Дипфейки против банков: в Казахстане раскрыли уязвимость биометрии
В Казахстане зафиксированы случаи обхода биометрической аутентификации в банках с использованием дипфейков. Об этом сообщили в АРРФР в ответ на запрос LS.
Причиной, как правило, становилось несоблюдение финорганизациями требований законодательства. В АРРФР заверили, что эти случаи были единичными и происходили в течение последних трех лет.
В ведомстве отметили, что действующие правила биометрической аутентификации предусматривают ряд механизмов защиты от мошенничества с использованием ИИ. Эти требования распространяются в том числе на процессы заключения кредитных договоров в банках и микрофинансовых организациях.
В частности, при проверке клиента система должна в случайном порядке выдавать не менее трех различных команд, выполнение которых анализируется в режиме реального времени по видеопотоку. Такой механизм предназначен для предотвращения использования фотографий, заранее записанных видео и других способов подмены личности.
После трех неудачных попыток аутентификация признается непройденной. При этом текущее изображение клиента должно совпадать с эталонным не менее чем на 95%.
Кроме того, программное обеспечение должно контролировать собственную целостность, выявлять запуск в эмулируемой среде и защищать встроенную камеру устройства от подмены. Последний механизм необходим для предотвращения передачи сгенерированного ИИ-видео вместо изображения реального человека.
При этом каждая процедура аутентификации должна сопровождаться электронным документом с результатами проверки, ИИН клиента, сведениями о выполненных командах, а также датой и временем проведения процедуры. Документ подписывается ЭЦП провайдера и хранится в финорганизации.
Как часто обновляются биометрические данные
В АРРФР пояснили, что при дистанционном обслуживании изображение клиента сверяется с эталонным, содержащимся в государственных базах данных либо в базе верифицированных изображений провайдера биометрической аутентификации.
Эталонные данные в госбазе обновляются при получении или замене удостоверения личности либо паспорта.
Также изображения, прошедшие проверку с достоверностью не менее 95% и соответствием эталонному изображению не менее 95%, могут использоваться для наполнения национальной системы биометрической аутентификации.
В ведомстве подчеркнули, что финансовые организации несут ответственность за надежность используемых систем биометрической проверки.
При этом биометрические данные должны быть защищены от несанкционированного доступа, копирования и распространения. Информация хранится в зашифрованном виде не менее пяти лет, а все этапы ее обработки документируются.
Что делать при мошенничестве
Если клиент обнаружил компрометацию учетных данных в финорганизации, ему необходимо незамедлительно обратиться в эту организацию, подать заявление в полицию и направить обращение в АРРФР, приложив имеющиеся материалы.
В агентстве подчеркнули, что предусмотренные правила направлены на защиту от использования ИИ-дипфейков, однако ответственность за надежность применяемых систем аутентификации лежит непосредственно на финорганизациях.