Могут ли мошенники взломать приложение банка?

Разговоры о том, что мошенники «взломали приложение банка», чаще описывают совсем другое: человека обманом вынудили установить поддельную программу, продиктовать код из SMS или перевести деньги на чужой счёт. Настоящий взлом защищённого банковского приложения извне — история почти невероятная, а вот схемы социальной инженерии работают регулярно и стоят клиентам реальных денег. Понимание этой разницы — главная защита: оно помогает не поддаваться панике, трезво оценивать риски и вовремя замечать подделку на экране смартфона.

Ниже разберём, что на самом деле взламывают мошенники и откуда берутся суммы потерь, как устроена схема получения доступа к приложению без взлома кода и почему банковское приложение почти невозможно вскрыть извне. Отдельно остановимся на практических шагах: как проверить своё приложение на подделку и утечку данных и что делать, если деньги уже списали через приложение, — включая сроки обращения в банк и условия возврата по закону.

Можно ли взломать приложение банка: что реально взламывают мошенники

Взломать само банковское приложение — то есть взломать его код, серверы банка или шифрование — мошенники практически не могут. А вот получить доступ к вашему приложению через ваши же руки, телефон или данные — могут, и это происходит постоянно. Поэтому корректный ответ на вопрос звучит так: код приложения взломать почти невозможно, а вот доступ к нему — вполне реально, и именно это мошенники и делают.

Важно различать три вещи, которые в бытовой речи смешивают в одно слово «взлом»:

• Взлом кода приложения — поиск уязвимостей в самом ПО банка, обход шифрования, проникновение в серверную часть. Это требует высокой квалификации, дорого и быстро закрывается банками. Массовым явлением не является.
• Взлом вашего аккаунта — когда мошенник получает логин, пароль и одноразовые коды и заходит в приложение под вашим именем с другого устройства. Технически это не взлом приложения, а вход с вашими данными.
• Взлом вашего телефона — установка вредоносной программы, перехват SMS, доступ к экрану через удалённое управление. Здесь страдает не банк, а устройство клиента.

Именно два последних сценария дают мошенникам результат. Банковские приложения строятся так, чтобы даже при утечке пароля злоумышленник не мог войти без второго фактора — кода из SMS, push-подтверждения или биометрии. Поэтому атака почти всегда направлена на человека, а не на код.

Ещё одна форма — поддельное приложение. Мошенники создают копию банковского клиента или «приложение безопасности ЦБ» и убеждают установить его. Это не взлом настоящего приложения, а подмена: вы сами ставите программу, которая передаёт данные злоумышленникам. Такой сценарий встречается чаще, чем любые технические атаки на код.

Сколько денег теряют клиенты банков из-за взлома приложений

Точную сумму потерь именно из-за «взлома приложений» назвать нельзя, потому что банки и регулятор считают по-другому: они фиксируют операции, совершённые без согласия клиента, независимо от того, как мошенник получил доступ. В эту категорию попадают и вход в приложение по украденным данным, и переводы под влиянием обмана, и списания после установки вредоносной программы. Поэтому корректная формулировка — «потери от несанкционированных операций», а не «ущерб от взлома кода».

Потери распределяются неравномерно, и это важно понимать:

• Крупные суммы чаще связаны с социальной инженерией — человек сам подтверждает перевод, будучи уверенным, что говорит с банком или «следователем». Технически приложение тут ни при чём.
• Средние суммы — результат входа в аккаунт по украденным кодам и паролям, когда мошенник действует быстро, пока клиент не заблокировал доступ.
• Мелкие и массовые списания — следствие подписок на поддельные приложения, «пробных периодов» и вредоносных программ, которые списывают деньги небольшими порциями, чтобы жертва не сразу заметила.

Практический вывод для читателя: ориентироваться на среднюю цифру ущерба бессмысленно — она не описывает ваш риск. Гораздо важнее понимать, что основная масса потерь приходится на случаи, когда клиент сам подтвердил операцию или установил сомнительное ПО. Именно эти два канала и нужно перекрывать в первую очередь.

Отдельно стоит помнить: часть денег банки возвращают. По закону об этом речь ниже, но сам факт возврата означает, что «итоговые потери клиентов» в статистике ниже, чем суммы украденного. Возврат зависит от того, нарушил ли клиент правила безопасности и успел ли вовремя сообщить о списании.

Откуда берутся суммы потерь: статистика ЦБ и банков

Источник цифр по потерям — отчётность банков перед Банком России об операциях без согласия клиентов, которую регулятор регулярно обобщает и публикует. Именно эти данные, а не оценки отдельных банков, служат ориентиром. Банк России в своих обзорах отдельно выделяет объём операций, совершённых без согласия клиента, и долю средств, которые банкам удалось вернуть.

Из этой статистики следуют устойчивые закономерности, полезные для понимания риска:

• Основной канал — социальная инженерия. Регулятор неоднократно отмечал, что большинство хищений происходит не через технический взлом, а через обман: клиента убеждают самостоятельно подтвердить операцию или сообщить коды.
• Доля возвратов растёт. Чем строже банки соблюдают процедуры приостановки переводов на счета из базы мошенников, тем чаще деньги удаётся вернуть клиенту.
• Суммы по одному случаю сильно разнятся — от нескольких тысяч до миллионов рублей, поэтому средние значения плохо описывают реальность.

Есть и обратная сторона статистики: часть потерь не попадает в отчётность как «хищение», потому что клиент добровольно перевёл деньги мошеннику, будучи введённым в заблуждение, и сам не сразу это осознал. Такие операции банк изначально видит как обычные. Именно поэтому цифры регулятора — нижняя граница реального ущерба, а не точная его величина.

Что делать с этой информацией практически: не пытайтесь вычислить свой риск по средней цифре. Вместо этого сверяйтесь с актуальными материалами регулятора и используйте статистику как ориентир масштаба проблемы, а решения принимайте по своим настройкам безопасности — о них речь в разделе о проверке приложения.

Разбор схемы: как мошенники получают доступ к приложению без взлома кода

Типовая атака выглядит как последовательность шагов, где каждый следующий опирается на доверие, полученное на предыдущем. Понимание этой цепочки позволяет разорвать её в любой точке — и этого достаточно, чтобы деньги остались на счёте.

1. Вход в контакт. Звонок или сообщение от «службы безопасности банка», «ЦБ», «следователя» или «оператора связи». Задача — испугать и одновременно убедить, что вам помогают.
2. Легенда. Вам сообщают о «подозрительной операции», «попытке взлома» или «утечке данных» и предлагают срочно всё исправить. Срочность отключает критическое мышление.
3. Сбор данных. Под предлогом проверки у вас выпытывают коды из SMS, CVV/CVC, логин, а иногда просят продиктовать данные карты. По закону сотрудники банка и ЦБ никогда не запрашивают коды из SMS, CVV/CVC и данные карты — это прямо указано в нормах, на которые опирается практика (consultant.ru).
4. Установка программы. Вам предлагают поставить «приложение безопасности», «программу удалённой диагностики» или дать доступ к экрану. Через это мошенник видит ваши действия и коды.
5. Подтверждение операции. В финале вас просят «подтвердить отмену перевода» или «перевести на безопасный счёт». Такого счёта не существует — любой такой призыв означает мошенничество (consultant.ru).

Ключевой момент: на каждом шаге мошенник не взламывает приложение, а добивается, чтобы вы сами открыли ему дверь. Поэтому защита строится не на антивирусе, а на правиле «никому не сообщаю коды и не устанавливаю ничего по просьбе звонящего».

Отдельно про «безопасный счёт»: это самый частый финал схемы. Как только вы слышите это словосочетание — разговор окончен, кладите трубку и перезванивайте в банк по номеру с обратной стороны карты или из официального приложения.

Почему банковское приложение почти невозможно взломать извне

Банковские приложения проектируются так, чтобы даже при утечке части данных злоумышленник не мог провести операцию. Это не случайность, а результат многоуровневой защиты, которую банки обязаны поддерживать.

• Шифрование канала. Обмен между приложением и сервером банка защищён, перехватить и прочитать трафик извне крайне сложно.
• Двухфакторная аутентификация. Вход и подтверждение операций требуют второго фактора — кода, push-подтверждения, биометрии. Одного пароля недостаточно.
• Проверка устройства. Банк видит, с какого устройства и в каком месте выполняется вход, и может заблокировать подозрительную сессию.
• Мониторинг операций. Нетипичные переводы, новые получатели и необычные суммы попадают под автоматический контроль и могут быть приостановлены.
• Обновления и аудит. Банки регулярно закрывают уязвимости и проводят проверки безопасности.

Именно поэтому массовых «взломов приложения» не бывает: экономически выгоднее обмануть человека, чем искать дыру в защите банка. Атака на код — дорогая, редкая и быстро закрываемая история, тогда как звонок «из службы безопасности» стоит мошеннику почти ничего.

С 25 июля 2024 года у банков появился ещё один барьер: банк обязан на два дня приостанавливать перевод на счёт из базы Банка России о мошеннических операциях — так называемый «период охлаждения» (ФЗ-161 в ред. ФЗ-369 от 24.07.2023, consultant.ru). Если банк перевёл деньги на такой счёт без приостановки, он обязан вернуть их клиенту в течение 30 дней после заявления. Этот механизм работает на стороне банка и не требует от вас никаких действий — но только если вы вовремя сообщите о проблеме.

Как проверить своё приложение на подделку и утечку данных

Проверка занимает несколько минут и делается по шагам. Начните с источника установки: приложение банка должно быть скачано только из официального магазина приложений или с сайта банка, ссылку на который вы вводите вручную, а не получили в сообщении.

1. Сверьте название и разработчика. В магазине приложений посмотрите, кто издатель. Подделки часто копируют логотип, но разработчик указан другой.
2. Проверьте дату установки и обновления. Если приложение появилось на телефоне, хотя вы его не ставили, — это тревожный сигнал.
3. Просмотрите список установленных программ на предмет незнакомых «программ безопасности», «диагностики» и «помощников», особенно если их просили установить по телефону.
4. Проверьте разрешения. Банковскому приложению не нужен доступ к чтению SMS сторонними программами и не нужны права на удалённое управление экраном.
5. Смените пароль и проверьте устройства в приложении банка. В настройках безопасности обычно видно, с каких устройств выполнен вход; лишние сессии нужно завершить.
6. Проверьте утечки. Если есть подозрение, что данные попали к мошенникам, оцените, какие сервисы могли пострадать, и смените пароли там, где использовали тот же логин.

Отдельно проверьте, не оформлены ли на вас подозрительные продукты. Запросите свою кредитную историю: узнать, в каких БКИ она хранится, можно бесплатно через Госуслуги — запрос в Центральный каталог кредитных историй Банка России приходит за несколько минут, после чего отчёт запрашивается в каждом из указанных бюро через их сайты (consultant.ru). Так вы увидите, не появились ли чужие кредиты или заявки.

Если обнаружили подделку или подозрительную программу — удалите её, смените пароли, завершите посторонние сессии и позвоните в банк. Не переустанавливайте приложение по ссылке из сообщения: скачивайте заново из официального источника.

Что делать, если деньги списаны через приложение

Действовать нужно быстро и по порядку — от скорости зависит, вернут ли деньги. По закону, если средства списаны без вашего согласия, банк обязан вернуть их при условии, что вы сообщили о несанкционированной операции не позднее следующего дня после получения уведомления и сами не нарушали правила безопасности (ФЗ-161, ст. 9, consultant.ru).

1. Заблокируйте доступ. Через приложение или звонком в банк заблокируйте карту и завершите все сессии, кроме своей.
2. Сообщите в банк немедленно. Позвоните по номеру с обратной стороны карты или из официального приложения — не по номеру из SMS или от «сотрудника».
3. Подайте письменное заявление о несанкционированной операции и требовании возврата средств. Зафиксируйте дату и номер обращения.
4. Напишите заявление в полицию. Копию талона-уведомления приложите к обращению в банк.
5. Смените пароли и проверьте устройства, с которых выполнен вход; удалите подозрительные программы.
6. Дождитесь решения. Если банк перевёл деньги на счёт из базы мошенников без приостановки, он обязан вернуть их в течение 30 дней после заявления (consultant.ru).

Если банк отказал, обжалуйте: сначала в самом банке, затем — в интернет-приёмной Банка России и через финансового уполномоченного. Приложите переписку, заявление и талон из полиции.

Чего делать нельзя: переводить деньги «для отмены операции», сообщать коды из SMS и CVV/CVC, устанавливать программы по просьбе звонящего. Сотрудники банка и ЦБ никогда не запрашивают эти данные и не предлагают «безопасный счёт» — такого счёта не существует (consultant.ru). Любой такой звонок — мошенничество: кладите трубку и звоните в банк сами.

Профилактика на будущее: включите уведомления по всем операциям, двухфакторную аутентификацию, при необходимости — самозапрет на кредиты, и установите лимиты на переводы. Эти настройки снижают и вероятность атаки, и размер возможного ущерба.

Информационный сервис. Не является финансовой рекомендацией. Окончательные условия уточняйте на сайте банка.