Биометрическая аутентификация владельца кошелька для подтверждения сделок с ЦФА

Когда пользователь платформы ЦФА совершает сделку — покупает, продаёт или переводит цифровой финансовый актив — оператор обязан убедиться, что действие совершает именно владелец кошелька. Статья 10 259-ФЗ требует идентификации участников сделки и подтверждения её усиленной квалифицированной электронной подписью (УКЭП). Но УКЭП гарантирует лишь то, что подпись принадлежит конкретному человеку. Механизм подтверждения каждой отдельной транзакции — это уже технологическое решение оператора, и биометрия становится одним из вариантов.

Пока ни один оператор ЦФА в России не сделал биометрическую аутентификацию единственным фактором авторизации. Это дополнительный слой — сверх пароля и УКЭП. Но направление активно развивается: Сбербанк уже использует биометрию в мобильном приложении, Лайтхаус тестирует интеграцию с Единой биометрической системой (ЕБС), Атомайз заявляет о поддержке Face ID и Touch ID в мобильных клиентах.

Технологическая инфраструктура для биометрической аутентификации в России в значительной степени готова. ЕБС, которой управляет ФГУП НСУД, содержит свыше 200 млн биометрических шаблонов. Это крупнейшая база в Европе, и она продолжает расти благодаря обязательной биометрической регистрации клиентов банков.

Правовые основания

259-ФЗ прямо не упоминает биометрию. Статья 10 говорит об идентификации участников и использовании УКЭП. Статья 8 возлагает на оператора обязанность обеспечивать защиту от несанкционированного доступа — и вот здесь биометрия вписывается в правовую рамку.

Федеральный закон № 242-ФЗ «О биометрических данных» регулирует сбор, хранение и обработку биометрических изображений. Ключевые ограничения:

• Согласие субъекта на обработку биометрических данных должно быть конкретным, информированным и сознательным (ст. 11 152-ФЗ «О персональных данных»). Формулировка «я согласен на обработку персональных данных» в пользовательском соглашении недостаточна — нужно отдельное согласие именно на биометрию.
• Биометрические шаблоны (не исходные изображения, а математические векторы) могут храниться на сервере оператора, но исходные изображения — только в ЕБС, которая ведётся ФГУП «Национальная система управления данными» (НСУД).
• Пользователь вправе отозвать согласие на обработку биометрических данных, после чего оператор обязан удалить шаблоны в течение 10 рабочих дней.

Для оператора ЦФА это означает: внедрять биометрию можно, но с отдельным согласием пользователя, с чётким уведомлением о том, какие данные собираются и где хранятся.

Как это технически реализуется

Биометрическая аутентификация в контексте ЦФА работает на двух уровнях.

Уровень входа в кошелёк. Пользователь открывает мобильное приложение платформы и вместо пароля (или вместе с паролем) сканирует лицо или прикладывает палец к датчику. Это не подтверждает сделку — это открывает доступ к интерфейсу. Реализовано через стандартные API операционной системы: Face ID / Touch ID на iOS, BiometricPrompt на Android. Шаблон хранится локально на устройстве, не передаётся на сервер.

Уровень подтверждения сделки. Пользователь инициирует перевод ЦФА, вводит сумму и получателя. Для финального подтверждения система запрашивает биометрическую проверку повторно — даже если пользователь уже вошёл в приложение. Это препятствует транзакциям, совершённым на разблокированном, но оставленном без присмотра устройстве.

Интеграция с ЕБС. Более продвинутый вариант — верификация через Единую биометрическую систему, которой управляет НСУД. Шаблон лица пользователя хранится централизованно, и верификация происходит не на устройстве, а на стороне ЕБС. Это сложнее в реализации, но позволяет:

• Подтверждать сделки с разных устройств без предварительной настройки биометрии на каждом;
• Использовать биометрию для крупных сумм, требующих усиленной проверки;
• Снижать риск подмены биометрического шаблона на взломанном устройстве.

Сравнение методов аутентификации

Комбинация «пароль + PUSH-уведомление + биометрия для крупных сумм» — наиболее распространённый подход на платформах ЦФА в 2025 году. Биометрия выступает как дополнительный, а не единственный фактор.

Риски биометрической аутентификации

Биометрия не универсальна и не идеальна.

Подмена (spoofing). Фотографии, видеозаписи, 3D-маски — все это могут обойти базовую биометрическую проверку. Apple и Google внедрили защиту от спуфинга (анализ глубины, инфракрасные датчики), но на устройствах среднего ценового сегмента защита слабее.

Необратимость компрометации. Пароль можно сменить. ПИН-код можно сменить. Биометрический шаблон — нет. Если шаблон утёк (или был извлечён из локального хранилища устройства), он compromised навсегда.

Проблемы с доступом. Повреждение пальца, ношение очков в непривычной оправе, изменения внешности — всё это может привести к отказу биометрической аутентификации. Оператор обязан предоставить альтернативный метод подтверждения сделки.

Хранение данных. Если оператор хранит биометрические шаблоны на своём сервере (а не использует только локальную проверку или ЕБС), он становится привлекательной целью для хакеров. Утечка биометрических шаблонов — более серьёзный инцидент, чем утечка паролей.

Практика платформ

Сбербанк использует биометрию для входа в СберБанк Онлайн, через который доступны операции с ЦФА. Сканирование лица через камеру смартфона — опционально, пользователь выбирает при настройке. Биометрия не заменяет код из SMS для крупных переводов.

Лайтхаус тестирует интеграцию с ЕБС. Сценарий: при сделке на сумму свыше определённого порога система предлагает пройти верификацию через ЕБС. Пользователь сканирует лицо, система сравнивает с эталоном в ЕБС и подтверждает личность. Пороговая сумма и обязательность проверки — на усмотрение оператора.

Атомайз реализовал поддержку Touch ID и Face ID в мобильном приложении для входа. Подтверждение сделки — через PUSH-уведомление и ПИН-код. Биометрия для подтверждения транзакций пока не используется.

Токеон планирует интеграцию с ЕБС для пользователей, совершающих сделки на суммы свыше 600 000 рублей (порог планируется согласовать с ЦБ). Идея в том, что для крупных операций нужна более надёжная верификация, чем локальная биометрия устройства.

Альфа-Банк использует биометрию в рамках единого мобильного приложения Альфа-Мобайл, через которое доступны операции с ЦФА. Биометрия привязана к банковскому приложению, а не к кошельку ЦФА отдельно. Это создаёт удобство для клиентов банка (одна биометрия — множество услуг), но поднимает вопрос разделения уровней доступа.

Хранение и защита биометрических данных

Биометрические данные в контексте ЦФА классифицируются как категория персональных данных, требующая повышенной защиты (ст. 11 152-ФЗ). Оператор обязан:

• Получить отдельное согласие пользователя именно на обработку биометрических данных. Формулировка в пользовательском соглашении «я согласен на обработку персональных данных» недостаточна.
• Обеспечить хранение биометрических шаблонов с использованием криптографической защиты. Исходные изображения (фото лица, сканы отпечатков) не могут храниться у оператора — только в ЕБС.
• Уведомить пользователя о факте обработки, целях, способах и сроках.
• Удалить данные в течение 10 рабочих дней после отзыва согласия.

В случае утечки биометрических данных оператор может быть привлечён к административной ответственности по ст. 13.11 КоАП РФ (штраф до 18 млн рублей для юридических лиц) или уголовной по ст. 272 УК РФ (неправомерный доступ к компьютерной информации). Для операторов ЦФА, licence которых зависит от ЦБ, такая утечка может стать основанием для отзыва лицензии.

Перспективы развития

Банк России в концепции развития цифровых финансовых технологий до 2030 года обозначил биометрию как один из элементов «усиленной идентификации» для операций с цифровыми активами. Ожидается, что к 2027 году ЦБ может выпустить рекомендации, предписывающие операторам ЦФА использовать биометрическую верификацию для сделок на суммы свыше определённого порога.

Параллельно развивается технология поведенческой биометрии — анализ паттернов набора текста, нажатий на экран, движения мыши. Поведенческая биометрия работает непрерывно в фоновом режиме и не требует от пользователя активных действий (не нужно сканировать лицо или прикладывать палец). Несколько финтех-компаний уже тестируют эту технологию для Detect-фрода в мобильных банковских приложениях; перенос на платформы ЦФА — вопрос времени.

Часто задаваемые вопросы

Вопрос: Обязательна ли биометрическая аутентификация для сделок с ЦФА?

Ответ: Нет, 259-ФЗ не требует биометрии. Закон требует идентификации участников и УКЭП для подтверждения сделки. Биометрия — добровольный дополнительный фактор, который оператор может предложить, но не обязан.

Вопрос: Кто хранит мои биометрические данные?

Ответ: Зависит от реализации. При локальной биометрии (Face ID, Touch ID) шаблон хранится в защищённом разделе процессора вашего смартфона и не покидает устройство. При интеграции с ЕБС — шаблон хранится в Единой биометрической системе, которой управляет ФГУП НСУД. Оператор ЦФА не должен хранить исходные биометрические изображения.

Вопрос: Можно ли отказаться от биометрии и использовать только пароль?

Ответ: Да. 152-ФЗ даёт право отозвать согласие на обработку биометрических данных в любой момент. Оператор обязан предоставить альтернативный метод аутентификации.

Вопрос: Безопаснее ли биометрия, чем SMS-код?

Ответ: Зависит от реализации. Локальная биометрия на современном iPhone с Face ID устойчивее к удалённым атакам, чем SMS, который можно перехватить через SS7-уязвимости или социальную инженерию. Но при физическом доступе к устройству биометрия уязвима (подмена). Комбинация факторов — оптимальный подход.

Вопрос: Что будет, если биометрия не сработает при крупной сделке?

Ответ: Все платформы предоставляют запасной вариант: ПИН-код, код из SMS, PUSH-уведомление. Если ни один метод не доступен, сделка не пройдёт, и потребуется обратиться в службу поддержки оператора.

Источники

• Федеральный закон №259-ФЗ — «О цифровых финансовых активах, цифровой валюте и о внесении изменений в отдельные законодательные акты Российской Федерации»
• Федеральный закон №242-ФЗ — «О биометрических данных и о внесении изменений в отдельные законодательные акты Российской Федерации»
• Федеральный закон №152-ФЗ — «О персональных данных»
• Информация ЦБ РФ — официальные материалы регулятора