Легальные клиенты банков оказались в мошеннической базе ЦБ, так как злоумышленники открыли на их слитые личные данные счета для вывода украденных денег. Проблема не массовая, но пострадавшие лишились права на банковские услуги.
Данные легальных клиентов российских банков попали в базу Банка России с реквизитами мошеннических счетов, из-за чего у них возникли проблемы с обслуживанием в кредитных организациях. Об этом РБК рассказали два источника в крупных банках, также наличие проблемы подтвердили вице-президент Ассоциации банков России (АБР) Яна Епифанова и представитель ВТБ. В АБР входят крупнейшие банки, в том числе Сбербанк, ВТБ, , Т-банк и другие. Для решения проблемы банки и ЦБ разрабатывают законодательный механизм, добавили в АБР и ВТБ.
ЦБ формирует базу «О случаях и попытках осуществления перевода денежных средств без согласия клиента» на основе информации о счетах физических и юридических лиц, которую регулятору направляют банки и другие операторы платежных систем. Она содержит сведения о совершенных операциях, плательщиках и получателях денежных средств и т. д.
С 25 июля 2024 года вступили в силу изменения в закон «О национальной платежной системе», согласно которым банки должны будут на два дня блокировать денежные переводы, в случае если реквизиты получателя содержатся в указанной базе данных ЦБ. Если кредитная организация все равно провела перевод на подозрительный счет, то она должна будет вернуть похищенные деньги клиенту в полном объеме в течение 30 дней после получения соответствующего заявления от пострадавшего.
Сведения о получателях платежа, в том числе о физических лицах, попадают в базу на основании информации и от банка — отправителя платежа, и от банка-получателя, затем ЦБ их проверяет и включает в базу на основе определенных правил и алгоритмов, сказал РБК представитель регулятора: «Поэтому риск необоснованного попадания сведений в базу данных Банка России минимален».
При этом ЦБ «системно взаимодействует с банками по этому направлению, постоянно мониторит включение сведений о получателях средств в базу данных, а при необходимости — оптимизирует процесс пополнения базы».
Физические лица могли оказаться в базе данных ЦБ, если их персональные данные были слиты и использованы мошенниками для открытия счетов, на которые они переводили украденные денежные средства, сказал один из источников. Он пояснил, что ситуация усугубилась из-за поправок в 161-ФЗ «О национальной платежной системе», вступивших в силу летом 2024 года.
Второй источник пояснил, что, по сути, существует две базы: в одной содержатся счета, которые замечены в мошеннических переводах, а во второй — реквизиты, которые фигурируют в уголовных делах. По его словам, если в первом случае легальные клиенты еще могут обратиться в свой банк или ЦБ, чтобы исключить данные из черного списка, то во втором случае, пока идет расследование, сделать это невозможно.
В ВТБ незначительное число легальных клиентов оказались в базе данных ЦБ, сказал представитель банка: «Зачастую это происходит из-за кражи их персональных данных злоумышленниками. Это создает серьезные проблемы для добросовестных клиентов, которые становятся жертвами чужих действий».
«Такая проблема существует. Добросовестные физические лица — клиенты банков могут попадать в так называемый черный список — базу данных Банка России. В базе содержатся сведения о проведенных операциях без согласия клиента или попытках проведения таких операций, так как мошенники могут использовать их паспортные данные для открытия электронных кошельков, на которые потом переводят украденные деньги. Однако в настоящее время ассоциацией не зафиксирован массовый характер такой проблемы», — рассказала Епифанова. Она добавила, что база содержит атрибуты отправителя несанкционированного перевода — номер счета, карты, электронного кошелька и т. д. По словам Епифановой, у таких клиентов возникают сложности: из-за нахождения их данных в базах и ЦБ они не могут совершать операции ни в одном банке.
Ранее о наличии проблемы также говорила председатель правления НКО «Мобильная карта» Елена Шейкина: «Мы видим некоторые затруднения у клиентов, которые являются легитимными и у которых, например, украли персональные данные и на их персональные данные в каком-то из банков открыли электронное средство платежа или счет». О том, что банковские клиенты начали жаловаться на блокировки карт, счетов и доступа в банковские приложения после 25 июля, писал ранее Forbes.
Директор департамента информационной безопасности ЦБ Вадим Уваров соглашался с наличием проблемы и говорил, что ЦБ готов обсудить с рынком инициативы по изменению механизма исключения из базы.
Перед вступлением закона в силу банки также нашли в базе ЦБ данные легальных торгово-сервисных предприятий (ТСП), в том числе федеральных и региональных розничных сетей и транспортных компаний. Письмо с обозначением соответствующей проблемы и предложениями по ее решению было отправлено в ЦБ. Как пояснила Епифанова, в ответ на запрос АБР регулятор сообщил, что он ведет работу по очистке базы с целью избежания попадания туда ТСП, вовлеченность которых в мошеннические действия исключена.
«Для этого регулятор собирает информацию у операторов платежных систем о находящихся на обслуживании ТСП со значительными финансовыми и транзакционными объемами, которые не вовлечены в мошеннические операции. По словам регулятора, мониторинг и контроль списков ведется на постоянной основе», — передала суть ответа Епифанова. В стадии обсуждения находится вопрос изменения алгоритма формирования базы данных о случаях осуществления перевода денежных средств без согласия клиента, добавила она.
Как отмечал ранее ЦБ, если компания или физлицо не согласны с включением их реквизитов в базу данных, то необходимо обратиться в обслуживающий банк или подать заявление на сайте Банка России. После этого ЦБ рассмотрит обращение в течение предусмотренного законом времени и сообщит о решении клиенту банка или самой кредитной организации.
«Учитывая такую проблему, идет проработка возможности вариантов создания банками и регулятором законодательного механизма, который позволит добросовестным клиентам, у которых украли персональные данные, доказать свою легитимность в банках, где они обслуживаются», — сообщила Епифанова. По словам представителя ВТБ, банк активно участвует в этом обсуждении. «Это [механизм подтверждения легитимности] может включать в себя предоставление документов, подтверждающих личность и факт кражи данных, а также взаимодействие с банками и регуляторами для оперативного решения возникших вопросов», — сказал представитель ВТБ.
Наличие базы «сомнительных» счетов минимизирует риски хищения денежных средств с банковских счетов, но должен быть выработан четкий алгоритм действий, в случае если клиент незаконно попал в такую базу, говорит адвокат, партнер адвокатского бюро MILL Даниил Горьков. «Для минимизации рисков как граждан, так и бизнеса необходимо более плотное взаимодействие самих банков со своими клиентами. Такое взаимодействие может охватывать и разъяснение механизмов исключения из реестра. Процессы обращения в службу безопасности или клиентский сервис банка, а возможно, и в суд должны быть понятными всем гражданам без исключения», — рассуждает юрист.
Необходимо создание эффективного механизма реабилитации, соглашается партнер фирмы «Рустам Курмаев и партнеры» Дмитрий Горбунов. По его мнению, тут вполне применимы принципы презумпции невиновности, то есть невозможности применения ограничительных мер в отношении лиц, чья вина в совершении тех или иных действий не доказана. «Если в отношении такого лица не возбуждено уголовное дело либо оно было возбуждено, но обвинения сняты, то такое лицо не может подвергаться ограничительным мерам», — говорит юрист.
Мошенники могут открыть счет на легального клиента при утечке данных — в таком случае можно открыть счет с упрощенной идентификацией в другом банке, продолжает Горбунов. При этом мошенники чаще используют счета дропов (подставных лиц), которые передают их осознанно, а открывать счет специально только в преступных целях может быть невыгодно, подчеркивает юрист: «Это крайне небольшой процент случаев, поскольку счет, который никогда не использовался для оплаты товаров и услуг, оплаты штрафов и ЖКУ, совершения обязательных платежей, покупки страховок и т. д., по умолчанию при совершении подозрительной операции имеет куда больше шансов на блокировку, а это значит, что использование такой схемы для мошенников — это по умолчанию риск траты времени и усилий без ожидаемого результата».
Данные легальных клиентов российских банков попали в базу Банка России с реквизитами мошеннических счетов, из-за чего у них возникли проблемы с обслуживанием в кредитных организациях. Об этом РБК рассказали два источника в крупных банках, также наличие проблемы подтвердили вице-президент Ассоциации банков России (АБР) Яна Епифанова и представитель ВТБ. В АБР входят крупнейшие банки, в том числе Сбербанк, ВТБ, , Т-банк и другие. Для решения проблемы банки и ЦБ разрабатывают законодательный механизм, добавили в АБР и ВТБ.
ЦБ формирует базу «О случаях и попытках осуществления перевода денежных средств без согласия клиента» на основе информации о счетах физических и юридических лиц, которую регулятору направляют банки и другие операторы платежных систем. Она содержит сведения о совершенных операциях, плательщиках и получателях денежных средств и т. д.
С 25 июля 2024 года вступили в силу изменения в закон «О национальной платежной системе», согласно которым банки должны будут на два дня блокировать денежные переводы, в случае если реквизиты получателя содержатся в указанной базе данных ЦБ. Если кредитная организация все равно провела перевод на подозрительный счет, то она должна будет вернуть похищенные деньги клиенту в полном объеме в течение 30 дней после получения соответствующего заявления от пострадавшего.
Сведения о получателях платежа, в том числе о физических лицах, попадают в базу на основании информации и от банка — отправителя платежа, и от банка-получателя, затем ЦБ их проверяет и включает в базу на основе определенных правил и алгоритмов, сказал РБК представитель регулятора: «Поэтому риск необоснованного попадания сведений в базу данных Банка России минимален».
При этом ЦБ «системно взаимодействует с банками по этому направлению, постоянно мониторит включение сведений о получателях средств в базу данных, а при необходимости — оптимизирует процесс пополнения базы».
Масштаб проблемы
Физические лица могли оказаться в базе данных ЦБ, если их персональные данные были слиты и использованы мошенниками для открытия счетов, на которые они переводили украденные денежные средства, сказал один из источников. Он пояснил, что ситуация усугубилась из-за поправок в 161-ФЗ «О национальной платежной системе», вступивших в силу летом 2024 года.
Второй источник пояснил, что, по сути, существует две базы: в одной содержатся счета, которые замечены в мошеннических переводах, а во второй — реквизиты, которые фигурируют в уголовных делах. По его словам, если в первом случае легальные клиенты еще могут обратиться в свой банк или ЦБ, чтобы исключить данные из черного списка, то во втором случае, пока идет расследование, сделать это невозможно.
В ВТБ незначительное число легальных клиентов оказались в базе данных ЦБ, сказал представитель банка: «Зачастую это происходит из-за кражи их персональных данных злоумышленниками. Это создает серьезные проблемы для добросовестных клиентов, которые становятся жертвами чужих действий».
«Такая проблема существует. Добросовестные физические лица — клиенты банков могут попадать в так называемый черный список — базу данных Банка России. В базе содержатся сведения о проведенных операциях без согласия клиента или попытках проведения таких операций, так как мошенники могут использовать их паспортные данные для открытия электронных кошельков, на которые потом переводят украденные деньги. Однако в настоящее время ассоциацией не зафиксирован массовый характер такой проблемы», — рассказала Епифанова. Она добавила, что база содержит атрибуты отправителя несанкционированного перевода — номер счета, карты, электронного кошелька и т. д. По словам Епифановой, у таких клиентов возникают сложности: из-за нахождения их данных в базах и ЦБ они не могут совершать операции ни в одном банке.
Ранее о наличии проблемы также говорила председатель правления НКО «Мобильная карта» Елена Шейкина: «Мы видим некоторые затруднения у клиентов, которые являются легитимными и у которых, например, украли персональные данные и на их персональные данные в каком-то из банков открыли электронное средство платежа или счет». О том, что банковские клиенты начали жаловаться на блокировки карт, счетов и доступа в банковские приложения после 25 июля, писал ранее Forbes.
Директор департамента информационной безопасности ЦБ Вадим Уваров соглашался с наличием проблемы и говорил, что ЦБ готов обсудить с рынком инициативы по изменению механизма исключения из базы.
Перед вступлением закона в силу банки также нашли в базе ЦБ данные легальных торгово-сервисных предприятий (ТСП), в том числе федеральных и региональных розничных сетей и транспортных компаний. Письмо с обозначением соответствующей проблемы и предложениями по ее решению было отправлено в ЦБ. Как пояснила Епифанова, в ответ на запрос АБР регулятор сообщил, что он ведет работу по очистке базы с целью избежания попадания туда ТСП, вовлеченность которых в мошеннические действия исключена.
«Для этого регулятор собирает информацию у операторов платежных систем о находящихся на обслуживании ТСП со значительными финансовыми и транзакционными объемами, которые не вовлечены в мошеннические операции. По словам регулятора, мониторинг и контроль списков ведется на постоянной основе», — передала суть ответа Епифанова. В стадии обсуждения находится вопрос изменения алгоритма формирования базы данных о случаях осуществления перевода денежных средств без согласия клиента, добавила она.
Как отмечал ранее ЦБ, если компания или физлицо не согласны с включением их реквизитов в базу данных, то необходимо обратиться в обслуживающий банк или подать заявление на сайте Банка России. После этого ЦБ рассмотрит обращение в течение предусмотренного законом времени и сообщит о решении клиенту банка или самой кредитной организации.
Как исправить проблему
«Учитывая такую проблему, идет проработка возможности вариантов создания банками и регулятором законодательного механизма, который позволит добросовестным клиентам, у которых украли персональные данные, доказать свою легитимность в банках, где они обслуживаются», — сообщила Епифанова. По словам представителя ВТБ, банк активно участвует в этом обсуждении. «Это [механизм подтверждения легитимности] может включать в себя предоставление документов, подтверждающих личность и факт кражи данных, а также взаимодействие с банками и регуляторами для оперативного решения возникших вопросов», — сказал представитель ВТБ.
Наличие базы «сомнительных» счетов минимизирует риски хищения денежных средств с банковских счетов, но должен быть выработан четкий алгоритм действий, в случае если клиент незаконно попал в такую базу, говорит адвокат, партнер адвокатского бюро MILL Даниил Горьков. «Для минимизации рисков как граждан, так и бизнеса необходимо более плотное взаимодействие самих банков со своими клиентами. Такое взаимодействие может охватывать и разъяснение механизмов исключения из реестра. Процессы обращения в службу безопасности или клиентский сервис банка, а возможно, и в суд должны быть понятными всем гражданам без исключения», — рассуждает юрист.
Необходимо создание эффективного механизма реабилитации, соглашается партнер фирмы «Рустам Курмаев и партнеры» Дмитрий Горбунов. По его мнению, тут вполне применимы принципы презумпции невиновности, то есть невозможности применения ограничительных мер в отношении лиц, чья вина в совершении тех или иных действий не доказана. «Если в отношении такого лица не возбуждено уголовное дело либо оно было возбуждено, но обвинения сняты, то такое лицо не может подвергаться ограничительным мерам», — говорит юрист.
Мошенники могут открыть счет на легального клиента при утечке данных — в таком случае можно открыть счет с упрощенной идентификацией в другом банке, продолжает Горбунов. При этом мошенники чаще используют счета дропов (подставных лиц), которые передают их осознанно, а открывать счет специально только в преступных целях может быть невыгодно, подчеркивает юрист: «Это крайне небольшой процент случаев, поскольку счет, который никогда не использовался для оплаты товаров и услуг, оплаты штрафов и ЖКУ, совершения обязательных платежей, покупки страховок и т. д., по умолчанию при совершении подозрительной операции имеет куда больше шансов на блокировку, а это значит, что использование такой схемы для мошенников — это по умолчанию риск траты времени и усилий без ожидаемого результата».
