НСПК резко ужесточает требования к банкам по порогу мошеннических операций

НСПК резко ужесточает требования к банкам по порогу мошеннических операций

НСПК резко ужесточает требования к банкам по порогу мошеннических операций

В 2026 году Национальная система платежных карт (НСПК) планирует существенно ужесточить требования к банкам в части противодействия мошенничеству. Пороговые значения доли мошеннических операций, введённые ещё в 2020 году и служащие основанием для штрафов и усиленного контроля со стороны НСПК, предполагается снизить в десять раз.

Об этих мерах НСПК объявила на форуме «Антифродум-2026». Вместо единого порога, действующего с ноября 2020 года, предлагается ввести три уровня контроля.

Первый уровень предполагает, что сумма мошеннических операций достигает 1 млн рублей в месяц и составляет 0,05% от общего карточного оборота банка. Второй порог предлагается установить на уровне более 10 млн рублей и 0,02% таких операций, третий — более 50 млн рублей и 0,01%. Как уточнили в НСПК в ответ на запрос «Коммерсанта», эти критерии планируется применять и к платежам через СБП.

«В части общего уровня мошенничества НСПК оценивает долю фродовых операций в обороте банка. Если банк достигает контрольных границ и в течение следующих двух месяцев не приводит показатели в соответствие установленным требованиям, за каждое дальнейшее нарушение стандартов применяются штрафные меры», — пояснили в НСПК порядок действий в отношении организаций, допустивших превышение пороговых значений.

«Введение трёх уровней позволяет очень чётко развести все банки по трём разным “весовым категориям” и работать с ними несколько по-разному», — отметил в комментарии изданию независимый эксперт Максим Митусов.

По его мнению, действующие нормы носят слишком формальный характер и не учитывают различия между крупнейшими банками и участниками рынка, находящимися в конце третьей сотни рейтинга Банка России.

Председатель комиссии по финансовой безопасности Совета ТПП России Тимур Аитов назвал новые нормы переходом к риск-ориентированной модели. Однако, чтобы соответствовать новым требованиям, банкам придётся серьёзно модернизировать свои антифрод-системы.

«Сильнее всего это затронет крупные розничные и цифровые банки с высокой долей дистанционного банковского обслуживания, переводов по СБП, QR-платежей и онлайн-эквайринга, а также финтех- и необанки, где риск компрометации аккаунтов выше из-за упрощённого онбординга», — считает Тимур Аитов.

В свою очередь, глава правления ассоциации «Финансовые инновации» Роман Прохоров обращает внимание на то, что основным способом хищений по-прежнему остаётся социальная инженерия, эффективно противостоять которой пока не удаётся. Поэтому, по его мнению, практическая результативность новых инициатив НСПК остаётся под вопросом.

Подпишитесь на новости

Spectre вернулась: новая атака вытаскивает хеш пароля root из памяти Linux

Процессор помнит старый код, хотя на его месте уже работает новый. На этой нестыковке исследователи VUSec и Scuola Superiore Sant’Anna построили Branch Target Reuse — новый вариант Spectre v2. Атака затрагивает JIT-компиляторы, которые создают машинный код во время работы программы.

Подробности опубликованы в исследовании BTR. Когда участок памяти освобождают и используют повторно, предсказатель переходов CPU может сохранить устаревшую запись.

Процессор спекулятивно выполняет инструкции по старому адресу, а следы в кеше позволяют извлекать секретные данные.

Исследователи подтвердили проблемное поведение на протестированных процессорах Intel, AMD и Arm. Они изучили JIT-движки Firefox, GraalVM и Linux, но практические результаты различаются.


Самый убедительный пример — два эксплойта против ядра Linux. На системе Intel с действовавшими защитами исследователи продемонстрировали извлечение хеша пароля root за минуты. Именно хеша: готовый пароль и автоматический вход администратора атака не выдаёт.

Для Firefox подготовлен PoC, однако до полноценного браузерного эксплойта ещё требуется работа. В GraalVM практическую эксплуатацию в экспериментах затрудняла очистка состояния предсказателя.

Атакующему нужно выполнять непривилегированный код в подходящей JIT-среде. Одна лишь модель процессора ещё не означает, что конкретную систему можно успешно атаковать.

Защита уже появилась в ядре Linux и GraalVM. Mozilla делает ставку на завершение внедрения изоляции сайтов.

Spectre, похоже, уходить не собирается: ускоряя выполнение кода, процессоры продолжают оставлять исследователям новые поводы заглянуть туда, куда обычной программе нельзя.

RSS: Новости на портале Anti-Malware.ru