Россиян могут обязать подтверждать действия в интернете через Max или SMS
Инициатива Минцифры вызывает споры в IT-секторе
Минцифры РФ предлагает в третьем пакете антифрод-мер установить на уровне закона подтверждение «значимых действий» в интернете через мессенджер Max или SMS. Об этом сообщило издание Forbes, хотя в Минцифры отрицают, что подобные меры рассматриваются. 
Что может подразумеваться под «значимыми действиями»
Суть предложения проста на бумаге, но сложна на практике. Проблема в том, что само понятие «значимые действия» пока размыто. В обсуждениях фигурирует широкий диапазон сценариев — от финансовых операций до активности на маркетплейсах и в онлайн-сервисах. По сути, граница между «обычным действием» и «подтверждаемым» пока не определена.
По словам Минцифры, все инициативы разрабатываются с учётом баланса безопасности и прав пользователей. Они направлены на усиление защиты граждан от мошенников в интернет-среде. Третий пакет мер по борьбе с кибермошенничеством сейчас согласовывается с заинтересованными ведомствами и отраслью.
Критика со стороны экспертов и бизнеса
Реакция рынка предсказуево прохладная. Главная претензия — к самим способам подтверждения. SMS давно считают слабым звеном в безопасности: сообщения можно перехватывать, подменять и использовать в атаках. К мессенджеру Max вопросов у экспертов еще больше — от непрозрачной архитектуры до отсутствия статуса универсального стандарта. 
Есть и более приземленный аргумент: деньги. Банкам и сервисам придется перестраивать инфраструктуру подтверждений и оплачивать массовые отправки сообщений. В итоге эти расходы, как обычно, могут перекочевать в стоимость услуг для пользователей. При этом многие компании уже используют более современные схемы защиты — push-уведомления, одноразовые коды, поведенческий анализ и риск-скоринг операций.
Часть экспертов опасается, что новая модель может не усилить, а наоборот упростить атаку на пользователей, если ограничит выбор инструментов безопасности.
Повторение уже обсуждавшейся идеи
Интересно, что эта идея уже появлялась раньше — в рамках второго пакета антифрод-мер. Тогда от нее отказались после критики со стороны бизнеса. По данным Forbes, эта мера уже обсуждалась ранее, но не вошла в финальную версию второго пакета антимошеннических поправок. Возможно, против такой идеи выступали все компании, кроме VK и операторов связи.
Первый замглавы ИТ-комитета Госдумы Антон Горелкин заявил, что сообщения СМИ о возможном включении в третий пакет антифрод-мер требования об обязательном подтверждении значимых действий через «Макс» — это искусственное создание негативного фона вокруг национального мессенджера. 
«Я не думаю, что это случится. И мои собеседники в индустрии тоже говорят, что сделать МАКС обязательным компонентом двухфакторной аутентификации для всех российских цифровых платформ – не очень удастаточная идея», — рассказал депутат. Однако он предположил, что «слухи подогреваются тем фактом», что в нацмессенджере есть бот с кодами подтверждения.
Поиск баланса между безопасностью и выбором пользователей
Основная дискуссия идет вокруг того, чтобы предоставить пользователям выбор между SMS и «Максом», а не обязывать использовать оба метода сразу. Каждый пользователь должен иметь право выбирать, как та или иная платформа будет запрашивать код доступа: через SMS, через национальный (или любой другой) мессенджер, через push-уведомление или приложение для генерации TOTP.
Формально речь идет о борьбе с мошенниками. Фактически — о том, кто будет контролировать «точку подтверждения» в цифровой жизни пользователя: сами сервисы с их системами безопасности или единый обязательный канал, навязанный сверху. И именно в этом споре сейчас снова пытаются найти баланс. Пока без финального решения.