Можно ли обмануть биометрию смартфона обычной фотографией или дипфейком? Руководитель мобильной разработки в Click Гусейн Джалилов объяснил, как искусственный интеллект распознает мошенников и защищает деньги узбекистанцев.
Каждое утро миллионов узбекистанцев начинается одинаково. Мы тянемся к заспанному смартфону, бросаем на него короткий взгляд, и устройство мгновенно снимает блокировку. Еще один клик – и мы переводим деньги за аренду, оплачиваем коммунальные услуги или отправляем «доляну» за вчерашний ужин в ресторане через платежное приложение.
Биометрия незаметно стала нашей главной финансовой подписью. Но как инженеру, который ежедневно работает с мобильной разработкой и искусственным интеллектом, мне регулярно приходится отвечать на один и тот же вопрос от друзей и знакомых: «Гусейн, если приложение открывается от одного взгляда, что мешает мошенникам распечатать мое фото из соцсетей на хорошем принтере, поднести к экрану и забрать все деньги?»
Вопрос абсолютно резонный. Переезд денег из кожаных портмоне на экраны гаджетов превратил наши смартфоны в главную мишень для преступников. Давайте разберем, как устроен этот цифровой маскарад и почему обычная фотография больше не имеет шансов против современных технологий защиты.
Почему карманники ушли в код
Физические карманники в Ташкенте практически исчезли как класс. Рисковать свободой ради кошелька с парой сотен тысяч сумов не имеет смысла, когда в кармане любого прохожего лежит смартфон, где сосредоточена вся его финансовая жизнь: от привязанных зарплатных карт до одобренных микрозаймов.
По данным аналитиков кибербезопасности, преступления, связанные с кражей цифровой личности, во всем мире растут более чем на 40% каждый год. Узбекистан здесь не исключение. Но если раньше мошенники полагались на банальный фишинг – присылали фейковые SMS-ссылки от имени почты или налоговой, чтобы выманить пароли, – то сегодня пользователи стали бдительнее, да и банки научились блокировать такие схемы.
Упершись в стену, злоумышленники сменили тактику. Им больше не нужны ваши PIN-коды, им нужно ваше лицо. Благо, в эпоху Instagram, TikTok и Telegram найти качественные медиафайлы любого человека можно буквально за пару минут.
Цифровой грим: на что способны дипфейки
По мере распространения биометрической аутентификации в финтехе и других цифровых сервисах мошенники все чаще применяют дипфейки (deepfakes) – реалистичные цифровые копии человеческого лица или голоса, созданные нейросетями. Чаще всего попытки обхода биометрических систем строятся по одному из трех сценариев:
Самый простой уровень это статичная фотоатака. Мошенник берет ваше публичное фото, распечатывает его или выводит на большой экран планшета, надеясь, что камера примет его за владельца.
Второй, более продвинутый уровень – атака повторным воспроизведением. Здесь в ход идет уже видеозапись (например, ваша «история» из соцсетей), где вы двигаетесь или разговариваете. Экран с этим видео подносится вплотную к объективу смартфона.
Наконец, самый опасный рубеж – синтетический дипфейк в реальном времени. Специальная программа генерирует трехмерную маску, которая полностью повторяет контуры вашего лица и может транслироваться через виртуальную камеру, имитируя живую мимику, моргание и движения губ.
Звучит как сценарий для фантастического триллера, но на каждое действие злоумышленников у инженеров безопасности есть противодействие.
Как ИИ проверяет вас на «живость»
Если бы камера смартфона просто сверяла геометрию лица с шаблоном в базе данных, любая качественная фотография взломала бы систему. Чтобы этого не происходило, разработчики используют технологию под названием Liveness Detection (детекция «живости»). Ее задача – понять, находится ли перед экраном настоящий, дышащий человек или подделка.
Как это работает на пальцах: Представьте строгого фейсконтрольщика на входе в банк. Обычная система просто смотрит на лицо и сверяет его с фото в паспорте. Система Liveness Detection действует иначе: она пристально наблюдает за посетителем, оценивает, как падает свет на его кожу, просит совершить неожиданное действие и проверяет, есть ли у него объем.
Исторически эта защита делится на два типа: активную и пассивную.
Активный Liveness — это интерактивный тест. Когда вы совершаете крупный перевод или заходите в приложение с нового устройства, система просит вас выполнить случайный набор команд: повернуться, моргнуть, улыбнуться или кивнуть. Так как сервер генерирует эти запросы случайно прямо в момент проверки, подсунуть заранее записанное видео невозможно — ролик просто не угадает, когда нужно моргнуть, а когда повернуться.
Но постоянные проверки утомляют, особенно если вы просто хотите проверить баланс в такси или метро. Поэтому ключевую роль играет пассивный Liveness, который работает незаметно для пользователя за доли секунды.
Пассивный искусственный интеллект анализирует микротекстуру изображения. Человеческая кожа, в отличие от бумаги или пластика, поглощает и отражает свет уникальным образом. ИИ мгновенно строит карту глубины кадра, понимая, что нос находится ближе к объективу, а уши дальше. Кроме того, нейросети обучены распознавать так называемый эффект муара – едва заметные искажения и микромерцания, которые неизбежно появляются, если переснимать видео с одного электронного экрана на другой. Наконец, система улавливает невидимые глазу микродвижения зрачков и микроизменения цвета кожи, вызванные пульсацией крови. Если этих биологических признаков нет, ИИ бьет тревогу.
Опыт изнутри
В сфере финтех-разработки безопасность и защита пользовательских данных давно перестали быть просто строчкой в коде. Основная сложность заключается в предотвращении любых мошеннических действий без создания избыточных барьеров для добросовестных клиентов. По этой причине многие компании не полагаются на изолированные инструменты верификации, а внедряет комплекс систем антифрода, который позволяет в режиме реального времени оценивать риски и гарантировать безопасность финансов каждого конкретного пользователя.
Внедренный комплекс антифрод-систем работает по принципу контекстной безопасности и анализирует транзакции динамически, подстраиваясь под повседневные сценарии поведения человека. Если клиент авторизуется со своего привычного смартфона в дневное время для быстрой проверки баланса или оплаты проезда, система пропускает операцию за доли секунды, обеспечивая максимальный комфорт. Однако при фиксации нетипичной активности, такой как попытка вывода крупной суммы с нового устройства в ночные часы на незнакомую карту, комплекс антифрода мгновенно задействует дополнительные факторы верификации и жесткие защитные тесты. Постоянное совершенствование алгоритмов и симуляция потенциальных угроз позволяют защитным системам развиваться быстрее мошеннических схем, обеспечивая круглосуточную сохранность сбережений.
В ближайшие годы война искусственных интеллектов выйдет на новый уровень. Мошенники научатся делать дипфейки еще дешевле и реалистичнее, поэтому индустрия безопасности уже сейчас внедряет поведенческую биометрию.
В скором времени платежные системы будут оценивать не только ваши анатомические особенности, но и ваши уникальные привычки взаимодействия со смартфоном. Нейросеть запоминает, под каким углом вы обычно держите гаджет, с какой скоростью скроллите экран, с каким ритмом набираете текст и в какие точки дисплея чаще всего нажимаете.
Даже если злоумышленник будущего создаст безупречный цифровой клон вашего лица, поведенческий ИИ мгновенно заметит, что устройство держат левой рукой вместо правой, а по экрану водят со слишком высокой скоростью. Доступ к кошельку будет заблокирован до выяснения обстоятельств.
Как не стать слабым звеном
Какими бы совершенными ни были алгоритмы Liveness Detection, главным барьером на пути преступников остается сам человек. Самая продвинутая система защиты окажется бесполезной, если пользователь под влиянием паники или манипуляций сам отдаст ключи от своих денег.
Чтобы не оставить мошенникам ни одного шанса, достаточно соблюдать четыре базовых правила цифровой гигиены.
- забудьте про «срочные» звонки в мессенджерах. Ни один официальный сотрудник банка или платежной системы не станет звонить вам в Telegram или WhatsApp с историями о «взломе счета». Если вас просят включить камеру, «посмотреть в экран для верификации» или продиктовать код из SMS – немедленно вешайте трубку.
- защитите саму SIM-карту. Обязательно установите PIN-код на физическую SIM-карту в настройках телефона. Если ваш гаджет украдут, злоумышленники не смогут переставить вашу карту в другой телефон, чтобы перехватить SMS-пароли от мобильных банков.
- не откладывайте обновления. Апдейты приложений выходят не ради изменения дизайна. В них разработчики регулярно закрывают свежие уязвимости и обновляют защитные алгоритмы против новых видов дипфейков.
- будьте аккуратнее с публичным контентом. Если вы управляете крупными финансовыми потоками или бизнесом, старайтесь не публиковать в открытом доступе длинные видеообращения в высоком разрешении, где вы смотрите прямо в камеру. Именно такие ролики мошенники используют как идеальный материал для обучения нейросетей и создания цифровых клонов.
Подводя итог, можно ли сегодня обмануть платежное приложение с помощью фотографии или видеозаписи вашего лица? Если это современный и технологичный продукт, использующий технологии ИИ для детекции живости — нет, нельзя. Искусственный интеллект в руках инженеров безопасности стал бдительным и круглосуточным стражем ваших сбережений. Наша задача — сделать так, чтобы вы не думали о киберугрозах, а просто наслаждались комфортом цифрового мира.
