Как безопасно делиться документами для KYC

KYC (Know Your Customer) — обязательная процедура в лицензированных казино и финтех-сервисах. Но передача документов — момент повышенного риска: в ход идут фишинг, кража файлов из почты, «зеркала» без HTTPS и случайные утечки через облака. Ниже — как игроку отправить документы максимально безопасно и что оператор обязан сделать со своей стороны.

Часть 1. Безопасная передача KYC-документов — шаги для игрока

1) Убедитесь в подлинности канала

Заходите только из закладки на официальный домен по https:// (замок без ошибок).

Передайте файлы через встроенный KYC-портал в личном кабинете или мобильном приложении.

Не отправляйте документы в чаты/мессенджеры/соцсети и на личные почты сотрудников.

Если от вас просят прислать в почту — уточните в кабинете. При крайней необходимости используйте защищённый архив (см. п. 6).

2) Подготовьте правильные файлы

Формат: цветной JPEG/PNG для фото или PDF для сканов.

Качество: без фильтров, всё читаемо; не обрезайте углы, не «улучшайте» нейросетями.

Что можно закрыть:

на банковской выписке — скрывайте баланс/несвязанные операции, оставляйте ФИО, адрес, дату и реквизиты, которые запросил оператор;
на счёте за коммунальные услуги — можно скрыть суммы.
Что нельзя закрывать: ФИО, дата рождения, номер документа, фото, MRZ-зона и срок действия — если оператор просит полную копию. Следуйте официальной инструкции: иногда допускается частичное скрытие (например, 6 из 8 цифр номера), иногда — нет.

3) Селфи/«liveness» — как сделать корректно

Фото без очков/шляп/фильтров, хорошее освещение.

Если просят селфи с документом — держите рядом второй лист с надписью: «Для KYC в <Бренд>, дата». Не закрывайте данные документа, надпись — на отдельной бумаге, а не на самом документе.

4) Уберите лишние метаданные

Перед загрузкой удалите EXIF (геолокацию/модель телефона) в свойствах файла или через встроенный редактор. Для PDF — выключите «Track changes/Comments», сохраните как «плоский» документ.

5) Названия и порядок

Понятно называйте файлы: `ID_Petrov_2025-10-22.jpg`, `UtilityBill_Petrov_2025-09.pdf`.

Не кладите документы в общий «шаринг» — только адресная загрузка в KYC-портал.

6) Если всё-таки почта (как исключение)

Сожмите в.zip/.7z с AES-шифрованием, пароль передайте другим каналом (например, через сообщение в кабинете).

В теме письма не пишите «паспорт/ID» — используйте нейтральные формулировки.

7) Проверьте подтверждение

После загрузки дождитесь статуса в кабинете (получено/на проверке/одобрено).

Включите уведомления о входах и изменениях профиля; при странной активности — срочно меняйте пароль и блокируйте сессии.

8) Сроки и права

Узнайте срок хранения (retention) и ссылку на политику приватности.

В лицензированном секторе у вас есть права по GDPR/аналогам: доступ к данным, исправление, ограничение обработки и удаление после истечения обязательных сроков.

Часть 2. Что обязан обеспечить оператор (касательно приёма и хранения KYC)

A) Защищённый приём

Полный HTTPS/TLS 1.2/1.3, HSTS, запрет mixed-content, строгая CSP; mTLS и шифрование «за CDN».

In-app/KYC-портал: загрузка только после логина, одноразовые secure-links с истечением срока.

Антифишинг: DMARC (p=reject), MTA-STS/TLS-RPT, CT-мониторинг доменов-двойников.

B) Минимизация и валидация

Запрашивать только необходимое (SoF/SoW — по порогам).

Ясные правила маскировки лишних полей в выписках; список допустимых форматов и примеров.

C) Защита файлов и ключей

Шифрование at rest, сегрегация сетей, доступ по наименьшим привилегиям.

KMS + HSM для ключей, ротация и аудит.

Антивирус/сэнинг вложений, «песочница» для вредоносных файлов.

D) Процессы и аудит

Ведение неизменяемых журналов доступа (кто смотрел/копировал), DLP-алерты.

Формальные сроки хранения и автоматическое удаление с актом/логом.

Обучение саппорта: никакого «сброса по дате рождения», только по регламенту.

Канал DSAR (Data Subject Access Request) и SLA на ответы пользователю.

E) UX и прозрачность

Пошаговый мастер загрузки с примерами «что закрыть/что оставить».

Видимый статус заявки, ETA и перечень недостающих документов.

Страница «Безопасность данных»: цели, база прав, сроки, контакты DPO.

Частые ошибки и как их избежать

Ошибка	Чем опасно	Как правильно
Отправка документов в Telegram/почту менеджеру	Потеря контроля, утечки из почтовых ящиков	Только KYC-портал; почта — шифрованный архив в крайнем случае
Загрузка на «зеркало» без HTTPS	MITM, кража аккаунта и документов	Всегда проверяйте https:// и домен буква-в-букву
Перефотошопленные «улучшалки»	Отказ из-за «подозрения на редактирование»	Без фильтров; свет/резкость — ок, но не меняйте содержимое
Закрыли критичные поля на ID	Повторная проверка, задержки выплаты	Следуйте инструкции: закрывать можно только то, что разрешено
Файлы с геометками/EXIF	Лишние персональные данные	Удаляйте EXIF перед загрузкой
Публичная ссылка на облако	Доступ посторонних, индексация	Только приватные ссылки с экспирацией или прямая загрузка в портал

Чек-лист для игрока (распечатать)

Захожу на сайт по https:// из закладки; домен без «подмен».
Загружаю только через KYC-портал (не через чаты/почту).
Подготовил читаемые файлы без фильтров; EXIF удалён.
На выписках маскирую лишнее по инструкции.
Селфи/лист с надписью «для KYC в <Бренд>, дата» (если требуется).
Получил статус в кабинете; включены уведомления о входах/изменениях.
Знаю, где посмотреть сроки хранения и как подать запрос на удаление после срока.

Чек-лист для оператора

HTTPS/TLS 1.2/1.3, HSTS, CSP; шифрование «за CDN», mTLS для внутренних API.
KYC-портал с secure-links и истечением, без «приёма по почте».
Политика минимизации: чётко, что запрашиваем и как маскировать лишнее.
Шифрование at rest; KMS + HSM; доступ по ролям; логи доступа и DLP.
Встроенный антивирус/песочница, сканирование EXIF/метаданных.
Retention и авто-удаление; DSAR-канал; обучение саппорта.
Антифишинг: DMARC (p=reject), CT-мониторинг, предупреждения в кабинете.

Мини-FAQ

Можно ли заклеить часть номера документа?

Только если это явно разрешено инструкцией. Иначе — предоставьте полную копию.

Почему не принимать через e-mail?

Почта часто становится источником утечек. Предпочтителен встроенный KYC-портал; почта — только с шифрованным архивом и паролем по другому каналу.

Нужно ли удалять файлы после верификации?

Игроку — да, у себя локально. Оператор хранит по закону/лицензии в пределах оговорённых сроков.

Зачем удалять EXIF?

В EXIF бывают геометки и детали устройства — это лишние персональные данные, они не нужны для проверки.

Безопасная передача KYC-документов — это два действия: (1) использовать правильный канал (официальный KYC-портал по HTTPS) и (2) минимизировать лишние данные (удалить метаданные, маскировать только разрешённое). Со стороны оператора критичны защищённая инфраструктура, минимизация, строгие процессы доступа и понятная коммуникация. Такой подход одновременно ускоряет верификацию, защищает приватность и снижает риски для всех.