Скрытые диплинки: как через СБП крадут деньги
Мы настолько привыкли к скорости и простоте Системы быстрых платежей (СБП), что воспринимаем перевод денег как пару кликов: нажал - и платёж ушёл. СБП действительно стала прорывом - не надо вбивать длинные реквизиты, всё происходит за секунды, интерфейс кажется максимально надёжным. Но именно эта «бесшовность» и стала главным оружием мошенников: они научились прятать опасные операции внутри безобидных на вид ссылок. Технология диплинков (deep links) позволяет мгновенно открывать банковское приложение и подменять платёжные данные - и пользователь даже не замечает подвоха.
Как работают уязвимости: механика обмана
Диплинки - это не обычные ссылки, а команды для операционной системы смартфона: «Открой банковское приложение и покажи экран оплаты вот с такими параметрами». В случае СБП такие ссылки часто используют домены и они выглядят официально, и это усыпляет бдительность.
Ловушка «подменённого инвойса» устроена хитро и эффективно. Вы ищете товар, или вам приходит сообщение якобы от службы поддержки: «Оплатите со скидкой по ссылке». Вы кликаете - и смартфон не показывает сайт, а сразу запускает приложение вашего банка. На экране уже стоит сумма, уже выбрано назначение платежа, и ярко светится кнопка «Оплатить». Всё выглядит как настоящий платёж: интерфейс знакомый, кнопки привычные. Но внутри диплинка спрятан C2B-запрос, который инициирует перевод на счёт мошенников.
Самое опасное - в том, что транзакция выглядит полностью легитимной. Она запускается через доверенный протокол СБП, подтверждается биометрией (Face ID, отпечатком пальца), и система не запрашивает СМС‑код. Для антифрод‑систем банка это выглядит как обычное действие клиента. В результате деньги уходят мгновенно, а вернуть их почти невозможно: переводы через СБП безотзывные.
Обход классической защиты 3D-Secure здесь строится не на взломе банка, а на эксплуатации самой логики удобства. Если платёж инициирован через диплинк СБП и подтверждён биометрией, дополнительный код не нужен. И именно этим активно пользуются злоумышленники.
Где чаще всего возникает риск: типичные сценарии компрометации
«Просто кликнул на скидку». Пользователь переходит по ссылке из мессенджера или письма, доверяя «официальному» виду домена. Диплинк автоматически открывает банковское приложение с уже заполненной формой платежа.
«Всё выглядит как надо». На экране - привычный интерфейс банка, знакомая кнопка «Оплатить», уже проставлена сумма. Из‑за этого человек не замечает, что получатель платежа - совсем не тот, кого он ожидал.
Спешка и психологическое давление. Даже если пользователь обычно осторожен, фразы вроде «скидка сгорит через минуту» заставляют действовать быстро и пропускать проверку деталей.
Автоматическое открытие ссылок. Если в настройках смартфона разрешено открывать СБП‑ссылки напрямую в банковском приложении, у пользователя просто нет шанса увидеть реальный адрес страницы и понять, что это фишинг.
Как выстроить безопасную рутину при использовании СБП
Чтобы удобство СБП не обернулось потерей денег, достаточно внедрить несколько простых, но строгих правил.
Всегда делайте паузу перед подтверждением. Как только экран банка открылся автоматически после клика по ссылке, не нажимайте «Оплатить» сразу. Остановитесь на 5 секунд и вчитайтесь в детали:
точное наименование получателя (не просто «ООО», а полное название);
ИНН организации;
назначение платежа.
Если видите что‑то странное - сразу отменяйте операцию.
Используйте отдельную виртуальную карту для онлайн‑платежей. Выпустите в мобильном банке бесплатную виртуальную карту и используйте её только для покупок в интернете. Никогда не держите на ней крупные суммы. Пусть баланс будет нулевым или минимальным.
Установите жёсткие лимиты и отключите овердрафт. В настройках карты задайте небольшой дневной лимит и обязательно отключите возможность превышения лимита. Пополняйте карту вручную ровно перед покупкой. Если вы случайно попадёте на фишинговый диплинк, платёж либо не пройдёт из‑за лимита, либо сумма ущерба будет минимальной.
Запретите автоматическое открытие СБП‑ссылок в банковском приложении. Зайдите в настройки смартфона: «Приложения» → «Выбор приложений по умолчанию» → «Переход по ссылкам». Найдите своё банковское приложение и отключите опцию «Открывать поддерживаемые ссылки». Теперь любая СБП‑ссылка сначала откроется в браузере, где вы сможете увидеть реальный адрес и понять, не фишинг ли это.
Держите основной капитал вне зоны быстрых списаний. Храните свободные деньги на накопительном счёте, который не используется для быстрых платежей. Пусть дебетовая карта, которой вы платите онлайн, содержит только ту сумму, которая нужна прямо сейчас.
Регулярно проверяйте привязки и подписки. Иногда достаточно одной старой привязки, чтобы деньги начали уходить незаметно. Проверяйте в мобильном банке активные автоплатежи и разрешения на списания.
Нюансы, которые легко упустить
Диплинк‑сессия - это не обычный вход в приложение. Она может сразу открывать форму платежа, минуя привычные экраны проверки.
Биометрия не гарантирует безопасность. Подтверждение через Face ID или отпечаток пальца воспринимается системой как осознанное действие клиента, поэтому антифрод не запрашивает дополнительные коды.
Лимиты реально защищают. Даже простая настройка «не больше 2 000 рублей в день» может спасти от крупной потери при случайном переходе по фишинговой ссылке.
Отключение автооткрытия ссылок - это реально работает. Это даёт вам шанс увидеть адрес страницы и не дать смартфону автоматически запустить платёж.
Интерфейс может маскировать угрозу. Даже если всё выглядит «как в вашем банке», всегда проверяйте реквизиты получателя - именно они покажут, куда на самом деле уйдут деньги.
Бесконтактные технологии и быстрые платежи сильно упростили доступ к деньгам, но и изменили вектор рисков: теперь главная угроза - не «накладка на картоприёмник», а незаметный переход по ссылке и мгновенный платёж, который кажется правильным. Мошенники не взламывают банки: они эксплуатируют именно тот комфорт, к которому мы привыкли, - мгновенные переходы, автозаполнение, доверие к интерфейсу. Принудительно делайте паузу перед подтверждением, изолируйте платёжные инструменты, ставьте лимиты, отключайте автоматические переходы и держите капитал на отдельном счёте - этого достаточно, чтобы удобство СБП не обернулось потерей денег. Так вы сможете спокойно пользоваться современными платёжными сервисами и быть уверены, что ваш капитал защищён не только банковскими серверами, но и вашей осознанной цифровой гигиеной.
Теплый сентябрь пролетел в один миг. Подарил нам, перед зимними долгими месяцами солнечную золотую осень 🍁.
Захожу сегодня в приложение Озон Банка, а там необычный баннер.
Практически все пользователи нашей платформы участвуют в акциях различных банков с получением выгодных скидок на приобретение всевозможной продукции...В мобильных приложениях банков и на сайтах сервисов, постоянно публикуются предложения на текущий календарный период (день).
В октябре появились категории кэшбэка у карты «Апельсин». Очень даже неплохо, а ведь, карта просилась на «закрытие».
Решила оформить дебетовую карту Вайлдберриз Банка по ссылке от друга. Это можно сделать прямо в приложении маркетплейса Вайлдберриз , выполнив несколько простых шагов.
Безналичные деньги доступны уже с 6 лет — правда, поначалу это карта, привязанная к счету кого-то из родителей. Свою карту можно оформить с 14 лет, когда появляется паспорт, но до совершеннолетия операции по счету остаются под присмотром взрослых. Разбираем, что меняется с возрастом.
Ставка в первые 2 расчетных периода составляет 14,1% годовых — для тех, кто открывает счет впервые. С 3-го расчетного периода — 12% годовых при выполнении условий или 7% годовых по базовой ставке.
50% — именно такой порог показателя долговой нагрузки (ПДН) стал критической отметкой при рассмотрении заявок на новые потребительские кредиты. Регулятор продолжает последовательно ужесточать макропруденциальные лимиты, вытесняя закредитованных граждан из стандартного банковского сектора.
Раньше я выбирал накопительный счет довольно просто. Открывал приложение, смотрел, где процент выше, и на этом почти всё. Если в одном банке было 15%, а в другом 17%, казалось очевидным, что второй вариант лучше.
Раньше, как и многие, я воспринимал кредитку просто как кошелек с бесконечными деньгами до определенной даты: «главное — внести минимальный платеж, а остальное можно гасить потихоньку». Из-за этого регулярно попадал на проценты там, где их быть не должно.
Оформил программу улучшения кредитной истории "Совкомбанк".
В последние месяцы на авторынке наблюдается странный парадокс: салоны завешаны баннерами про «авторассрочки» и кредиты без первоначального взноса, а реальные покупатели уходят из кредитных отделов ни с чем. На текущий момент, когда банковский сектор зажат жесткими макропруденциальными лимитами и высокими рисками, зайти в автосалон «с пустыми карманами» и уехать на новой машине стало практически нереальным сценарием. Недавно я сам помогал брату с подбором авто на вторичке и параллельно...
С 10 августа изменились условия тарифа по кредитной карте Альфа-Банка. Изменения существенные, по моемк анализу : резко повысилась % ставка за непогашение задолженности в Грейс период в срок . Стало: ~60%. Изменился алгоритм возобновление следующего периода . Стало : на следующий день , после погашения в дату окончания. Было: в тот же день , после обработки. Убрали : возможность оплаты налогов и платежей в Госорганы в Грейс- период ( оплату ЖКХ) оставили. По кэшбэку за...
Заявленный кэшбэк в 5% на популярные категории — это миф, если банк использует алгоритм округления чека в меньшую сторону за каждые полные 100 рублей. На рекламных баннерах всё выглядит красиво, но реальная математика мелких бытовых покупок оказывается совсем иной.
В последние месяцы на авторынке наблюдается странный парадокс: салоны завешаны баннерами про «авторассрочки» и кредиты без первоначального взноса, а реальные покупатели уходят из кредитных отделов ни с чем. На текущий момент, когда банковский сектор зажат жесткими макропруденциальными лимитами и высокими рисками, зайти в автосалон «с пустыми карманами» и уехать на новой машине стало практически нереальным сценарием. Недавно я сам помогал брату с подбором авто на вторичке и параллельно...