«Вопрос–ответ»: безопасность банковских карт, вкладов и денежных переводов

Недавно мы публиковали «Вопрос–ответ» с экспертом по кибербезопасности StopPhish Алиной Ледяевой. Сегодня мы подготовили для вас ответы на некоторые важные, жизненные вопросы: от списаний без 3DS до рисков частых переводов коллегам или между своими счетами.

Вопрос от beks

Почему банки до сих пор дозволяют списание без подтверждения 3DS? И как определить: если списание произошло без 3DS: это настройки мерчанта или банк использовал протокол 3DS 2.0?

Списания без подтверждения 3DS — это нормальная механика современных платежей. Раньше каждую операцию старались подтверждать кодом, что сильно ухудшало пользовательский опыт и снижало конверсию. Поэтому с появлением 3DS 2.0 подход изменился: теперь система сначала оценивает риск операции, и только если он кажется повышенным, просит подтверждение.

В большинстве случаев, когда списание проходит без кода, это так называемый бесшовный сценарий. То есть проверка всё равно была, но прошла незаметно для пользователя: банк и платежная система обменялись данными (устройство, поведение, история операций) и решили, что риск низкий. Поэтому дополнительный шаг с СМС и пуш-уведомлениями не потребовался. Это и есть ключевая идея 3DS 2.0.

При этом бывают ситуации, когда 3DS действительно не используется вовсе. Например, для подписок, повторных платежей (если карта уже сохранена), небольших сумм или у доверенных продавцов. В таких случаях решение о применении 3DS принимает не только ваш банк, но и магазин (мерчант) и его банк-эквайер. То есть это всегда результат работы всей цепочки, а не одного участника.

Понять, был ли 3DS, можно косвенно. Если операция прошла без кода, но выглядит обычной (знакомый сервис, нет признаков мошенничества), скорее всего это был frictionless 3DS. Если же списание неожиданное, от незнакомого сайта и без какого-либо подтверждения – вероятнее всего 3DS не применялся вообще. В таком случае стоит внимательнее проверить операцию и при необходимости оспорить ее в банке.

Чтобы определить, почему произошло списание без 3DS, можно проверить настройки безопасности карты в личном кабинете банка. Например, в Сбербанке это можно сделать следующим образом: «Настройки» → «Лимиты и ограничения» →  «Проверьте пункт "Покупки в интернете без подтверждения СМС-кодом».

Если флажок активен зеленым цветом, значит разрешено списание без подтверждения по СМС. Если флажок имеет серый цвет, значит уже нет разрешения на списание без подтверждения.

Если вы хотите защитить свои деньги от несанкционированных списаний, рекомендуется включить обязательное подтверждение каждой финансовой операции паролем или биометрией в настройках безопасности вашего банка. 

Вопрос от Даня Творожная

Иногда среди людей случаются ситуации, что забыл выйти из личного кабинета банка с компьютера или твой друг-семья знают пароли телефона , приложений , ( ну и мошенник вдруг тоже узнал ). И такая ситуация , что добрался до вклада , на который ты долго копил . Вопрос есть ли банки,  где вклады с личными кодами только закрываются ? Ведь было бы здорово , что мошенник уже готов вынести онлайн деньги , а там " Прежде чем вывести деньги со вклада -введи девичью фамилию вашей первой соседки по парте в 1 классе "

К сожалению, в крупных российских банках нет такой функции, чтобы при выводе средств со счета по вкладу нужно было ответить на контрольный вопрос.

Однако в 2026 году есть несколько способов реализовать похожую защиту, чтобы добраться до вклада было практически невозможно даже при знании пароля от приложения. 

Одним из самых эффективных способов является установка запрета на онлайн-закрытие. В ряде банков (Сбер, ВТБ, Газпромбанк) можно через личный визит в офис написать заявление о запрете дистанционного обслуживания конкретных счетов или вкладов. Тогда закрыть вклад можно будет только лично, предъявив паспорт в отделении.

В приложениях (Т-Банк, Сбер) можно скрыть счет. Чтобы он снова появился в списке, нужно зайти в настройки, что создает дополнительный барьер для мошенников.В Т-Банке есть возможность настроить контрольный вопрос, который сохранит ваши деньги, если злоумышленники узнают данные от личного кабинета или устройства. Личный кабинет или приложение запросит ответ на вопрос, если действия покажутся подозрительными (например, при входе или переводе денег).

Вопрос от GESIV

Если часто сам себе переводишь деньги из одного банка в другой, может ли банк усмотреть в таких переводах что то неправомерное и ограничить доступ к онлайн банку?

Переводы самому себе в 2026 году — это одна из самых прозрачных операций, поэтому риск ограничения доступа к онлайн-банку минимален. Но даже здесь есть свои нюансы: с одной стороны, закон на вашей стороне, с другой – антифрод-системы работают по своим алгоритмам.

Согласно актуальным правилам ЦБ РФ, вы можете переводить самому себе в разные банки до 30 млн рублей в месяц абсолютно бесплатно (через СБП или по реквизитам счета).

• Банки не имеют права ограничивать количество таких бесплатных переводов в сутки, если вы не выходите за этот огромный лимит.
• Сам факт перевода между своими счетами не является нарушением 115-ФЗ (закона об отмывании денег).

Несмотря на законность, антифрод-система может счесть операцию подозрительной, если она вписывается в паттерны мошенничества. В 2026 году добавились новые критерии проверки:

1. С 1 января 2026 года под подозрение попадают ситуации, когда вы переводите себе по СБП более 200 000 рублей, а затем в течение суток отправляете эти деньги другому лицу, которому не платили последние полгода. Система видит в этом попытку «запутать следы» перед выводом средств мошенниками.
2. Если вы только что сменили сим-карту или зашли в приложение с нового телефона и начали переводить крупные суммы между своими счетами, банк может временно ограничить доступ, чтобы убедиться, что это действительно вы, а не мошенник.

Если вам нужно перевести 100 000 рублей, лучше сделать это одним-двумя платежами, чем пятьюдесятью переводами по 2 000. Многократные однотипные операции могут быть восприняты как работа скрипта.

Если вы не увидели свой вопрос в этом выпуске, не исключено, что он попадет в одну из следующих частей, которая будет опубликована в отдельном посте уже на следующей неделе!