Мошенники в Казахстане научились обходить биометрическую проверку банков и микрофинансовых организаций с помощью дипфейков. Под угрозой оказались клиенты, на которых оформляют кредиты без их ведома, а ответственность за ненадёжную защиту ложится на сами финансовые организации.
Регулятор финансового рынка зафиксировал подобные инциденты на протяжении последних трёх лет. Требования к биометрической верификации распространяются в том числе на заключение кредитных договоров в банках и МФО — и именно на этом этапе злоумышленники находят бреши в защите.
Как устроена защита от дипфейков
Согласно установленным правилам, система биометрии должна в случайном порядке выдавать клиенту не менее трёх различных команд и анализировать их выполнение по видео в реальном времени. Это позволяет отсекать заранее записанные ролики, статичные фотографии и другие способы подмены личности.
Аутентификация признаётся непройденной после трёх неудачных попыток, а изображение клиента должно совпадать с эталонным минимум на 95%. Программа проверки обязана контролировать собственную целостность, распознавать запуск в эмуляторе и защищать камеру устройства от подмены. Именно защита камеры не позволяет мошенникам передать сгенерированное ИИ-видео вместо изображения реального человека.
Каждая процедура сопровождается электронным документом с результатами проверки, ИИН клиента, перечнем выполненных команд, датой и временем. Документ заверяется ЭЦП провайдера и хранится в финансовой организации. Изображение клиента при удалённом обслуживании сверяется с эталоном из государственных баз либо из базы проверенных снимков провайдера.
Биометрические данные должны быть защищены от постороннего доступа, копирования и распространения и храниться в зашифрованном виде не менее пяти лет. Если учётные данные оказались у посторонних, клиенту рекомендуют незамедлительно обратиться в финансовую организацию, подать заявление в полицию и направить обращение регулятору с имеющимися материалами.
Казахстан усиливает контроль в финансах
Биометрия защищает кредиторов от поддельных клиентов, а для добросовестных заёмщиков появляется дополнительный фильтр: с 2027 года крупные компании будут проходить ESG-проверку перед получением кредита. От итогов оценки экологических и социальных рисков будет зависеть доступ бизнеса к финансированию.
Та же логика автоматической проверки переносится и на государственные деньги: нейросеть будет искать необоснованные траты в бюджете, а четыре ключевые финансовые системы страны объединят в единую экосистему. Система Smart Data Finance уже сверяет данные из 80 источников и выявляет расхождения между официальными доходами граждан и их имуществом.
Анализ Cryptalist: Кейс демонстрирует системную уязвимость биометрической верификации перед генеративным ИИ — статическая проверка «живости» больше не является надёжным барьером. Для рынка это сигнал к переходу на многофакторные и поведенческие модели аутентификации, а также к перераспределению ответственности за мошеннические кредиты в сторону финансовых организаций. Инвесторам и финтех-компаниям стоит рассматривать решения в сфере anti-deepfake и цифровой идентификации как один из наиболее востребованных сегментов ближайших лет.