Форум "Цифровые решения", где я участвую в 3-х дискуссиях, подбрасывает различные новостные события, которые я не могу оставить без внимания. Например, история с красной кнопкой на портале Госуслуг, которая является инструментом экстренного оповещения о возможном мошенничестве. Идея полезная и в целом реализуемая, но... куда уж без этого "но"... ее качество определят не только скорость реакции и порядок снятия ограничений, но и ряд психологических моментов. Причем зеленая кнопка с точки зрения безопасности даже сложнее красной.
Что хорошего в этой истории:
6️⃣ Одно обращение вместо обзвона нескольких организаций. В состоянии паники человеку трудно одновременно связываться с банками, оператором и полицией. Единый сигнал сокращает эту нагрузку.
2️⃣ Возможность прервать атаку сразу в нескольких местах. Мошенничество может включать захват мобильного номера, восстановление доступа, оформление кредита и перевод денег. Общий сигнал позволяет участникам реагировать согласованно.
3️⃣ Не требуется сначала доказать преступление. Возможность сообщить о подозрении полезна – пока человек собирает доказательства, деньги могут уйти.
4️⃣ Появляется точка отсчета для разбора действий организаций. Если время сигнала и реакции фиксируется, можно установить, кто получил предупреждение и что сделал после него.
Но есть и то, что вызывает вопросы с точки зрения возможной реализации:
6️⃣ Если пользователь нажал кнопку, а банк получил сообщение через несколько минут и затем поставил его в очередь на проверку, практическая польза резко падает. Нужен регламент с измеримым временем доставки и реакции с ответственностью за нарушение этих сроков.
2️⃣ Госуслуги сами могут оказаться недоступными, телефон – потерян, а доступ в Интернет – отсутствовать (кто сказал "блокировки"). Поэтому необходимы альтернативные способы подать тот же сигнал: через банк или оператора связи. Иначе средство помощи зависит от доступности того, что уже могло быть скомпрометировано.
3️⃣ Остановить подозрительный перевод разумно. Лишить человека возможности купить продукты, получить деньги или связаться с банком – уже дополнительный ущерб. Особенно неоднозначна звучащая формулировка об ограничении звонков. Какие именно звонки ограничиваются и как сохраняется связь с поддержкой и близкими? И когда звонки разблокируются (есть ли SLA и регламент?)? Должны быть введены ограничения по типам операций, чтобы защита не останавливала все необходимые человеку услуги.
4️⃣ Не станет ли зеленая кнопка частью мошеннического сценария? Мошенник может сказать: "Вы случайно включили ограничения, нажмите зеленую кнопку, чтобы завершить защиту". Если он контролирует учетную запись, то может попробовать снять защиту самостоятельно. Включать экстренную защиту должно быть проще, чем отключать ее
. Но одного дополнительного SMS недостаточно, если номер или сам человек уже находятся под контролем мошенника – нужен отдельный процесс проверки и восстановления доступа.
5️⃣ Нужно различать ограничения, введенные по сигналу пользователя, и ограничения, которые, например, банк установил по собственным основаниям. Отмена пользовательской тревоги по зеленой кнопке не должна автоматически означать, что подозрительная операция стала безопасной.
6️⃣ Возможен сценарий, когда портал доставил сигнал, банк счел его недостаточным, оператор ничего подозрительного не увидел, деньги ушли. Без четких и публичных обязанностей участников получится единая кнопка с туманной ответственностью.
7️⃣ Инициатива предполагает, что человек уже распознал мошенничество и способен самостоятельно прервать его, но именно эти способности мошенники и подавляют. Жертва не считает себя жертвой
. Она "спасает деньги", "помогает следствию", "защищает Госуслуги". В ее картине мира мошенник – помощник, а предупреждения банка – помеха или часть угрозы. Поэтому предложение нажать кнопку "подозреваю мошенничество" просто не соответствует тому, что жертва думает о происходящем. Как предлагают бороться с ситуацией, когда мошенники просто встраивают сервис в свой сценарий: "Нажмите красную кнопку, чтобы защитить счета. Теперь зеленую – мы устранили угрозу"? Нажатие кнопок само по себе не свидетельствует о самостоятельном решении человека.
8️⃣ Нажать кнопку – слишком сложное действие в момент давления. На практике человеку нужно перестать слушать указания мошенника, вспомнить о сервисе и найти его, войти, пройти MFA и разобраться с интерфейсом, решиться на действие, последствия которого он может не понимать. Для испуганного человека, особенно с невысокой цифровой грамотностью, это серьезная нагрузка. А мошенник может запрещать переключаться, торопить или пугать последствиями завершения разговора.
9️⃣ Чтобы защищать человека во время манипуляции, нужны механизмы, которые не требуют от жертвы сначала распознать обман – пауза перед рискованной операцией, проверка со стороны банка по независимому каналу, заранее подключенное подтверждение доверенным лицом или возможность подать тревогу через банк или оператора.
И в любом случае – "красная кнопка" – это инициатива, опять направленная на борьбу с "КАК", чего, как я вчера
написал, явно недостаточно 🤔
#мошенничество
