АЭВТ предупредила о рисках для планшетов пилотов из-за «Антифрода 3.0»
«Антифрод 3.0» может привести к блокировке номеров авиакомпаний, а сим-карты нужны в планшетах пилотов, говорится в отзыве АЭВТ. Другие отрасли также представили замечания. В Минцифры говорят, что проработают их с госорганами
Ряд положений третьего пакета мер по борьбе с телефонным и интернет-мошенничеством («Антифрод 3.0») вызвали опасения у бизнес-сообщества в части ужесточения законодательства о рассылках сообщений, блокировки номеров и ограничения способов регистрации на сайтах, следует из отзывов компаний и ассоциаций, опубликованных на портале regulation.gov.ru.
В обсуждении участвовали более 150 экспертов, в том числе представители «МегаФона», «Аэрофлота», «Мосэнергосбыта», Ассоциации больших данных (АБД), Ассоциации компаний интернет-торговли (АКИТ), Ассоциации эксплуатантов воздушного транспорта (АЭВТ) и др.
Что предлагает «Антифрод 3.0»
В конце сентября Минцифры опубликовало на regulation.gov.ru третий пакет мер против кибермошенников. Среди того, что вошло в проект:
приостановка оказания услуг для всех номеров, выделенных абоненту, если какой-то из них был замечен в противоправных действиях (сейчас блокируется только один номер, использованный для мошенничества);
запрет на продажу сим-карт по агентским договорам для физлиц и индивидуальных предпринимателей;
запрет на продажу сим-карт с деньгами на счету;
запрет на перепродажу идентификационных модулей (IMEI — уникальный 15-значный номер, который присваивается мобильным устройствам, работающим с сим-картами), которые уже оформлены на чей-то абонентский номер;
требование к сайтам, принадлежащим иностранным компаниям или лицам, проводить авторизацию пользователей только с помощью номера телефона;
владельцы сервисов будут обязаны хранить в течение трех лет сведения об авторизации пользователей, регистрации и ее прекращении, а также предоставлять эту информацию уполномоченным госорганам;
запрет для хостинг-провайдеров предоставлять серверы сайтам, компьютерным системам и программам, через которые пользователи получают доступ к заблокированным в России ресурсам.
Какие риски видит бизнес
Широкий резонанс вызвало положение, по которому оператор связи должен блокировать не только номер телефона, замеченный в мошенничестве, но и все номера, принадлежащие тому же абоненту. По мнению представителей бизнеса, на практике это может негативно отразиться на клиентах корпоративной связи. Например, компания может потерять все выделенные ей номера, если номер одного из сотрудников был скомпрометирован. «В настоящее время в авиакомпаниях активно используется различное мобильное оборудование, которое работает на сим-картах — например, планшеты пилотов, в которые загружается вся полетная информация, необходимая для выполнения рейса воздушного судна в целях выполнения договоров перевозки пассажиров, багажа, грузов и почты. Однако в случае использования для совершения противоправных действий абонентского номера, зарегистрированного на авиакомпанию, авиаперевозчик из-за введения ограничений в отношении одного корпоративного номера может потерять сразу все сим-карты, используемые авиакомпанией, что может привести к полной остановке и/или существенному усложнению обеспечения операционной деятельности перевозчика», — говорится в отзыве АЭВТ.
К нарушению деятельности компаний в этом случае приведет и ложноположительные срабатывания антифрод-систем, указали в АБД. «Полагаем, что сигнал по одному корпоративному номеру не должен приводить к отключению всего парка номеров организации», — считают там.
«Мосэнергосбыт» обратил внимание, что этот механизм не учитывает ситуаций, когда злоумышленники используют специальные технические средства для подмены идентификатора: абоненту, принимающему вызов, может транслироваться номер телефона, принадлежащий добросовестному лицу. Также предложенное регулирование не предполагает механизм возобновления оказания услуг связи абоненту, чей номер ранее был заблокирован, если противоправные действия такого абонента не подтвердились или были опровергнуты, дополнили в компании.
Сервисы СМС-рассылок, в том числе «Медиа технолоджи», «Смарт Телеком», «Инфосвязь» и др., критикуют предложение разрешить проводить рассылки только операторам связи. Компании опасаются, что рассылка по договору, который агрегатор заключил с оператором от своего имени в интересах заказчика, станет незаконной, что ограничит их работу на рынке. Агрегатор рассылок заключает договоры со всеми операторами мобильной связи и дает заказчику доступ ко всем сетям по одному договору. «После изменения такой заказчик сможет закупать рассылку только у операторов: по отдельному договору с каждым из них либо через одного оператора, действующего в его интересах. Круг участников закупок сократится до нескольких операторов, а доставку абонентам конкретного оператора по прямому договору сможет обеспечить только этот оператор. Это сокращает конкуренцию, обеспечение которой является принципом закупок», — говорится в отзыве «Смарт Телекома».
По мнению АБД, если это положение будет принято, независимые агрегаторы рассылок будут исключены из договорной цепочки, и это увеличит число прямых договоров заказчиков рассылок с каждым оператором связи и, следовательно, затраты на их сопровождение. Кроме этого, появится риск недоставки сообщений с кодами подтверждения для входа в сервисы, получения заказов и других сервисных сообщений из-за неопределенности при смене оператора, указали в АКИТ.
Исключение агрегаторов из процесса заключения договоров на СМС-рассылки не защитит от мошенничества, считают игроки рынка. Они предлагают создать реестр таких агрегаторов, у которых будет пул обязанностей, например идентифицировать заказчика до начала рассылки, передавать данные о нем в ГИС «Антифрод», хранить сведения о рассылках, прекращать их по требованию регулятора и т.д.
АКИТ также указала, что, если некоторые положения «Антифрода 3.0» не будут доработаны, и компании, и пользователи столкнутся со сбором избыточных персональных данных, дублированием действующих механизмов учета и существенными затратами на доработку информационных систем. Кроме этого, для некоторых обязательств не ясны условия исполнения и порядок действий при технических сбоях.
Что просят доработать
Некоторые нормы, которые предлагает «Антифрод 3.0», требуют дополнительной проработки и уточнений, считают представители бизнес-сообщества.
Это касается положений, ограничивающих количество способов регистраций для пользователей российских и зарубежных сайтов. Ассоциация туристических агрегаторов (АТАГ) в своем отзыве отмечает, что иностранные сайты, которые выполнили требования закона о «приземлении» (иностранные IT-компании с суточной аудиторией более 500 тыс. пользователей в России обязаны создать официальный филиал, представительство или юрлицо в стране) уже находятся под контролем российских властей. «Ограничение способов авторизации для таких лиц не повышает безопасность пользователей, а снижает качество идентификации», — указала ассоциация в своем отзыве. Она предлагает распространить на зарубежные сайты четыре способа регистрации пользователей, которые предусмотрены для сайтов, принадлежащих россиянам: номер телефона, Единая система идентификации и авторизации (ЕСИА), Единая биометрическая система (ЕБС), российские сервисы авторизации.
АКИТ обратила внимание на то, что исключение использования ЕСИА и других российских систем авторизации для иностранных ресурсов потребует дополнительного сбора телефонных номеров и затруднит доступ к существующим учетным записям.
Формулировка требований по способам регистраций для российских сайтов довольно общая, поэтому правило может быть применимо и к внутренним корпоративным системам, и к зарубежным пользователям, также отметили в АКИТ. Если пользователь находится за рубежом владелец ресурса объективно не всегда может обеспечить возможность авторизации любым из указанных способов, включая ЕСИА и ЕБС, что делает проектируемую норму фактически неисполнимой изначально, дополнили в АТАГ.
Также в нескольких отзывах говорится о рисках избыточного сбора персональных данных из-за обязанности хранить регистрационные и авторизационные «события» в течение трех лет. Кроме того, издержки на мощности для хранения, архивирование и защиту накопленных данных будут несоизмеримыми с тем, какую степень важности они имеют для предотвращения и раскрытия интернет-преступлений, отметили в АБД.
Для организаторов распространения информации (ОРИ, соцсети, мессенджеры, сервисы электронной почты и др., позволяющие пользователям обмениваться сообщениями в интернете) уже действует требование хранить информацию о пользователях в течение трех лет, а также предоставлять ее госорганам, ведущим оперативно-розыскную деятельность, обратили внимание в АКИТ. Если норму невозможно исключить, то ассоциация предлагает сократить срок хранения до года, определить сайты, владельцы которых будут обязаны соблюдать требование, а также сделать исключение для ОРИ, чтобы не возникло задвоения регулирования.
Вопросы возникли также из-за платформы согласий граждан на обработку персональных данных, которую планируют запустить на портале госуслуг. Как указали в АБД, сейчас в реестре Роскомнадзора числится около 2,43 млн операторов персональных данных. Но затраты на подключение к ЕСИА посильны только крупному бизнесу, настаивают в этой ассоциации. «Мосэнергосбыт» указал на необходимость перестраивать бизнес-процессы, оцифровывать бумажные согласия и закупать оборудование для защищенного обмена данными через систему межведомственного электронного взаимодействия.
В некоторых случаях передача сведений о согласиях будет невозможной без идентификации пользователей через ЕСИА. «Фактически реализация предлагаемых требований будет стимулировать операторов к обязательной идентификации пользователей через ЕСИА при совершении любых действий, связанных с предоставлением согласия, что существенно усложнит получение услуг в электронной форме, увеличит количество отказов пользователей от завершения регистрации и негативно скажется на развитии цифровых сервисов», — считают в АБД.
Помимо прочего, в ассоциации отметили, что концентрация большого объема данных в одной госинформсистеме создает риски по части информационной безопасности: сведения о согласиях позволят составлять подробные профили взаимодействия граждан с банками, магазинами, медицинскими организациями и цифровыми платформами. В случае компрометации учетных записей эти данные могут использоваться для целевых атак социальной инженерии.
АБД предлагает учитывать в ЕСИА только согласия, предоставленные непосредственно через эту систему, а передачу остальных сведений сделать добровольной. «Мосэнергосбыт» считает необходимым учитывать только согласия на передачу персональных данных третьим лицам и получение рекламы, а также разрешить оформлять и отзывать их через представителей операторов.
Представитель Минцифры напомнил, что третий пакет антифрод-мер находится на стадии общественного обсуждения. «Все поступившие предложения рассматриваются. Они будут дополнительно проработаны с заинтересованными государственными органами. Говорить о том, какой будет финальная версия документа, пока преждевременно», — сказал он.