Обновлено в 15:45

В мессенджере Max могут появиться уведомления от банков. Сейчас Минцифры обсуждает такую инициативу, сообщил газете «Коммерсантъ» источник в отрасли. Идею могут внести во второй пакет антифрод-законов.

Функцию планируют запустить до конца года, но пока не в полноценном формате, потому что у мессенджера нет прямой и безопасной связи с банками. Разработчик мессенджера VK обсуждал инициативу с отраслью, но пока стороны не договорились. Ни мессенджер, ни мобильные операторы ситуацию не комментируют.

По оценке экспертов, переход на пуш-уведомления вместо СМС-сообщений привел к ежегодным потерям операторов связи на сумму 15-20 млрд рублей, и они бы не хотели терять еще и сообщения от банков. С другой стороны, банки уже начали тестировать рассылку уведомлений в своих приложениях и в том же VK.

Инициативу комментирует эксперт по информационной безопасности, гендиректор Phishman Алексей Горелкин:

Алексей Горелкин эксперт по информационной безопасности, гендиректор Phishman «СМС-сообщения не являются чем-то конфиденциальным, их несложно перехватывать с помощью атак. Если упростить, операторы связи друг другу очень сильно доверяют, поэтому, если злоумышленник попадает в среду операторов, он может перехватить СМС-сообщения, даже звонки. Поэтому, пока у нас не будет 5G, мы будем перед такими атаками очень уязвимы. Если мы сейчас говорим про историю в целом с Max, хорошо, что мы переходим от СМС-сообщений к чему-то другому, но при этом мы не можем быть абсолютно уверены в том, что не складываем все яйца в одну корзину. То есть в целом, конечно, когда у вас один мессенджер используется для всего — и для авторизации, и для банковских сообщений, — это не очень хорошо, потому что злоумышленник, получив доступ к данному мессенджеру, получает все. Это плохо. При этом, если мы нормально обеспечим безопасность, это может усложнить жизнь злоумышленникам. Стоит заметить отдельно, что СМС-сообщения стоят денег, и экономически это для банков невыгодно. Переход в целом на Max для уведомлений — это неплохая история, но я также понимаю, что банки оставят свои приложения в том числе для уведомлений, — мы это видели, что банки в последнее время используют чаще пуш-уведомления, не СМС. Те же самые коды приходят в таком формате, что дешевле для банка, при этом обеспечивает достаточную безопасность».

Практика собирания в одном мессенджере доступа ко всем ресурсам — «Госуслугам», домовым чатам, больницам, школам, вузам и так далее — чревата тем, что мошенники получат удобную мишень для атак, поэтому уровень безопасности должен быть соответствующим, говорит ведущий аналитик Mobile Research Group Эльдар Муртазин:

Эльдар Муртазин ведущий аналитик Mobile Research Group «Перевод банковских сервисных сообщений в национальный мессенджер — это очень плохая идея. Это может быть один из способов получения информации, но надо понимать, что Max не является системным приложением ни на одной платформе сегодня, ни на Android, ни на iOs. Соответственно, пуш-сообщения, которые получает этот мессенджер, могут быть заблокированы со стороны держателей платформ. При этом смс — это международный стандарт, гарантированная доставка. У операторов есть договор с каждым абонентом, и в рамках этого договора каждая сторона имеет определенные обязанности. При отключениях мобильного интернета смс-сообщения все равно работают. Если же говорить про Max, несмотря на то, что он входит в белые списки, он может не работать, это не гарантированная доставка. Для банковских услуг это достаточно критично, поэтому я не думаю, что будет замена и отказ от смс. Сегодня у нас есть пуш-сообщения в приложениях банков, можно их задублировать в Max, но вещь это странная по одной простой причине: пуш-сообщения в приложение банка бесплатны для банка, в Max за него нужно будет платить. Да, эта цена будет значительно ниже, чем цена за смс, но это не гарантированная доставка. Другой момент, что регулирование компании ООО «Коммуникационная платформа» — разработчика Max выглядит сегодня странным. То есть там нет обременения, которое связано с банковской тайной, с другими вещами, с законом о связи, то есть, по сути, никто ни за что не отвечает. Если произойдет массовая утечка тех же кодов, никто за это ответственности какой-то серьезной нести не будет, в отличие от тех же операторов банков и так далее. Поэтому говорить о том, что идея перевода даже частично авторизационных кодов туда имеет под собой какой-то смысл, наверное, нельзя. Мне кажется, что на сегодняшний день мы имеем ситуацию, когда Max пытаются продвинуть любыми способами, закрывая глаза на информационную безопасность. Класть все яйца в одну корзину точно нельзя».

В декабре пользователи смартфонов потеряли возможность заходить в «Госуслуги» по СМС-подтверждению. Осталась авторизация через мессенджер Max, биометрию и через одноразовый пароль в стороннем приложении. Ранее в Max перенесли домовые чаты, а Минцифры также рекомендовало госорганам перейти в новый мессенджер.