Минцифры РФ якобы готовит требование подтверждать значимые онлайн-действия только через СМС или мессенджер Max. Бизнес уже встал на дыбы, а само ведомство отрицает даже факт обсуждения.
Что предлагают и почему это спорно
По имеющимся данным, инициатива должна войти в третий пакет антифрод-мер. Суть простая: любое «значимое действие» в сети - будь то вход в аккаунт, перевод денег или смена пароля - нужно подтверждать либо по СМС, либо через Max, дочерний продукт VK. Все остальные методы - push-уведомления, TOTP-коды, внутренние подтверждения в приложениях - фактически вылетают за борт.
Проблема не только в этом. Никто толком не знает, что именно считать «значимым действием». Трактовка может оказаться сколь угодно широкой. Бизнес это пугает сильнее всего.
Кто против и почему инициатива буксует
Показательно, что эту же меру уже отсекали при формировании второго антифрод-пакета. Тогда против выступил практически весь рынок - за исключением VK и операторов связи, которым новое требование сулит прямую выгоду: первым - трафик в собственном мессенджере, вторым - дополнительные доходы от СМС-рассылок.
Крупные игроки рынка занимают однозначную позицию. Wildberries & Russ называют инициативу избыточной: на их платформах уже работает многоуровневая защита с анализом рисков и гибкими сценариями подтверждения. В компании прямо говорят: обязательное СМС или Max не повысит безопасность пропорционально затратам, зато издержки в итоге лягут на покупателей через рост цен.
Ассоциация компаний интернет-торговли тоже не в восторге. Даже если оставить выбор между двумя каналами - СМС или Max - проблему это не закроет.
Технические возражения и политический контекст
Эксперты по цифровой безопасности указывают на открытый стандарт TOTP (RFC 6238) - он не привязан ни к одному вендору, широко распространён и хорошо изучен. Max на его фоне выглядит сомнительной альтернативой: код приложения закрыт, аудита нет, а push-уведомления на устройствах Apple работают нестабильно.
Первый замглавы IT-комитета Госдумы Антон Горелкин назвал нагнетание вокруг темы искусственным и заверил: обязательный Max как единственный способ двухфакторки не случится. По его словам, индустрия считает подобную идею неудачной, и предпосылок для её реализации нет.
Сам Минцифры открещивается от инициативы. В ведомстве говорят, что третий пакет мер пока согласовывается с отраслью, а все решения принимаются с учётом баланса между безопасностью и удобством пользователей.
Что в итоге
История показательна сама по себе. Инициатива, которую отклонили однажды, снова всплыла на поверхности - и снова вызвала резкое отторжение рынка. Ключевой вопрос здесь не технический, а про логику регулирования: кто выбирает инструмент защиты - сервис, пользователь или государство?
- СМС и мессенджер Max как предлагаемые обязательные каналы подтверждения
- Push-уведомления и TOTP-коды могут быть вытеснены с рынка
- Дополнительные расходы бизнеса неизбежно отразятся на ценах
- Инициатива уже проваливалась на этапе второго антифрод-пакета
- Минцифры отрицает факт рассмотрения меры
