Скрытые диплинки: как через СБП крадут деньги

Мы настолько привыкли к скорости и простоте Системы быстрых платежей (СБП), что воспринимаем перевод денег как пару кликов: нажал - и платёж ушёл. СБП действительно стала прорывом - не надо вбивать длинные реквизиты, всё происходит за секунды, интерфейс кажется максимально надёжным. Но именно эта «бесшовность» и стала главным оружием мошенников: они научились прятать опасные операции внутри безобидных на вид ссылок. Технология диплинков (deep links) позволяет мгновенно открывать банковское приложение и подменять платёжные данные - и пользователь даже не замечает подвоха.

Как работают уязвимости: механика обмана

Диплинки - это не обычные ссылки, а команды для операционной системы смартфона: «Открой банковское приложение и покажи экран оплаты вот с такими параметрами». В случае СБП такие ссылки часто используют домены и они выглядят официально, и это усыпляет бдительность.

Ловушка «подменённого инвойса» устроена хитро и эффективно. Вы ищете товар, или вам приходит сообщение якобы от службы поддержки: «Оплатите со скидкой по ссылке». Вы кликаете - и смартфон не показывает сайт, а сразу запускает приложение вашего банка. На экране уже стоит сумма, уже выбрано назначение платежа, и ярко светится кнопка «Оплатить». Всё выглядит как настоящий платёж: интерфейс знакомый, кнопки привычные. Но внутри диплинка спрятан C2B-запрос, который инициирует перевод на счёт мошенников.

Самое опасное - в том, что транзакция выглядит полностью легитимной. Она запускается через доверенный протокол СБП, подтверждается биометрией (Face ID, отпечатком пальца), и система не запрашивает СМС‑код. Для антифрод‑систем банка это выглядит как обычное действие клиента. В результате деньги уходят мгновенно, а вернуть их почти невозможно: переводы через СБП безотзывные.

Обход классической защиты 3D-Secure здесь строится не на взломе банка, а на эксплуатации самой логики удобства. Если платёж инициирован через диплинк СБП и подтверждён биометрией, дополнительный код не нужен. И именно этим активно пользуются злоумышленники.

Где чаще всего возникает риск: типичные сценарии компрометации

«Просто кликнул на скидку». Пользователь переходит по ссылке из мессенджера или письма, доверяя «официальному» виду домена. Диплинк автоматически открывает банковское приложение с уже заполненной формой платежа.

«Всё выглядит как надо». На экране - привычный интерфейс банка, знакомая кнопка «Оплатить», уже проставлена сумма. Из‑за этого человек не замечает, что получатель платежа - совсем не тот, кого он ожидал.

Спешка и психологическое давление. Даже если пользователь обычно осторожен, фразы вроде «скидка сгорит через минуту» заставляют действовать быстро и пропускать проверку деталей.

Автоматическое открытие ссылок. Если в настройках смартфона разрешено открывать СБП‑ссылки напрямую в банковском приложении, у пользователя просто нет шанса увидеть реальный адрес страницы и понять, что это фишинг.

Как выстроить безопасную рутину при использовании СБП

Чтобы удобство СБП не обернулось потерей денег, достаточно внедрить несколько простых, но строгих правил.

Всегда делайте паузу перед подтверждением. Как только экран банка открылся автоматически после клика по ссылке, не нажимайте «Оплатить» сразу. Остановитесь на 5 секунд и вчитайтесь в детали:

точное наименование получателя (не просто «ООО», а полное название);

ИНН организации;

назначение платежа.

Если видите что‑то странное - сразу отменяйте операцию.

Используйте отдельную виртуальную карту для онлайн‑платежей. Выпустите в мобильном банке бесплатную виртуальную карту и используйте её только для покупок в интернете. Никогда не держите на ней крупные суммы. Пусть баланс будет нулевым или минимальным.

Установите жёсткие лимиты и отключите овердрафт. В настройках карты задайте небольшой дневной лимит и обязательно отключите возможность превышения лимита. Пополняйте карту вручную ровно перед покупкой. Если вы случайно попадёте на фишинговый диплинк, платёж либо не пройдёт из‑за лимита, либо сумма ущерба будет минимальной.

Запретите автоматическое открытие СБП‑ссылок в банковском приложении. Зайдите в настройки смартфона: «Приложения» → «Выбор приложений по умолчанию» → «Переход по ссылкам». Найдите своё банковское приложение и отключите опцию «Открывать поддерживаемые ссылки». Теперь любая СБП‑ссылка сначала откроется в браузере, где вы сможете увидеть реальный адрес и понять, не фишинг ли это.

Держите основной капитал вне зоны быстрых списаний. Храните свободные деньги на накопительном счёте, который не используется для быстрых платежей. Пусть дебетовая карта, которой вы платите онлайн, содержит только ту сумму, которая нужна прямо сейчас.

Регулярно проверяйте привязки и подписки. Иногда достаточно одной старой привязки, чтобы деньги начали уходить незаметно. Проверяйте в мобильном банке активные автоплатежи и разрешения на списания.

Нюансы, которые легко упустить

Диплинк‑сессия - это не обычный вход в приложение. Она может сразу открывать форму платежа, минуя привычные экраны проверки.

Биометрия не гарантирует безопасность. Подтверждение через Face ID или отпечаток пальца воспринимается системой как осознанное действие клиента, поэтому антифрод не запрашивает дополнительные коды.

Лимиты реально защищают. Даже простая настройка «не больше 2 000 рублей в день» может спасти от крупной потери при случайном переходе по фишинговой ссылке.

Отключение автооткрытия ссылок - это реально работает. Это даёт вам шанс увидеть адрес страницы и не дать смартфону автоматически запустить платёж.

Интерфейс может маскировать угрозу. Даже если всё выглядит «как в вашем банке», всегда проверяйте реквизиты получателя - именно они покажут, куда на самом деле уйдут деньги.

Бесконтактные технологии и быстрые платежи сильно упростили доступ к деньгам, но и изменили вектор рисков: теперь главная угроза - не «накладка на картоприёмник», а незаметный переход по ссылке и мгновенный платёж, который кажется правильным. Мошенники не взламывают банки: они эксплуатируют именно тот комфорт, к которому мы привыкли, - мгновенные переходы, автозаполнение, доверие к интерфейсу. Принудительно делайте паузу перед подтверждением, изолируйте платёжные инструменты, ставьте лимиты, отключайте автоматические переходы и держите капитал на отдельном счёте - этого достаточно, чтобы удобство СБП не обернулось потерей денег. Так вы сможете спокойно пользоваться современными платёжными сервисами и быть уверены, что ваш капитал защищён не только банковскими серверами, но и вашей осознанной цифровой гигиеной.