СБП‑радар: мошенники вычисляют ваши банки через проверку номера

СБП сделала переводы быстрыми и удобными: достаточно номера телефона, чтобы отправить деньги в любой банк. Но у этой прозрачности есть обратная сторона: функция проверки получателя, которая показывает имя при вводе номера, работает как «радар» - по ней можно определить, клиентом каких банков вы являетесь. А эти сведения мошенники используют для точечных атак и убедительного обмана. Разберём, как именно происходит такой «пробив», чем он опасен и что сделать, чтобы скрыть свою финансовую карту от посторонних.

Как устроен «пробив» через СБП: механика утечки данных

Всё строится на штатной функции СБП: когда кто‑то вводит ваш номер телефона для перевода, система запрашивает у НСПК, есть ли у вас счёт в конкретном банке. Результат приходит мгновенно.

Автоматический ответ при совпадении. Если у вас есть счёт в выбранном банке, приложение показывает ваши реальные имя, отчество и первую букву фамилии (например, «Алексей Владимирович П.»). Это сделано, чтобы вы случайно не отправили деньги не тому человеку.

«Клиент не найден» как маркер отсутствия счёта. Если счёта в этом банке нет, система выдаёт стандартную ошибку.

Перебор банков = составление финансовой карты. Злоумышленник открывает приложение и последовательно выбирает разные банки. По ответам он за пару минут собирает точный список банков, где у вас открыты счета. Это полностью автоматизируемый процесс, не требующий взлома.

Важно: сам по себе этот механизм не даёт доступа к деньгам, но даёт критически важные данные для дальнейших атак.

Чем опасен СБП‑«пробив» для ваших вкладов и накоплений

Знание того, в каких банках у вас счета, резко повышает эффективность обмана и упрощает технические атаки.

Социальная инженерия становится пугающе убедительной. Когда «сотрудник банка» называет конкретные банки и даже тип продукта («вклад в банке X»), доверие жертвы растёт. На фоне паники человек сам диктует СМС‑коды или переводит деньги на «безопасный счёт».

Точечный фишинг под ваши банки. Если мошенники знают, что вы клиент банка А и банка Б, они делают поддельные PWA‑приложения и фишинговые страницы именно под эти банки. Шанс, что вы не заметите подмену, сильно возрастает.

Атаки через eSIM и восстановление доступа. Зная список ваших банков, злоумышленники могут целенаправленно атаковать процедуру сброса пароля и перехватывать СМС‑коды, чтобы войти в личные кабинеты.

Сбор досье для сложных схем. Финансовая карта из СБП‑пробива может использоваться в связке с утечками данных, чтобы собрать полный профиль: где лежат деньги, какие продукты открыты, какие лимиты действуют.

Получается, что функция, созданная для удобства, становится первым звеном в цепочке кражи.

Где чаще всего возникает риск: типичные сценарии СБП‑сканирования

Массовый перебор в приложениях крупных банков. Достаточно открыть интерфейс перевода и «прокликать» топ‑30 банков - и список ваших банков готов.

Сервисы и боты, автоматизирующие проверку. В теневом сегменте встречаются инструменты, которые автоматизируют перебор и выводят список банков по номеру.

Случайные «тестовые» переводы. Иногда люди проверяют номер, чтобы убедиться, что он рабочий, и невольно участвуют в сборе данных.

Утечки номеров телефонов и их массовая проверка. Если ваш номер попал в базу, его могут прогонять по СБП в автоматическом режиме, чтобы составить финансовые досье.

Как ограничить видимость своих счетов в СБП

Отключите приём переводов по СБП в «сберегательных» банках. В приложении каждого банка, где у вас лежат вклады или крупные суммы, зайдите в «Настройки» → «СБП» → «Управление входящими переводами» и выключите приём переводов по номеру телефона. Теперь при проверке вашего номера через этот банк система будет отвечать «Клиент не найден», и счёт останется в «информационной тени».

Назначьте один банк по умолчанию для входящих переводов. Выберите один банк, который вы используете для повседневных мелких трат (продукты, парковка, доставка). В его приложении включите опцию «Банк по умолчанию в СБП». Теперь при вводе вашего номера другие приложения будут предлагать именно этот банк, а не весь список.

Держите основной капитал на накопительном счёте‑буфере. Не храните крупные суммы на текущем счёте дебетовой карты, к которому подключён СБП. Переводите на карту ровно столько, сколько нужно для текущих трат. Даже если злоумышленники узнают ваш «операционный» банк, они не смогут списать больше, чем есть на карте в эту секунду.

Регулярно проверяйте настройки СБП. Банки могут менять интерфейс и по умолчанию включать СБП заново. Раз в несколько месяцев проходите по настройкам и убеждайтесь, что приём переводов отключён в сберегательных банках, а «банк по умолчанию» остаётся тем, который вы выбрали.

Контролируйте лимиты на переводы и операции. В банковском приложении установите дневные лимиты на исходящие переводы по СБП и на операции без СМС‑подтверждения. Это дополнительный рубеж обороны.

Важные нюансы

Имя и первая буква фамилии - это уже маркер. Даже без полного ФИО этого достаточно, чтобы подтвердить личность и использовать данные в социальной инженерии.

СБП‑пробив не требует взлома. Это штатное поведение системы, поэтому защита должна быть на уровне ваших настроек.

Банк по умолчанию не скрывает факт наличия счёта, но он скрывает остальные банки. То есть посторонний увидит только один банк, а не всю вашу финансовую карту.

Отключение приёма переводов не мешает вам отправлять деньги. Вы по‑прежнему можете пользоваться СБП для исходящих переводов.

При смене банка или закрытии счёта настройки нужно актуализировать. Если вы закрыли вклад и хотите использовать этот банк как «операционный», включите СБП обратно и назначьте его по умолчанию.

Ваш номер телефона в эпоху СБП - это не просто контакт, а точка входа в вашу финансовую систему. Функция проверки получателя удобна, но делает видимыми сами факты наличия счетов.  Отключить СБП‑приём в сберегательных банках, назначить один операционный банк по умолчанию, держать капитал на накопительном счёте, контролировать лимиты и регулярно проверять настройки - этого достаточно, чтобы лишить мошенников главного козыря: точной информации о том, где и сколько у вас денег. Так вы сможете спокойно пользоваться быстрыми переводами, не превращая удобство СБП в уязвимость для своих накоплений.