По информации из СМИ, в ближайшее время может появиться обязательное требование подтверждать ключевые операции в сети через SMS-сообщения либо с использованием мессенджера Max. В Министерстве цифрового развития, связи и массовых коммуникаций, однако, опровергают наличие подобной идеи, уточняя, что она не прорабатывается
Как передаёт Forbes, данное предложение может стать частью третьего этапа законодательных мер, направленных на противодействие интернет-мошенничеству. Журналисты утверждают, что схожий пункт уже присутствовал в начальном варианте второго антифрод-пакета. Тогда планировалось, что пользователи будут верифицировать юридически важные действия через два канала — Max и SMS, но текст вызвал споры: оставалось неясным, требуется ли задействовать оба инструмента сразу или хватит одного. Сам перечень ситуаций, подпадающих под это правило, также не был прописан — его должны были утвердить позднее правительственным решением.
Тем не менее, перед вторым чтением законопроекта этот пункт исключили. Один из собеседников Forbes пояснил, что бизнес-сообщество выступило против жёсткой привязки, и в результате поправку сняли, чтобы дать возможность компаниям и пользователям самим определять предпочтительный способ подтверждения. В итоге в начале июня Госдума одобрила второй пакет без этой нормы, а затем документ подписал президент страны Владимир Путин.
Теперь, как сообщает издание, IT-сектор выражает беспокойство, что повторное выдвижение инициативы приведёт к отказу фирм от собственных систем защиты, включая пуш-уведомления и встроенные в приложения методы проверки. В текущих условиях антифрод-системы имеют возможность гибко подбирать уровень контроля, ориентируясь на степень риска той или иной транзакции, а обязательное ограничение только двумя вариантами связи подорвёт этот принцип.
Кроме того, для банков, интернет-площадок и прочих платформ это обернётся дополнительными тратами на отправку SMS и сообщений через Max. Но финансовый аспект — не единственная претензия: вынужденное использование лишь двух каналов лишит организации права применять собственные способы аутентификации, что, по мнению экспертов, может даже ослабить уровень безопасности. Источник издания отмечает, что ранее против такого нововведения выступало практически всё рыночное сообщество, за исключением мобильных операторов и VK, чья дочерняя компания занимается разработкой данного мессенджера.
В разговоре с прессой президент Ассоциации компаний интернет-торговли (АКИТ) Артем Соколов заявил, что даже свобода выбора между SMS и Max полностью проблему не устранит. Представители группы РВБ, управляющей Wildberries, назвали эту идею излишней, указав, что на их площадке уже функционируют многоступенчатая проверка подозрительных действий, анализ рисков и дополнительные варианты верификации. В компании также предупредили, что дополнительные издержки в конечном счёте могут привести к росту цен на продукцию и услуги.
Станислав Селезнев, эксперт проекта «Сетевые свободы», напомнил о существовании открытого стандарта TOTP для одноразовых паролей (RFC 6238), который не зависит от какой-либо одной платформы. Он считает, что переход на закрытое решение без весомых аргументов неоправдан, так как исходный код Max недоступен для проверки, и оценить его надёжность посторонним невозможно. В качестве альтернативы можно использовать пуш-подтверждения внутри самих приложений. Однако Селезнев отметил, что после того, как Max был удалён из App Store, доставка уведомлений на устройства Apple работает нестабильно.
В то же время в Министерстве цифрового развития журналистам Forbes заявили, что «подобная мера не находится в стадии рассмотрения». В ведомстве подчеркнули: «Сейчас идёт согласование третьего антифрод-пакета с заинтересованными структурами и отраслевыми представителями. Все предлагаемые нововведения готовятся с учётом необходимости соблюдать равновесие между безопасностью и правами пользователей. Их главная цель — повысить защиту граждан от действий злоумышленников в цифровой среде».
По материалам Хакер