ЦБ против использования DeepFake

Центробанк назвал технологии замены изображения человека (DeepFake) угрозой для идентификации клиентов банка по видеосвязи. О рисках применения видео для идентификации клиентов при открытии счетов в банках ЦБ указал в отзыве на законопроект Ассоциации банков России (АБР), пишет РБК. Эксперты в сфере информбезопасности отмечают, что видеоиндентификация клиентов — ненадежный способ их авторизации, который привлечет внимание мошенников.

АБР в своем законопроекте предлагала внести изменения в законодательство по борьбе с отмыванием средств, которые позволили бы открывать счета новым клиентам для выдачи удаленных кредитов дистанционно. Центробанк в своем отзыве назвал ряд угроз идентификации клиентов по видеосвязи, в том числе — применение технологии замены изображения человека (DeepFake), подделка паспортов и использование профессионального грима. Аналогичные отзывы на проект написали Минфин и Росфинмониторинг. Документы были подготовлены в апреле, их подлинность изданию подтвердили два собеседника на финансовом рынке и вице-президент АБР Алексей Войлуков. «В настоящий момент мы продолжаем работу с заинтересованными участниками рынка по поиску приемлемых решений, которые позволят сделать сервисы видеоидентификации безопасными, надежными и удобными», — сообщил  представитель ЦБ.

Национальный совет финансового рынка (НСФР, объединяет крупные банки) осенью прошлого года направил в ЦБ заявку на пилотное тестирование системы видеоидентификации клиентов в «регуляторной песочнице» (механизм тестирования новых технологий без нарушения закона). без риска нарушить закон). НСФР предлагал внедрить идентификацию по видео для открытия счетов людям с ограниченными возможностями и счетов для получения зарплат и социальных выплат. В предложении говорилось, что остаток по таким счетам, не сможет превышать 100 000 рублей, ежемесячный лимит операций - 60 000 рублей. Принять участие в пилотировании проекта готовы были 18 банков. Его участники отмечали, что существующая Единая биометрическая система (ЕБС), которая создана для удаленной идентификации граждан, не пользуется популярностью, поэтому нужны альтернативные варианты удаленной работы. Инициатива АБР напоминает пилот НСФР, но направлена на другой сегмент финансового рынка — выдачу ипотечных кредитов. 

Председатель НСФР Андрей Емелин сообщил изданию, что совет ознакомился с отзывами на законопроект АБР и ждет окончательное решение Банка России по итогам пилотного проекта. Он отметил, что перечисленные в отзывах риски «успешно нивелируются за счет комплексной проверки клиентов». Он объяснил, что НСФР предлагает проводить идентификацию по паспорту, проверку по номеру телефона и сверку личности с фото в документах в сочетании с ограничениями — открытие только одного счета с небольшим лимитом на платежи и остаток по счету. ЦБ в отзыве отметил, что готовит вместе с заинтересованными государственными органами готовит заключение о работе сервиса видеоидентификации. «Вопрос применения систем видеосвязи или иных технических средств, помимо ЕБС, для удаленной идентификации клиентов требует существенной проработки», — написал регулятор. Собеседник в одном из крупных банков-участников тестирования НСФР  в «регуляторной песочнице» ЦБ, сказал, что перечисленные риски реальны, «поэтому пилот не взлетел».

Директор по методологии и стандартизации Positive Technologies Дмитрий Кузнецов отметил, что смартфоны и веб-камеры в нормальных условиях (помещение со слабой освещенностью, фоновые шумы) не позволяют проводить надежную биометрическую идентификацию человека, это и создает возможности для дипфейков. По словам Кузнецова, «банк в действительности не знает, общается ли он со своим клиентом или со сгенерированным цифровым двойником клиента». Генеральный директор компании «Код безопасности» Андрей Голов добавил, что подделать данные по видео достаточно дешево и это может привлечь ненужное внимание злоумышленников. «Мошенники смогут заменять видеоизображение на желаемое и получать доступ к банковским операциям как авторизованные клиенты», — сказал Голов. Эти способы идентификации можно применять с дополнительными факторами авторизации либо использовать ее только для низкорискованных операций, отметил эксперт.