Такое заявление сделал в рамках своего выступления на X Уральском форуме «Информационная безопасность финансовой сферы» руководитель группы исследования и анализа мошенничества Kaspersky Fraud Prevention Денис ГОРЧАКОВ.

Начнем с будущего аутентификации. Какое оно? У нас на сегодняшний день есть некоторые проблемы. Понятие фактор аутентификации стало довольно размыто. До сих пор принято считать, что смс на вход в банк является вторым фактором. Хотя смс – это такой же фактор, как и пароль, - фактор знания. Фактор обладания устройством – это, к примеру,  то, что делает Денис Калемберг и компания SafeTech. Согласно статистике, единицы пользуются двухфакторной аутентификацией в сервисах. Есть много людей, у которых нет ни пароля на телефоне, ни доступа по отпечатку пальца – им это просто неудобно.

Я хочу поделиться с вами пользовательским взглядом на это. Например, я – клиент нескольких банков. Мобильный банк одного из них требует смс на каждый вход. Недавно я был в другой стране, и у меня не работал телефон. Все, я не могу зайти в свой банк, мне просто не приходят смс.

Сейчас грабежи перестали быть просто грабежами. Раньше крали мобильные телефоны и продавали их. Сейчас можно увидеть, что у человека украли телефон, ввели четыре единички, пин-код и сняли все деньги. Ведь у многих пользователей пароль на телефон «1111» или «1234». Мобильный телефон стал средством оплаты. У вас на нем сервис такси, доставки еды и т.д. И контроль над устройством – это больше, чем просто кража устройства.

Отправка смс-паролей накладывает и дополнительную финансовую нагрузку на банк. Многие ощутили, что операторы сотовой связи подняли цены, соответственно, затраты на смс-информирование выросли. А требование писать сообщение только кириллицей дополнительно удлиняет сообщение и, следовательно, еще увеличивает затраты.

Gartner говорит, что не надо называть клиента сразу мошенником. Давайте подумаем сначала, что он хороший. Давайте посмотрим на адаптивный подход к аутентификации. Хорошим пользователям снизим запреты, пропустим их по паролю в клиент-банк. А если у пользователя есть негатив в истории, вот для него будем что-то менять, добавим второй фактор аутентификации. Пример: если пользователь все время заходит в клиент-банк с одного компьютера, давайте пустим его в клиент-банк без пароля. А если он вдруг пытается зайти из Гондураса, давайте запросим у него второй фактор аутентификации. Это подход, а не технология, оценка поведения пользователей.

У одного из наших продуктов, KFP Advanced Authentication, есть расширенная аутентификация, которая оценивает поведение клиента. Это все ложится в концепцию, которую я пытался донести. Сначала – доверие к пользователю и наблюдение за его поведением. Давайте строить динамическую модель ограничений. Давайте менять мир к лучшему!