Должна ли компания компенсировать ущерб, если клиент сам передал код мошеннику?

Мне кажется, этот вопрос часто задают слишком поздно и слишком узко. До передачи кода уже могла произойти длинная последовательность событий: phishing, новое устройство, подозрительная session, изменение контактов, account recovery, новый beneficiary, необычная операция.

Но когда деньги потеряны, дискуссия неожиданно сводится к последнему действию: «Клиент сам подтвердил».

Юридически и фактически конкретные случаи, конечно, различаются.

Но с точки зрения security я бы смотрел шире. Компания сама проектирует: — authentication; — account recovery; — session lifetime; — transaction confirmation; — antifraud controls; — support procedures; — customer warnings.

Поэтому я не считаю account takeover исключительно проблемой клиента, даже если компрометация началась на его устройстве.

Это не означает автоматическую компенсацию любого ущерба.

Это означает, что качество системы доверия тоже должно входить в разбор ответственности.

Есть ещё одна проблема. В компании account takeover часто сразу делят между функциями. SOC проверяет, была ли взломана корпоративная система. Antifraud смотрит transaction. IAM меняет credentials. Support работает с клиентом. Legal определяет redress.

Но attacker всё это время управляет одной сущностью — клиентской identity. Поэтому я бы не начинал response с вопроса «чей это case?».

Сначала: identity containment; transaction containment; session review; customer verification; secure recovery. И только потом — окончательная классификация.

Особенно меня беспокоит аргумент: «Authentication отработала штатно». При украденной сессии это почти ничего не доказывает.

При социальной инженерии пользователь может пройти все предусмотренные controls и всё равно действовать в интересах злоумышленника. А сильный MFA можно обойти через слабый account recovery. То есть технически корректный процесс ещё не означает безопасный результат.

Поэтому для ATO я бы использовал другую точку завершения инцидента. Не «транзакция остановлена». Не «пароль сменён». А: можем ли мы снова обоснованно доверять тому, кто управляет аккаунтом?

Отсюда и общая метрика — time to trusted recovery.

До этого момента incident, на мой взгляд, ещё продолжается.

Вопрос для дискуссии: если клиент формально сам подтвердил мошеннические действия, где для вас проходит граница между ответственностью пользователя и недостатками спроектированной компанией системы доверия?