Эксперты по информационной безопасности в беседе с «Ъ» предупредили о рисках распространения аутентификации по смс: из-за того, что банки стали чаще спрашивать у клиентов присланные в смс коды, люди привыкают называть их, не задумываясь о риске мошенничества.
«Случаи, когда банки просят называть коды из смс, могут изменить шаблон поведения клиента и сформировать у него понимание, что это норма, — отметил управляющий партнер экспертной группы Veta Илья Жарский. — Однако серьезные риски из-за этого появились лишь в конце прошлого года, когда мошенники начали звонить с подмененных телефонов банка».
Пользователи специализированных форумов подчеркивают, что в результате у клиентов формируется шаблон поведения: «сотрудник банка может запросить код из смс, и это нормально».
В частности, в Промсвязьбанке у клиентов запрашивают код из смс при обращении в колл-центр для подтверждения личности, Почта-банк запрашивает у клиента код при звонке, визите в отделение или в банковском чате. Код также просят назвать при визите в отделение Московского кредитного банка, ВТБ, «Открытие», Альфа-банка.
Опрошенные журналистами представители российских банков считают процедуру аутентификации через смс безопасной и обращают внимание, что следует отличать код, используемый в качестве простой электронной подписи, и код подтверждения операции. В последнем случае всегда стоит пометка, что этот код нельзя называть никому, в том числе сотруднику банка.
В Центробанке сообщили, что им не поступало жалоб на подобного рода проблемы, но не прокомментировали вопросы о рисках применения указанной практики и целесообразности ее запрета.
В январе клиенты Сбербанка стали массово жаловаться на мошенников, которые звонили им на мобильные телефоны и сообщали о попытке несанкционированного списания денег с карты. При этом высвечивались официальные номера Сбербанка, указанные на обратной стороне пластиковых карт: 900 или +7 (495) 500-55-50. Если человек сомневался в том, что ему звонили из банка, преступники высылали ему смс с подтверждением с короткого номера 900. Также они обладали информацией об остатке на счете и последних транзакциях.
Клиенты Сбербанка также жалуются на новый метод хищения денег через терминалы. Дело в том, что терминал дает на завершение операции 90 секунд, и если в этот период свою карту вставит следующий клиент, то заявленная предыдущим человеком сумма спишется с его счета.