Российские банки сомневаются в эффективности третьего пакета мер против мошенников

Банки раскритиковали три нормы третьего пакета мер против мошенников «Антифрод 3.0». Закрытый перечень целей обработки персональных данных, отказ от СМС-агрегаторов и упор на ЕСИА при выдаче карт, по оценке финансового сектора, увеличат расходы банков и создадут трудности для клиентов, а польза для борьбы с мошенниками остаётся неочевидной. Национальный совет финансового рынка (НСФР) направил в Минцифры и Банк России предложения по доработке законопроекта.

В НСФР посчитали, что внедрение отдельных мер повлечёт затраты, а часть решений создаст технические риски. Претензии банкиров касаются трёх положений законопроекта:

• закрытый перечень целей, для которых граждане смогут разрешать обработку своих персональных данных;
• обязательные прямые договоры с каждым оператором связи вместо услуг СМС-агрегаторов;
• сокращение способов удалённой идентификации при выдаче карт и упор на ЕСИА.

Председатель комиссии по финансовой безопасности совета ТПП России Тимур Аитов связал стремление регуляторов ужесточить требования с утечками данных и мошенничеством на основе похищенных баз. Но закрытый перечень целей, по его оценке, сам по себе не остановит утечки, потому что они зависят от защищённости инфраструктуры, разграничения доступа и работы подрядчиков.

Главное возражение отрасли касается исчерпывающего списка целей обработки данных, и глава НСФР Андрей Емелин заявил, что подобное ограничение осложнит работу банков по трём направлениям:

• оценка рисков;
• адаптация предложений под конкретных клиентов;
• запуск новых финансовых продуктов.

Вместо закрытого списка совет предложил определить ситуации, в которых обработка данных запрещена, а в остальных случаях оставить решение за самим гражданином. По мнению банкиров, это сохранит гибкость работы с клиентской информацией и оставит запреты там, где они необходимы.

Агрегаторы СМС-рассылок сейчас помогают банкам отправлять сообщения через разных операторов связи. Законопроект обязывает кредитные организации заключать договоры напрямую с каждым оператором либо доплачивать своему оператору за услуги агрегации. В НСФР предложили не запрещать агрегаторов, а ужесточить требования к их работе, чтобы усилить контроль над рассылками и не перестраивать действующую инфраструктуру.

Через агрегаторов пользователям в России приходят коды подтверждения и уведомления о платежах, поэтому перестройка цепочки может отразиться на доставке сообщений. По мнению экспертов, размытая ответственность участников цепочки осложняет контроль за содержанием сообщений и оставляет лазейки для мошенников.

Переход на прямые договоры ударит по банкам по нескольким статьям расходов:

• интеграция с каждым оператором связи;
• потеря скидок за большой объём сообщений;
• доплата своему оператору за услуги агрегации.

МВА-профессор РАНХиГС по цифровым финансам Алексей Войлуков отметил, что воспроизвести инфраструктуру агрегаторов трудно даже крупным игрокам, а для небольших банков задача может оказаться невыполнимой. Тимур Аитов подсчитал потери на примере банка, который отправляет 10 млн СМС в месяц. При скидке от одного до двух рублей за сообщение отказ от агрегатора обойдётся банку от 10 до 20 млн рублей ежемесячно. Финансовый эффект запрета просчитать проще, чем его влияние на защиту клиентов, поэтому банкиры предложили ужесточить правила для посредников, а не отказываться от них.

Третья претензия касается удалённой упрощённой идентификации при выдаче электронных средств платежа. Законопроект сокращает набор способов и закрепляет за ЕСИА главенствующее положение. В Минцифры пояснили, что документ не вводит общий запрет на все способы удалённой упрощённой идентификации, кроме ЕСИА, и касается только процедуры выдачи электронных средств платежа.

В НСФР предупредили, что зависимость от одной системы затруднит работу банков при пиковых нагрузках или технических сбоях. Тимур Аитов указал, что без запасных каналов кредитные организации не смогут распределять нагрузку между сервисами. Если ЕСИА окажется недоступна в период массовых выплат или сезонного роста спроса, последствия затронут множество участников.

Алексей Войлуков обратил внимание на зависимость удалённой идентификации от доступа к интернету, и при перебоях в связи оформление карт может усложниться для клиентов. Вместо опоры на один канал НСФР предложил рассмотреть другие способы проверки клиента:

• банковские и операторские идентификаторы;
• проверка ИНН и СНИЛС;
• подтверждение физического владения устройством.

В Минцифры сообщили, что обращение НСФР рассмотрят вместе с заинтересованными ведомствами, а требование отправлять СМС-информирование только через оператора связи направлено на повышение прозрачности рассылок и снижение риска мошенничества. В Банке России заявили, что регулятор участвует в рассмотрении законопроекта и обсуждает инициативы с отраслью, но комментировать отдельные положения там сочли преждевременным.

Эксперты CISOCLUB отметили, что прямые договоры с операторами сократят число посредников и упростят разбор инцидентов, но поднимут расходы небольших банков. Единый канал идентификации через ЕСИА облегчает проверку клиента, но превращает один сервис в цель для атак и в точку, сбой которой остановит выдачу карт у множества банков. Закрытый перечень целей обработки данных не закроет главный источник риска, то есть утечки через подрядчиков и слабый контроль доступа.

Пользователям в России стоит ждать всплеска фишинга, потому что любые изменения в порядке идентификации мошенники используют для поддельных страниц входа и СМС со ссылками. Проверять запросы лучше через официальное приложение банка, а коды из сообщений не называть никому. Внедрению норм должен предшествовать пилот с измеримыми показателями снижения мошенничества.

Ранее сообщалось, что правительство планирует осенью 2026 года внести в Госдуму законопроект «Антифрод 3.0», направленный на борьбу с телефонным и интернет-мошенничеством. Предлагаемые меры затронут использование SIM-карт, электронные платежи, работу хостинг-провайдеров, SMS-рассылки и обработку персональных данных. О подготовке документа сообщил представитель МВД Сергей Калинин. Предполагается, что основные положения пакета вступят в силу 1 марта 2028 года.