Центральный банк Объединённых Арабских Эмиратов (далее — ЦБОАЭ) обязал лицензированные банки возмещать клиентам финансовые потери, возникшие вследствие мошенничества с одноразовыми паролями, передаваемыми по SMS (OTP). Об этом сообщает издание UAE Banking & AML News. Выпущенные указания устанавливают институциональную ответственность банков в тех случаях, когда уязвимости в SMS-аутентификации позволили провести несанкционированную транзакцию.
В соответствии с позицией регулятора банки обязаны принимать на себя бремя убытков, если перехват или подмена одноразового SMS-пароля открыли злоумышленникам возможность совершить мошенническую операцию. ЦБОАЭ исходит из того, что SMS OTP является инструментом аутентификации, который банк самостоятельно выбирает и эксплуатирует, — а значит, недостатки и уязвимости этого инструмента не должны перекладывать финансовый риск на рядового клиента. Кроме того, из опубликованных материалов следует, что банки, использующие SMS OTP в качестве единственного способа подтверждения операций, могут столкнуться с повышенным объёмом обязательств по возмещению ущерба.
Выпущенные указания имеют практические последствия для подразделений по противодействию мошенничеству, процедур урегулирования клиентских претензий, а также инфраструктуры аутентификации. Банкам, вероятно, потребуется провести аудит действующих механизмов доставки одноразовых паролей, оценить достаточность дополнительных защитных мер и пересмотреть внутренние политики рассмотрения жалоб, связанных с атаками методами социальной инженерии и подменой SIM-карты (SIM-swap) — наиболее распространёнными векторами мошенничества с использованием SMS OTP.
Точная дата вступления указаний в силу в опубликованных материалах не подтверждена. Банкам, деятельность которых регулируется ЦБОАЭ, рекомендуется отслеживать официальный информационный портал регулятора для получения сведений о публикации формального циркуляра и сроках его имплементации.
Оригинальный пресс-релиз: UAE Banking & AML News ↗
Это редакционное изложение. По применению к вашей ситуации — свяжитесь с Consorata или запишитесь на 30-минутную консультацию.