KYC․ անվտանգությո՞ւն, թե՞ ռիսկ

Ինչու «Know Your Customer»-ը միայն պաշտպանություն չի նշանակում – և երբ ավելի քիչ անձնական տվյալները իրականում կարող են նշանակել ավելի շատ անվտանգություն։

KYC-ն («Know Your Customer», «Ճանաչիր քո հաճախորդին») այսօր համարվում է ֆինանսական և կրիպտո աշխարհի ամենակարևոր անվտանգության և համապատասխանության (compliance) միջոցներից մեկը։ Օգտատերերը պետք է հաստատեն իրենց ինքնությունը, փողերի լվացումը պետք է կանխվի, խարդախությունը՝ դժվարանա, իսկ անօրինական ֆինանսական հոսքերը՝ բացահայտվեն։ Սակայն KYC-ն ունի մինչ այժմ հաճախ թերագնահատված հակառակ կողմ․ որքան շատ անձնական տեղեկություններ է ընկերությունը հավաքում իր հաճախորդների մասին, այնքան ավելի արժեքավոր է դառնում նրա տվյալների բազան հարձակվողների համար։ Անձնագիրը, նույնականացման քարտը, սելֆին, բնակության հասցեն, հեռախոսահամարը, ծննդյան ամսաթիվը, հարկային տվյալները, բանկային վավերապայմանները, ունեցվածքի ծագումը և երբեմն նույնիսկ գործարքների ու ակտիվների մասին տեղեկությունները կարող են միավորվել չափազանց մանրամասն թվային պրոֆիլի մեջ։

Ուստի հիմնական հարցը ոչ միայն այն է, թե «Որքանո՞վ է ապահով իմ փողը, եթե հարթակը KYC է պահանջում»։ Այլ նաև՝ «Որքանո՞վ են ապահով այն անձնական տեղեկությունները, որոնք պետք է տրամադրեմ՝ ընդհանրապես իմ փողին հասանելիություն ստանալու համար»։

Հատկապես կրիպտոարժույթների ոլորտում այս հարցը առանձնապես արդիական է։ Կրիպտոարժույթները ֆինանսական արժեքները միավորում են մի տեխնոլոգիայի հետ, որտեղ գործարքները մասամբ հրապարակայնորեն հետագծելի են։ Եթե այս տեղեկությունը լրացուցիչ կապվում է իրական ինքնության, բնակության հասցեի կամ հեռախոսահամարի հետ, ապա որոշ պայմաններում կեղծանվային բլոկչեյն հասցեից կարող է ստացվել իրական անձի շատ մանրամասն պրոֆիլ։

Ուստի այս զեկույցը ուսումնասիրում է KYC-ի հնարավորություններն ու ռիսկերը, փաստագրված տվյալների արտահոսքերը, ներքին անձանց և կաշառքի ռիսկերը, կրիպտոարժույթների հետ կապված առանձնահատուկ իրավիճակը, ինչպես նաև սեփական թվային ինքնությունն ավելի լավ պաշտպանելու հնարավորությունները։

Ի՞նչ է ընդհանրապես նշանակում KYC

KYC-ն նշանակում է «Know Your Customer»՝ «Ճանաչիր քո հաճախորդին»։ Ֆինանսական ընկերությունները որոշակի օրենսդրական պայմանների դեպքում պետք է կարողանան պարզել, թե ում հետ են գործ ունենում։ KYC-ն ավելի մեծ համապատասխանության (compliance) համակարգի մաս է, որի մեջ մասնավորապես մտնում են AML-ը («Anti-Money Laundering»՝ փողերի լվացման դեմ պայքար) և ահաբեկչության ֆինանսավորման դեմ միջոցները։ Միջազգային Financial Action Task Force-ը (FATF) երկրներից և կարգավորվող մատակարարներից պահանջում է համապատասխան միջոցներ։ Վիրտուալ ակտիվների ծառայություններ մատուցողների համար դրանց թվում են, մասնավորապես, հաճախորդի ստուգումը, գրառումներ պահելու պարտականությունները և կասկածելի գործարքների մասին հաղորդումը։

Ուստի KYC-ն սկզբունքորեն կրիպտոբորսաների հորինվածքը չէ և ինքնաբերաբար էլ գաղտնիության դեմ ուղղված գործիք չէ։ Խնդիրը ավելի շուտ առաջանում է հետևյալ հարցում․ իրականում որքա՞ն տվյալ պետք է հավաքվի, որքա՞ն ժամանակ են դրանք պահվում, ո՞վ կարող է դրանց հասանելիություն ունենալ և ի՞նչ է տեղի ունենում, եթե այդ տվյալները վտանգվում են։

KYC-ի կենտրոնական պարադոքսը

KYC-ն նախատեսված է անվտանգությունը բարձրացնելու համար։ Միևնույն ժամանակ KYC-ն ստեղծում է առանձնապես արժեքավոր տեղեկությունների կենտրոնացված հավաքածու։ Սա հանգեցնում է պարադոքսալ արդյունքի․ միջոցը, որը պետք է ֆինանսական համակարգն ավելի անվտանգ դարձնի, վատ իրականացման դեպքում կարող է միաժամանակ ստեղծել հարձակման նոր մակերես։

«Kill Your Customer» կայքը այս միտքը ձևակերպում է հատկապես արմատական կերպով և փաստագրում է բազմաթիվ դեպքեր, երբ անձնական տվյալները վտանգվել են հաքերային հարձակումների, սխալ կարգավորումների, ներքին անձանց, սոցիալական ինժեներիայի կամ այլ պատճառներով։ Սակայն ավելի սթափ եզրակացությունը ոչ թե «KYC-ն ինքնաբերաբար առաջացնում է տվյալների արտահոսքեր» է, այլ՝ KYC-ն ստեղծում է առանձնապես արժեքավոր տվյալների հավաքածուներ, որոնց պաշտպանությունն այդ պատճառով ինքնին դառնում է անվտանգության կրիտիկական խնդիր։ Սա էական տարբերություն է։

Ինչու գաղտնաբառը կարելի է փոխարինել, իսկ անձնագիրը՝ ոչ

Սա սովորական մուտքի տվյալների և KYC տվյալների միջև ամենակարևոր տարբերություններից մեկն է։ Եթե գաղտնաբառը գողացվում է, այն կարելի է փոխել – խնդիրը մասամբ լուծված է։ Եթե API բանալին վտանգվում է, այն կարելի է չեղարկել և նորը ստեղծել։ Վտանգված հեռախոսահամարը կարելի է փոխել։

Բայց՝ անձնագրի լուսանկարը հեշտությամբ փոխել հնարավոր չէ։ Ծննդյան ամսաթիվը հնարավոր չէ փոխել։ Անձնագրի համարը հնարավոր չէ ընդմիշտ վերակայել։ Դեմքը կենսաչափորեն հնարավոր չէ փոխարինել։ Ողջ կյանքի ինքնությունը հնարավոր չէ վերակայել։

Հենց այդ պատճառով ինքնության տվյալները երկարաժամկետ հեռանկարում կարող են ավելի վտանգավոր լինել, քան դասական մուտքի տվյալները։ FATF-ն ինքն է մատնանշում թվային նույնականացման համակարգերի առանձնահատուկ գաղտնիության, խարդախության և ինքնության ռիսկերը․ լայնածավալ թվային նույնականացման համակարգերը անվտանգության խախտումների դեպքում կարող են հնարավոր դարձնել ինքնության զանգվածային գողություններ։

Ներքին անձինք անվտանգության թերագնահատված ռիսկ են

Անվտանգության շատ հայեցակարգեր կենտրոնանում են հաքերների, վնասակար ծրագրերի, ransomware-ի, ֆիշինգի, zero-day խոցելիությունների կամ DDoS-ի վրա։ Ընդ որում, մեկ այլ գործոն հաճախ անտեսվում է՝ օրինական հասանելիության իրավունքներ ունեցող մարդը։ Աշխատակիցը կարող է պատճենել տվյալներ, սքրինշոթներ անել, արտահանել հաճախորդների տվյալներ, տեղեկություններ փոխանցել, սոցիալական ինժեներիայով զբաղվել, չարաշահել մուտքի տվյալները կամ կաշառք վերցնել։

Եվ որքան արժեքավոր են տվյալները, այնքան մեծ կարող է լինել տնտեսական դրդապատճառը։ KYC տվյալները պատկանում են ամենաարժեքավոր անձնական տվյալների հավաքածուներին, որոնք կարող է ունենալ ֆինանսական ընկերությունը։

Իսկ ի՞նչ կարելի է ասել պետական մարմիններում կոռուպցիայի մասին

Այստեղ անհրաժեշտ է հատկապես զգույշ տարբերակում։ Անլուրջ կլիներ պնդել․ «Պետական մարմինները կոռումպացված են և վաճառում են KYC տվյալներ»։ Դրա համար ընդհանուր հիմք չկա։ Բայց նույնքան սխալ կլիներ պնդել․ «Պետական համակարգերը սկզբունքորեն անխոցելի են չարաշահումների նկատմամբ»։ Հակառակը փաստագրված է։

Օրինակ՝ Ցյուրիխի կանտոնի դատախազությունը հրապարակել է դեպքեր, երբ ոստիկաններ մեղադրվել կամ դատապարտվել են ոստիկանական տվյալների բազաներից գաղտնի տեղեկություններ երրորդ անձանց փոխանցելու համար։ Մի դեպքում նույնիսկ նշվել է CHF 10 000-ի վճարում՝ տվյալների փոխանցման հետ կապված։

ԱՄՆ-ում 2024 թվականին նախկին ոստիկանը դատապարտվել է 20 ամիս ազատազրկման այն բանից հետո, երբ վճարի դիմաց փոխանցել էր գաղտնի տեղեկություններ ոստիկանական տվյալների բազայից։ Դատարանի տվյալներով՝ այդ ընթացքում փոխանցվել են 2 667 դժբախտ պատահարների զոհերի տեղեկությունները։

Սա չի նշանակում, որ պետական տվյալների բազաները սկզբունքորեն անապահով են։ Սակայն դա ցույց է տալիս մի կարևոր կետ․ յուրաքանչյուր համակարգ, որը պահում է հատկապես զգայուն անձնական տեղեկություններ, պետք է հաշվի առնի նաև ներքին անձանց ռիսկը։

Այսպիսով, KYC-ն կարող է դառնալ «honeypot»

Honeypot-ը փոխաբերական իմաստով հարձակվողների համար հատկապես գրավիչ թիրախ է։ Անձնագիր, սելֆի, հասցե, հեռախոսահամար, ֆինանսական տվյալներ և կրիպտոգործունեություն պարունակող տվյալների բազան հանցագործի տեսանկյունից չափազանց հետաքրքիր է։ Քանի որ դրանից կարող են ծագել տարբեր հարձակումներ․

Ինչու KYC-ն ինքնաբերաբար չի խանգարում հանցագործներին օգտվել համակարգից

Մեկ այլ կարևոր կետ․ KYC-ն ինքնության կատարյալ երաշխիք չէ։ Ինքնության ստուգումը կարող է շրջանցվել կամ չարաշահվել կեղծ փաստաթղթերի, գողացված ինքնությունների, սինթետիկ ինքնությունների, վտանգված հաշիվների, ձևափոխված փաստաթղթերի, սոցիալական ինժեներիայի, մարդկային սխալների կամ երրորդ կողմի մատակարարների խոցելիությունների միջոցով։

FATF-ն ինքն է նկարագրում ինքնության ստուգման, ինքնության գողության, սինթետիկ ինքնությունների և վտանգված թվային նույնականացման համակարգերի հետ կապված ռիսկերը։ Այսպիսով առաջանում է ևս մեկ պարադոքս․ օգտատերը որոշ դեպքերում պետք է տրամադրի հսկայական քանակությամբ իրական տվյալներ, մինչդեռ հարձակվողը փորձում է կեղծ կամ գողացված տվյալներով անցնել նույն գործընթացով։ Այսպիսով, KYC-ն կարող է զգալիորեն դժվարացնել հանցագործների գործը։ Սակայն այն կախարդական պաշտպանական մեխանիզմ չէ։

Ինչու «առանց KYC»-ն երբեմն կարող է ավելի անվտանգ լինել

Որոշակի հանգամանքներում առանց KYC-ի ծառայությունը գաղտնիության տեսանկյունից կարող է ավելի գրավիչ լինել։ Ոչ թե այն պատճառով, որ առանց KYC-ի ծառայությունն ինքնաբերաբար ավելի վստահելի է, այլ որովհետև տվյալները, որոնք երբեք չեն հավաքվում, չեն կարող նաև գողացվել այդ տվյալների բազայից։

Օրինակ՝ A ծառայությունը պահանջում է անձնագիր, սելֆի, հասցե, հեռախոսահամար, հարկային համար և բանկային քաղվածքներ։ B ծառայությունը պահանջում է միայն էլ. փոստի հասցե և տեխնիկական անվտանգության տեղեկություններ, ոչ թե ինքնության ամբողջական փաստաթղթավորում։ Եթե A ծառայությունը վտանգվում է, կարող են կորչել ինքնության զգալիորեն ավելի լուրջ տվյալներ։ B ծառայությունը նույնպես կարող է հաքերային հարձակման ենթարկվել – բայց չհավաքված տվյալները այնտեղից չեն կարող հափշտակվել համակարգից։

Սա օրենքով պահանջվող KYC գործընթացները շրջանցելու փաստարկ չէ։ Սա փաստարկ է Privacy by Design-ի և տվյալների նվազագույնի հասցման օգտին։

KYC տվյալներ և բլոկչեյնի թափանցիկություն․ վտանգավոր համադրություն

Կրիպտոարժույթների ամենամեծ առանձնահատկություններից մեկը բլոկչեյնների մասամբ հրապարակային բնույթն է։ Bitcoin-ը դասական իմաստով անանուն վճարային համակարգ չէ, այլ, պարզեցված ասած, կեղծանվային է։ Բլոկչեյն հասցեն ինքնաբերաբար ցույց չի տալիս «Max Mustermann, Բեռլին» – սկզբում այն ցույց է տալիս պարզապես կրիպտոգրաֆիկ հասցե։

Սակայն հենց որ կարգավորվող հարթակը այդ հասցեն կապում է ինքնության հետ, այդ կապը կարող է կարևոր դառնալ տվյալ հարթակի համար և – կախված օրենսդրական պայմաններից – որոշ դեպքերում նաև այլ լիազորված մարմինների համար։ Այնուհետև բլոկչեյն վերլուծության միջոցով կարող են ուսումնասիրվել այլ գործարքներ և հասցեներ։ Այսպիսով, KYC-ի մեկ կետը կարող է բացել տվյալների շատ ավելի մեծ լանդշաֆտ։

Դրան գումարվում է նաև ցանցային մակարդակը. ով բորսաներին, դրամապանակներին կամ բլոկ-էքսփլորերներին միշտ դիմում է սեփական ինտերնետ կապից, իր հասցեները լրացուցիչ կապում է նաև իր IP հասցեի հետ։ Թե ինչու է սա առանձին և հաճախ թերագնահատվող հետք, բացատրում է մեր Ինչպես թաքցնել IP հասցեն․ VPN, պրոքսի և Tor՝ պարզ բացատրությամբ հոդվածը։

Ռիսկերը կրիպտո օգտատերերի համար

Ամենակարևոր ռիսկերը կարելի է բաժանել մի քանի կատեգորիաների։

Կիբեռռիսկեր

Ինքնության ռիսկեր

Ֆինանսական ռիսկեր

Հատկապես SIM-swapping-ի և հաշվի զավթման դեմ օգնում է սեփական հիմնական համարը հնարավորինս քիչ տարածելը – թե ինչու, ցույց է տալիս Վիրտուալ հեռախոսահամարներ՝ տվյալների պաշտպանություն և անվտանգություն հոդվածը։

Ֆիզիկական ռիսկեր

Ներքին ռիսկեր

Իրավական ռիսկեր

Տվյալները – կախված իրավական համակարգից և օրենսդրական հիմքից – կարող են նաև դառնալ պետական մարմինների հարցումների, քննությունների, դատական որոշումների, հաշվետվության պարտականությունների կամ հարկային հաշվետվությունների առարկա։

Ինչ կարող են կոնկրետ անել օգտատերերը

Լավագույն ռազմավարությունը ոչ թե ամեն KYC-ից կուրորեն հրաժարվելն է։ Այն ինքնության ավելորդ ռիսկերը նվազեցնելն է։

KYC միայն վստահելի մատակարարների մոտ

Գրանցվելուց առաջ պետք է ստուգել․ ընկերության գտնվելու վայրը, կարգավորման կարգավիճակը, գաղտնիության քաղաքականությունը, անվտանգության մոդելը, նախկին անվտանգության միջադեպերը, օգտագործվող KYC ծառայություններ մատուցողներին, տվյալներ մշակողներին, պահպանման ժամկետները։

Մի բացահայտիր ավելի շատ տեղեկություններ, քան անհրաժեշտ է

Եթե ծառայությունը պահանջում է միայն որոշակի ապացույց, չպետք է կամավոր լրացուցիչ փաստաթղթեր ուղարկել – ոչ մի ավելորդ բանկային քաղվածք, հարկային փաստաթուղթ, ակտիվների ապացույց, հասցեի ապացույց կամ անձնական փաստաթուղթ, եթե դրանք պարտադիր չեն։

Երբեք մի ուղարկիր KYC էլ. փոստով անծանոթ անձանց

Վստահելի մատակարարը պետք է տրամադրի անվտանգ վերբեռնման գործընթաց։ Հատկապես վտանգավոր է՝ «Խնդրում ենք ուղարկել մեզ ձեր անձնագիրը և սելֆի Telegram-ով»։ Սա խիստ լուրջ ահազանգ է։

Ինչպես է PRO6SELLER-ն օգնում քեզ տվյալների նվազեցման հարցում

Ավելի քիչ ինքնության տվյալներ բացահայտելը առանձին հնարքների հարց չէ, այլ բազմաթիվ փոքր որոշումների։ Դրա համար PRO6SELLER-ն առաջարկում է համապատասխան գործիքներ՝

Ավելի շատ տվյալները ինքնաբերաբար չեն նշանակում ավելի շատ անվտանգություն

Սա, հավանաբար, այս ամբողջ հետազոտության ամենակարևոր եզրահանգումն է։ Ինտուիտիվ կարելի է մտածել․ ավելի շատ տվյալներ → ավելի լավ վերահսկողություն → ավելի շատ անվտանգություն։ Բայց գոյություն ունի երկրորդ հավասարում․ ավելի շատ տվյալներ → ավելի մեծ տվյալների հավաքածու → ավելի բարձր արժեք հարձակվողների համար → ավելի մեծ վնաս վտանգման դեպքում։

Ուստի անվտանգությունը չի ստեղծվում տվյալների առավելագույն հավաքագրմամբ։ Անվտանգությունը ստեղծվում է անհրաժեշտ տվյալների հավաքագրմամբ, տվյալների լավ որակով, ուժեղ հասանելիության վերահսկողությամբ, պահպանման կարճ ժամկետներով, անվտանգ մշակմամբ և հարձակման նվազագույնի հասցված մակերեսով։

Ամենակարևոր եզրակացությունը

KYC-ի մասին բանավեճը հաճախ բաժանվում է երկու ծայրահեղության․ «KYC-ն մեզ պաշտպանում է» կամ «KYC-ն սկզբունքորեն չար է»։ Երկու դիրքորոշումներն էլ չափազանց պարզունակ են։ Իրականությունն ավելի բարդ է․

🔗 Թեմայի շուրջ․ ով ցանկանում է Bitcoin, Ethereum, Solana կամ USDT գնելիս հնարավորինս քիչ անձնական տվյալներ բացահայտել, PRO6SELLER կրիպտո խանութում կգտնի գնում ամբողջովին առանց KYC-ի և առանց հաշվի։

Seed-արտահայտությունները, դրամապանակների պահուստային պատճենները կամ սկանավորված անձը հաստատող փաստաթղթերը երբեք չպետք է պահվեն կամ ուղարկվեն առանց գաղտնագրման – մեր Vault-ը գաղտնագրում է ֆայլերը անմիջապես բրաուզերում՝ նախքան դրանք կլքեն սարքը։

Եվ քանի որ ինքնության տվյալները հաճախ ստեղծվում են արդեն առաջին գրանցման ժամանակ. թե ինչպես դրա համար չբացահայտել քո հիմնական հասցեն, բացատրում է Ժամանակավոր էլփոստի հասցեներ․ տվյալների պաշտպանություն և անվտանգություն հոդվածը։