Дипфейк банктерді алдап өтті: Қазақстанда жаңа киберқауіп қатері

Сурет: жасанды интеллект

Қараша айының басында Қаржы нарығын реттеу және дамыту агенттігі LS басылымының сұрауына берген жауабында бұрын тек болжам ретінде айтылып келген жайтты ресми растады: Қазақстан банктерінде жасанды интеллект жасаған жалған бейне — дипфейк — арқылы биометриялық сәйкестендіруді айналып өту жағдайлары тіркелген. Агенттік бұл жағдайлардың соңғы үш жылда жекелеген түрде болғанын, ал олардың басты себебі қаржы ұйымдарының заң талаптарын сақтамауы екенін атап өтті.

Дәл сол аптада реттеуші екінші бір шешімді жариялады: 30 қазандағы №151 қаулысымен қаржы ұйымдарына жылына кемінде бір рет киберқауіпсіздік жағдайын бағалау, оның ішінде киберсынақтар өткізу міндеті жүктелді. 2027 жылы бұл шара барлық екінші деңгейдегі банктерді қамтуы тиіс.

Екі жаңалық бір мезгілде шыққандықтан, оларды бір-біріне жауап ретінде қабылдау оңай: алаяқтар биометрияны бұзды, мемлекет банктерді тексеруді күшейтті. Бірақ мұнда бір маңызды ажырату керек. Бұл екі жаңалық — бір проблеманың екі түрлі қабаты туралы. Ал біреуінің шешімі екіншісін автоматты түрде жаппайды.

Биометрия қалай «бұзылады»

Алдымен механизмді түсінейік, өйткені ол көпшілік елестететіннен қарапайым.

Қазанның соңында бір азаматша ешқашан ашпаған шоты мен 3,2 миллион теңгелік қарызын тапты. Qumash.kz басылымының хабарлауынша, банктің ішкі тексерісі мынаны анықтаған: зардап шеккендер бұрын микроқаржы ұйымдарына жүгінген, түрлі сауалнамаларда деректерін қалдырған, бір жерлерде биометриядан өтіп, жеке куәліктерін жіберген. Алаяқтар осы деректерді ұстап алып, жасанды интеллект арқылы фотосуреттерді «тірілтіп», банк верификациясынан өткізген. Басылымның мәліметінше, қыркүйектен бері осындай мәселемен тек осы азаматшаға кемінде алты адам хабарласқан.

Бұл схемада екі буын бар, және екеуі де маңызды.

Бірінші буын — дерек. Алаяққа бет-бейнені жасау үшін алдымен адамның фотосы, жеке куәлігі және дербес деректері керек. Қазақстанда дербес деректердің ауқымды ағып кетуі бұрыннан болған, ал микроқаржы ұйымдары, жеке клиникалар және сауда компаниялары сияқты жекеменшік жүйелердің қорғанышы әлсіз. Демек, дипфейк — бұл ағып кеткен деректің келесі қадамы.

Екінші буын — тексеру. Банктің биометриялық жүйесі камера алдында тірі адамның тұрғанын тексеруі тиіс. Егер ол тек суретті салыстырса және оның тірі адам ба, әлде жасанды бейне ме екенін ажыратпаса — алаяқ кіре алады.

Реттеуші не дейді: ереже бар, орындалуы ақсайды

Агенттіктің ұстанымы екі жақты. Бір жағынан, ол биометриялық аутентификацияның қолданыстағы ережелері жасанды интеллект қатерлерінен, оның ішінде онлайн несие мен микроқарыз ресімдеуде, қорғауға жеткілікті деп санайды. Ережелер бағдарламалық қамтамасыз етуден эмуляторда іске қосылуды бақылауды және нақты бейне ағынының орнына жасанды интеллект жасаған бейнені беруге жол бермеуді талап етеді. 2026 жылы реттеушілер банктер мен микроқаржы ұйымдарын тірі адамды анықтау технологиясын енгізуге түпкілікті міндеттеді.

Екінші жағынан, агенттік жауапкершілікті тікелей атады: жасанды интеллект арқылы жасалған дипфейктерден қорғауға арналған ережелер бар, бірақ қолданылатын аутентификация жүйелерінің сенімділігі үшін жауапкершілік тікелей қаржы ұйымдарының өзінде.

Бұл — маңызды тұжырым. Мәселе ереженің жоқтығында емес, оның әр банкте қалай орындалатынында. Ал агенттік дипфейк жағдайларының басты себебі ретінде дәл қаржы ұйымдарының талапты сақтамауын атап отыр.

Ауқым: «жекелеген жағдай» ма, әлде өсіп келе жатқан қатер ме?

Агенттік дипфейк жағдайларын жекелеген деп сипаттайды. Бірақ жалпы алаяқтық статистикасы басқа ауқымды көрсетеді.

Агенттік төрайымы Мадина Әбілқасымова мамырда банктердің 2025 жылы шамамен екі мың алаяқтық қарызды есептен шығарғанын хабарлады. Сол кезде ол алаяқтыққа қарсы орталықтың 2026 жылдың 1 қаңтарындағы жағдай бойынша алаяқтық белгілері бар шамамен 80,9 мың транзакцияны тіркегенін де айтты.

Әбілқасымованың ескертуі де нақты болды: банктер жаңа шабуылдарға қалай дайындалу керегін ойластырып жатыр, өйткені жасанды интеллект арқылы биометрияны да, дауысты да жасандылап жасауға болады, ал көптеген банк клиентті дауысы бойынша да таниды.

Сарапшылардың бағасы одан да алаңдатарлық. Kapital.kz ұйымдастырған пікірталаста Олжас Сатиев бір жағдайда алаяқтардың биометрияны айналып өткенін атап, жасанды интеллекттің қарқынды дамуымен бүкіл биометриялық жүйе бір-екі жыл ішінде істен шығуы мүмкін екенін болжады. Қазақстан қаржыгерлері қауымдастығының қаржы технологиялары мен инновациялар секторының директоры Константин Пак та дипфейктердің Қазақстан биометриясын белсендірек бұзып жатқанымен келісті.

Реттеуші мен сарапшылар арасындағы бұл айырмашылықты бір сөйлеммен түсіндіруге болады: агенттік өткен үш жылдың тіркелген деректерін сипаттайды, ал сарапшылар технологияның даму бағытын бағалайды. Екеуі де дұрыс болуы мүмкін — және дәл сондықтан алдын ала әрекет ету маңызды.

Жыл сайынғы киберсынақ: нақты не тексеріледі

Енді екінші жаңалыққа келейік. №151 қаулымен бекітілген қағидалар 23 шілдеде қабылданған қаржы нарығын жетілдіру және цифрландыру туралы заңды іске асыру үшін әзірленген. Олардың мазмұны:

• Мерзімділік — жылына кемінде бір рет;
• Қамту — 2027 жылы барлық екінші деңгейдегі банктер;
• Үш түрі — құжаттық (ақпараттық қауіпсіздіктің ішкі құжаттарын, жоспарлары мен рәсімдерін бағалау), функционалдық және техникалық имитациялық;
• Қауіпсіздік шарты — техникалық модельдеу банктің нақты жұмыс істеп тұрған жүйелеріне әсер етпеу үшін бақыланатын тестілік ортада жүргізіледі.

Агенттік бұған дейін үш банктің қатысуымен пилоттық киберсынақ өткізді: бағдарлама-шифрлаушы шабуылы имитацияланып, банктер жүйені тестілік стенде резервтік көшірмеден қалпына келтіруі тиіс болды. Реттеуші инциденттерді анықтау жылдамдығын, бөлімшелер арасындағы өзара әрекетті, реттеушіні уақтылы хабардар етуді және резервтік қуаттардың дайындығын оң бағалады.

Реттеушінің мақсаты да айқын: киберсынақ банктерді жазалау үшін емес, олардың қорғанысындағы әлсіз тұстарды алдын ала табу және нақты шабуылға дайындау үшін өткізіледі.

Басты ажырату: сынақ инфрақұрылымды тексереді, дипфейк клиентті нысанаға алады

Енді мақаланың өзегіне келейік. Жыл сайынғы киберсынақ пен дипфейк алаяқтығы — екі түрлі шабуыл беті.

Киберсынақ банктің өз инфрақұрылымының төзімділігін тексереді: хакерлік шабуылға, бағдарлама-шифрлаушыға, жүйенің істен шығуына қаншалықты дайын, деректер мен қызметтерді қаншалықты тез қалпына келтіре алады. Сынаққа мобильді банкинг жүйелері, төлемдер мен клиенттер базасы түсуі мүмкін.

Ал дипфейк алаяқтығы банкті бұзбайды. Ол банктің есігінен заңды кіреді — клиент ретінде. Алаяқ банк жүйесіне шабуыл жасамайды, ол басқа адамның атынан сәйкестендіруден өтеді. Мұндай шабуылдан қорғау — инфрақұрылымның төзімділігіне емес, клиентті сәйкестендіру сапасына, тірі адамды анықтау технологиясына, антифрод жүйесіне және түпнұсқа деректің қорғалуына байланысты.

Демек, жыл сайынғы киберсынақ — қажетті әрі дұрыс шара, бірақ ол дипфейк несиелерге тікелей жауап емес. Оның үстіне реттеушінің өзі мұның шегін ашық атайды. Агенттік пилоттық сынақтарда елеулі осалдықтардың табылмауы ақпараттық инфрақұрылымның барлық ықтимал кибершабуылдан толық қорғалғанын білдірмейтінін ескертті. Ал Finratings.kz талдамасы атап өткендей, жыл сайынғы бағалау талабы әр банк жыл сайын толық ауқымды техникалық модельдеуден өтеді дегенді білдірмейді: нақты формат тәуекелдерге қарай таңдалады. Сынақтық сценарий алаяқтардың барлық ықтимал әрекетін қайталай алмайды.

Жауапкершілік кімде: банк пе, клиент пе

Дипфейк алаяқтығында ең маңызды сұрақтардың бірі — шығынды кім көтереді. Мұнда Қазақстанда нақты өзгеріс болды. Әбілқасымованың мәліметінше, енді банктер алаяқтық операциялар үшін тікелей материалдық жауапкершілік көтереді, ал заң мұндай несиелерді соттан тыс есептен шығаруға негіздерді кеңейтті.

Бұл — жүйенің ең маңызды тетігі. Банк дипфейкті өткізіп жіберсе, шығын клиентке емес, банкке түседі. Демек, банктің тірі адамды анықтау технологиясына, антифрод жүйесіне инвестиция салуға тікелей экономикалық ынтасы пайда болады.

Бірақ практикада зардап шеккен адам үшін жол әлі де ұзақ. Ол алдымен өзінің дипфейктің құрбаны болғанын дәлелдеуі керек. Агенттік ұсынатын іс-әрекет тәртібі мынадай: деректердің бұзылғанын байқаған клиент дереу қаржы ұйымына жүгініп, полицияға арыз беріп, агенттікке барлық дәлелдерін қоса отырып өтініш жолдауы тиіс.

Халықаралық тәжірибе

Гонконг. Дипфейк алаяқтығының ең белгілі әлемдік мысалдарының бірі 2024 жылы болды: халықаралық инженерлік компанияның қызметкері жалған бейнеконференцияға қатысты, онда жасанды интеллект компанияның басшылары мен әріптестерінің бейнесі мен даусын жасаған. Нәтижесінде ірі сома аударылды. Бұл жағдай бір маңызды нәрсені көрсетті: бейне мен дауыстың өзі енді сәйкестендірудің сенімді дәлелі емес.

Еуропалық Одақ. Еуроодақтың цифрлық операциялық тұрақтылық туралы регламенті 2025 жылдың басынан бастап қолданылады. Ол қаржы ұйымдарынан ақпараттық-коммуникациялық жүйелерді тұрақты тестілеуді, ал ірі ұйымдардан нақты қатерлерге негізделген кеңейтілген тестілеуді талап етеді. Қазақстанның жаңа қағидалары логикасы бойынша осы бағытқа жақын: тұрақты бағалау, құжаттық, функционалдық және техникалық сынақтар.

Ұлыбритания. Бұл ел клиентті қорғаудың басқа тетігіне басымдық берді: 2024 жылдың күзінен бастап банктерге белгілі бір алаяқтық түрлерінен зардап шеккен клиенттердің шығынын белгіленген шекке дейін өтеу міндеті жүктелді. Логикасы — жауапкершілікті технологияға инвестиция сала алатын тарапқа жүктеу. Қазақстанның банктердің материалдық жауапкершілігін енгізуі осы ойға жақын.

Не істеу керек

Реттеуші мен банктерге

• Тірі адамды анықтауды нақты тексеру. Ереже бар, бірақ агенттіктің өзі дипфейк жағдайларының себебі ретінде талапты сақтамауды атады. Демек, әр банктегі биометриялық жүйенің дипфейкке төзімділігі жыл сайынғы бағалаудың бөлігі болуы керек;
• Дауыспен сәйкестендіруді қайта қарау. Жасанды интеллект дауысты да жасандылап жасай алатын кезеңде дауыс бойынша тану жалғыз дәлел болмауы тиіс;
• Көп факторлы тексеру. Биометрия — агенттік төрайымы айтқандай, сәйкестендірудің бір ғана арнасы. Ірі несие бойынша құрылғыны, әрекет ету үлгісін және қосымша растауды қатар тексеру тәуекелді күрт азайтады;
• Деректің бастапқы көзін қорғау. Дипфейк ағып кеткен деректен басталады. Микроқаржы ұйымдары мен сауалнама жүргізетін компаниялардағы деректің қорғанышы — дипфейкке қарсы күрестің бірінші шебі.

Азаматтарға

• Жеке куәлік пен бетіңіздің суретін бөгде адамдарға жібермеңіз — сауалнама, байқау немесе «тез несие» сылтауымен сұраса да;
• Кредиттік тарихты тұрақты тексеріңіз — өзіңіз ашпаған шот немесе несие кешікпей байқалса, оны дау ретінде көтеру оңайырақ;
• Деректеріңіз бұзылса, дереу әрекет етіңіз: банкке, полицияға және Қаржы нарығын реттеу агенттігіне — дәлелдерімен.

Есік пен қабырға

Жыл сайынғы киберсынақ пен дипфейк алаяқтығын бір-бірімен салыстыру үшін қарапайым бейне жеткілікті. Киберсынақ — банктің қабырғасын тексеру: ол хакерлік шабуылға, жүйенің істен шығуына, деректердің жоғалуына қаншалықты төзімді. Ал дипфейк — қабырғаны бұзбайды. Ол басқа біреудің кілтімен есіктен кіреді.

Қазақстан екі бағытта да қадам жасады: қабырғаны жыл сайын тексеру міндеттелді, ал есіктегі тексеру — тірі адамды анықтау — талап ретінде бекітілді, әрі алаяқтық үшін материалдық жауапкершілік банкке жүктелді. Бірақ екінші бағыттағы сынақ әлі алда. Ереже қағазда бар, ал оның әр банкте қалай орындалатыны — реттеушінің өзі мойындағандай — дипфейк жағдайларының басты себебі болып отыр.

Сондықтан жаңа қағидалардың шынайы бағасы 2027 жылғы киберсынақтардың нәтижесімен емес, басқа бір санмен өлшенеді: алаяқтар біреудің атына ресімдеген несиелер саны азая ма. Бұл сан азаймаса, қабырға қанша мықты болса да, есік ашық қала береді.