Селфи за удостоверяване на трансакциите: надежден стандарт или илюзия за сигурност

Виетнамски експеримент поставя под въпрос ефективността на цифровата идентификация.

Тенденцията за използване на автопортрети за онлайн удостоверяване на автентичността набира популярност в различни страни по света, особено след пандемията, когато множество бизнеси преминаха към цифровата сфера. Някои банки и правителства започнаха да изискват живи изображения за проверка на самоличността. Остава обаче въпросът: доколко сигурно е това?

На 1-ви юли Виетнам въведе задължителна проверка на лицето чрез еазлични приложения за мобилно банкиране за всички цифрови трансакции на стойност над 400 долара. Жителите на страната не могат да се откажат от тези правила, въпреки че Виетнам често е оценяван като страна с лошо ниво на интернет поверителността и киберсигурността. Местните медии са скептични, че селфитата могат да подобрят сигурността. Само няколко дни след въвеждането на новите правила някои приложения започнаха да приемат обикновените снимки вместо изображения в реално време.

Тези проблеми не се отнасят само за Виетнам. В края на юни американската компания Resecurity съобщи за увеличаване на броя на изтеклите документи със селфита на сингапурци в съмнителни онлайн ресурси. Тези изображения често се споделят с финансовите и търговските организации и могат да бъдат заловени от киберпрестъпниците с цел последваща продажба.

Според Акиф Хан, вицепрезидент в аналитичната компания Gartner, интересът към използването на селфита за проверка на самоличността е нараснал значително през последните пет години, особено по време на пандемията. Компаниите за финансови услуги и консултантските агенции, като New World Advisors, също подкрепят тенденцията, виждайки в нея необходимост за онлайн услугите.

Процесите на проверка, като например борбата с изпирането на пари (AML) и познаването на клиента (KYC), често се регулират от различни закони и международни организации. Тези процеси обаче рядко са стандартизирани в световен мащаб, което създава регулаторни пропуски.

Според Кевин Рийд, директор по информационна сигурност в Acronis, проблемът често се крие в неправилното боравене с данни, а не в самата технология.

„Събирането на селфита за KYC не е проблем само по себе си, проблемът е, че тези данни не се обработват правилно и често не се унищожават след проверката“,

отбелязва Рийд.

Resecurity посочи и примера на базирания в Сингапур доставчик на цифрови разплащания, който използва метод за проверка на самоличността чрез снимка на лицето заедно с неговите документи. Този метод се счита за по-сигурен, но все така е изложен на рискове.

Междувременно Хан от Gartner смята, че опасенията за кражба на самоличността от снимки и идентификатори с изображения, намерени в даркнет, са преувеличени, тъй като повечето организации ще изискват не просто снимка, а поредица от действия, евентуално с видеопоследователност, като например завъртане на главата или показване на определен жест в кадър, за откриване на банкови сметки и други финансови операции. Това може да бъде доста трудно за фалшифициране.

Въпреки това Хан предупреждава, че дори тези методи не могат да бъдат напълно сигурни. Важно е да се гарантира, че тези системи са достъпни за всички потребители, без да се създават уязвимости за хакерските атаки.