Госдума и Роскомнадзор решили бороться с кибермошенникам на регуляторном уровне. Основные меры направлены на выявление фишинговых сайтов, которые создают и используют кибермошенники, чтобы выманивать у пользователей данные от онлайн-банкинга и других аккаунтов.
Масштабы проблемы
По данным компании CERT-GIB, в 2019 году число фишинговых ресурсов достигло 14 тыс. В 2020 году только за первые девять месяцев было обнаружено 14,8 тыс таких сайтов, и их число стабильно растет. От поддельных порталов курьерской доставки мошенники с начала года получили 6,2 млн рублей дохода, заявили в Group-IB.
Карантинные ограничения увеличили объемы онлайн-заказов – от доставки еды из ресторанов, продуктов из супермаркетов до одежды и техники. Такие сайты стали чаще подделывать. Кроме того, появились ресурсы, которые предлагали материальную помощь мелкому бизнесу, потребительские кредиты и займы – а на самом деле выманивали данные и средства пользователей.
Член комитета Госдумы по информационной политике Антон Горелкин также обратил внимание читателей своего Telegram-канала, что мошенники активизировались после старта социальных выплат для поддержки семей с детьми в период пандемии, и сделал репост материала о работе таких схем. Значительная часть пользователей не сможет отличить настоящий ресурс от фишингового. Если бы ИТ-гиганты занялись вопросом, масштабы мошенничества сократились бы в разы, считает Горелкин.
Меры безопасности
Над списком мер, которые помогут бороться с фишингом, будет работать Госдума. Потенциально опасные сайты предлагают маркировать – снабжать специальной меткой в браузере и выводить виджет, через который пользователь сможет пожаловаться на ресурс.
Решать, фишинговый сайт или нет, «поручат» искусственному интеллекту. Кроме того, планируется ввести обязательную верификацию пользователей виртуальных номеров телефонов и обязательную модерацию контента на бесплатных хостингах.
Депутаты планируют провести консультации с Роскомнадзором. Стороны намерены выработать эффективный механизм и закрепить его в законодательстве.
Мнения рынка
Эксперты по кибербезопасности считают, что озвученные меры не принесут ожидаемых результатов. Даже специалисты порой не могут отличить поддельный сайт от настоящего без глубокого анализа. Быстро разработанное «с нуля» ПО будет часто ошибаться.
Евгений Волошин, директор блока экспертных сервисов Сбербанка Bi.Zone, отметил, что верификация пользователей виртуальных номеров действительно усложнит регистрацию фишинговых сайтов, а также помешает телефонным мошенникам.
Алексей Дрозд, глава отдела информационной безопасности «СерчИнформ», добавил: при регистрации доменов, похожих на сайты госорганизаций или брендов, стоило бы ввести верификацию. Также он отметил, что энтузиасты и коммерческие компании уже запустили массу инструментов, которые вычисляют фишинг. Но если аналогичные меры ввести на государственном уровне, может возникнуть недобросовестная конкуренция. Поэтому нужна процедура оценки жалоб на фишинг и проверка их обоснованности.
Советник главы Национальной инжиниринговой корпорации Игорь Бедеров считает, что в целом скоринговую модель для сайтом построить можно. Также стоит усилить требования к ресурсам, которые обрабатывают персональные данные: отсутствие вредоносного кода, наличие шифрования и др.
Оценивать же порталы, отталкиваясь только от отзывов пользователей, ненадежно. Создатели таких ресурсов смогут сами написать нужное количество отзывов и обойти систему.
Ведущий аналитик Infosecurity a Softline Company Александр Вураско добавил, что блокировать ресурсы стоит на уровне хостинг-провайдеров и регистраторов доменов. Нужно также устанавливать людей, которые стоят за ресурсами.