На позапрошлой неделе клиенты Сбербанка получили SMS следующего содержания:

«С 22.02.2016 прекращается печать чеков с одноразовыми паролями для подтверждения операций в «Сбербанк Онлайн» и покупок в интернете. Для выполнения операций используйте коды подтверждения, которые будут направляться Вам по SMS с номера 900».

Представители Сбербанка пояснили, что изменения связаны с возможностью мошенничеств.


— Вход в интернет-банк «Сбербанк Онлайн» будет осуществляться только после ввода одноразового пароля, полученного по SMS с короткого номера 900. Аналогичным образом подтверждаются операции на сумму до 100 тыс. Подключение услуги доступно в отделениях и банкоматах Сбербанка. Для получения пароля по SMS должна быть подключена услуга «Мобильный банк». Такой способ входа в интернет-банк «Сбербанк Онлайн» и подтверждения операций гораздо комфортнее для наших клиентов, а также безопаснее, потому что чек с одноразовыми паролями может случайно оказаться у сторонних лиц, — рассказала представитель банка Полина Тризонова.

Можно отметить, что у Сбербанка есть как платная, расширенная версия мобильного банка (приходят уведомления обо всех операциях по карте; 30–60 рублей в месяц), так и бесплатная — приходят только одноразовые пароли, без сведений о расходе, приходе, остатке. По умолчанию клиентов подписывают на платную версию.

По действующему законодательству банк обязан уведомлять об операциях — такими уведомлениями и становятся SMS с одноразовыми кодами, ведь в них указана сумма списания. Правда, закон не описывает способов такого уведомления, говорит глава отраслевой организации «Национальный платежный совет» Алма Абаева. Она отметила, что по вопросам, связанным с уведомлениями, ЦБ давал банкам обширные разъяснения (cbr.ru/PSystem/P-sys/faq_161.pdf) — и в них Центробанк, в частности, подчеркнул, что банки должны информировать клиентов об операциях бесплатно: «Исполнение кредитной организацией публично-правовой обязанности, установленной законом [«О национальной платежной системе» от 2011 года], не может быть обусловлено фактом исполнения клиентом гражданско-правовой обязанности по оплате услуг кредитной организации».

Ранее, как отметила Алма Абаева, одноразовые коды для своих клиентов также печатали скандинавские банки, работающие в России, а также, к примеру, банк «Авангард» — пластиковые карточки с сотней кодов под покрытием, которое нужно стирать монеткой. Закон о национальной платежной системе, а также появившиеся в нем два года назад поправки о безусловном полном возврате средств по операции, о которой банк не уведомил, сподвигли российские банки бесплатно рассылать одноразовые пароли.

Кроме того, с 16 марта 2015 года вступили в силу новые требования ЦБ к банкам по борьбе с кибермошенничеством. Банки обязали регистрировать устройства, которые их клиенты используют для дистанционных платежей, а также попросили блокировать рассылку служебных SMS (одноразовые пароли и пр.) при смене клиентом номера или SIM-карты.

Напечатанные коды — это дополнительный канал утечки, и Сбербанк в последние годы все чаще выступал с профилактическими заявлениями: хранить список паролей в надежном месте, не выбрасывать их в урны у банкоматов — в регионах в 2015 году прокатилась волна мошенничеств с распечатанными одноразовыми паролями (vg-news.ru/n/117566, 38.mvd.ru/Press_sluzhba/Nashi_proekti/reliaze/item/3105455). Обычно клиенты теряют деньги по собственной ошибке, и если специалисты банка ее докажут, то банк не обязан возвращать деньги.

Согласно обзору ЦБ, который был опубликован летом 2015 года, за 2014 год со счетов граждан незаконно списывали деньги 300 тыс. раз, общая сумма ущерба составила 3,5 млрд рублей — с карточек мошенники списали 1,58 млрд рублей. Оценки экспертов куда выше: по 100 и более миллиардов рублей.