Шахраї в Казахстані навчилися обходити біометричну перевірку банків і мікрофінансових організацій за допомогою дипфейків. Під загрозою опинилися клієнти, на яких оформлюють кредити без їхнього відома, а відповідальність за ненадійний захист лягає на самі фінансові організації.
Регулятор фінансового ринку зафіксував подібні інциденти протягом останніх трьох років. Вимоги до біометричної верифікації поширюються зокрема на укладення кредитних договорів у банках і МФО — і саме на цьому етапі зловмисники знаходять прогалини в захисті.
Як влаштований захист від дипфейків
Згідно з встановленими правилами, система біометрії повинна у випадковому порядку видавати клієнту не менше трьох різних команд і аналізувати їх виконання за відео в реальному часі. Це дозволяє відсікати заздалегідь записані ролики, статичні фотографії та інші способи підміни особистості.
Аутентифікація визнається не пройденою після трьох невдалих спроб, а зображення клієнта має збігатися з еталонним мінімум на 95%. Програма перевірки зобов'язана контролювати власну цілісність, розпізнавати запуск в емуляторі та захищати камеру пристрою від підміни. Саме захист камери не дозволяє шахраям передати згенероване ШІ-відео замість зображення реальної людини.
Кожна процедура супроводжується електронним документом з результатами перевірки, ІПН клієнта, переліком виконаних команд, датою та часом. Документ засвідчується ЕЦП провайдера і зберігається у фінансовій організації. Зображення клієнта під час дистанційного обслуговування звіряється з еталоном з державних баз або з бази перевірених знімків провайдера.
Біометричні дані повинні бути захищені від стороннього доступу, копіювання та розповсюдження і зберігатися в зашифрованому вигляді не менше п'яти років. Якщо облікові дані опинилися у сторонніх осіб, клієнту рекомендують негайно звернутися до фінансової організації, подати заяву до поліції та надіслати звернення регулятору з наявними матеріалами.
Казахстан посилює контроль у фінансах
Біометрія захищає кредиторів від підроблених клієнтів, а для добросовісних позичальників з'являється додатковий фільтр: з 2027 року великі компанії проходитимуть ESG-перевірку перед отриманням кредиту. Від підсумків оцінки екологічних і соціальних ризиків залежатиме доступ бізнесу до фінансування.
Та сама логіка автоматичної перевірки переноситься і на державні гроші: нейромережа шукатиме необґрунтовані витрати в бюджеті, а чотири ключові фінансові системи країни об'єднають в єдину екосистему. Система Smart Data Finance вже звіряє дані з 80 джерел і виявляє розбіжності між офіційними доходами громадян та їхнім майном.
Аналіз Cryptalist: Кейс демонструє системну вразливість біометричної верифікації перед генеративним ШІ — статична перевірка «живості» більше не є надійним бар'єром. Для ринку це сигнал до переходу на багатофакторні та поведінкові моделі аутентифікації, а також до перерозподілу відповідальності за шахрайські кредити в бік фінансових організацій. Інвесторам і фінтех-компаніям варто розглядати рішення у сфері anti-deepfake та цифрової ідентифікації як один із найбільш затребуваних сегментів найближчих років.