К теме «ложных срабатываний»

К теме «ложных срабатываний»

Недавно я оказался в ситуации, которая, думаю, знакома многим — но не как специалистам ИБ, а как банковским клиентам. Обычный рабочий перевод по СБП на 35 тысяч рублей, сделанный вслед за аналогичным на 25 тысяч, был заблокирован системой ИБ одного из банков вместе с доступом к приложению. Дальше — классический сценарий: поездка в офис с паспортом, перевыпуск карты на глазах у сотрудников, повторная попытка — и повторная блокировка. Сотрудники отделения оказались бессильны: ни разблокировать карту, ни повлиять на решение антифрода они не могут.

В чем проблема?

Проблем несколько. Первая: нет эскалации. Система сработала по алгоритму, но не предусмотрела механизма ручной верификации для ситуаций, когда клиент физически находится в отделении, а его личность подтверждена офисным сотрудником. Сегодня антифрод-системы настроены на гиперчувствительность — и это правильно: цена ошибки высока. Но отсутствие «кнопки доверия» для офисного сотрудника превращает защиту в препятствие.

Вторая: колл-центр не помогает. Операторы, с которыми довелось пообщаться при разблокировке, работают строго по скрипту. Они не видят аналитики по транзакции, не могут отличить клиента, цитирующего даже собственные публикации по ИБ, от стандартного звонка. В результате клиент воюет с алгоритмомодин на один.

Третья: обратная связь в банке не работает. После всех мытарств мне пришел опрос от службы сервиса — со стандартной просьбой оценить внешний вид сотрудника или его грубость, но никак не оставить развернутый отзыв по «очеловечиванию» работы ИБ. Банк упускает этим важнейший канал сбора данных о ложных срабатываниях.

Обсуждение: от теории к практике

Если смотреть на ситуацию шире, в основе международных банковских стандартов ИБ, например ИСО 13569, лежат четыре классических принципа: «знай своего клиента» (KYC), «знай своего служащего» (KYE), «необходимо знать» (Need to Know) и «двойное управление» (Dual Control). Это не просто абстракции — это архитектурные столпы, на которых держатся безопасность любого финансового института.

Однако на практике первые два принципа часто оказываются недооцененными. KYC мы еще как-то формально соблюдаем, а вот KYE — спускаем на тормозах. А ведь понимание того, кто работает с системой и с какими рисками (внутренними, финансовыми, поведенческими), — это база для выстраивания адекватной антифрод-логики. Без этого мы не отличим легитимного клиента от злоумышленника, даже когда он сидит в офисе с паспортом.

И самое обидное: инструменты для этого есть. В ЦБ принят СТО БР БФБО-1.7-2023, который регламентирует использование технологии цифровых отпечатков устройств (устройств-фингерпринтов) для безопасной идентификации пользователей. Это готовый технический фундамент, позволяющий системе видеть не только транзакцию, но и контекст — с какого устройства, из какого места, с какой периодичностью клиент совершает операции. Но внедрение идет медленно, и потенциал цифровых отпечатков раскрыт не полностью.

Искусственный интеллект сегодня в основном заточен под прогнозирование прибылей и убытков, а мог бы решать и эти задачи — идентифицировать реального пользователя, выявлять аномалии в поведении, помогать службе ИБ отличать «своего» клиента от злоумышленника. Это нужно и финансовым аналитикам: без глубокого понимания того, кто взаимодействует с сервисами, любые прогнозы становятся рыхлыми. Мы рискуем строить защиту вслепую, игнорируя собственный нормативный и технологический потенциал.

Что можно сделать уже завтра?

1. Режим «доверенного офиса». Если клиент в отделении и его личность подтверждена, сотрудник нажимает кнопку в CRM — система получает команду «белый список на 1 час». Это снимет 90% ложных блокировок.
2. Дежурная смена ИБ с прямой линией. Выделенный номер или чат, где за 2–3 минуты соединяют с реальным специалистом, видящим аналитику по транзакции. Не с роботом.
3. Полномочия на разблокировку в офисе. Кнопка «Подтверждаю личность» в CRM с логированием и ответственностью сотрудника — и блокировка снимается за минуту.
4. Обучение колл-центра по контексту. Чек-лист из 5–6 «живых» вопросов вместо бесконечной лекции оператора. Если клиент называет точные суммы и даты и подключает сотрудника офиса по громкой связи — это веский аргумент для ручной верификации.

И главное: система ИБ должна защищать, а не воевать с клиентом. Мы построили в крупных банках антифрод-молот, но для него все клиенты стали гвоздями. Ключевая задача — научить систему отличать «своего» гвоздя, который сидит в офисе с паспортом и перевыпустил карту на глазах у сотрудников.