Депутаты Госдумы одобрили законопроект о противодействии телефонному мошенничеству, который предусматривает введение с 1 июня 2025 года комплекса из трёх десятков мер, в числе которых закрепление возможностей онлайн-обмена информацией между госорганами, банками и операторами связи, обязательная маркировка входящих звонков с отображением организации, откуда исходит звонок, блокировка (по заявлению клиента) массовых вызовов и спам-звонков, запрет на официальное информирование граждан через западные мессенджеры и др. Вводятся ограничения по оформлению некоторых микрокредитов без привлечения биометрии клиента и другие меры. Помогут ли новые меры достичь заметного перевеса в борьбе с финансовыми мошенниками и уменьшить число преступлений? С этими вопросами Национальный банковский журнал (NBJ) обратился к своему постоянному эксперту Тимуру АИТОВУ, председателю комиссии по безопасности финансовых рынков ТПП России.

NBJ: Сможет ли новый закон действительно снизить огромное число хищений, которое происходит сегодня? Какие законодательные меры из этого пакета наиболее действенны?

Т. АИТОВ. В целом набор мер обстоятельный, меры самые разные, а большинство из них явно сработает. Хотя вопросы к этому перечню у экспертов остаются.

NBJ: А почему вы говорите осторожно – с элементами неуверенности в эффективности новых мер?

Т. АИТОВ: Некоторые формулировки закона до сих пор не до конца понятны. К примеру, когда речь идет о «закреплении возможности онлайн-обмена информацией между госорганами, банками и операторами связи». Что под этим понимать?

Перечисленные структуры и так уже обмениваются информацией при расследовании хищения. Конечно, можно считать, что новая норма даёт некий карт-бланш на любые информационные обмены между госорганами и операторами связи, но это не совсем корректно. Почему? Есть, к примеру, ФЗ «О банках и банковской деятельности» от 02.12.1990 N 395-1, в соответствии с которым остаток по счёту является банковской тайной и разглашать его нельзя.

Поэтому, если мы говорим о некоем «полном обмене», логично сразу менять и закон о банковской деятельности. Если же речь идёт только о передаче факта наличия счёта, то да, это сообщать можно. Однако это мало что даёт для расследования. Возможно, ясность внесёт создаваемая ГИС противодействия правонарушениям, как сказано, совершаемым с использованием ИКТ, но что именно скрывается за этой аббревиатурой, каковы её обязанности по использованию данных – ничего не сообщается, и ясности в отношении будущего функционала этой системы нет.

NBJ: А что в отношении других норм – какие есть у вас замечания?

Т. АИТОВ: Если внимательно читать, то вопросы возникают ко многим пунктам из «тридцатки». К примеру, введён запрет на передачу пользования абонентским номером телефона третьим лицам за исключением членов семьи. Но ведь есть инвалиды, есть социальные служащие, есть и соседи, которые помогают им – не все они злоумышленники.

Возможно, к примеру, вы плохо слышите и передали кому-то телефон, или уехали на дачу. Если мы принимаем новую законодательную норму, то надо ещё и оговорить, как контролировать сам факт передачи, чтобы закон не был пустым звуком – по этому поводу ничего в тексте нет.

Кстати, и о других контролях очень мало в законе. Например, законодатель предусматривает обязательную маркировку звонков дополнительным текстовым сообщением на экране телефона – очевидно, по замыслу депутатов, оператор связи будет обязан отображать наименование организации, откуда исходит звонок. Как и кому проверять, насколько соответствует реалиям отображение некой «поликлиники» на экране смартфона? Существует ли эта поликлиника? Как именно пожилые люди – у большей части которых «кнопочные» телефоны (не смартфоны) – как они будут читать про эту поликлинику?

Напомню, что до сих есть и многочисленные анонимные абонентские номера, которые не видны при приёме, причём эта услуга пользуется спросом в системе операторов MVNO, никто её отменять не собирается, хотя в отношении неё тоже выступали депутаты с критикой.

NBJ: Вот эта мера уже обратила на себя моё внимание: «ограничение выдачи наличных суммой до 50 тыс. руб. на 48 часов, если при снятии денег через банкомат кредитная организация заметит признаки выдачи средств без добровольного согласия». Как банку убедиться, что средства из банкомата получены при добровольном согласии? Наблюдать за происходящим у банкомата через камеру?

Т. АИТОВ: Отслеживать действительно непросто, и здесь я предвижу претензии клиентов. Напомню, небольшие суммы можно получать по ворованной карте даже без использования ПИН-кода – это касается сумм от 3000 до 5000 рублей при расчётах в ТСП. Если же у кредитной организации возникнут подозрения, что картой завладели злоумышленники, то банк в соответствии с этой нормой должен ограничить возможность пользование картой, не спрашивая согласия клиента.

Ясно, что могут быть и ошибки, когда подлинный владелец карты по каким-то причинам начнёт вести себя необычно, и это всё, увы, пойдёт в издержки борьбы с мошенниками. Двое суток банк с клиентом имеет возможность «разбираться» и денег ему через банкомат не давать.

NBJ: Появилась и новая услуга «третья рука» – человек, наделённый статусом уполномоченного лица для подтверждения совершения операции. Как вы к этому относитесь?

Т. АИТОВ: Эта услуга уже зарекомендовала себя – она понятна, востребована и уже предоставляется некоторыми банками: сын подтверждает транзакцию матери или отца, которые не совсем разбираются в тонкостях высоких технологий. Это помогает бороться со злоумышленниками из числа «социальных инженеров».

Очевидно, что эта услуга «третьей руки» должна «включаться» не сразу, а начиная с каких-то заметных сумм – например, с платежей, превышающих 5000 рублей. Иначе и пакет молока отец не купит без соответствующего подтверждения сына. Хотя, конечно, и сами дети бывают разные – скажу аккуратно, что решения «третьих рук», возможно, также потребуют контроля.

NBJ: Какие ещё нормы требуют уточнения?

Т. АИТОВ: Мне сразу бросился в глаза пункт в отношении блокировки спам-звонков, которых много сегодня, и эта услуга явно востребована клиентами. Я бы добавил определение: что именно понимает законодатель под спамом чисто формально – это что: 10 звонков в день или 10 звонков в час? Что считать массовым вызовом, и по какому принципу мобильный оператор должен блокировать спам-вызовы на номер владельца? То же самое касается SMS-сообщений.

NBJ: Очевидно, ваши уточнения связаны со сложностью формулировки ограничений и мероприятий, ведь дело касается высоких технологий. Как должна быть построена процедура принятия подобных сложно-технических законов? Можно ли было всё предусмотреть заранее при обсуждении законопроекта в ГД?

Т. АИТОВ: Правильнее – не принимать сразу однозначные формулировки. Правильнее – протестировать нормы в каком-то отдельном регионе или области. Примерно так, как происходит с проектами по исламскому банкингу: посмотреть, срабатывают ли ограничения, что добавить, что изменить – ведь каждое положение кроме формулировки должно предполагать возможность проверки факта выполнения этого ограничения. Важно всё – и как выполнить требования, и как это проверить.

Например, если выполняется передача SIM-карт третьим лицам, как проверять, происходит это на практике или не происходит и т.д. Все эти мелочи должны быть включены в формулировку законов или подзаконных актов. Любой сложно-технический закон обязательно должен иметь фазу «драфт», некий опытный, тестовый режим – сначала проверяться на практике, после чего уже окончательно утверждаться.

Однако нынешний закон уже есть, он принят, поэтому будем точечно корректировать его при необходимости. Уверен, что никакой эксперт – каким бы умным он ни был – заранее не сможет сказать наверняка, что будет в реалиях, и как сработает мера.

NBJ: Перейдём к более общим вопросам: куда банкам двигаться в части ИБ, на что ориентироваться, чего ожидать от законодателей в обозримом будущем – в их отношении к хищениям и борьбе с ними? Есть у вас свой прогноз?

Т. АИТОВ: Тренд уже наметился – законодатели всё в большей мере перекладывают ответственность на борьбу с хищениями на сами банки. Банки активно борются, работают системы противодействия, различные антифрод-системы, всё это есть. Но и преступники становятся более изобретательными – и этот миллион ежегодных хищений социальными инженерами год от года повторяется, а число преступлений не убывает.

Это говорит о том, что меры противодействия недостаточны – думаю, именно поэтому ответственность законодатели в большей мере начали переносить на банки. К примеру, недавно произошёл прецедентный случай, когда Верховный суд вернул на пересмотр и признал ничтожным требования коммерческого банка вернуть онлайн кредит, оформленный злоумышленниками на клиентку этого банка. В качестве подписи клиентки использовалась СМС.

Характерно, все три суда, которые рассматривали дело перед этим, потребовали именно у клиентки вернуть деньги банку. Хотя весь кредит за неё взяли злоумышленники, она брать его не хотела, и о нём даже не подозревала. Кредитный договор был заключён через мобильное приложение банка от её имени, но без её участия. Верховный суд, ссылаясь на статьи 153 и 168 Гражданского кодекса РФ, подчеркнул, что кредит требует волеизъявления сторон, а договор, заключенный в результате обмана или иных неправомерных действий, является ничтожным. Именно банк должен доказать факт добровольного заключения договора клиентом, подчеркнул Верховный суд.

NBJ: А есть реальная возможность у банков соответствовать этим новым трендам? Казалось бы, все возможности противодействия злоумышленникам используются на 100%.

Т. АИТОВ: Пресловутые эсэмэски, которые банковскими юристами приравнены к электронной подписи, увы, в этом качестве устарели, СМС много раз показала свою ничтожность с точки зрения информационной безопасности. Любую СМС злоумышленник может получить и методами социальной инженерии, и с помощью фишинга, программ удалённого доступа или засылки «вируса» на телефон. Есть и случаи внутреннего фрода в банках и операторах сотовой связи. Поэтому традиционная СМС не может надёжно защитить клиента от мошенничества, это очевидно.

Как противодействовать и на что ориентироваться банкам? Уверен, одной серьёзной меры в обсуждаемом пуле депутатской «тридцатки» и не хватило – отказа от привычных и «беззащитных» СМС, а использования вместо них на стороне клиента более надёжных криптографических методов – такие технологии давно созданы.

NBJ: Но почему важная мера не появилась в «пакете тридцатки»? Если уж она столь радикальна в части защиты?

Т. АИТОВ: Думаю, банки были против неё – им эта замена не нравится: криптография  и подороже, и чуть сложнее для клиентов. Пока все претензии клиентов в части передачи кодов подтверждения операции «отбивали» банковские юристы. Вот когда суды обяжут банки возвращать средства, которые они списали со счетов клиентов по указанию именно злоумышленников в нарушение договора банковского счёта, то ситуация поменяется. К этому идёт. Регулятор в курсе дела и возражать не будет – напомню, в свежем положении 851 П (оно заменило 683 П) говорится о новых мерах по противодействию воровству и расширению требований по использованию отечественных СКЗИ. Необходимость использования криптографии на стороне клиента назрела, и здесь российская криптография появится – это вопрос времени. Что касается СМС – они тоже останутся в арсенале мобильных клиентов, но только для передачи бытовых текстовых сообщений – в этом их основное предназначение.

Беседовал Станислав Комаров

Материал также опубликован в печатной версии Национального банковского журнала (май 2025)