Revolut запустил оплату лицом в Лондоне через две недели после утечки селфи клиентов

Revolut запустил в Британии первый пилот оплаты лицом. С 24 по 26 сентября в трёх лондонских кофейнях Kiss the Hippo можно расплатиться, посмотрев в камеру на кассе: без карты и без телефона. Система сличает лицо у стойки с селфи, которое клиент сдал при открытии счёта.

Вот эта последняя деталь и есть сюжет. Двумя неделями раньше тот же банк признал, что отдал паспорта, селфи и историю операций клиентов по запросу госоргана, который оказался поддельным.

Как устроен пилот

Функцию клиент включает сам в приложении, так что никого не сканируют просто за вход в кофейню. У стойки он нажимает Pay with Smile на терминале Revolut Register, и камера проводит проверку личности примерно так же, как телефон при разблокировке. Совпадение выше порога - платёж проходит. Не совпало - касса предлагает карту, телефон или Revolut Pay.

Коммерческая часть здесь не менее любопытна, чем биометрия. С этих операций Revolut не берёт с кофеен комиссию вообще, и именно так платёжная компания покупает себе место на прилавке. Алекс Кодина, глава направления торговых платежей Revolut Business, описывает это как замену «устаревших разрозненных касс гиперэффективным сценарием оплаты». Алекс Дамгачи, управляющий директор Kiss the Hippo, говорит, что сеть собирается распространить систему на все свои 12 точек до конца года.

С данными здесь обращаются аккуратнее, чем кажется по заголовку

Про устройство системы стоит сказать честно, потому что «банк сканирует ваше лицо» вызывает реакцию, которой технические детали не вполне заслуживают. Revolut утверждает, что векторы лица, по которым проходит платёж, удаляются сразу после подтверждения покупки, что у торговых точек не остаётся ничего и что обработка идёт внутри собственного контура компании, а не отдаётся стороннему подрядчику. Биометрию, по словам банка, шифруют сквозным образом.

Это аккуратнее среднего розничного распознавания лиц, где неудобные вопросы обычно начинаются с того, у какого подрядчика лежат снимки. Здесь ответ - у банка. В этом и утешение, и проблема.

Почему важна дата

12 сентября Revolut уведомил пострадавших клиентов, что раскрыл персональные данные, включая сканы паспортов, селфи и историю операций, получив поддельный запрос от имени государственного ведомства. Мы тогда об этом писали: запрос был фальшивый, данные настоящие. Через несколько дней всплыл второй инцидент, уже через американского брокера DriveWealth, о нём мы тоже рассказывали.

Селфи, с которым сличает Pay with Smile, относится ровно к тому классу документов, что покинул периметр в сентябре. Удаление кассового шаблона - хорошая гигиена, и к этому она отношения не имеет. Регистрационный снимок обязан где-то храниться, иначе сравнивать не с чем, и спрашивать клиенту стоит не о том, что происходит у кассы, а о том, что происходит с копией, которая уже лежит у банка.

В этом и состоит структурное отличие биометрии от любого другого ключа. После утечки пароль меняют, карту перевыпускают, номер телефона бросают. Лицо не перевыпускается, и для злоумышленника оно не устаревает. Та же логика всплывала, когда Индия сделала биометрию обязательной для SIM-карт: удобство приходит первым, а необратимость обнаруживается потом.

Коротко о правовой рамке

По британскому закону о защите данных лицо, по которому опознают человека, - биометрия особой категории, и для неё нужно основание сверх обычного. Управление комиссара по информации считает, что чаще всего подходит явное согласие, и планку ставит высоко: выбор должен быть действительно свободным, конкретным и информированным, отделённым от общих условий.

Добровольное включение в приложении, когда у той же кассы есть очевидная альтернатива, этой планке вполне соответствует. Соответствовать перестанет в тот момент, когда оплата лицом станет вариантом по умолчанию, быстрой полосой или единственной движущейся очередью. Обычно такие пилоты едут именно туда.

• По умолчанию выключено, и касса по-прежнему принимает карту или телефон
• Сравнение идёт с уже имеющимся селфи из вашей регистрации, новое не запрашивают
• Revolut заявляет, что кассовый шаблон удаляется после каждой покупки, а у кафе не остаётся ничего
• Остаётся регистрационный снимок у банка, и именно до него добирается утечка
• Прикиньте, включили бы вы это, если бы те же данные утекли ещё дважды