В марте 2026 года российский финансовый рынок вступил в острую фазу обсуждения законопроекта «Антифрод 2.0» (второй пакет мер против кибермошенничества), готовящегося ко второму чтению в Госдуме. Национальный совет финансового рынка (НСФР), объединяющий ключевых участников финансовой отрасли, направил официальные письма в Центральный банк РФ и Правительство с предложением исключить норму об обязательном двойном подтверждении дистанционных операций через SMS и национальный мессенджер МАХ.
Банковское сообщество оценивает предложенную регулятором схему как «юридически избыточную и необоснованно затратную», способную не только не повысить уровень защиты клиентов, но и создать системные риски для всей финансовой инфраструктуры страны.
Предпосылки: что меняет «Антифрод 2.0»
Законопроект, разработанный с целью усиления защиты граждан от телефонного и интернет-мошенничества, в текущей редакции предусматривает обязательное подтверждение «значимых действий» при дистанционных операциях (переводы, изменение настроек, вход в личный кабинет) одновременно двумя каналами связи: через SMS-сообщение и через пуш-уведомление в мессенджере МАХ.
Именно эта норма стала камнем преткновения. Банкиры указывают, что предложение игнорирует альтернативные способы подтверждения, которые существуют на рынке и способны обеспечить более высокий уровень безопасности, чем связка «SMS + МАХ».
Экономическая аргументация: миллиардные издержки
Глава НСФР Андрей Емелин в комментариях отраслевым СМИ подчеркнул, что внедрение обязательной двойной рассылки кодов подтверждения приведет к многомиллиардным дополнительным расходам для банков. Издержки складываются из двух компонентов:
1. Плата операторам связи за каждое SMS-сообщение — при масштабах транзакционной активности крупных банков речь идет о десятках миллионов сообщений ежедневно.
2. Затраты на интеграцию и поддержание инфраструктуры отправки пуш-уведомлений через МАХ, включая оплату услуг оператора мессенджера.
В НСФР предупреждают, что эти затраты неизбежно будут переложены на конечных клиентов, что приведет к росту тарифов на банковские услуги. Альтернативой могло бы стать законодательное закрепление бесплатности доставки кодов подтверждения либо установление государством регулируемого тарифа, однако таких гарантий текущая версия законопроекта не содержит.
Единая точка отказа: архитектурный риск национального масштаба
Наиболее серьезный аргумент банковского сообщества лежит в плоскости архитектуры информационной безопасности. Привязка юридически значимого подтверждения операций к двум каналам — SMS и МАХ — создает риск, известный как единая точка отказа (Single Point of Failure, SPOF).
Как отметил Андрей Емелин, «принятие законопроекта приведет к тому, что любой технический сбой мессенджера на неопределенное время остановит всю юридически значимую онлайн-деятельность в стране, в том числе совершение сделок и банковские операции».
Особую озабоченность вызывает тот факт, что МАХ является относительно новым продуктом, чья инфраструктурная устойчивость к массированным DDoS-атакам, аппаратным сбоям и пиковым нагрузкам пока не подтверждена длительной эксплуатацией в критически важных сценариях. Концентрация всей финансовой системы на одном канале связи создает уязвимость, которая может быть использована злоумышленниками.
Технические ограничения МАХ: юридический парадокс
Помимо инфраструктурных рисков, участники рынка указывают на фундаментальное техническое ограничение самого мессенджера. Согласно отраслевым источникам, текущая архитектура МАХ не поддерживает отправку исходящих сообщений от юридических лиц физическим лицам без предварительного запроса со стороны клиента.
Это означает, что банк не может инициировать отправку кода подтверждения, если пользователь предварительно не начал диалог. Данное ограничение делает технически невозможной реализацию массовой рассылки одноразовых паролей (OTP) в том объеме, который требуется для обеспечения транзакционной активности миллионов клиентов.
Эффективность под вопросом: социальная инженерия как основной вектор угроз
Ключевой тезис банковских экспертов заключается в том, что увеличение числа подтверждающих факторов и навязывание конкретных каналов связи не приведет к значимому снижению количества мошеннических операций.
Специалисты по информационной безопасности, опрошенные «Коммерсантом» и профильными изданиями, констатируют: основным инструментом злоумышленников остается социальная инженерия, позволяющая управлять жертвой преступников в течение нескольких дней, убеждая совершить необходимые действия.
В таких сценариях дополнительные коды подтверждения не играют защитной роли — клиент под влиянием манипуляции осознанно совершает операции, нередко игнорируя предупреждения банка. Двухфакторная аутентификация (2FA) эффективна против атак, связанных с кражей паролей, но бессильна против атак, направленных на самого пользователя.
Сравнительный анализ методов аутентификации
В письме НСФР и комментариях экспертов отдельно подчеркивается, что предлагаемая законопроектом схема игнорирует существующие, более безопасные методы подтверждения операций.
SMS-коды: устаревающий стандарт
Специалисты по кибербезопасности уже давно относят SMS к наименее надежным методам двухфакторной аутентификации. Основные уязвимости:
- SIM-swap-атаки — злоумышленники перевыпускают SIM-карту жертвы на себя, получая доступ ко всем SMS-кодам.
- Перехват через протокол SS7 — уязвимость в телекоммуникационной инфраструктуре позволяет перехватывать SMS на уровне оператора связи.
- Фишинговые схемы — мошенники вынуждают жертву самостоятельно сообщить код.
Push-уведомления в банковских приложениях
Эксперты называют push-уведомления в защищенных банковских приложениях значительно более надежным методом по сравнению с SMS. Преимущества:
- Привязка к конкретному устройству — код доставляется в приложение, которое аутентифицировано с использованием сертификатов безопасности.
- Биометрическое подтверждение — во многих банках push-уведомление требует подтверждения отпечатком пальца или Face ID.
- Отсутствие зависимости от мобильной сети — уведомления доставляются через интернет-канал, защищенный шифрованием.
TOTP-коды (Time-based One-Time Password)
Генераторы одноразовых паролей, такие как «Яндекс ID», Google Authenticator, Microsoft Authenticator, также называются экспертами в качестве более безопасной альтернативы. Особенности метода:
- Оффлайн-генерация — коды создаются локально на устройстве пользователя без передачи по каналам связи.
- Отсутствие привязки к номеру телефона — делает метод устойчивым к SIM-swap.
- Защита от перехвата — злоумышленник не может получить код, не имея физического доступа к устройству.
Позиция НСФР: предложения по корректировке
В своем обращении к регуляторам Национальный совет финансового рынка сформулировал следующие ключевые предложения :
1. Закрепить право выбора способа подтверждения за клиентом и банком, не ограничиваясь двумя обязательными каналами.
2. Легализовать альтернативные методы аутентификации наравне с SMS и МАХ, включая push-уведомления в банковских приложениях, TOTP-коды, биометрию.
3. Установить государственное регулирование тарифов на SMS-рассылку либо законодательно закрепить бесплатность доставки кодов подтверждения для банков.
4. Исключить норму об обязательном двойном подтверждении, заменив ее на возможность использования одного из разрешенных способов по выбору.
Выводы
Дискуссия вокруг «Антифрода 2.0» обнажила фундаментальное противоречие между подходом регулятора, ориентированным на унификацию и централизацию каналов подтверждения, и логикой банковского сообщества, настаивающего на технологической нейтральности законодательства.
Эксперты сходятся во мнении: эффективная защита от кибермошенничества строится не на количестве отправленных кодов и не на принудительном использовании конкретных мессенджеров, а на внедрении криптографически защищенных методов аутентификации и повышении финансовой грамотности населения.
Принятие законопроекта в текущей редакции, предупреждают банкиры, создаст риски монополизации критически важного канала связи, приведет к росту издержек отрасли и, что самое парадоксальное, не окажет существенного влияния на сокращение числа успешных мошеннических операций, основным драйвером которых остается социальная инженерия, а не недостаточность факторов подтверждения.