Банки будут сканировать телефоны клиентов: что менять владельцу приложения с платежами до марта 2027

Эту новость пишут для клиентов банков. Но заметят её и те, кто сам принимает деньги: маркетплейсы, сервисы доставки, онлайн-школы, любые приложения с оплатой. Покупатель нажимает «Оплатить», уходит в приложение банка или на страницу СБП и получает отказ. Для вас это брошенная корзина с причиной, которой раньше не было.

Разберём, кого закон касается напрямую, кого рикошетом и что стоит сделать до весны.

Кого касается напрямую

Обязанность лежит на операторах по переводу денежных средств. Это банки и небанковские кредитные организации, в том числе операторы электронных денег.

Им до 1 марта нужно встроить в приложения и сайты средства защиты, которые выявляют воздействие вредоносной программы до списания денег. При срабатывании оператор отказывает в операции, сообщает клиенту причину и предлагает провести её с другого устройства или в офисе. Правило распространяется на карточные переводы, переводы электронных денег и платежи через СБП.

До 1 сентября 2027 года нужно дописать условия в действующие договоры и получить от каждого клиента согласие на подключение защиты либо отказ.

Если ваш продукт кошелёк, платёжный сервис или вы встраиваете банковские функции по white label, этот раздел про вас. Дальше вопрос к юристам и к банку-партнёру, кто из вас что встраивает.

Кого касается рикошетом

Всех остальных, кто принимает оплату. Проверка устройства идёт на стороне банка покупателя: в его приложении, на его странице подтверждения, в его окне СБП. Ваш код она не трогает, а вот вашу конверсию трогает.

Сколько платежей будет отклоняться, сейчас не знает никто. Критерии не опубликованы, и это правильно: открытая инструкция помогла бы мошенникам. Мы ожидаем, что в первые месяцы будут ложные срабатывания и банки будут донастраивать систему, но это наш прогноз, а не данные.

Поэтому план лучше строить на нескольких допущениях. Какая-то доля платежей с мобильных будет срываться на шаге банка. Покупатель не поймёт почему и, скорее всего, винить будет вас.

Что сделать в продукте до марта

1. Отделить новый отказ от остальных

Сейчас многие приложения показывают одну и ту же ошибку на любой сбой оплаты: «Не удалось оплатить, попробуйте ещё раз». При новом отказе «попробуйте ещё раз» бесполезно, с того же телефона банк всё равно не пропустит.

Посмотрите, какие коды ответа и статусы вам вернёт эквайер или платёжный провайдер. Если отказ по новой причине можно отличить, покажите отдельный текст: банк отклонил оплату из-за проверки безопасности телефона, попробуйте с другого устройства или выберите другой способ. Если отличить нельзя, спросите у провайдера, планирует ли он отдельный код.

2. Не терять корзину

Банк предложит клиенту другое устройство. Для вас это значит, что покупатель может открыть заказ на компьютере или на телефоне родственника. Если корзина живёт только в приложении на этом телефоне, заказ потерян.

Проверьте, что заказ можно оплатить по ссылке из письма или из личного кабинета на сайте, а корзина синхронизируется между устройствами для авторизованного пользователя.

3. Дать другой способ оплаты

Если в приложении единственный способ оплаты, при отказе банка у покупателя не остаётся вариантов. Оплата при получении, счёт для юрлица, оплата по ссылке с другого устройства закрывают часть потерь.

4. Подготовить поддержку

Первые обращения придут в вашу поддержку, а не в банк. Нужен короткий скрипт: что значит этот отказ, что это не блокировка счёта, что делать покупателю. И отдельная строка про мошенников: настоящий отказ показывает банк, а не СМС со ссылкой.

5. Проверить собственное приложение на «подозрительные» права

Этот пункт обсуждают меньше всего, хотя он может оказаться самым неприятным.

Средства защиты банков ищут на телефоне программы с опасным набором прав: доступ к «Специальным возможностям», показ окон поверх других приложений, запись экрана. Часть легальных приложений тоже это просит. Сервисы записи пользовательских сессий для аналитики, встроенные SDK удалённой поддержки, «плавающие» кнопки поверх экрана.

Признает ли конкретный банк такое приложение угрозой, неизвестно. Но если ваше приложение просит доступ к «Специальным возможностям» без жёсткой необходимости, есть риск, что ваши же клиенты начнут получать отказы в банке и не поймут почему. Мы бы провели аудит разрешений и SDK сейчас: что действительно нужно продукту, а что осталось после экспериментов.

Чего делать не стоит

Встраивать собственный антивирус в приложение интернет-магазина. Проверять устройство обязан банк, у него для этого есть средства и ответственность. Ваш сканер не уменьшит число отказов в банке, а лишние права в приложении скорее добавят проблем по пункту 5.

С этим можно спорить, если вы сами храните платёжные данные или работаете как платёжный агент. Тогда требования к защите у вас свои, и решение принимается вместе с банком-партнёром.

С чего начать

Порядок, который мы предложили бы владельцу продукта в ноябре:

1. выгрузить из платёжной системы все варианты ответов при отказе и посмотреть, как они сейчас показываются пользователю;
2. проверить, можно ли оплатить заказ с другого устройства;
3. провести аудит разрешений и сторонних SDK в мобильном приложении;
4. написать скрипт для поддержки;
5. в марте 2027 года сравнить долю неуспешных оплат до и после вступления правил в силу.

Последний пункт важнее, чем кажется. Без замера «до» вы не сможете отличить влияние новых правил от сезонных колебаний.

Фортех с 2017 года делает мобильные и веб-приложения, среди проектов есть сервис онлайн-оформления банковских карт. Если хотите проверить своё приложение по этим пяти пунктам, напишите нам: начнём с аудита разрешений и сценариев оплаты и вернёмся с оценкой за 2–3 рабочих дня.