Минцифры РФ рассматривает возможность включить в третий пакет антифрод-мер требование подтверждать значимые действия в интернете через СМС или мессенджер Max. Если инициатива пройдёт, банки, маркетплейсы и платформы лишатся привычных способов аутентификации - и заплатят за это из собственного кармана.

Откуда растут ноги

Идея не новая. Её обсуждали ещё при подготовке второго антифрод-пакета, но тогда бизнес встал стеной - и в финальную версию мера не попала. Теперь, судя по имеющимся данным, её пытаются протащить снова, на этот раз через третий пакет.

Примечательно, кто тогда поддержал инициативу: VK - материнская компания разработчиков Max - и операторы связи, напрямую зарабатывающие на СМС-рассылках. Весь остальной рынок выступил против. Расклад сил с тех пор, судя по всему, не изменился.

Само Минцифры заявило, что никакой такой меры не рассматривает, а третий пакет пока находится в стадии согласования с ведомствами и отраслью.

Чем это грозит

Главная проблема - размытость формулировок. Что именно считать «значимыми действиями», никто пока не прояснил. Под это понятие теоретически можно подтянуть что угодно: от входа в аккаунт до оформления покупки. Чем шире трактовка - тем дороже обойдётся внедрение.

В группе РВБ, объединяющей Wildberries и Russ, инициативу считают избыточной. Там уже работает многоуровневая система защиты: анализ рисков, выявление подозрительной активности, дополнительные сценарии подтверждения при необходимости. Обязательное СМС поверх этого - не прирост безопасности, а прирост издержек. Которые, как водится, лягут на покупателей.

Президент Ассоциации компаний интернет-торговли Артём Соколов тоже не в восторге. По его оценке, даже формат «или СМС, или Max» вместо обоих каналов сразу не снимает проблему.

Технари против, депутат успокаивает

Эксперты по цифровой безопасности указывают на открытый международный стандарт двухфакторной авторизации TOTP - он не привязан ни к одной платформе и давно признан одним из самых надёжных. Отказ от него в пользу закрытого приложения, чья архитектура непрозрачна, требует весомого обоснования. Отдельная техническая уязвимость Max - мессенджер нестабильно получает push-уведомления на устройствах Apple. Не лучший аргумент в пользу обязательного статуса.

Первый замглавы IT-комитета Госдумы Антон Горелкин, впрочем, призвал не накручивать градус: по его словам, обсуждения в индустрии не дают оснований считать Max неизбежным. Он высказался однозначно: каждый пользователь должен сам выбирать способ подтверждения - СМС, мессенджер, push или TOTP-приложение.

Пока инициатива остаётся в зоне слухов. Но бизнес уже занял оборонительную позицию - и, судя по прецеденту с вторым пакетом, это работает.