Уязвимости банковской биометрии

Текущие банковские технологии требуют хотя бы однократного посещения банка. А дальше -клиент уже может работать удаленно. Казахстанский рынок нуждается в технологии, которая позволяла бы обслуживать клиентов без первого посещения фиинститута. Но для этого нужна не технология «идентификации», а технологии «аутентификации» и «создания электронного документа», сообщил директор центра по развитию финансовых технологий и инноваций АФК Константин Пак Kapital.kz.

При этом он пояснил, почему идентификации недостаточно.

«Ведь идентификация говорит только о том, что на той стороне дистанционного канала находитесь именно вы, но для оформления вам банковского продукта - этого мало. Нужно, чтобы было подтверждено ваше волеизъявление. Для простых случаев, например, согласия на обработку ваших персональных данных, достаточно записать короткий видеоролик, где вы проговариваете «я соглашаюсь на обработку персональных данных сегодня, 25 февраля 2019 года» - подобное согласие возможно использовать. Однако для серьезных договоров, например, для кредитных, - этот метод не годится. Возникают и регуляторные трудности в этом вопросе. Дело в том, что подобные методы заключения договоров пока не предусмотрены законодательством», - уточняет собеседник.

Ранее в Первом кредитном бюро (ПКБ) сообщали о планах создать с банками сервис межбанковского биометрического сравнения фото заемщиков. В ПКБ пояснили, как продвигается этот проект.

«По сервису биометрического сравнения ПКБ работает с банками отдельно. Так, наши сервисы позволяют производить идентификацию по фото в интернет-ресурсах и приложениях, удаленных каналах, банкоматах, а также работать с потоками лиц для выявления потенциальных и имеющихся мошенников. После планируем запустить сервис межбанковского сравнения (фото клиентов - прим.ред.). Этот сервис в основном направлен на противодействие мошенничеству. Технически ПКБ полностью готово к этому проекту», - сообщила исполнительный директор ПКБ Асем Нургалиева.

Кто из БВУ начал тестировать биометрию НБ РК?

По данным издания, работу биометрической системы Нацбанка уже проверяют на себе Банк ЦентрКредит, Народный банк, Евразийский банк и ДБ «Банк ХоумКредит».

Возможно, какие-то банки и тестируют сервис среди ограниченного числа клиентов. В Народном банке отметили, что он не практикует такой механизм.

«Процесс тестирования биометрической системы проходит без привлечения клиентов. Пока наш банк прогоняет тесты только в основном по своим сотрудникам, предварительно их предупредив. Система работает так: на сторону Нацбанка передаются «свежее» фото и ИИН человека, затем в государственной базе это фото сравнивается с фотографией с паспорта. Если матчинг, то есть степень совпадения лица велика, то человек идентифицирован верно», - сообщили в фининституте.

О подробной схеме, как будет работать биометрическая система, рассказали и в другом банке.

«Насколько нам известно, в модели, разработанной Нацбанком, сбор биометрических данных производиться не будет. Банки будут использовать сеанс видеосвязи с клиентом для аутентификации, то есть в момент видеосвязи изображение клиента будет сравниваться с имеющимися фотографиями в базе данных «Физические лица». По результатам такого сопоставления с применением биометрических технологий будет происходить верификация клиента», - отмечает заместитель главы «Евразийского банка» Олег Печенкин.

Цена вопроса

В России Единая биометрическая система (ЕБС) запущена в 2018 году. Она создана «Ростелекомом» по инициативе Министерства цифрового развития, связи и массовых коммуникаций, а также Центрального банка РФ. Биометрическая платформа будет использовать для идентификации голосовой профиль и фотоизображение.

Как пишут российские СМИ, «Ростелеком» вложил в создание ЕБС около 250 млн рублей (3,6 млн долларов). Еще 1,5 млрд рублей (22 млн долларов) планируется направить в ее развитие в ближайшие пять лет.

По оценкам, в среднем каждый из российских банков для подключения к ЕБС потратит около 1-4 млн рублей (5,7-22,8 млн тенге).

В Нацбанке не озвучили, сколько средств было потрачено на разработку и внедрение системы.

«Затраты, конечно же, будут. Будут выделены бюджеты на специалистов, лицензии на софт. И пока неизвестно, в какую сумму обойдутся услуги КЦМР», - уточнили в Народном банке.

Пока же, поясняют в Евразийском банке, тестирование системы Нацбанка для БВУ бесплатно. Уточнив, что технология удаленного доступа регулятора не требует от банков серьезного переоснащения.

«Банкам будет предоставлен софт для работы с удаленной идентификацией. Но перед банками возникает вопрос проектирования нового клиентского опыта, который потребуется при внедрении удаленной идентификации. И тут банкам могут потребоваться инвестиции», - отмечает О.Печенкин.

Риск мошенничества минимален

Один из главных вопросов, могут ли мошенники воспользоваться данными биометрической базы. Эксперты считают, что этот риск минимален.

«Биометрические данные в системах, подобных разработанной Нацбанком, в основном не хранятся в открытом виде (фото, видео, скан отпечатка). Они зафиксированы в виде дескрипторов - математических числовых векторов, с помощью которых система машинного обучения может распознать их вновь. При использовании такого же движка биометрической системы ими можно воспользоваться. Но такой сценарий возможен лишь тогда, когда клиент пришел или обратился в организацию, которая воспользовалась чужой базой, и только в целях его повторной идентификации. Сделать гипсовый слепок лица или копию отпечатка пальцев из такого рода данных не получится», - заметил А. Сабынин.

А.Нургалиева считает, что биометрическая идентификация позволит снизить мошенничество.

«Но технологии банков должны быть только проверенными. К биометрическим данным, которые используются для удаленной идентификации, должна привязываться и другая информация. К примеру: к ИИН привязываются фото и отпечатки пальцев сразу при верификации и сборе данных. По отдельности собирать данные очень опасно», - отметила она.

Она уточняет, что выстраивать удаленную идентификацию только по одному признаку, либо собирать данные отдельно (по лицу и по отпечаткам отдельно) - рискованно. При этом, поясняет А.Нургалиева, при утере или утечке данных в результате взлома высоки риски мошенничества.

«Другие инструменты идентификации, предлагаемые рынком, сомнительны. Простое сравнение двух фотографий - технология до первого мошенника. Считаю, нельзя дискредитировать всю систему неподготовленными технологиями. Не у всех провайдеров отлично работает (или вообще есть) сервис определения живости фотографий (liveness detection) - это очень важный элемент для фронтальной части идентификационного сервиса. Хорошие решения имеются у компаний, которые имеют рейтинг в NIST (Национальный институт стандартов и технологий США). Все эти системы нужно тестировать», - подчеркнула она.

Напомним, Нацбанк заявил о запуске проекта удаленной идентификации клиентов БВУ.

«Эта система позволит клиентам удаленно, без посещения отделений банков и подписания бумажных документов получить финуслуги. К примеру, клиенты смогут открывать банковские счета, вклады, выпускать платежные карточки и заключать иные сделки. Для прохождения удаленной идентификации клиенту достаточно ввести ИИН и пройти сеанс видеоконференцсвязи с банком. Идентификация будет осуществляться на основании биометрических данных клиента и сведений из госбазы «Физические лица», полученных на основании его согласия», - говорится в сообщении регулятора.

К платформе в тестовом режиме подключены 11 банков. Скоро к ней присоединятся и другие фининституты.

«Сервис тестируется среди ограниченного числа клиентов банков», - сообщил Нацбанк.

Фото: из открытых источников