В одной из типичных ситуаций сотрудники банков при сбросе пароля фактически нарушают стандарты безопасности, даже не осознавая этого. Технически весь процесс сброса может быть выстроен по всем правилам: идентификация клиента по паспорту, аутентификация сотрудника, регистрация инцидента, генерация сложного временного пароля — всё под контролем. Однако в финальной точке цепочки происходит сбой: сотрудник вслух диктует временный пароль клиенту прямо в зале, где их могут слышать посторонние. Эта практика стала нормой — и проблема не в технологиях, а в профессиональной культуре и организации рабочих процессов.
Что происходит после сброса пароля в отделении
В стандартной российской банковской практике клиент, который забыл пароль к интернет-банку, должен явиться лично в отделение. После подтверждения личности сотрудники обязаны провести процедуру сброса пароля и выдать новый временный пароль — обычно сильный, сложный, с учётом требований ФСТЭК и 152-ФЗ.
Технический процесс защищён: внутренние каналы не выходят в открытые сети, все действия логируются, используются многофакторные механизмы доступа. Новые пароли автоматически генерируются по сложным шаблонам, чтобы минимизировать вероятность перебора или угадывания. Уязвимость появляется только в момент передачи этого пароля клиенту.
Далеко не всегда используется защищённая передача — чаще всего временный пароль диктуют вслух. Оператор вслух называет случайную последовательность символов, а клиент тут же вбивает её в свой телефон или записывает в блокнот. Иногда ему выдают бумажку, которую потом легко потерять, случайно выбросить или сфотографировать. Всё это происходит в общем зале, где находятся посторонние, сотрудники, охрана и другие клиенты.
[ИЗОБРАЖЕНИЕ: Схема процесса сброса пароля в отделении банка: защищённые этапы слева (идентификация, авторизация, генерация пароля), незашищённая передача пароля справа (диктовка, бумажка, публичная зона), отмечено красным уязвимое звено.]
Почему голосовую диктовку считают нормой
Многие операционисты прекрасно осведомлены о требованиях к конфиденциальности, принципах ФСТЭК, последствиях нарушения 152-ФЗ. Их регулярно инструктируют, проводят проверки и отчётность. Однако прямая диктовка — спонтанное нарушение, за которым стоит ряд устойчивых системных причин.
Основные мотивы выбора такого «решения»:
- Давление метрик обслуживания. Оценка работы часто строится по показателю средней скорости обслуживания клиента. Ожидание, печать на отдельном устройстве, подготовка конверта или технический сбой замедляют поток, снижают KPI сотрудника. Диктовка — способ «ускорить процесс».
- Запрос клиента на простоту. Многие сами просят назвать пароль вслух или просят записать на бумажке, ведь этот путь быстрее и понятнее для них. Попытка сотрудника проявить инициативу и следовать формальным требованиям может вызвать недовольство и жалобу. Персонал не хочет конфликтовать с клиентом.
- Неидеальность оборудования. В случае сбоев или отсутствия защищённых каналов (неисправен принтер, недоступна СМС-отправка, не работает Личный кабинет) сотрудник вынужден реагировать здесь и сейчас. Импровизированные обходные решения быстро становятся негласным стандартом.
Риски публичной передачи пароля
На первый взгляд, инцидент кажется малозначительным: пароль временный, клиент поменяет его сразу после получения доступа. Но именно эти несколько минут — окно ряда угроз, которые могут привести к утечке персональных данных и серьёзным последствиям для банка.
- Запись разговора посторонними. Любой желающий может незаметно включить аудиозапись на телефоне и получить полный временный пароль. Часть клиентов даже не меняет его немедленно, а уносит домой.
- Атаки социальной инженерии. Услышав пароль, зная лицо и поведение клиента, злоумышленник может тут же разыграть сценарий «техподдержки», выведать дополнительную информацию или обманом получить устойчивый доступ.
- Внутренние угрозы. Сослуживцы или работники других отделов, услышав комбинацию, могут использовать её для тестирования доступа или передачи информации вовне. Возникает конфликт интересов и прямое нарушение принципа «необходимого минимума» доступа.
- Закрепление неправильной практики. Другие клиенты, наблюдая за нарушением, считают процесс диктовки нормой. Происходит «расползание» уязвимости в сознании, и через некоторое время сами клиенты начинают считать такой способ безопасным.
Альтернативные способы безопасной передачи пароля
Российское законодательство и требования ФСТЭК не регламентируют конкретный способ передачи, но существует базовое требование: передача пароля должна исключать возможность неконтролируемого доступа третьих лиц. Практических решений достаточно, их внедрение зачастую не требует существенных затрат, нужна лишь воля к организации процесса.
- Запечатанный конверт из принтера. Пароль автоматически печатается на отдельном листе и сразу герметизируется в непрозрачном конверте, вскрыть который может только получатель. Такой подход давно применяется при выдаче PIN-кодов от банковских карт и не нарушает рабочий ритм.
- Передача через защищённые ЭЦП-платформы, личный кабинет или мобильное приложение. Пароль доступен только после дополнительной аутентификации или подтверждения биометрии в мобильном приложении банка, передаётся по внутреннему защищённому каналу. Клиенту достаточно запустить приложение либо войти в личный кабинет на сайте.
- QR-код на поворотном экране. Временный пароль сразу выводится в виде QR-кода на специалный экран, который оператор поворачивает к клиенту. Клиент сканирует его фирменным банковским ПО или камерой смартфона. Этот вариант исключает зрительный контроль со стороны других клиентов.
- Аппаратный одноразовый токен для премиум-клиентов. Способ требует затрат — выдается электронный носитель, который при активации генерирует либо отображает временный пароль. Такой подход почти полностью исключает утечки на этапе выдачи.
[ИЗОБРАЖЕНИЕ: Таблица сравнения способов передачи пароля — столбцы: «Метод», «Затраты на внедрение», «Удобство», «Уровень безопасности», «Соответствие требованиям 152-ФЗ».]
Алгоритм действий в случае нарушения
Если вы стали свидетелем нарушения (диктовка пароля на виду), есть варианты реагирования с учётом вашей роли.
Для клиентов:
- Корректно напомните сотруднику, что подобная передача пароля может быть небезопасной, сославшись на требования защиты персональных данных. В большинстве случаев этого достаточно, чтобы изменить поведение здесь и сейчас.
- Когда ситуация повторяется, на своём примере настаивайте на безопасной передаче: через конверт, защищённое сообщение, личный кабинет. Покажите, что этот формат важен именно для вас как клиента.
- В случае регулярных нарушений оформите официальную жалобу через форму обратной связи банка: опишите ситуацию, время и отделение. Такие обращения не остаются без внимания службы внутренней безопасности и способствуют локальной корректировке процессов.
Для сотрудников и руководителей:
- Актуализируйте внутренние регламенты: пропишите допустимые способы передачи паролей, полностью исключив голосовую диктовку и передачу на открытой бумаге.
- Проводите регулярные тренинги с разбором реальных ситуаций — гораздо эффективнее формальных инструктажей. Демонстрируйте сценарии реальных угроз и последствия.
- Проведите внутренний технический аудит: убедитесь, что все инструменты передачи действительно работают — принтеры, СМС, защищённые каналы. Организация безопасной передачи должна быть не сложнее небезопасной.
Формирование культуры безопасности
Формальный штраф ФСТЭК или Роскомнадзора — лишь следствие системной ошибки. При разборе утечек чаще всего оказываются виноваты не технологии, а устоявшиеся вредные привычки: нарушение минимальных требований, игнорирование внутренних стандартов, равнодушие к культуре информационной безопасности.
Большие результаты начинаются с малых изменений. Важно, чтобы на всех уровнях — от руководителей до рядовых специалистов — создавалась рабочая среда, где один сотрудник никогда не диктует пароль, а коллеги сообщают о нарушениях без страха наказания. Важно объяснять клиентам, что дополнительные формальности — не проявление бюрократии, а забота о сохранности их средств и защите персональных данных.
Публичная диктовка пароля — показатель разрыва между политиками безопасности банка и реальностью операционного дня. Устранить этот разрыв возможно только сочетанием: совершенствованием техники, обновлением регламентов и — в первую очередь — формированием среды, где ценится ответственность каждого сотрудника за информационную безопасность.