МВД предупреждает о рисках Face ID для банковских приложений

Министерство внутренних дел Российской Федерации выпустило официальные рекомендации для граждан, призывающие отказаться от использования функции Face ID (идентификации по лицу) для авторизации в мобильных приложениях банков и других финансовых организаций. Данная позиция сформулирована экспертами ведомства в целях повышения уровня защищенности личных средств и данных граждан от новых видов киберугроз.

В заявлении, распространенном 6 декабря 2025 года, подчеркивается, что современные технологии, несмотря на их удобство, могут быть уязвимы перед методами социальной инженерии и техническими средствами мошенников, которые активно развиваются. Ведомство ссылается на анализ инцидентов, связанных с несанкционированным доступом к счетам, где в ряде случаев была скомпрометирована именно биометрическая система разблокировки.

Рекомендация не является запретом, но представляет собой серьезное предупреждение, основанное на оперативных данных правоохранительных органов, занимающихся борьбой с киберпреступностью в финансовой сфере.

Специалисты МВД детализируют потенциальные риски, связанные с использованием Face ID. Во-первых, существует метод так называемой «атаки с использованием фото или видео». Современные экраны мобильных устройств и технологии печати могут создавать изображения достаточно высокого качества, чтобы обмануть некоторые системы распознавания, особенно в условиях недостаточного освещения или при спешке пользователя. Во-вторых, более опасным и сложным методом является использование 3D-масок или глубоких видеоподделок (deepfake), которые могут симулировать мимику и движения лица владельца устройства. Хотя такие атаки требуют высокой подготовки, их вероятность растет вместе с доступностью соответствующих технологий. В-третьих, ключевой риск заключается в самой модели безопасности: разблокировка устройства по лицу часто происходит неявно для пользователя. Мошенник, получивший физический доступ к телефону (например, усыпив или отвлекшему владельцу), может просто направить камеру на его лицо и получить доступ ко всем приложениям, включая банковские, без необходимости вводить дополнительные коды. PIN-код или пароль, в отличие от биометрии, являются знанием, а не атрибутом, который можно подсмотреть или скопировать без ведома человека.

Отдельный блок рекомендаций МВД касается правовых последствий компрометации биометрических данных. В случае несанкционированной транзакции, совершенной с использованием корректной биометрической идентификации (отпечатка пальца или скана лица), доказывание факта мошенничества со стороны владельца счета может быть существенно усложнено. Банк и платежные системы могут рассматривать успешную биометрическую аутентификацию как неоспоримое доказательство того, что операцию инициировал сам клиент, поскольку биометрические данные считаются уникальными и принадлежащими только ему. Это создает серьезные процессуальные барьеры для восстановления справедливости и возврата похищенных средств. Ведомство напоминает, что пароль или PIN-код, известный только владельцу, обеспечивают более четкую правовую позицию в спорной ситуации. Гражданин может аргументированно заявлять, что секретные сведения были похищены или получены обманным путем, в то время как доказать, что мошенник скопировал именно биометрию, — задача гораздо более сложная и требующая специальной экспертизы.

МВД не ограничивается предупреждением о рисках, но и предлагает конкретные, более безопасные альтернативы. Основной рекомендацией является переход на использование надежного, уникального и длинного пароля (сложного PIN-кода) для входа непосредственно в каждое банковское приложение, даже если телефон разблокирован. Идеальной практикой считается двухфакторная аутентификация, где первым фактором является пароль к приложению, а вторым — одноразовый код из SMS или из отдельного приложения-аутентификатора. Также ведомство советует регулярно проверять настройки безопасности в банковских приложениях, отключая автоплатежи и быстрые платежи для нетипичных операций, и устанавливать лимиты на ежедневные переводы. Для разблокировки самого смартфона, если альтернативы биометрии нет, рекомендуется использовать не Face ID, а сканер отпечатков пальцев, но также с пониманием связанных с этим рисков. При этом самым надежным методом для разблокировки устройства остается традиционный цифровой или графический ключ достаточной сложности. Важно, что данные рекомендации согласуются с ранее озвученными позициями Центрального банка Российской Федерации, который также акцентирует внимание на необходимости приоритета парольной защиты для критически важных финансовых операций.

Ожидается, что рекомендации МВД будут направлены в кредитные организации для сведения и возможного изменения пользовательских соглашений. Банковское сообщество, согласно предыдущим практикам, как правило, следует подобным указаниям регуляторов в сфере безопасности. Возможно обновление интерфейсов мобильных приложений, в которых при первом входе или в настройках безопасности будет более явно указана информация о рисках использования Face ID и предложены альтернативные методы. В долгосрочной перспективе данный шаг может стимулировать развитие более защищенных методов биометрической аутентификации, например, с обязательным активным действием пользователя (миганием или поворотом головы по команде) или с использованием дополнительных датчиков (сканирование вен ладони, анализ сетчатки глаза). На сегодняшний день, 6 декабря 2025 года, рекомендация носит добровольный характер, но подчеркивает растущую озабоченность государства безопасностью цифровых финансовых сервисов и персональных данных граждан в условиях эскалации киберугроз. Следование этим простым советам может стать существенным барьером на пути злоумышленников и помочь сохранить сбережения.