Единые требования к уровню защиты систем дистанционного банковского обслуживания появятся в России в 2017 году. Это следует из плана развития электронного взаимодействия на финансовом рынке, утвержденного зампредом правительства Аркадием Дворковичем в мае, пишут «Известия».
У всех российских банков разный уровень защиты интернет-банков, включая мобильные банки, поэтому нужны четко установленные требования к уровню их защиты, считают в правительстве и Центробанке. В рамках проекта ЦБ и Федеральная служба безопасности сейчас проводят анализ степени защиты таких банковских систем, о результатах своего исследования они должны отчитаться перед Кабмином до конца июня.
Регулятора беспокоят не только масштабы мошенничества (официально это несколько миллиардов рублей в год), но и латентность этих нарушений; например, правоохранительные органы возбуждают уголовные дела только по 1–5% общего количества преступлений, связанных с хищением клиентских денег, рассказал изданию источник, близкий к ЦБ. По оценкам исследовательско-консалтинговой компании Group-IB, в прошлом году ущерб от атак на системы интернет-банкинга банков составил 289 млн долларов. Собеседник газеты указал, что в разработке стандартов информационной безопасности активно будет участвовать Центр по борьбе с киберугрозами, созданный при ЦБ.
Введение со стороны ЦБ обязательных защитных механизмов заставит некоторые банки либо отказаться от дистанционного обслуживания или сделать его максимально безопасным, полагает глава Group-IB Илья Сачков. «Можно было бы навязать пользователю сложный пароль, разумеется, выбор безопасного пароля — дело важное, но на самом деле безопасный пароль не спасет клиентов от мошенников», — отмечает эксперт. По его словам, в большинстве случаев пароль становится доступен злоумышленнику через фишинговые (поддельные) сайты или когда вирус на компьютере перехватывает пароль. «Злоумышленники почти никогда не подбирают пароль — они всегда его знают. По нашим данным, защищенный интернет-банк — только у 15–20 из 800 российских банков», — уверен Сачков.
Эксперт считает, что в список требований к системам дистанционного банковского обслуживания (ДБО) банков должны войти: двухфактурная авторизация для входа в интернет-банк (подтверждение входа по одноразовому коду), отображение в SMS реквизитов получателя денежных средств, контроль смены SIM-карты, контроль заражения смартфона, мониторинг и закрытие фишинговых сайтов, мониторинг скомпрометированных учетных записей и др. Сачков также предлагает дополнительно страховать операции, проводимые через ДБО.
По оценке исполнительного директора компании InfoWatch Всеволода Иванова, безопасный ИБ 5% банков РФ — это не более 40 банков, причем в их число входят как крупные, так и небольшие участники рынка.