Клиенты банков зачитались СМС
Новый метод аутентификации может оказаться небезопасным
Газета "Коммерсантъ" №88 от 24.05.2019, стр. 1
[b]Как выяснил “Ъ”, сотрудники банков все чаще запрашивают по телефону у клиентов коды из отправленных им СМС-сообщений для дополнительной аутентификации. В банках считают это безопасным, поясняя, что в сообщениях указывают, какие из кодов можно называть, а какие нет. Но эксперты по информбезопасности предупреждают — при том, что мошенники все чаще звонят с подмененных номеров, привычка называть коды может обернуться для клиентов банков массовыми потерями средств.[/b]
О том, что банковские сотрудники стали чаще запрашивать у клиентов коды из присылаемых СМС-сообщений для аутентификации клиента, “Ъ” рассказали эксперты по информационной безопасности. Они всерьез обеспокоены данной практикой из-за развивающейся социальной инженерии, в том числе с подменой номера банка для введения в заблуждение клиентов. «Случаи, когда банки просят называть коды из СМС, могут изменить шаблон поведения клиента и сформировать у него понимание, что это норма,— говорит управляющий партнер экспертной группы Veta Илья Жарский.— Однако серьезные риски из-за этого появились лишь в конце прошлого года, когда мошенники начали звонить с подмененных телефонов банка».
На специализированных форумах также появились мнения клиентов банков, что это «формирует у пользователей шаблоны поведения, используемые мошенниками». «Формируется шаблон поведения: сотрудник банка может запросить код из СМС, и это нормально — это нужно для выполнения операции»,— написал один из клиентов банка. Он также отметил, что попытался обратить на данную проблему внимание банка, однако «нарвался на стену непонимания».
Традиционно банки используют коды, присылаемые в СМС, для подтверждения списания денежных средств, и их нельзя называть кому-либо, в том числе и сотруднику банка. Ряд банков отправляют клиентам коды, которые им необходимо называть сотрудникам в офисе при совершении отдельных операций (например, при подключении автоплатежей, досрочном погашении кредитов, для проверки корректности номера телефона и др.) для обеспечения их дополнительной безопасности. Такая практика есть, например, в МКБ, ВТБ, «Открытии».
«Когда кредитная организация просит назвать присланный код именно в офисе банка, она защищает себя от возможного мошенничества со стороны сотрудников, поскольку названный код дает возможность подтвердить, что клиент давал согласие на проведение операции»,— поясняет начальник отдела по противодействию мошенничеству ЦПСБ «Инфосистемы Джет» Алексей Сизов.
Однако в некоторых банках также запрашивают у клиентов коды из СМС при обращении в колл-центр или чат банка и уверены, что это безопасно. «Промсвязьбанк использует код из СМС как один из дополнительных параметров подтверждения личности клиента, звонящего в контакт-центр,— сообщили в пресс-службе банка.— В тексте такого сообщения говорится, что его нужно назвать сотруднику банка». Почта-банк запрашивает код подтверждения той или иной операции или услуги по инициативе клиента — звонке, визите в отделение или в банковском чате. «Следует различать коды подтверждения, приходящие в СМС от банка,— отметили в пресс-службе Почта-банка.— Код, используемый в качестве простой электронной подписи, приходит клиенту только при его входящем обращении в банк и в непосредственном контакте с сотрудником банка, что делает операцию максимально защищенной». При этом в банке добавили, что, когда отправляют СМС от банка с кодом подтверждения списания средств, в нем всегда содержится пометка, что этот секретный код не следует сообщать никому. В Тинькофф-банке сотрудник банка запрашивает код из СМС при обращении клиента в чат поддержки только для подключения или активации услуги. «Такие СМС-текстовки спутать невозможно, в самой СМС содержатся ее определенное назначение и предупреждения для противодействия социальной инженерии»,— сообщили в банке. Там также отметили, что, по «внутренней статистике, основанной на анализе собранных за годы работы данных, вероятность того, что клиент расскажет СМС-код мошенникам, если в сообщении есть фраза "Никому не говорите код", зависит преимущественно от социально-демографических факторов, которые учитываются в системах антифрода» банка.
Однако эксперты уверены, что практика запроса кодов из СМС несет в себе риски, несмотря на предупреждения, и от нее надо отказаться. По словам господина Сизова, есть риск, что отдельные граждане сочтут называние кода из СМС сотруднику банка нормой и будут делать то же самое и при звонке якобы из банка, а в реалии — от мошенников. По словам одного из собеседников “Ъ” в крупном банке, банки сами стремятся отойти от рассылки кодов в СМС из-за активного использования социальной инженерии мошенниками, но полностью отказаться от нее сложно в силу технологических и экономических ограничений.
В ЦБ не ответили на запрос “Ъ” относительно рисков применения указанной практики и целесообразности ее запрета. Там лишь указали, что в Банк России не поступало жалоб на подобного рода проблемы.
Светлана Самусева, Вероника Горячева
