Безопасность дистанционного банковского обслуживания: как бизнесу защитить доступ к счетам

Подключение дистанционного банковского обслуживания (ДБО) экономит время индивидуальному предпринимателю (ИП) и товариществу с ограниченной ответственностью (ТОО), но одновременно меняет характер рисков. Доступ к счету теперь определяется не визитом в отделение, а тем, у кого находятся логин, пароль и электронная цифровая подпись (ЭЦП). Утечка любого из этих элементов может привести к несанкционированным платежам. Поэтому защита доступа должна быть такой же частью финансовой дисциплины, как контроль расходов.

Дистанционное банковское обслуживание: виды и формы

Работать со счетом удаленно можно через несколько каналов, и у каждого свои уязвимости. Основные формы дистанционного банковского обслуживания различаются не только функционалом, но и тем, от чего их нужно защищать. Для бизнеса актуальны следующие каналы:

• интернет-банк в браузере, для которого основные угрозы – поддельные сайты и вредоносные программы на компьютере;

• мобильное приложение, уязвимое при утере телефона или установке программ удаленного доступа;

• SMS-уведомления, которые важны для контроля операций, но могут стать целью мошенников при перевыпуске SIM-карты;

• система «клиент-банк» в виде отдельной программы, где ключевой риск связан с доступом посторонних к рабочему компьютеру.

Зная уязвимости каждого канала, можно выстроить защиту точечно. Для браузера важны проверка адреса сайта и антивирус, для приложения – блокировка экрана и загрузка только из официальных магазинов. Для SMS-канала стоит контролировать, чтобы номер телефона был оформлен на владельца бизнеса или компанию.

Защита системы дистанционного банковского обслуживания

Защита удаленного доступа выстроена из нескольких независимых барьеров. Обмен информацией между клиентом и банком шифруется, поэтому перехваченные данные без ключа расшифровки бесполезны. Вход в систему и подтверждение платежа разделены, и для подписания операции, как правило, требуется ЭЦП. Даже зная пароль, посторонний не сможет провести платеж без второго фактора.

Агентство Республики Казахстан по регулированию и развитию финансового рынка (АРРФР) с 2023 года поэтапно вводит требования к информационной безопасности мобильных банков. В их числе обязательная двухфакторная аутентификация, подтверждение личности по биометрии через Централизованный обменный идентификационный депозитарий при регистрации и смене пароля, а также автоматическая блокировка приложения при обнаружении программ удаленного доступа. Для клиентов KMF онлайн-банк для бизнеса использует ЭЦП Национального удостоверяющего центра для подтверждения платежей, а доверенный номер телефона меняется только при личном обращении в отделение.

Безопасность договора дистанционного банковского обслуживания

Договор дистанционного банковского обслуживания определяет не только состав услуг, но и распределение ответственности при компрометации доступа. В нем закреплены обязанности клиента по хранению паролей и ключей, порядок уведомления о подозрительных операциях и сроки такого уведомления. Эти пункты стоит изучить до подключения.

Особое значение имеет момент уведомления. Если клиент сообщил о компрометации, за последующие несанкционированные операции, как правило, отвечает обслуживающая организация. При этом передача пароля третьим лицам или нарушение правил хранения ключа могут повлиять на решение по спорной операции. Порядок рассмотрения спорных ситуаций и права клиента также описываются в договоре.

Как бизнесу разграничить доступ к счету

В компании со штатом права целесообразно распределять между сотрудниками. Бухгалтер может готовить платежи, а подписывать их – руководитель или уполномоченное лицо с правом финансовой подписи. Такое разделение не позволяет одному человеку самостоятельно провести платеж от начала до конца.

Дополнительную защиту обеспечивают лимиты на подписание и схема из нескольких подтверждений для крупных операций, если система их поддерживает. Предприниматель без сотрудников сосредоточивает весь доступ в одних руках, поэтому для него особенно важны надежное хранение ЭЦП, пароль на устройствах и регулярная проверка истории операций. При увольнении сотрудника доступ к системе и его ЭЦП организации необходимо отозвать сразу.

Что делать при подозрении на компрометацию доступа

Признаками компрометации могут быть незнакомые операции в выписке, уведомления о входе, который пользователь не выполнял, или сообщения о смене пароля. В такой ситуации важна скорость реакции, поскольку от нее зависит объем возможных потерь. Порядок действий следующий:

1. Немедленно сообщить в банк и попросить заблокировать доступ к дистанционному обслуживанию.

2. Отозвать ЭЦП через Национальный удостоверяющий центр, если есть риск компрометации ключа.

3. Сменить пароли и проверить устройства, с которых выполнялся вход.

4. Проверить историю операций и при необходимости подать заявление на оспаривание.

После блокировки банк проверяет обстоятельства и восстанавливает доступ, когда угроза устранена. Если есть признаки преступления, параллельно подается заявление в полицию. Чтобы снизить риск повторения, сотрудникам важно уметь распознать мошенников по типичным сценариям звонков и писем от имени банка.

Безопасность ДБО – совместная ответственность банка и клиента

Банк обеспечивает защищенный канал связи, многофакторную проверку и мониторинг подозрительных операций, а регулятор устанавливает обязательные требования к этой защите. Клиент отвечает за хранение паролей и ключей, распределение прав между сотрудниками и своевременное сообщение о подозрительных операциях. Надежность системы определяется самым слабым звеном в этой цепочке. Поэтому правила безопасности стоит закрепить внутри компании так же четко, как порядок согласования платежей.