«Без Авито мир откатится на 15 лет назад»

На фоне ухода из России многих крупных ИТ-компаний Авито продолжает работу, увеличивая инвестиции в удобство и безопасность платформы. Директор департамента Trust&Safety Авито Андрей Рыбинцев рассказал “Ъ” о том, как искусственный интеллект отсеивает нарушающие правила площадки объявления и как дорого компании обходится безопасность пользователей.

— Андрей, хочу для начала попросить вас рассказать о том, как с точки зрения организации устроена информационная безопасность Авито.

— Мы работаем сразу в двух направлениях. Первое — это обеспечение безопасности инфраструктуры нашей платформы в целом. В этом сегменте работает команда, которая защищает площадку от взломов, DDOs-атак и других глобальных угроз. Нам помогают глобальные системы аудита, а также передовые подходы к защите данных. Например, в каждой команде внутри Авито есть такая должность, как security champion,- это сотрудник, который проверяет все разрабатываемые Авито системы на предмет возможных уязвимостей еще на этапе создания. Второе — это Trust&Safety, подразделение, которое работает над безопасностью пользователей и защитой их от действий злоумышленников. Такой серьезный подход привел к тому, что за всю историю существования платформы Авито не было взломов и других крупных инцидентов безопасности.

Если вы где-то видите якобы «слитую базу Авито» — это всегда результат парсинга — сбора открытых данных со страничек пользователей. Эти данные любой может посмотреть сам, для этого даже не требуется регистрация на платформе. Парсеры собирают данные из разных источников, связывая между собой номера телефонов, данные профилей в социальных сетях, на платформах объявлений, в открытых базах государственных ведомств. Причем это уже не новые данные.

Такой серьезный подход привел к тому, что за всю историю существования платформы «Авито» не было взломов и других крупных инцидентов безопасности.

Понимая, насколько остро стоит вопрос защиты информации, в прошлом году мы внедрили механизм защиты одного из наиболее важных компонентов персональных данных — номера телефона. Сейчас с номером вашего мобильного как личным идентификатором человека связано практически все, в том числе платежные счета, вход в различные приложения. Поэтому для частных пользователей Авито запущен сервис защиты номера. Настоящий номер телефона в объявлении не виден, вместо него отображается специальный временный, который регулярно изменяется. Звонки при этом переадресуются владельцу объявления. Такой подход сделал парсинг данных бессмысленным: даже если кто-то привязал временный номер телефона к имени продавца — связка будет нерабочей.

— Хорошо, а как тогда устроена «под капотом» работа департамента Trust&Safety?

— Обеспечение безопасности — ключевая задача команды Trust&Safety, которая состоит более чем из 500 специалистов ручной модерации и 350 IT-специалистов. Фактически мы работаем по принципу кнута и пряника. «Кнут» — это механизм, с помощью которого отсеиваем объявления, которые не соответствуют правилам площадки, и недобросовестных пользователей, а «пряником» поощряем продавцов, которые соблюдают все правила и работают над репутацией на площадке.

— Давайте начнем с кнута.

— Это наиболее сложная часть с технологической точки зрения. Система модерации объявлений состоит из трех ступеней. На первой контент анализирует автоматическая система, работа которой строится на алгоритмах машинного обучения. Она отсеивает те объявления, которые явно нарушают законодательство или правила платформы. Помимо этого, наше решение проверяет действия пользователей на предмет аномалий. Например, подключают ли они прокси-сервисы или антидетект-браузеры и другие системы, популярные у злоумышленников, какие паттерны используют при общении с другими пользователями и многое другое. Ежедневно система анализирует до 5 млн объявлений и до 8 млрд кликов. После предварительного анализа система делит все объявления на три категории. «Плохие» сразу блокируются и не публикуются на площадке, «хорошие» публикуются. Третья категория — спорные случаи. Обработкой последних занимаются уже непосредственно наши модераторы. Кроме того, все объявления, опубликованные на площадке, периодически отправляются на выборочную постмодерацию — на случай если система ошиблась или правила изменились.

— Насколько эффективна эта IT-система, можете привести пример?

— Это самая совершенная система модерации, которая есть сейчас в России, и мы постоянно ее улучшаем. 99,99% неразрешенного контента блокируются до опубликования. Тех, кто попробовал обхитрить систему, быстро обнаружит команда постмодерации. Люди и алгоритмы работают днем и ночью, система научена распознавать самые креативные сценарии обхода правил. Такой опыт нарабатывается годами и огромным потоком контента.

— А как ваши модераторы работают с объявлениями, которые могут быть мошенническими? Как они вообще выявляются?

— Как правило, злоумышленники пытаются продать товары, которые вызывают большой интерес у покупателей. Классический пример — это телефоны или игровые приставки. Эти категории находятся под пристальным вниманием команды модерации, и по ситуации их список может расширяться и изменяться буквально за минуту. Первое, на что мы обращаем внимание,- это аномально низкая цена по сравнению с аналогичными предложениями. Затем мы анализируем поведение пользователя на площадке: использует ли он технические средства маскировки. Например, специальный браузер, чтобы скрыть конечное устройство. В том случае, если система отмечает признаки подозрительного поведения, профиль может быть отправлен на дополнительную проверку по видео. Подчеркну — на такую проверку уходит только доля процента от всех объявлений. Большинство честных пользователей никогда с этим не сталкиваются. Но если вас все же отправили на проверку, не стоит переживать. Все данные хранятся в зашифрованном виде, они никуда не передаются. Зато этот механизм защищает от повторяющихся нарушений и создания злоумышленниками многочисленных аккаунтов, так как система отметит связь между ними.

— К слову, о проверках. Вы были первой компанией в России, которая внедрила подтверждение профилей через «Госуслуги». Что это дало вам?

— По сути, это еще один траст-фактор. Подтверждение аккаунта происходит при помощи приложения «Госключ», которое позволяет дополнительно обезопасить данные. Здесь выгодоприобретателями стали все участники процесса. По нашим наблюдениям, верифицированные через «Госуслуги» аккаунты привлекают на 20% больше внимания покупателей. Для них понимание того, что аккаунт подтвержден через государственный сервис, делает покупку психологически комфортнее.

— Теперь давайте перейдем к пряникам, как они работают?

— Мы поощряем тех пользователей, которые заботятся о наполнении своего аккаунта: имеют высокий рейтинг, пользуются Авито Доставкой, подтверждают профиль с помощью дополнительных проверок. Чем надежнее аккаунт, тем выше он поднимается в поисковой выдаче. Здесь, если позволите, работает логика дейтинговых приложений: задача Авито познакомить продавца и покупателя, которые идеально подходят друг другу.

Также мы проводим просветительскую работу и объясняем пользователям, как безопасно проводить сделки. Хороший пример здесь такой: если продавец предлагает перевести беседу в сторонний мессенджер или отправить предоплату сделки ему на карту, то это может быть признаком неблагонадежности. А высокий рейтинг, отметки о прохождении проверок и большое количество сделок на платформе, напротив, хороший знак. Мы рассказываем об этом у себя на платформе в специальном разделе, проводим онлайн и офлайн мероприятия самостоятельно и вместе с партнерами. Недавно мы заключили меморандум о сотрудничестве с «ЛизаАлерт» — вместе мы планируем проводить уроки безопасности.

— Как начиная с февраля выросла нагрузка на ваш департамент и как вы выстраивали защиту от атак и провокаций в этих условиях?

— В условиях изменения рыночной конъюнктуры люди неизбежно становятся более уязвимыми, и скамеры этим пользуются. Мы этого ожидали и усилили внимание к некоторым триггерам, например запросу предоплаты. Также мы единственные, кто блокировал спекуляции на продаже социально значимых продуктов. Как вы помните, в начале весны наблюдался ажиотажный спрос на сахар. Тогда мы проанализировали предложения в торговых сетях, вывели усредненную цену на килограмм сахара, настроили нашу систему с опорой на эти данные и блокировали спекулятивные объявления. И речь здесь идет не только о сахаре: аналогично мы работали с другими группами социально значимых товаров. Такие товары, как лекарства, вообще всегда запрещены на Авито, поэтому любые попытки их размещения тут же блокируются. С этим все строго, мы работаем в тесном контакте с ребятами из юридического департамента, и, как только появляется запрет продавать что-либо на платформах объявлений, мы тут же получим новые вводные, сможем в течение часа перенастроить всю систему.

Сегодня Авито - одна из самых защищенных платформ в своем сегменте не только в России, но и в мире.

— После февраля российские IT-компании столкнулись с проблемой быстрой миграции с зарубежных облаков на серверы российских компаний. Как в Авито устроено хранение чувствительных данных и как эта ситуация сказалась на вас?

— У нас не было проблем с переездом, потому что не было самого переезда. Мы изначально использовали для хранения и обработки данных пользователей собственную инфраструктуру, которая полностью находится в России. Вся наша инфраструктура прошла полную проверку регулятором. Мы храним данные на наших серверах, которые обслуживают и обновляют наши специалисты. Так что здесь мы оказались в выигрышном положении по сравнению со многими российскими компаниями.

— На ваш взгляд, какие дальнейшие шаги необходимо принимать классифайдам для развития своих систем защиты граждан от мошенников?

— Надо работать на предупреждение. Текущая работа систем устроена по принципу «снаряд-броня»: мы совершенствуем алгоритмы поиска нарушений, злоумышленники их анализируют и пытаются находить новые пути обхода. Ежегодно совершенствование наших систем безопасности обходится Авито в 3–4 млрд руб., то есть за несколько лет мы вложили уже десятки миллиардов в безопасность. За последние два года мы стали получать в 20 раз меньше жалоб на действия скамеров. Если вы совершаете сделку, не выходя за пределы платформы, вы просто не оставляете злоумышленникам шанса вас обмануть.

В перспективе мы должны прийти к такой ситуации, когда обход наших систем безопасности станет для мошенников настолько дорогим, что разрушит их unit-экономику. Тогда это соревнование закончится.

Сегодня Авито — одна из самых защищенных платформ в своем сегменте не только в России, но и в мире. И если представить себе ситуацию, в которой Авито исчезнет,- рынок фактически вернется к состоянию начала века, когда цифровизация только начала развиваться и механизмов защиты от социальной инженерии и других действий злоумышленников не существовало. Мир станет менее безопасным.