а также реквизиты банковской карты. Неизвестное лицо внесло данные истца и получило на свою банковскую карту кредит в размере 65 тысяч рублей.
История завершилась для "заемщика" благополучно: суд пришел к мнению, что ответчик не предоставил доказательства получения своим клиентом денежных средств. В связи с этим он постановил признать кредитный договор незаключенным. Но, несмотря на благополучный исход дела, остается вопрос: разве можно было принимать в обеспечение кредита паспортные данные, не увидев при этом вживую самого заемщика? Оказывается, можно, но уже скоро такая схема кредитования, вероятно, окажется под запретом - в Госдуму поступил на рассмотрение законопроект о борьбе с мошенничеством в онлайн-микрокредитовании. Его авторы - депутаты Михаил Шеремет, Алексей Журавлев и Андрей Марков - предлагают запретить МФО осуществлять переводы денежных средств по договорам микрозаймов без идентификации клиентов. В пояснительной записке законодатели отмечают, что преступления в сфере онлайн-кредитования чаще всего совершаются с помощью похищенных персональных данных граждан.