Безопасность или удобство?

Впрочем, по какому бы пути ни стал развиваться интернет-банкинг, банкам придется решать главный на сегодня вопрос: как соблюсти баланс между безопасностью и удобством использования системы. «Чем проще доступ к системе, понятнее интерфейс, тем быстрее она работает, более ясна и привлекательна для клиента, но тем выше и риски мошенничества. Чем больше усиливается режим безопасности, тем меньше рисков, но тем более сложной становится система в использовании», — считает Владимир Луценко. Участившиеся случаи мошенничества приводят к усилению мер безопасности. Так, зимой у нескольких клиентов системы «Альфа-клик» со счетов пропали деньги. Сколько украли интернет-мошенники, в банке не говорят, лишь отмечают, что это были некрупные суммы. «Клиентам приходили электронные письма с вирусом или со ссылкой якобы на сайт нашего банка, после посещения которого в компьютер клиента внедрялась специальная программа, она считывала пароль для входа в систему интернет-банкинга, — рассказывает Владимир Урбанский. — Мошенников нашли, а украденные у клиентов средства банк, конечно, возместил». С подобной проблемой недавно столкнулся и Райффайзенбанк. Пользователи Raiffeisen Connect стали получать письма, которые перенаправляли клиентов на фальшивый сайт (копию Connect). Там для входа в систему клиенту предлагалось ввести PIN-код, чего делать вовсе не требуется. В итоге виртуальные воры получали секретный шифр, а вместе с ним и возможность пользоваться чужими деньгами.

Альфа-банк после того случая изменил схему работы в интернет-банкинге. Теперь каждую операцию в «Альфа-клике» нужно подтверждать разовым паролем, который высылается SMS-сообщением на номер телефона, указанный при подключении к сервису. Кроме того, пароль надо набирать не на обычной, а на виртуальной клавиатуре. «Теперь если разовый пароль каким-то способом перехватят, то лишь в тот момент, когда операция уже будет совершена, а во второй раз воспользоваться им уже нельзя», — объясняет Дмитрий Пономарев. Разовые пароли применяют многие банки, правда, по SMS их мало кто отправляет. «Мы в свое время испытывали эту технологию, но отказались от нее, — говорит Александр Базанов. — Когда дело происходит в Москве, то SMS доходят, в регионах же начинаются проблемы: SMS путаются между собой, второе сообщение приходит первым или приходит, когда человек, не дождавшись, уже отключил компьютер. Такой сервис раздражает людей». Разовые пароли обычно размещают на специальных картах под защитным слоем — стираешь его и узнаешь код. Неудобство в том, что на картах умещается максимум 100 паролей, и, когда они кончаются, приходится идти в банк за новой картой. При этом некоторые банки (например, ВТБ 24) их не выдают, а продают. Кроме того, с разовыми паролями разрешают проводить операции на относительно небольшие суммы, в том же ВТБ 24 это в пределах 2 тыс. долларов. Денежные лимиты практикует большинство банков как один из способов минимизировать потери клиента в случае мошенничества. Во многих банках для подтверждения операций требуется электронная цифровая подпись (ЭЦП). Вариант считается надежным, но не самым удобным. Файл с ЭЦП придется все время носить с собой на флешке или дискете, так как без нее никаких платежей вы не сможете сделать. Также для пользования ЭЦП на компьютер придется установить Java-программу, дома это не проблема, а вот на работе из-за запрета на установку дополнительных программ могут возникнуть проблемы, которые без дружбы с сисадмином не решить.

Новое слово в области обеспечения безопасности сказал Номос-банк. В середине апреля он презентовал криптографический калькулятор, генерирующий с помощью пластиковой чиповой карты разовые коды подтверждения операций. Разработчики устройства утверждают, что при его использовании абсолютно неважно, на каком компьютере вы работаете: даже если он нашпигован «вражескими» программами, это никак не отразится на безопасности интернет-банкинга. «Наше устройство не связано с компьютером. PIN-код карты вводится именно в криптокалькулятор, и код знает только он, то есть воспользоваться им никто не может, — объясняет Александр Базанов. — Сгенерированная криптокалькулятором последовательность будет уникальна именно для этой пластиковой карты и именно для этой транзакции. Поэтому даже если кто-то перехватит пароль, он все равно не сможет изменить реквизиты платежа и направить его по другому адресу».

Банкиры соглашаются, что такой метод сверхнадежен, но считают его слишком сложным. «Клиенты, чтобы проверить свой баланс, не будут искать карточку, вставлять ее в устройство, вводить PIN-код карты, получать авторизационный код, водить его, чтобы залогиниться. У нас за день происходит 25 тыс. входов в интернет-банкинг, и я сомневаюсь, что эта цифра останется на том же уровне, если клиента заставить проходить столь сложную процедуру аутентификации, — считает Владимир Урбанский. — Да, это безопасно, но для того, чтобы просто узнать свою задолженность по кредитке, клиент не будет всего этого делать, а просто позвонит в банк. К тому же он не сможет везде носить с собой это устройство, потому что может забыть его дома или потерять». «Многие банкиры, наверное, заинтересуются опытом Номос-банка. Вопрос в том, на кого перекладывать расходы по изготовлению устройства: на клиента или на банк», —говорит Валерий Торхов. Номос-банк решил, что платить за безопасность должен клиент: стоимость криптокалькулятора составляет 500 рублей. Пока не придумали удобный и простой метод информационной защиты, банкиры советуют самим клиентам быть более осторожными: чаще обновлять антивирусные программы, не вскрывать подозрительные электронные письма и не лениться проверять подлинность посещаемых банковских сайтов. «В онлайн-банкинге соединение с сервером банка устанавливается на специальном электронном протоколе, интернет-браузер показывает, что соединение защищено сертификатом безопасности, и каждый может посмотреть, чей это сертификат. В нем должно быть указано, кому именно он выдан, и адрес сертификата должен полностью соответствовать адресу, с которого загружен браузер. Если есть какие-то различия, значит, это сайт-двойник», — предупреждает Дмитрий Пономарев.