«Пенсионеров сложнее обмануть, чем молодежь»: директор по доверию и безопасности Авито Наталья Юматова о защите пользователей в интернете

О выборе пути и карьере

— У вас очень большая должность, и обычно безопасность — это мужская профессия. Кем вы мечтали быть в детстве?

— Я хотела быть математиком, программистом, далеко не каким-то экспертом в области продукта или безопасности, то есть своей текущей сферы, в которой я работаю. В целом была мечта чего-то достичь, а не мысль о конкретной профессии.

— Вы 11 лет работаете в «Авито». В чем основные плюсы и минусы женской карьеры в больших корпорациях?

— Мне кажется, что специфика, в которой я нахожусь, в меньшей степени связана с тем, женская это профессия или нет. Я действительно слышала от знакомых, что в некоторых компаниях есть разница в том, кого выбирают на разного типа должности. У нас каких-то гендерных предрассудков, честно, на сто процентов нет. И в целом мне повезло — я практически нигде с ними не сталкивалась.

Даже в сфере безопасности мы, как правило, ищем не только ребят, у которых образование по информационной безопасности. У нас буквально единицы таких. У нас много гуманитариев, ребят, которые занимались языками. И, собственно, их карьерный путь скорее был про то, что они, как и я, ищут команду единомышленников. Они хотят развиваться и приносить пользу.

Доверие — тонкая материя

— Что делает директор по доверию и безопасности? Безопасность еще плюс-минус понятна. А что такое доверие?

— Да, это более сложная история. И она базируется на специфике бизнеса, в котором я работаю. «Авито» — это площадка, где мы пытаемся найти и покупателя, и продавца. Как в дейтинговом сервисе, но здесь это про выгодные сделки. Тебе нужно сформировать доверие между пользователями, чтобы они выбрали друг друга, особенно если требуется встреча.

Бывают сложные покупки. Если это диван или игровая приставка, ты хочешь прийти к человеку, что-то проверить. Либо сфера услуг, когда тебе нужно найти человека, который, возможно, придет к тебе в квартиру, или доверить ему свое здоровье, если это какие-то косметические услуги. Здесь очень важно на уровне продукта и человеческих отношений сформировать доверие.

Когда я пытаюсь человеку на улице объяснить, чем я занимаюсь, то проще всего работает метафора про маму. Моя задача — чтобы моя мама, а это уже женщина серебряного возраста, могла без моей помощи спокойно купить или продать что-то на платформе и я за это не переживала.

— Если говорить про основные инструменты безопасности и потом отдельно про инструменты доверия — это два разных механизма внутри платформы?

— Я бы так сказала: они дополняют друг друга. Когда мы говорим про безопасность, здесь работают алгоритмы, которые скрыты от человека. Искусственный интеллект уже больше десяти лет помогает нам в этой работе. Но без них не сможет сформироваться и вторая составляющая, связанная с доверием. Если на платформе будут люди, которые отправляют вам спам-сообщения или пытаются как-то вывести из равновесия, увести с платформы, обмануть, очевидно, ни о каком доверии речи идти не будет.

Как формируется доверие? Есть несколько компонентов. Есть доверие от крупных организаций. Если кто-то поручился за этого человека или компанию, то, кажется, ему можно доверять. В некотором смысле есть доверие толпы — за счет рейтингов и отзывов, какой-то обратной связи от других клиентов. И доверие близкого круга — когда речь идет о том, что ты, например, уже раньше совершил сделку с этим человеком, добавил себе в избранное. Может быть, тебе кто-то его порекомендовал из близких.

И вот эта материя — она самая тонкая. Как говорится, доверие сложно заработать, но легко потерять.

— А если говорить про безопасность? Мы все знаем, что людей, которые профессионально занимаются обманом в интернете, компаний, которые на этом специализируются, всегда какое-то определенное количество. И они каждый раз изобретают что-то новое.

— Попробуем разобрать, как вообще строится логика вокруг схем обмана. В целом ключевой рычаг, на который сейчас давят за счет социальной инженерии, — это человеческая психика. Здесь важно постараться человека ввести в заблуждение, поторопить, постараться его испугать либо воспользоваться любыми другими уязвимостями конкретного человека, чтобы выбить его из равновесия. И дальше уже по какой-то конкретной схеме пытаться вести. В этом смысле на самом деле все схемы, которые можно сейчас придумать и осуществить, базируются как раз на механике социальной инженерии.

— А что насчет технологических схем?

— Их слишком мало. Компании — крупный бизнес и цифровые платформы — инвестируют огромные средства в то, чтобы эти уязвимости закрывать. Вот для примера: за последние пять лет платформа «Авито» инвестировала около 15 млрд руб. в вопросы безопасности. И, очевидно, какие-то технологические угрозы закрыты. Вопрос именно в том, как достучаться до людей, объяснить им ключевые правила, подходы к безопасности.

Действительно, остаются моменты, с которыми в части технологий мы можем работать. Особенно если появляются какие-то новые каналы создания учетных записей или как-то меняются паттерны поведения злоумышленников. Но в целом, когда мы говорим про человека — конечного пользователя, нашего клиента, — здесь базовое, на что стоит обратить внимание: нет ли у вас какого-то ощущения, что в этом диалоге или в этой сделке вас что-то смущает, беспокоит? У вас есть дискомфорт, потому что на вас давят, вас пугают, вас торопят? То есть пытаются каким-то образом немножечко вас из вашего стандартного общего состояния выбить.

Так как платформы защищают клиентов как в звонках, так и в переписке на площадках, злоумышленникам нужно увести человека с платформы. Это делается, чтобы в сторонних мессенджерах, где вас, очевидно, никто не будет защищать, постараться свои вот эти злые дела провернуть. Примерно 70% жалоб на злоупотребления как раз и связаны с тем, что человек ушел с платформы, не воспользовался нашими рекомендациями и его где-то обманули.

Общие правила безопасной сделки

— То есть вообще залог того, чтобы не быть обманутым, — это не давать свой прямой контакт.

— В идеальном мире — да. Если дать прямо базовые правила, мне кажется, достаточно буквально трех, чтобы много не запоминать.

— Не давать телефон, не отправлять деньги. А третье?

— На самом деле первым пунктом мы предлагаем оставаться в безопасном контуре той платформы, на которую вы пришли за сделкой. То есть не переходить в другие каналы коммуникации. И это правило позволяет вам не передавать контакт, потому что злоумышленник как раз пытается выманить у вас либо адрес электронной почты, либо телефон, либо аккаунт социальной сети, чтобы вас увести. Не обязательно номер телефона.

Второе — это история про то, что на многих платформах есть сценарий безопасной сделки, когда сама площадка выступает гарантом. Обычно защита идет как покупателя, так и продавца. У нас это безопасная сделка через «Авито Доставку» либо, в зависимости от вертикали, в краткосрочной аренде это онлайн-бронирование, и так далее. И в этом смысле обе стороны сделки защищены. Никто не переживает, все счастливы. Я сплю спокойно. Это идеальный вариант развития событий — пользоваться механизмом безопасной сделки. Ну или хотя бы встретиться с человеком и лично убедиться, что товар существует.

— Мы затронули очень понятную, логичную тему обмана со стороны продавцов. Но что насчет покупателей — они тоже обманывают?

— Быстрый ответ — конечно, 50/50. Здесь нет какой-то специфики, потому что подходы те же самые.

— То есть, например, человек делает вид, что хочет что-то купить, приходит, забирает товар и не отдает деньги?

— Под видом вывода денег вам могут отправить ссылку. То есть продавец считает, что он сможет получить деньги по какой-то ссылке в интернете, а на самом деле происходит списание с его карты.

Здесь используются, скорее, не более хитрые, а менее предсказуемые для человека подходы. Но логика остается прежней. Не переходим по неизвестным ссылкам, то есть не покидаем безопасный контур платформы, в которой совершаем сделку, стараемся пользоваться механиками безопасной сделки. Тогда этих проблем и переживаний можно избежать.

О выявлении злоумышленников

— Затронем лингвистику. Насколько я знаю, как и что говорят — это огромный массив данных.

— Практически 70 млн человек пишут друг другу каждый месяц. Вы правы, переписок огромное количество.

— Можно ли по тому, как и что человек пишет, определить, что он злоумышленник?

— Действительно, есть паттерны. Особенно если злоумышленник массово пытается найти жертву, он использует очень похожие паттерны в переписке просто потому, что он таким образом экономит свою энергию и пытается ускорить процесс.

Мы часто пользуемся таким подходом: определяем фразы особого типа или конкретные намерения, чтобы обезопасить клиентов. Если даже мы на 100% не уверены, что это профиль злоумышленника, у нас есть дополнительные типы проверок. Мы пытаемся подтвердить, что за учеткой стоит живой человек, а не бот. Запускаем в том числе проверки, например верификацию для подтверждения, что он человек.

Почему мы перепроверяем? Когда поведение кажется суперстранным, оказывается, что огромное число обычных людей просто действительно так себя ведут. По паттернам это похоже на какое-то злоупотребление, но по факту — просто живой человек.

— А что такое странное поведение, как оно должно выглядеть? Когда я пытаюсь в один момент купить сто разных вещей?

— Это потому, что у вас настроение такое. Здесь, скорее, речь идет о резкой смене поведения. Например, был профиль мамы, которая продает детские вещи, и вдруг происходит размещение объявления о продаже крупногабаритной техники, какого-нибудь эскалатора.

— Это как будто я продала профиль злоумышленнику?

— Как будто вы сдали его в аренду или разместили объявление по просьбе какого-то третьего лица. Здесь может быть два варианта развития событий: либо муж пришел в профиль жены, чтобы разместить объявление о продаже спецтехники, либо это злоумышленник, который пытается выманить деньги. Самый простой вариант развития событий — это попросить человека пройти дополнительную проверку, чтобы убедиться, что все хорошо.

Среди странных паттернов поведения также может быть резкая смена геопозиции. Это, скорее, ситуации, когда человек, например, передал кому-то учетную запись в аренду. Они самые страшные для нас, так как мы изначально работаем с профилем хорошего пользователя.

Мы блокируем действия того, кого считаем третьим лицом, и стараемся предупредить владельца, что истории такого типа могут привести к последствиям вплоть до уголовной ответственности. Потому что если произойдет крупное хищение и начнется расследование, то владелец профиля будет соучастником.

Про верифицированные учетные записи

— Сейчас у вас довольно непростая верификация, особенно если ты попал на дополнительную проверку. Все равно даже при таких методах люди, которые хотят обмануть, проходят верификацию. Как это технически возможно?

— Если мы подозреваем какую-то проблему, мы действительно чаще всего просим пройти верификацию по документам, чтобы убедиться, что это действительно живой человек. Как можно постараться это обойти? Найти соседа, друга, коллегу — того, кто такую проверку пройдет за тебя. Но их число ограниченное, поэтому бесконечно привлекать к дополнительным проверкам людей извне не получится. Это первая хорошая новость.

Вторая хорошая новость: пройденная проверка не гарантирует, что мы перестанем обращать внимание на поведение этого профиля, так как мы понимаем, что в этом случае ситуации могут быть разные. Мы всегда продолжаем пристально отслеживать, что происходит с учетной записью. Если мы подозреваем, что с ней по-прежнему происходят какие-то странные действия, то отправляем на повторную проверку. Это гарантирует, что если раньше поблизости у вас был друг, сосед, сват, брат, а сейчас его нет, вы в моменте эту проверку пройти не сможете. Со стороны платформы также есть дополнительные меры защиты и безопасности, чтобы мы могли как раз определять людей, которые, возможно, решили нас обхитрить.

— Если взять весь объем профилей, которые у вас есть, то сколько среди них тех, за которыми вы следите? Меньше процента или вообще единицы?

— Если мы говорим про верифицированные профили, то хороших большинство. Сейчас 70% объема ликвидности, то есть внимания клиентов, просмотров, контактов, звонков, приходится на верифицированные профили. То есть семь из десяти контактов на платформе происходят с теми людьми, которые добровольно решили сказать: «Я хороший человек, все в порядке, можете мне доверять».

Внимание аудитории в первую очередь направлено на верифицированных продавцов, которые прошли проверку. Особенно хорошо это работает в связке с другими нашими продуктами — нашими рейтингами и отзывами. Когда человек пытается найти того самого продавца, которому можно доверять, он, как правило, смотрит на все факторы в совокупности.

О честных сделках

— Мы уже начали говорить о доверии. Рейтинги, отзывы, количество лет — что еще инструментально его формирует? Я пришла на «Авито», создала новый профиль, решила распродать вещи после ремонта или гардероб. Что является основополагающим, что мне нужно сделать, чтобы потенциальные покупатели мне доверяли?

— На самом деле сначала сделаем мы. Мы проверяем цифровой след любого человека, который регистрируется на платформе. В частности, не было ли человека с таким же цифровым следом на платформе. Может быть, к нам возвращается клиент, которого мы раньше знали. Ему нужно рекомендовать уже созданный профиль. Либо это, например, известный нам злоумышленник, и тогда мы его не пустим на площадку при попытке регистрации. Мы проводим эту работу на базе алгоритмов машинного обучения, анализируя всю доступную информацию о поведении клиента с этим цифровым профилем.

Дальше, когда человек заходит на платформу, размещает объявление, важно достаточно подробно и честно описать свой товар. Многие, например, ленятся и не хотят добавлять описание либо скрывают какие-то дефекты в товаре, который продают. В части привлечения внимания, чтобы тот самый покупатель вас заметил, будет здорово, если получится максимально подробно, честно и аккуратно описать ситуацию. Когда у бывшего в употреблении товара нет изъянов, это странно. Люди начинают задавать вопросы в личных сообщениях и писать «приложите больше фотографий» или еще что-то. Так как они понимают, что это невозможно. Эта честность потихонечку формирует доверие, вашу репутацию на платформе.

— Что еще интересно. Если я заказываю вашу доставку и вдруг мне вместо того, что я заказала, приходит кирпич. Я вам сообщаю о проблеме, и вы мне возвращаете деньги, — как это происходит с точки зрения безопасной сделки?

— На самом деле на более раннем этапе мы стараемся предотвращать любые подмены. Когда вы приходите в пункт выдачи заказов сдать свою посылку, вас наверняка просят показать, что в коробке. Сотрудник пункта смотрит, что написано в объявлении. Например, настолка, книга или телефон. Это первый раз, когда мы быстро проверяем, что там точно не кирпич.

Второй шаг — когда вы забираете посылку, вас всегда просят ее проверить. Как раз в этот момент вы можете под камерами в пункте выдачи заказов спокойно вскрыть посылку. Допустим, это дорогая покупка — телефон или очень важная для вас вещь, например наряд на ближайшее мероприятие. Если вдруг там какая-то зацепка или пятно, это для вас будет критично.

Вы тут же проверяете посылку, убеждаетесь, что все хорошо, а если нет, то просто не принимаете ее и получаете обратно свои деньги. Если вы все-таки забрали посылку домой и поняли, что проблема критическая и там условный кирпич, есть возможность обратиться в полицию, написать заявление. В такой ситуации мы, конечно, вернем деньги.

О трендах в обмане покупателей

— А если говорить про какие-то совсем необычные схемы обмана? Когда вы всей командой сидели и удивлялись: «Блин, да как они вообще такое придумали?!»

— Когда мы говорим про изощренные схемы в формате именно социальной инженерии, они все очень понятны. Когда идет давление на человека, просто нажимают на разные кнопки. Среди нестандартных приемов, например, когда имитируют семейные пары или детей, пытаются торопить с отправкой или предоплатой, давить, что нужно ребенка из детского сада забрать. Пытаются создать образ такой идеальной благополучной семьи. В этом смысле, наверное, злоумышленники — это самые вежливые люди, идеальные покупатели. Человек ни на секунду никуда не отвлекается, отвечает вам в моменте и очень сильно приклеен к вашему разговору и сделке.

— Получается, идеальных настоящих покупателей не бывает?

— Ну, практически. Вот эта стерильность должна скорее настораживать.

— А как часто вообще меняются эти схемы обмана, как часто они обновляются?

— Базово это всегда попытка надавить, найти ту самую кнопку. А контекст, в котором это происходит, действительно может меняться.

Я думаю, вы сами замечали, что когда-то речь идет про что-то, связанное с почтовыми сервисами, когда-то — про государственные сервисы, когда-то — про налоговые сервисы. Разный контекст, попытка придумать страшную историю, но по сути всегда одно: переведите деньги на безопасный счет, сделайте предоплату, отправьте персональные данные.

— Интересно, а зависят ли те слова, которые нам говорят, или те ситуации, в которые нас пытаются заставить попасть обманщики, от контекста? Есть ли «мода» на определенные ситуации?

— Вы правильно говорите, что есть тренды. Все зависит от информационной повестки. Но, если честно, это скорее попытка ковровых бомбардировок с расчетом, что хотя бы одна схема в человека попадет.

И человек, который до этого отбивал миллион разных историй про африканских родственников, которые оставили наследство, или доступы от государственных сервисов, вдруг попадается на удочку про налоговую, потому что апрель, сейчас сезон подавать налоговые декларации, и он без задней мысли думает, что это действительно идет общение, например, с инспектором.

— А вообще люди сейчас предпочитают меньше звонков и больше писать?

— Тут очень сильно зависит от специфики платформы, с какой аудиторией она работает. Если больше молодежи, то да, скорее будут переписки. Если речь идет о более взрослых людях, будут и звонки, и переписки, потому что здесь ситуация очень разная.

Даже если мы берем «Авито», то в зависимости от категории. В Fashion может быть больше переписок, потому что ты хочешь подтвердить фотографиями, сделать фото конкретного платья или куртки, юбки.

Если речь идет про какие-то дорогие покупки — квартиры, машины, то здесь могут преобладать звонки, потому что необходимо убедиться, что ответит живой человек, все в порядке, можно, например, выехать, квартиру посмотреть.

Поэтому от категории к категории все зависит от того, что для вас в моменте будет тем самым фактором доверия.

— А есть какие-то ваши вертикали, в которых меньше обмана? В «Авито Работе», например.

— На самом деле его не так и много. Если брать, например, последние пять лет, то мы сократили количество злоупотреблений на платформе в сто раз. И это совершенно точно для нас не предел. У нас очень агрессивные цели по тому, как мы будем действовать дальше. Но нельзя сказать, что, например, есть какие-то вертикали, в которых больше злоупотреблений.

— Любого человека можно обмануть?

— Мне кажется, при желании — да. Главное, очень убедительную схему сформировать. Но это просто дорого. Одна из задач таких платформ, как наша, как «Авито», — это сделать для злоумышленников работу на платформе невыгодной.

Мы, например, работаем над тем, чтобы дорожали схемы получения профиля, благодаря которому можно что-то сделать или попытаться увести на другие площадки.

Пенсионеров сложнее обмануть, чем молодежь

— Сейчас общий вопрос не про платформу, а в целом про то, что происходит. Мы в последнее время видим бесконечное количество историй о том, что какая-нибудь бабушка отдала десятки миллионов рублей, продала квартиру. Это действительно какая-то новая ветка развития серого бизнеса или просто про это стали больше говорить?

— Для меня это скорее про «больше стали говорить». Когда речь идет о таких незащищенных категориях граждан, которых теоретически легко обмануть, это хорошая пища для СМИ. Для меня лично это особенность наших СМИ, которые пытаются перемывать косточки в таких неприятных ситуациях. Хотя, на мой взгляд, здесь я бы, скорее, ожидала как раз помощи в том, чтобы работать над просвещением и рассказывать о правилах безопасности.

Но между тем схем таких не становится больше. Если мы опираемся, например, на результаты цифрового диктанта, который примерно каждый год проходит и можно отследить динамику по категориям, то пенсионеры себя лучше показывают, чем молодые люди.

По нашей гипотезе, мы уже достаточно сильно запугали мам, бабушек, дедушек и отцов тем, что их могут обмануть. А вот молодое поколение — не только дети, это могут быть и молодые люди 17–25 лет — у них самые низкие показатели по цифровой грамотности, потому что они думают, что родились с телефоном, у них все схвачено и их невозможно обмануть. И как раз они чаще всего и обманываются. Потому что слишком сильно себе доверяют.

— Может быть, эти истории про бабушек тоже не так плохи, потому что там обычно рассказывается, как это происходило. Когда ты прочитал такую историю, более настороженно будешь относиться к звонкам, разговорам и прочему.

— Может быть, может быть. Как минимум не будешь наличку отдавать с непонятным курьером.

— Да. История Ларисы Долиной в этом плане совершенно чудовищная. Известный человек, у которого очень много людей вокруг, с которыми точно можно посоветоваться. То есть к обманщикам могут попасть примерно все.

— Это, опять же, про давление, манипуляции и прочие техники, которые пытаются бить в самое уязвимое в нашей психике. Здесь злоумышленникам удалось. Кейс действительно показательный.

Для людей серебряного возраста мы готовим отдельные образовательные программы и проекты. В этом году в четырех крупных регионах уже прошли первые обучающие мероприятия. Очень теплые, душевные встречи с пенсионерами, на которых мы погружаемся именно в вопросы безопасности, разбираем их примеры, те ситуации, в которых им нужна помощь. Стараемся помочь людям обеспечить то самое доверие, которое позволит им совершать сделки в интернете наравне со всеми.