Безопасность дистанционного банковского обслуживания: как бизнесу защитить доступ к счетам

Подключение дистанционного банковского обслуживания (ДБО) экономит время индивидуальному предпринимателю (ИП) и товариществу с ограниченной ответственностью (ТОО), но одновременно меняет характер рисков. Доступ к счету теперь определяется не визитом в отделение, а тем, у кого находятся логин, пароль и электронная цифровая подпись (ЭЦП). Утечка любого из этих элементов может привести к несанкционированным платежам. Поэтому защита доступа должна быть такой же частью финансовой дисциплины, как контроль расходов.

Дистанционное банковское обслуживание: виды и формы

Работать со счетом удаленно можно через несколько каналов, и у каждого свои уязвимости. Основные формы дистанционного банковского обслуживания различаются не только функционалом, но и тем, от чего их нужно защищать. Для бизнеса актуальны следующие каналы:

• интернет-банк в браузере, для которого основные угрозы – поддельные сайты и вредоносные программы на компьютере;

• мобильное приложение, уязвимое при утере телефона или установке программ удаленного доступа;

• SMS-уведомления, которые важны для контроля операций, но могут стать целью мошенников при перевыпуске SIM-карты;

• система «клиент-банк» в виде отдельной программы, где ключевой риск связан с доступом посторонних к рабочему компьютеру.

Зная уязвимости каждого канала, можно выстроить защиту точечно. Для браузера важны проверка адреса сайта и антивирус, для приложения – блокировка экрана и загрузка только из официальных магазинов. Для SMS-канала стоит контролировать, чтобы номер телефона был оформлен на владельца бизнеса или компанию.

Защита системы дистанционного банковского обслуживания

Защита удаленного доступа выстроена из нескольких независимых барьеров. Обмен информацией между клиентом и банком шифруется, поэтому перехваченные данные без ключа расшифровки бесполезны. Вход в систему и подтверждение платежа разделены, и для подписания операции, как правило, требуется ЭЦП. Даже зная пароль, посторонний не сможет провести платеж без второго фактора.

Агентство Республики Казахстан по регулированию и развитию финансового рынка (АРРФР) с 2023 года поэтапно вводит требования к информационной безопасности мобильных банков. В их числе обязательная двухфакторная аутентификация, подтверждение личности по биометрии через Централизованный обменный идентификационный депозитарий при регистрации и смене пароля, а также автоматическая блокировка приложения при обнаружении программ удаленного доступа. Для клиентов KMF онлайн-банк для бизнеса использует ЭЦП Национального удостоверяющего центра для подтверждения платежей, а доверенный номер телефона меняется только при личном обращении в отделение.

Безопасность договора дистанционного банковского обслуживания

Договор дистанционного банковского обслуживания определяет не только состав услуг, но и распределение ответственности при компрометации доступа. В нем закреплены обязанности клиента по хранению паролей и ключей, порядок уведомления о подозрительных операциях и сроки такого уведомления. Эти пункты стоит изучить до подключения.

Особое значение имеет момент уведомления. Если клиент сообщил о компрометации, за последующие несанкционированные операции, как правило, отвечает обслуживающая организация. При этом передача пароля третьим лицам или нарушение правил хранения ключа могут повлиять на решение по спорной операции. Порядок рассмотрения спорных ситуаций и права клиента также описываются в договоре.

Как бизнесу разграничить доступ к счету

В компании со штатом права целесообразно распределять между сотрудниками. Бухгалтер может готовить платежи, а подписывать их – руководитель или уполномоченное лицо с правом финансовой подписи. Такое разделение не позволяет одному человеку самостоятельно провести платеж от начала до конца.

Дополнительную защиту обеспечивают лимиты на подписание и схема из нескольких подтверждений для крупных операций, если система их поддерживает. Предприниматель без сотрудников сосредоточивает весь доступ в одних руках, поэтому для него особенно важны надежное хранение ЭЦП, пароль на устройствах и регулярная проверка истории операций. При увольнении сотрудника доступ к системе и его ЭЦП организации необходимо отозвать сразу.

Что делать при подозрении на компрометацию доступа

Признаками компрометации могут быть незнакомые операции в выписке, уведомления о входе, который пользователь не выполнял, или сообщения о смене пароля. В такой ситуации важна скорость реакции, поскольку от нее зависит объем возможных потерь. Порядок действий следующий:

1. Немедленно сообщить в банк и попросить заблокировать доступ к дистанционному обслуживанию.

2. Отозвать ЭЦП через Национальный удостоверяющий центр, если есть риск компрометации ключа.

3. Сменить пароли и проверить устройства, с которых выполнялся вход.

4. Проверить историю операций и при необходимости подать заявление на оспаривание.

После блокировки банк проверяет обстоятельства и восстанавливает доступ, когда угроза устранена. Если есть признаки преступления, параллельно подается заявление в полицию. Чтобы снизить риск повторения, сотрудникам важно уметь распознать мошенников по типичным сценариям звонков и писем от имени банка.

Безопасность ДБО – совместная ответственность банка и клиента

Банк обеспечивает защищенный канал связи, многофакторную проверку и мониторинг подозрительных операций, а регулятор устанавливает обязательные требования к этой защите. Клиент отвечает за хранение паролей и ключей, распределение прав между сотрудниками и своевременное сообщение о подозрительных операциях. Надежность системы определяется самым слабым звеном в этой цепочке. Поэтому правила безопасности стоит закрепить внутри компании так же четко, как порядок согласования платежей.

Сколько времени занимает восстановление доступа после блокировки по инициативе банка?

Срок зависит от причины блокировки и проверки. Доступ восстанавливается после подтверждения личности и устранения угрозы.

Нужно ли менять пароль от интернет-банка регулярно, даже без подозрений на взлом?

Регулярная смена пароля снижает риски. Менять его обязательно при любом подозрении на утечку и при смене сотрудника с доступом.

Что происходит со счетом, если электронная подпись скомпрометирована?

Счет продолжает действовать, но скомпрометированную ЭЦП необходимо отозвать. Платежи возобновляются после оформления новой подписи.

Можно ли восстановить доступ к ДБО удаленно, без визита в банк?

Это зависит от обслуживающей организации и причины блокировки. Смена доверенного номера телефона в ряде банков требует личного обращения.

Нужно ли уведомлять контрагентов, если доступ к счету был скомпрометирован?

Обязанности уведомлять нет, однако предупредить партнеров о возможных поддельных запросах от имени компании целесообразно.