В Госдуме решили проработать с Роскомнадзором введение нового регулирования для борьбы с мошенническими сайтами. Среди потенциальных методов рассматривается, например, требование к маркировке потенциально опасных ресурсов в браузерах. Такой механизм чреват злоупотреблениями, а выявить фальшивые сайты навскидку не всегда могут даже специалисты, предупреждают эксперты по кибербезопасности.
Фото: Олег Харсеев, Коммерсантъ
Фото: Олег Харсеев, Коммерсантъ
О проработке законодательного регулирования борьбы с фишинговыми (мошенническими) сайтами рассказал “Ъ” член комитета Госдумы по информационной политике Антон Горелкин. «В ближайшее время мы проведем консультации с Роскомнадзором для выборки наиболее эффективных механизмов»,— заявил он. В Роскомнадзоре отказались от комментариев.
В своем Telegram-канале господин Горелкин указал, что для борьбы с мошенническими сайтами может применяться специальная маркировка в браузере и виджет, который позволил бы пользователям жаловаться на подозрительные ресурсы.
Он также предложил введение классификатора сайтов на основе искусственного интеллекта, который бы предупреждал о возможном фишинге, обязательной модерации контента на сервисах бесплатного хостинга и верификации пользователей виртуальных номеров телефонов.
Проблема фишинга и мошеннических сайтов обострилась в 2020 году, когда были объявлены социальные выплаты для поддержки семей с детьми в период пандемии (“Ъ” писал об этом 14 мая), напоминает господин Горелкин. О росте интернет-мошенничества говорят и данные компаний: за девять месяцев 2020 года CERT-GIB обнаружила 14,8 тыс. фишинговых ресурсов против 14 тыс. за весь 2019 год. Заработок мошенников только от фейковых сайтов курьерской доставки в 2020 году составил более $6,2 млн, оценивали в Group-IB.
Эксперты в сфере кибербезопасности считают потенциально полезными часть предлагаемых мер.
Верификация виртуальных номеров телефона может усложнить регистрацию новых фейковых ресурсов, но в первую очередь будет мешать еще и телефонным мошенникам, рассуждает директор блока экспертных сервисов Bi.Zone (принадлежит Сбербанку) Евгений Волошин. Дополнительную верификацию было бы полезно ввести и при регистрации доменов, похожих на сайты брендов или госорганизаций, полагает начальник отдела информационной безопасности «СёрчИнформ» Алексей Дрозд.
Инструменты же, подобные предложенному виджету для маркировки подозрительных сайтов, уже есть, они реализуются энтузиастами и коммерческими компаниями, отмечает господин Дрозд. Однако такой механизм, по его мнению, чреват недобросовестной конкуренцией, поэтому потребуется процедура оценки обоснованности жалоб на фишинг.
Строить рейтинг ресурсов, основываясь исключительно на пользовательских отзывах, ненадежно — нет гарантий, что мошенники не начнут пользоваться этой возможностью, согласен советник гендиректора Национальной инжиниринговой корпорации Игорь Бедеров.
Но построить «скоринговую модель» для сайтов возможно, указывает он, предлагая включить в число дополнительных требований к сайтам, обрабатывающим персональные данные россиян, наличие шифрования, политики обработки данных и отсутствие вредоносных скриптов или кодов.
Опасения разделяют и другие эксперты. Выявить фишинговый сайт не сможет случайный пользователь, настаивает ведущий аналитик Infosecurity a Softline Company Александр Вураско. «Даже мне, человеку, который занимается этим на постоянной основе, иногда бывает сложно навскидку сказать, является ли сайт фишинговым»,— подчеркивает он. По его мнению, наиболее эффективный метод борьбы с фишингом — раннее обнаружение таких сайтов специалистами и их блокировка регистраторами доменов и хостинг-провайдерами. Также, указывает он, важно устанавливать лиц, которые стоят за фишинговыми сайтами: как правило, подобные преступные группы стоят сразу за десятками, а то и сотнями ресурсов.