Биометрия бесполезна при использовании преступниками социальной инженерии Поделиться
В первом полугодии 2025 года лишь 0,0025% клиентов второго госбанка страны, подключивших в онлайн-банке государственную биометрию, столкнулись с кражами своих денег. Об этом заявил на Восточном экономическом форуме один из топ-менеджеров кредитно-финансовой организации. По его мнению, биометрическая защита может стать «новым этапом эволюции», защищающим данные и деньги клиентов. Действительно ли биометрическая проверка может защитить россиян от мошенников, «МК» выяснил у экспертов.
Florian Kopp/imageBROKER.com/Global Look Press
тестовый баннер под заглавное изображение
Эволюция vs психология
Как сообщил представитель госбанка, у граждан, подключивших государственную биометрию в онлайн-банке, количество краж со счетов за первое полугодие снизилось до 0,0025%. При попытке преступников вывести деньги клиентов срабатывает антифрод-система банка, где необходимо подтвердить операцию по лицевой биометрии. Мошенники при этом не могут пройти проверку даже при наличии фотографии клиента или сгенерированного с помощью искусственного интеллекта изображения. В результате кражи со счетов граждан предотвращаются почти в 100% случаях. Ранее аналитики этого банка подсчитали, что до конца 2025 года подтверждение операций с помощью биометрии поможет уберечь от краж мошенниками более 2 млрд рублей, принадлежащих клиентам.
По словам спикера, биометрия станет «новым этапом эволюции», надежным и безопасным способом идентификации, защищающим данные и деньги людей. Этот метод в будущем станет «отраслевым стандартом» и подтолкнет развитие цифровых сервисов.
Однако оптимизм банкира не разделяют эксперты по кибербезопасности, которые призывают крайне осторожно относиться к подобным прогнозам. «Да, действительно, государственная биометрия является важным защитным фактором и барьером между злоумышленниками и гражданами, однако следует понимать, что она работает в системе мер обеспечения кибербезопасности, как технических, так и организационных, — говорит руководитель Комитета по безопасности цифровых активов и противодействию мошенничеству Ассоциации руководителей служб информационной безопасности (АРСИБ), судебный эксперт по компьютерно-технической экспертизе Александр Подобных. — В немалой степени это связано и с осведомленностью граждан в вопросах информационной безопасности и соблюдением правил личной кибергигиены». Хотя в настоящее время биометрия достаточно популярна благодаря удобству и быстроте аутентификации, особенно в банковских приложениях и в финтехе.
Лакомый кусок для хакеров
Что касается основных недостатков биометрии как способа защиты, то это невозможность изменения данных при утечке, проблемы приватности при сборе, отказ в работе при изменении внешности или плохом соединении с сетью, высокая стоимость решения, регулирование и этика, ведь государство должно идти синхронно с развитием технологий в вопросах законодательного регулирования. «К сожалению, такой лакомый кусочек, как база с биометрией граждан будет всегда привлекать хакеров всех мастей и стран, — констатирует Подобных. — Система защиты такой базы должна быть проактивной и отслеживать все потенциальные и текущие риски. И все это должно вовремя совершенствоваться, вплоть до применения блокчейнов с ГОСТ-криптографией и протоколов нулевого разглашения».
Но проблема с биометрией не только в сложности таких данных, в их привлекательности для хакеров и уязвимости. Дело в том, что большая часть краж в России совершается с помощью социальной инженерии, то есть когда у клиента не украли его «лицо» или отпечаток пальца, а самого гражданина уговорили перевести преступникам его же деньги. Напомним, что, по данным Генеральной прокуратуры, количество IT-преступлений в прошлом году увеличилось на 13%, причем две трети из них составили хищения, совершаемые с применением социальной инженерии.
«Ввиду использования социальной инженерии, как основного метода для удалённого мошенничества, нет большой разницы между совершенством того или иного метода верификации доступа в личный кабинет или приложение банка, ведь взлома не происходит, — отмечает адвокат, основатель юридического агентства Cartesius Игнат Лихунов. — Сам будущий потерпевший проводит нужные операции с необходимыми средствами подтверждения».
Метод усложнения доступа может быть полезен для схем, при которых целью жуликов являются дети, например играющие в какую-то популярную игру с сетевым профилем. Для детей виртуальные активы — уникальные предметы, валюта, аккаунты — обладают огромной ценностью, чем и пользуются преступники. В этих случаях многофакторная аутентификация и кажущееся «усложнение» превращаются из формальности в жизненно важный барьер. Они выполняют две защитные функции. Во-первых, они создают техническое препятствие для самого ребёнка, который может знать простой пароль, но не имеет доступа к отпечатку пальца родителя или его Face ID. Это физически не позволяет ему завершить авторизацию на фишинговом сайте. Во-вторых, и это главнее, каждая дополнительная ступень верификации — это стоп-сигнал и пауза для размышления. Push-уведомление о попытке входа, пришедшее на телефон родителя, становится моментом истины, когда взрослый может остановиться, задать вопросы и предотвратить катастрофу. Таким образом, борьба с социальной инженерией требует не упрощения, а более грамотного и осознанного применения защитных технологий, подчеркнул Лихунов.
Pro et contra технопрогресса
По данным МВД, общий ущерб от IT-преступлений в России за семь месяцев 2025 года увеличился на 16% — с 100,5 млрд рублей до 119,6 млрд рублей. Это произошло несмотря на то, что общий объем таких преступлений снизился на 2,3% по сравнению с тем же периодом прошлого года: их общее число составило 424,9 тыс. Другими словами, преступники воруют больше денег, совершая меньшее количество атак. Поможет ли снизить эту печальную статистику биометрия, рассказал эксперт по информационной безопасности Антон Редозубов.
— Крупные банки возлагают большие надежды на использование биометрии для защиты от мошенников. Они правы?
— Действительно, существующие алгоритмы проверки достигают показателей 99,74% точности, что вкупе с другими практиками антифрода (защиты от взлома — «МК») исключает возможность прохождения мошенниками такой верификации. К сожалению, эта защита не сработает при прохождении верификации реальным клиентом под воздействием социальной инженерии злоумышленников.
— В чем главные преимущества биометрии?
— Сильная сторона в том, что такую биометрию, а мы сейчас говорим про лицо, почти невозможно подделать. В 2014 году исследователям удалось создать отпечаток большого пальца тогдашнего министра обороны Германии Урсулы фон дер Ляйен, что в последующем могло быть использовано для обмана системы идентификации TouchID (где проверка существенно проще) в iPhone 5S, но это было 11 лет назад. Сейчас технологии продвинулись очень далеко. Конечно, это можно обойти при использовании устаревших технологий проверки биометрии. Или же при использовании голосовой верификации — её уже достаточно хорошо подделывают. Либо же совершают мошенническое действие, используя совершенно другие уязвимости и минуя саму проверку.
— Но в чем основные риски этой технологии?
— Слабая сторона биометрии — большое количество ошибок, когда реальный человек не может пройти проверку. В некоторых случаях на это влияют даже контактные линзы. Теоретически, биометрию лица можно выкрасть, но вот как сделать потом какое-то изображение, которое пройдёт верификацию? Я про такие способы не знаю. С голосом такое возможно.
— Что случится, если банки в России начнут повсеместно использовать биометрию? Это не ущемит права клиентов?
— Я не вижу негативных последствий в использовании биометрии банками. Очень странно звучит, когда люди говорят о том, что без биометрии клиента не подпустят к банкомату. Мы уже давно привыкли к подобным практикам совершенствования технологий. Сначала у нас были ключи в машине, которые требовалось поворачивать в двери, а теперь можно просто подойти, открыть дверь, сесть и поехать. Я помню времена, когда мне надо было вставлять карту в банкомат, а сейчас я прикладываю телефон. А ещё были сначала монеты в прорезь, а потом жетончики на метро в Москве и Санкт-Петербурге. Сейчас это все кануло в лету, и никто особо по этому поводу не страдает.
Контроль личности владельца банковской карты в банкомате происходит не через биометрию, а через саму карту. Биометрия лишь способ предотвратить кражу средств. К сожалению, даже сейчас, в 2025 году, есть люди, которые записывают PIN-код от карты на самой карте, чтоб не забыть. Так делать ни в коем случае нельзя! Вопрос не в том, чтобы бояться технологии, а в том, чтобы научиться ею пользоваться себе во благо — ровно как мы когда-то научились пользоваться сенсорными экранами вместо кнопочных телефонов.