Антифрод не прошел банковскую проверку

Банкиры раскритиковали третий пакет правительственных мер по борьбе с мошенничеством. Чувствительными вопросами стали закрытый перечень целей для обработки персональных данных, на которые гражданин может дать разрешение, запрет на использование агрегаторов рассылки СМС-сообщений и выбор ЕСИА в качестве единственного канала удаленной упрощенной идентификации при выдаче карт. По мнению экспертов, такие требования обернутся потерей банками десятков миллионов рублей ежемесячно без гарантированного эффекта в борьбе с мошенничествами.

Национальный совет финансового рынка (НСФР) направил в Минцифры и Банк России письмо с предложениями банков, касающимися третьего пакета законов, направленных на борьбу с мошенничеством,— «Антифрод 3.0» (с ним ознакомился “Ъ”). Прежде всего, банкиров беспокоят планы законодательно определить исчерпывающий перечень ситуаций, при которых гражданин сможет дать согласие на обработку персональных данных. По мнению главы НСФР Андрея Емелина, это положение будет препятствовать оценке рисков, доработке предложений банков под клиентов и выводу на рынок новых финансовых продуктов. Поэтому предлагается противоположное решение — «исчерпывающе описать ситуации, в которых нельзя обрабатывать персональные данные, а во всех остальных разрешить гражданину самому решать, давать ли согласие на такую обработку», говорит господин Емелин.

Другой серьезной проблемой для банков может стать запрет на использование агрегаторов для обеспечения СМС-оповещений клиентов банков. Законопроект предполагает обязать банки заключать напрямую договоры с каждым оператором связи либо доплачивать своему оператору за агрегацию. В НСФР предлагают, сохранив агрегаторов, ужесточить их регулирование, чтобы снизить риск нарушения нормативных требований.

Также законопроект выделяет Единую систему идентификации и аутентификации (ЕСИА) как единственный вариант удаленной упрощенной идентификации при оформлении карт. Однако резкое возрастание нагрузки в пиковые периоды может ее сделать недоступной, поэтому НСФР предлагает найти более аккуратное решение. Предлагается ввести дополнительные процедуры, снижающие риск злоупотреблений, в частности «использование банковских и операторских ID, проверку ИНН и СНИЛС, проверку физического обладания устройством и другие», считает Андрей Емелин.

В Минцифры заявили, что полученное обращение «будет комплексно рассмотрено и проработано с заинтересованными ведомствами». Вместе с тем там отметили, что законопроект не предусматривает «общего запрета на проведение удаленной упрощенной идентификации всеми способами, кроме ЕСИА», а касается сокращения способов проведения такой идентификации при выдаче электронного средства платежа. При этом использование услуг по СМС-информированию только от оператора связи направлено «на повышение прозрачности рассылок и снижение рисков мошенничества». В ЦБ не ответили на запрос “Ъ”.

Банк России принимает активное участие в рассмотрении законопроекта «Антифрод 3.0», заявил представитель регулятора. Все инициативы проходят всестороннее обсуждение, в том числе с отраслью. Комментировать конкретные рассматриваемые положения законопроекта и поступающие предложения преждевременно, добавили там.

Эксперты считают опасения банкиров обоснованными. По мнению председателя комиссии по финансовой безопасности совета ТПП России Тимура Аитова, у регулятора свой резон — после серии утечек и роста мошенничества с использованием украденных баз нужен жесткий контроль над тем, «как и зачем банки обрабатывают данные». Однако закрытый перечень целей в этом плохо помогает — «утечка — это про инфраструктуру, доступы и подрядчиков, а не про то, зачем банк собирал данные», указывает он.

В случае с запретом агрегаторов рассылок, у которых заключены договоры с всеми операторами связи, потери банков будут измеряться десятками миллионов рублей. «Повторить эту инфраструктуру технически непросто даже для крупных банков, но для небольших банков с ограниченным количеством клиентов это почти нереализуемая задача»,— считает МВА-профессор бизнес-практики по цифровым финансам РАНХиГС Алексей Войлуков. По словам Тимура Аитова, прямые договоры с каждым оператором — это рост затрат на интеграцию и потеря объемной скидки. «Для банка с 10 млн сообщений в месяц агрегаторная скидка составляет 1–2 руб. за сообщение, и ее потеря дает 10–20 млн руб.»,— оценивает он. По его словам, агрегаторы размывают ответственность за содержание рассылки и это используется в схемах мошенничества, но «эффект меры несимметричен: издержки измеримы, а выигрыш в безопасности — нет».

Запрет на выдачу карт при помощи удаленной упрощенной идентификации всеми способами, кроме ЕСИА, эксперты также считают чувствительным вопросом. «ЕСИА — монолитная точка входа, и, если оставить только ее, банки теряют возможность распределять нагрузку и управлять деградацией сервиса»,— говорит господин Аитов. В пик спроса — при массовых выплатах или сезонных распродажах — нагрузка растет многократно. И при отказе она распределяется на всех участников, указывает он. При этом, как отмечает Алексей Войлуков, для ЕСИА нужен максимально стабильно работающий интернет и оставлять только этот канал в условиях, когда даже в столице с ним возникают проблемы, «выглядит неразумным». Без интернета самый надежный способ оповещения клиентов — это СМС. «Понятно, что коды из СМС, которые передают мошенникам,— это почти мем, но у нас люди лично приходят в отделения, идентифицируясь самым надежным способом, получают деньги в кассе и отдают злоумышленникам»,— говорит Алексей Войлуков. По его мнению, от такого запрета эффект в борьбе с мошенниками будет не слишком заметным, а «вот проблемы клиентам банков может доставить очень большие».