В России снова обсуждают обязательное подтверждение значимых действий в интернете через мессенджер Макс или SMS. Такая инициатива, по данным источников в ИТ-индустрии и телекоммуникационном секторе, может войти в третий пакет антифрод-мер. Речь идет о действиях, которые могут быть связаны с деньгами, личными данными, доступом к аккаунтам и важными пользовательскими решениями.
Под значимыми действиями могут пониматься операции, которые требуют дополнительной проверки личности пользователя. Это может быть смена пароля, подтверждение платежа, оформление заказа, изменение персональных данных, вход в чувствительный раздел сервиса, подписание документа или другое действие, последствия которого нельзя считать обычным просмотром страницы. Точный перечень таких операций должен зависеть от финальной формулировки закона.
Идея состоит в том, чтобы снизить риск мошенничества. Если злоумышленник получил доступ к аккаунту, украл пароль или пытается провести операцию от имени пользователя, дополнительное подтверждение через отдельный канал может помешать ему завершить действие. Такой подход давно используется в банках и цифровых сервисах, но новая инициатива может сделать его обязательным для широкого круга интернет-платформ.
В качестве каналов подтверждения обсуждаются SMS и мессенджер Макс. SMS уже давно используется для одноразовых кодов, хотя этот способ не считается идеальным с точки зрения безопасности. Сообщения могут задерживаться, перехватываться через мошеннические схемы, зависеть от работы оператора и создавать расходы для бизнеса. Тем не менее для многих пользователей SMS остается привычным и понятным вариантом.
Макс, в свою очередь, рассматривается как национальный мессенджер, который власти постепенно продвигают в разные цифровые сценарии. Если подтверждение значимых действий будет связано с ним, это может заметно увеличить его роль в повседневной интернет-авторизации. Пользователям придется чаще устанавливать приложение, получать через него уведомления и использовать его как часть доступа к российским сервисам.
Для бизнеса такая мера может стать дорогой. Банки, маркетплейсы, сервисы доставки, онлайн-кинотеатры, образовательные платформы, государственные и коммерческие сайты будут вынуждены дорабатывать системы авторизации, подключать новые каналы подтверждения, оплачивать рассылку сообщений и поддерживать пользователей, которые не смогут пройти проверку. Чем больше операций требует подтверждения, тем выше расходы и нагрузка на инфраструктуру.
Особенно спорным остается вопрос выбора. Если пользователю разрешат самому выбирать между SMS, Максом и другими способами подтверждения, мера будет восприниматься мягче. Но если сервисы обяжут использовать только ограниченный набор каналов, часть людей может столкнуться с неудобствами. Например, у пользователя может не быть доступа к российскому номеру, смартфону с нужным приложением или стабильной связи в момент подтверждения.
Эксперты также обращают внимание, что безопасность нельзя сводить только к одному каналу подтверждения. Во многих сервисах уже используются одноразовые коды, push-уведомления, электронная почта, биометрия, аппаратные ключи, приложения-аутентификаторы и риск-скоринг. Если закон слишком жестко ограничит допустимые способы проверки, он может не усилить, а ослабить гибкость защиты, потому что разные сценарии требуют разных инструментов.
Отдельный риск связан с централизацией подтверждений. Если значительная часть важных действий в интернете начнет проходить через один мессенджер или ограниченный набор каналов, такие системы станут критически важной инфраструктурой. Их сбой, перегрузка, блокировка аккаунта или ошибка в доставке уведомления могут помешать пользователю совершить нужное действие даже на стороннем сервисе.
Минцифры, по сообщениям СМИ, отрицает, что такая норма сейчас рассматривается в указанном виде. В ведомстве заявляют, что ограничения согласуются с бизнесом и разрабатываются с учетом баланса безопасности и прав пользователей. Это означает, что финальная версия третьего антифрод-пакета может отличаться от обсуждаемой инициативы или вообще не включать обязательное подтверждение через Макс или SMS.
Тем не менее сама дискуссия показывает общий тренд: российский интернет постепенно движется к более жесткой идентификации и контролю значимых действий. Власти объясняют это борьбой с мошенничеством, бизнес опасается дополнительных затрат и сложной интеграции, а пользователи могут столкнуться с новыми шагами при входе, оплате и изменении данных. Итог будет зависеть от того, насколько гибко законодатели опишут способы подтверждения и дадут ли людям реальный выбор.