Банки обяжут подтверждать операции россиян через госмессенджер Мах

Российские власти планируют ввести новые правила для банков, обязывающие их подтверждать финансовые операции клиентов через государственный мессенджер Мах. Соответствующая норма содержится в законопроекте «Антифрод 2.0», который готовится ко второму чтению в Госдуме.

Что изменится для россиян

Согласно документу, подтверждение через Мах будет требоваться для всех «значимых действий», которые россияне совершают дистанционным способом. Однако критерии, по которым действие может быть признано значимым, в проекте закона не указаны.

Против нововведения

Национальный совет финансового рынка (НСФР) выступил против нововведения, назвав его «юридически избыточной и необоснованно затратной» процедурой. Банки выразили озабоченность тем, что при навязывании подтверждения через Мах полностью игнорируются иные доступные варианты подтверждения, способные обеспечить более высокий уровень защиты.

Риски и угрозы

Обязательное использование Мах может создать неприемлемые риски угроз информационной безопасности.
Любой серьезный технический сбой или компьютерный инцидент, например DDoS-атака на национальный мессенджер, может привести к остановке на неопределенное время всей юридически значимой онлайн-деятельности в стране.

Alternative options

По словам экспертов, push-уведомления в банковских приложениях намного безопаснее, чем подтверждение через Мах, поскольку они не зависят от мобильной сети. Отправка сообщений в Мах от юрлица физлицу без предварительного запроса на диалог со стороны клиента технически невозможна.

Experts' opinion

Использование госмессенджера Мах для подтверждения операций не приведет к значимому снижению числа мошеннических операций, поскольку мошенники опираются больше на социальную инженерию, а не на технологии.
Данная схема противоречит текущим требованиям ЦБ, которые подразумевают использование криптографических средств для обеспечения безопасности трансакций.

Таким образом, введение новых правил для банков может привести к дополнительным рискам и угрозам информационной безопасности, а также не решить проблему мошенничества.