Эксперты отмечают, что в кризисные времена злоумышленники наиболее часто прибегают к атакам как на финансовое учреждение, так и на клиента. Неотъемлемой частью системы безопасности банковских операций является идентификация клиента, которую обязательно проводят специалисты банков. О том, как осуществляется идентификация корпоративных клиентов, какие способы являются наиболее безопасными и какое развитие получит биометрия, в интервью NBJ рассказал начальник управления развития корпоративных электронных каналов Альфа-Банка Вадим БЕЛОПОЛЬСКИЙ.   

NBJ: Вадим Владиславович, в каких случаях, на Ваш взгляд, сотрудникам банка стоит проводить идентификацию клиента?  

В. БЕЛОПОЛЬСКИЙ: Мировая история человечества – это история войн. На финансовом поле тоже идет битва – за безопасность финансовых транзакций. Противоборствующие стороны использует все свои инструменты нападения и защиты. Механизмы, которые создают финансовые компании для защиты своих операций и защиты своих клиентов, постоянно совершенствуются. Точно так же совершенствуется оружие нападения злоумышленников. 

Но при этом надо сказать, что далеко не всегда атаки, которым подвергаются клиенты банков и сами банки, являются какими-то высокоинтеллектуальными. Самое большое количество атак происходит из-за ошибок или пренебрежения банальными правилами защиты либо из-за получения инсайдерской информации злоумышленниками. В то же время высокоинтеллектуальные атаки с применением хакерами серьезных математических методов в сочетании с социальной инженерией представляют достаточно серьезную угрозу. 

Отвечая на вопрос, в каких случаях необходимо проводить идентификацию, я должен сказать, что проводить ее нужно всегда. Это вопрос финансовой безопасности в первую очередь самого клиента. Кроме того, это вопрос соблюдения банками существующего законодательства и требований регуляторов, обеспечения финансовой безопасности самого банка и предупреждения различных комплаенс-рисков (Комплаенс – контроль в банковской сфере. – Прим. ред.), например, рисков репутационного ущерба. 

Особенность идентификации клиентов – юридических лиц – заключается в том, что нужно идентифицировать всех сотрудников компании-клиента, у каждого из которых своя роль при работе с банком в дистанционных каналах.

NBJ: Какие способы идентификации, по Вашему мнению, являются наиболее удобными как для банковских клиентов, так и для банка?

В. БЕЛОПОЛЬСКИЙ: С точки зрения концепции «знай своего клиента» мы стараемся подходить комплексно к выбору необходимой и достаточной идентификации для его операций в системе. Всегда очень важно представлять принципиальные различия между возможностями технологии и решением конкретной задачи. Необходимо понимать, что решение должно быть адекватным, с точки зрения обеспечения должного необходимого уровня безопасности, с точки зрения удобства использования, и, помимо этого, должен учитываться такой фактор, как оптимальная стоимость. Вот основные три критерия, опираясь на которые приходится выбирать конкретные решения для конкретной задачи. Говорить о противостоянии удобства и уровня защиты можно очень долго, потому что каждый клиент – это живой человек со своими предпочтениями, пристрастиями, интересами.

Способов идентификации достаточно много, все они известны. Начиная с логина-пароля, что является наиболее известным и распространенным способом. Для клиента он не очень удобен, потому что он требует запоминания или записи в какой-то физический контейнер (либо блокнот, либо на цифровом носителе). Тем более это неудобно, учитывая огромное количество сервисов, которыми пользуется человек, – почта, хранилище данных, специальные приложения, где необходима авторизация и запоминание паролей. Здесь часто имеет место ситуация, когда большинство людей в качестве пароля используют свой день рождения, что сразу позволяет злоумышленнику получать доступ ко всем ресурсам. 

Стоимость идентификации паролей достаточно низкая. Но при большом количестве пользователей необходимо администрирование базы данных с этими паролями и, соответственно, расходы на это администрирование возрастают. Пароль, конечно, идеально подходит для ограничения доступа к каким-то бесплатным сервисам. Дальше уже необходимо комбинировать пароли с чем-то еще. 
Более серьезная защита представляет собой различные механизмы многофакторной аутентификации – двухфакторной, трехфакторной и так далее. То есть наличие как минимум двух факторов позволяет подразумевать то, что пользователь знает, к примеру, логин/пароль (это один фактор) и имеет доступ к некоему защищенному устройству, предназначенному для хранения значимой информации (это второй фактор). Одновременный доступ к двум этим факторам получить сложнее, поэтому двухфакторная идентификация предоставляет более серьезную защиту. 

К такой двухфакторной идентификации относится технология одноразового пароля – SecureID. То есть пароль под каждую операцию вырабатывается с помощью специального алгоритма на брелке, скретч-карте, в виде смс и т.д. Это идеальное решение для удаленного доступа к различным сервисам: web-порталу, VPN-сетям и интернет-банку. 

MobileID – это технология, при которой доставка паролей отправляется по мобильным каналам связи. По-простому, пароль по смс. У него тоже есть свои минусы, так как получение смс зависит от наличия мобильной связи в определенном месте. Тем не менее, это очень хорошее решение, в том числе для банковских аккаунтов. Это уже та самая двухфакторная идентификация, когда для того, чтобы захватить управление, злоумышленнику нужно получить одновременно доступ и к компьютеру клиента, и к телефону. 

Несмотря на то, что уже есть промышленные атаки на мобильные телефоны, чисто с социальной точки зрения одновременно захватить контроль над компьютером и телефоном крайне сложно. Нужно знать, например, что бухгалтер отлучится на несколько минут от своего компьютера и при этом оставит на столе свой мобильный телефон. Злоумышленники всегда стараются получить выгоду из того, что они уже нашли. То есть пока они известный для себя канал не «прокопают» до конца, им нет смысла вкладывать деньги и силы в разработку чего-то нового.

Еще один вариант – когда мы можем использовать одноразовый пароль для аутентификации на скретч-карте или токене. Это надежный вариант, основанный на строгой криптографии с открытыми ключами. 

Сейчас большинство госорганов (Налоговая служба, ПФР, Таможенная служба) предпочитают привычным бумажным документам виртуальные документы, подписанные электронной подписью, которая защищена с помощью криптографического программного обеспечения, сертифицированного ФСБ. Такие подписи получают только в аккредитованных Министерством связи удостоверяющих центрах. Это более чем безопасная технология идентификации. Повторюсь, степень безопасности должна быть сопоставима с конкретными задачами. Такую сложную и относительно недешевую защиту нецелесообразно использовать в малом бизнесе, индивидуальным предпринимателям. А вот большинству средних и крупных компаний, у которых, соответственно, много операций и суммы большие, без этого просто не обойтись.

На сегодняшний день, на мой взгляд, идентификационным инструментом самого высокого уровня является биометрия – сканирование глаза, отпечатки пальцев. На днях обсуждалась тема, связанная с ДНК. Альфа-Банк уже сделал вход в мобильный банк по отпечатку пальца. Альфа-Бизнес Мобайл, наш мобильный банк для юридических лиц, используют обычно собственники или директора, которые распоряжаются счетами компании. Сканирование отпечатка пальца подделать невозможно, как подсмотреть или подобрать цифровой код. Авторизоваться прикладыванием пальца еще и очень удобно.

Сейчас мы работаем над тем, чтобы сканированием пальца клиенты подтверждали платежи и другие операции в мобильном банке. Уже есть много систем, связанных с биометрией, но это решение является одним из самых дорогих. На сегодняшний день это перспективное направление, с удешевлением технологии оно станет более доступным и, очевидно, будет использоваться более широко. 

NBJ: Найдутся ли мошенники, которые смогут обойти биометрию?

В. БЕЛОПОЛЬСКИЙ: Безусловно, мошенники найдутся. В одном рекламном ролике о преимуществах ID Secure платежной системы Visa показан сюжет на эту тему: человек идет по коридору, подходит к двери, прикладывает глаз – сканируется сетчатка, легко проходит, тут же снимает и выбрасывает линзу с сохраненной на ней чужой сетчаткой глаза. Идет дальше, у следующей двери кладет руку – сканируются отпечатки пальцев, легко проходит и тут же снимает, выбрасывает с пальцев пленку, копирующую биометрию руки другого человека. Биометрия тоже уязвима. На любую защиту рано или поздно найдется оружие. Поэтому идентификация клиентов будет всегда оставаться в приоритете у банков. 

NBJ: Какие средства управления идентификации клиента использует Ваш банк для обеспечения безопасности банковских операций?  

В. БЕЛОПОЛЬСКИЙ: Мы используем целую сетку различных механизмов в зависимости от типа клиента, его предпочтений. Клиенты бывают разные: у кого-то существует своя защита внутри компании, есть свои службы безопасности, которые контролируют и мониторят ситуацию и состояние информационной системы. А есть клиенты, у которых нет не только штатных специалистов по безопасности, но даже просто специалистов по ИТ. В таких случаях случайные приходящие сотрудники могут сделать что угодно, если клиент ничего не понимает в безопасности, не покупает антивирусы, лицензионные программы. Аудитория очень широкая, и для каждого необходимо предоставить разные механизмы защиты. Есть пароли, смс-пароли, USB-токены (eToken PRO), криптография, биометрия.

Кроме непосредственной онлайн-идентификации, существуют еще и механизмы онлайн- и оффлайн-мониторинга, анализа операций, поведения клиента, необычности его транзакции. Любая аномалия – это сигнал остановиться, все проверить, предупредить клиента об угрозе. Как минимум, это повод задать вопрос. На сегодняшний день атаки злоумышленников перенесены в большей степени на клиента, поскольку взламывать систему обороны банка очень сложно и затратно. Если клиент не заботится о собственной гигиене, не ставит фаерволы и антивирусы, то вероятность успеха у злоумышленников значительно выше. 

Существуют системы, которые позволяют мониторить состояние безопасности на компьютере клиента. Подобные решения работают во многих крупных международных банках, и мы также используем их. Если мониторинг говорит о том, что у клиента как минимум нет антивируса или он не обновлен, – это повод предложить ему внимательнее относиться к операциям. Система предупреждает нас, а мы, в свою очередь, предупреждаем клиента о потенциальной опасности. 

Отвечая на Ваш вопрос, хочу сказать, что при защите клиента важна комплексность. Можно применить большое количество сложных средств безопасности, но пренебречь банальными правилами – и тогда злоумышленник завладеет денежными средствами.

NBJ: Как в Вашем банке осуществляется защита каналов, используемых корпоративными клиентами? Какие каналы чаще всего подвергаются нападениям со стороны злоумышленников?

В. БЕЛОПОЛЬСКИЙ: Те каналы, которые больше используют клиенты. Чем больше клиентов в канале, чем больше он распространен на рынке, тем более он привлекателен для злоумышленников. Но о чем хочется особенно сказать, это о социальной инженерии. Люди часто сами по неосторожности или в силу базовой компьютерной неграмотности говорят или передают злоумышленникам свои пароли или данные, по которым их идентифицирует банк. Наука и техника пытаются влиять на человеческий фактор. Действия пользователя – самое тонкое место. Мы ведем большую работу с клиентами по обучению компьютерной безопасности, рекомендуем им использование тех или иных средств идентификации и доступа.