Он узнает тебя из тысячи: выясняем, зачем банкам понадобились наши лица и голоса

Биометрическая идентификация устанавливает личность человека по его уникальным биологическим данным: лицу, голосу, отпечаткам пальцев. Биометрия уже давно применяется в зарубежных банках, и вот их российские коллеги решили перенять этот опыт. Масштабные полевые эксперименты запланированы на 2018 год. По итогам сбора биометрических параметров клиентов банки намерены создать единую биометрическую систему (ЕБС).

Ваше лицо, пожалуйста

Самый простой метод биометрии — по отпечаткам пальцев — применяли еще XIV веке в Китае. Купцы обмакивали пальцы в чернила и скрепляли этими оттисками торговые соглашения. В XX веке с помощью биометрических систем начали защищать военную и коммерческую информацию. 15 лет назад японские банки стали пионерами биометрии в финансовом секторе — для идентификации они начали сканировать радужную оболочку глаза клиента.

Для российских банков биометрия тоже не ноу-хау: крупные и технологически продвинутые структуры уже несколько лет работают с альтернативными системами идентификации клиентов. Правда, только в тестовом режиме и на добровольных началах. Но в 2018 году биометрия будет поставлена на поток — с подачи Банка России. Специалисты ЦБ разработали законопроект, обязывающий кредитные организации собирать биометрические данные россиян. 15 декабря закон об удаленной идентификации клиентов банков с помощью биометрии был принят Госдумой во втором чтении. Уже действует рабочая группа по созданию ЕБС, в нее вошли несколько крупнейших банков страны, в том числе Сбербанк, ВТБ, «Бинбанк» и «Россельхозбанк», пишут «Известия».

— Драйвером этого проекта выступает государство, так что в ближайшее время можно ожидать прорывных примеров использования биометрических систем, в том числе для удаленного открытия счета в банке, — рассказал нашему порталу вице-президент «Промсвязьбанка», руководитель блока «Цифровой бизнес» Алгирдас Шакманас.

Все биометрические параметры делятся на два вида: данные нам от рождения и меняющиеся со временем.

Российская банковская система будет развивать в первую очередь идентификацию по геометрии лица (Face ID) и по голосовым слепкам. Метод Face ID основан на создании структурной карты лица — шаблона, с которым будут сверяться все изображения клиента. Этот шаблон должен учитывать разные факторы: наклон или поворот головы, изменение выражения лица, разную освещенность, усы и бороды у мужчин, особенности макияжа у женщин и пр.

Идентификация по голосовым слепкам работает так. Вы наговариваете специалисту банка какой-либо текст, который записывается и вносится в систему. Когда вы позвоните в банк, будет достаточно сказать одну фразу, чтобы система опознала вас, сопоставив образцы речи по нескольким десяткам характеристик. К ним, например, относятся особенности и темп произношения, тембр голоса и прочее.

И что нам с того?

Денежные переводы, платежи через интернет, дистанционное открытие вкладов — все это сегодня для нас так же обыденно, как переключать пультом каналы на телевизоре. Системы биометрической идентификации пойдут чуть дальше, дав клиентам доступ к дистанционным сервисам любых банков, работающих с ЕБС — при условии, что клиент уже зарегистрирован в одном из этих банков и у него есть профиль на «Госуслугах».

Работать все это будет так: клиент подтверждает в банке свою личность с помощью паспорта и оставляет свои биометрические данные. Банк заводит эти данные в ЕБС, откуда они попадают в профиль клиента на портале госуслуг. Когда человек обратится в банк, в котором он не зарегистрирован, банк сможет установить его личность, обратившись к профилю на «Госуслугах». Для этого клиенту нужно будет отправить в банк образец голоса или изображение своего лица для сопоставления с информацией, хранящейся в ЕБС.

Выгода самих банков от внедрения биометрии заключается как минимум в потенциальном расширении географии без затрат на содержание филиалов: их услугами смогут воспользоваться жители любой деревушки, где есть, например, Сбербанк и мало-мальски стабильный интернет.

Когда все начнется

Разные методы идентификации за пределами традиционного «Ваш паспорт, пожалуйста» уже несколько лет тестирует Сбербанк. В ближайших планах кредитной организации — разработка систем распознавания клиентов по сетчатке глаза и прочим биометрическим факторам. Летом 2017 года организация установила в своем московском офисе банкомат, «знающий» своих клиентов в лицо.

Как рассказали нашему порталу представители Сбербанка, сейчас банк готовит пилот голосовой биометрии в контакт-центре и лицевой биометрии в нескольких подразделениях банка в Москве. Пилот будет запущен в начале 2018 года, а затем банк намерен постепенно распространить эти технологии на все филиалы. На первом этапе биометрия должна дополнить, а не заменить существующие методы идентификации клиента.

ВТБ, также входящий в рабочую группу по созданию ЕБС, в этом году запустил биометрию по внешности. При посещении отделений, где есть такая опция, клиенты подписывают только электронные версии документов. 

— Помимо традиционной идентификации по паспорту, банк предлагает клиентам пройти аутентификацию на планшете, сделав фото, но воспользоваться ей можно только в офисе. Технология может применяться в операциях с кредитами наличными, кредитными картами и вкладами. На тестах аутентификация показала высокий процент точности. Она способна распознать клиента и в тех случаях, когда его внешность меняется, например, у него появляется борода, меняются стрижка, вес и так далее. Пилотный проект был признан успешным, тиражирование запланировано на 2018 год. В декабре 2017 года новая технология будет внедрена в первых 20 офисах в Москве и Московской области, Санкт-Петербурге, Волгограде, Екатеринбурге и Владивостоке, — сообщил управляющий розничным бизнесом банка ВТБ в УрФО Сергей Кульпин.

«Промсвязьбанк» планирует параллельно с участием в госпрограмме развивать и собственные проекты, в основе которых лежит проверка личности клиента по голосу.

— Нам интересна голосовая биометрия в силу ряда причин, в том числе за счет ее популярности в зарубежных банках, которые уже успели накопить интересный опыт, — рассказал вице-президент, руководитель блока «Цифровой бизнес» «Промсвязьбанка» Алгирдас Шакманас.

Отпечаток — не лучший сторож

Больной вопрос в истории с биометрией — ее надежность. С этим могут быть проблемы и у голосовой идентификации, и у идентификации по отпечаткам пальцев. Современные технологии позволяют имитировать тембр любого голоса, если есть запись исходного образца речи. Отпечатки пальцев, вопреки сложившимся стереотипам, — одни из самых ненадежных способов защиты информации. Их можно «снять» с помощью камеры высокого разрешения на довольно большом расстоянии (до 6 метров). Еще в 2008 году немецкие хакеры таким образом раздобыли отпечаток пальца министра внутренних дел ФРГ со стакана, из которого тот пил на пресс-конференции. Чтобы воспользоваться чужими отпечатками, злоумышленники, например, могут наносить их лазером на силиконовые подушечки.

— Кража или слив на сторону биометрических данных может нанести куда больший ущерб, чем утечка любой другой информации. Наиболее известный пример: индийский оператор системы биометрической идентификации Aadhaar ID подозревается в раскрытии данных 135 млн индийских граждан. Поводом для подозрений стали несколько сотен незаконных банковских транзакций, которые были бы невозможны, если бы у мошенников не было биометрической информации о пострадавших. Еще одна опасность — целенаправленные атаки на банк для получения доступа к биометрическим базам, — рассказал руководитель по развитию продуктов Secure Bank/Secure Portal компании Group-IB Павел Крылов.

В случае с голосовыми слепками, кроме их сравнительно легкой имитации, есть риск, что система не распознает настоящего клиента. Такое может случиться из-за изменения речевых характеристик (интонации, скорости произнесения и пр.) или из-за шума в помещении. А вот распознавание по лицу и сетчатке глаза считаются надежными способами защиты.

Усилить защиту можно, сочетая различные системы идентификации.

Если же данные клиентов все-таки окажутся слиты на сторону или выкрадены, банки могут быть привлечены к административной ответственности, а конкретные сотрудники, если будет установлена их вина в сливе — к уголовной. 

Как рассказал адвокат Евгений Витман, в соответствии со статьей 137 УК РФ («Разглашение персональных данных») сотруднику банка, слившему конфиденциальную информацию, грозят штраф до 300 000 руб., принудительные работы сроком до четырех лет или заключение на срок до пяти лет.

Если же речь идет о взломе баз данных «со стороны», когда банк и его сотрудники не обеспечили сохранность персональных данных, на них в соответствии с частью 6 статьи 13.11 КоАП РФ может быть наложен административный штраф: на граждан — максимум 2000 рублей, на должностных лиц — 10000 рублей, на ИП — 20000 рублей, на компании — до 50000 рублей.

Так что банк в любом случае будет привлечен к ответственности за пропажу данных. Суд учтет, что персональные данные попали в руки мошенников без умысла со стороны сотрудников банка. Но наказание за то, что не было предпринято достаточных мер по защите данных, в любом случае будет, рассказал Евгений Витман.

Другой вопрос, насколько такое наказание соразмерно урону, нанесенному клиенту. Ведь помимо заморочек, связанных с возвратом денег, человек получит еще одну головную боль. Он больше никогда в жизни не сможет воспользоваться биометрической идентификацией, ведь его уникальные биоданные оказались скомпрометированы, а сменить их нельзя.