СБП и ложный возврат: как аферисты маскируют хищение и что сразу проверить

Система быстрых платежей (СБП) - это удобно: переводы «самому себе», оплата по QR, мгновенные зачисления без комиссий. Но у этой технологии есть уязвимое место, которое активно используют мошенники: Me2Me‑pull («обратное стягивание»). Схема построена не на взломе, а на том, чтобы вы сами в один клик одобрили списание. Разберём, как устроена эта ловушка, какие сценарии реально опасны и как полностью закрыть для злоумышленников возможность присылать вам запросы на перевод.

Как устроена угроза: механика Me2Me‑pull и «подменённого акцепта»

В основе риска лежит легитимная функция СБП: запрос на перевод со счёта в другом банке. Технически это выглядит как пуш‑уведомление от вашего банка с кнопкой «Одобрить».

Легальный сценарий (Me2Me‑pull). Вы хотите пополнить счёт в банке А деньгами из банка Б. В приложении банка А нажимаете «Пополнить через СБП», система НСПК отправляет запрос в банк Б, вам приходит пуш, вы подтверждаете - деньги уходят. Так работают не только банки, но и некоторые брокерские сервисы, маркетплейсы, МФО.

«Подменённый акцепт» (мошенническая схема). Злоумышленник звонит или пишет от имени «службы безопасности», «следователя», «техподдержки Госуслуг» и вводит вас в состояние стресса. В этот момент он через сторонний сервис формирует СБП‑запрос на списание с вашего счёта. На экране всплывает пуш от официального банковского приложения: «Подтвердите перевод СБП на сумму Х рублей». В панике вы нажимаете «Одобрить», думая, что спасаете деньги, а на деле собственноручно подтверждаете перевод.

Социальная инженерия как главный инструмент. Мошенники не подбирают пароли и не взламывают банк: они заставляют вас нажать кнопку в легитимном интерфейсе. Для системы это полностью валидная операция с вашим акцептом.

Скорость и необратимость. СБП - мгновенные переводы. После подтверждения деньги уходят моментально, и чарджбэк по СБП почти не работает.

Получается, что опасность не в самой СБП, а в сочетании технической возможности «стягивания» и человеческого фактора: в стрессе люди не читают текст уведомления, а реагируют на кнопку.

Где чаще всего возникает риск: типичные сценарии атак

«Срочно подтвердите, чтобы деньги не украли». Под видом спасения капитала мошенники вынуждают вас подтвердить СБП-запрос, который они сами и создали.

Фейковый чат‑бот ведомства или банка. Диалог в мессенджере ведёт к тому, что в момент разговора вам приходит пуш с кнопкой подтверждения.

Запрос от МФО или «брокера» под видом «пополнения счёта». Иногда запрос маскируют под возврат средств, «активацию выплаты» или «пополнение инвестиционного счёта».

Использование старых токенов и привязанных сервисов. Если вы когда‑то давали согласие на списания какому‑то сервису, он может инициировать запрос через СБП.

Ошибочное доверие пушу от «своего» банка. Пуш приходит из официального приложения, поэтому кажется, что это безопасно. На деле запрос исходит не от банка, а от внешнего сервиса через шлюз СБП.

 Как закрыть уязвимость СБП‑запросов

Проведите аудит настроек СБП во всех своих банках. В каждом приложении зайдите в «Профиль» → «Настройки» → «Система быстрых платежей (СБП)». Найдите пункт про запросы на перевод (может называться «Запросы от других банков», «Me2Me‑pull», «Разрешить запросы на списание»).

Отключите внешние запросы на списание. Выключите тумблер «Разрешать другим банкам и сервисам присылать запросы на списание денег». После этого ни один внешний сервис не сможет прислать вам пуш с просьбой подтвердить перевод. Это самый надёжный барьер.

Используйте накопительный счёт‑буфер как ядро капитала. Не храните крупные суммы на дебетовой карте, к которой подключена СБП. Держите деньги на накопительном счёте с ежедневным начислением процентов. Переводите на карту ровно столько, сколько нужно для конкретной операции.

Регулярно отзывайте разрешения у сторонних сервисов. В настройках СБП проверьте «Привязанные счета C2B» и удалите токены у магазинов и сервисов, которыми больше не пользуетесь.

Не подтверждайте никакие операции под диктовку. Если во время звонка или переписки появляется пуш‑уведомление с кнопкой «Одобрить» - нажмите «Отмена», сбросьте звонок и сами перезвоните в банк по номеру с официального сайта.

Что делать, если вы случайно подтвердили запрос

Сразу заблокируйте карту или счёт. Это не отменит перевод по СБП, но остановит дальнейшие списания.

Обратитесь в банк и зафиксируйте факт мошенничества. Опишите ситуацию, укажите, что действовали под психологическим давлением. Банк зафиксирует обращение и даст инструкции.

Подайте заявление в полицию. Для дальнейших действий (в том числе попыток взыскания) нужен официальный документ.

Проверьте список активных токенов и разрешений. Удалите все лишние привязки в СБП и в сторонних сервисах.

Смените пароли и проверьте устройства. Убедитесь, что на телефоне нет подозрительных приложений, а учётные данные не скомпрометированы.

СБП - удобный и быстрый инструмент, но функция «стягивания» средств (Me2Me‑pull) делает его каналом для атак, где главная защита - ваши ручные настройки и осознанность.  Отключите внешние СБП‑запросы в настройках банков, держите основной капитал на отдельном счёте‑буфере, не подтверждайте операции под диктовку и регулярно отзывайте разрешения у сервисов - этого достаточно, чтобы мошенники не смогли использовать СБП как шлюз для опустошения ваших счетов. Так вы сможете спокойно пользоваться всеми преимуществами быстрых переводов и быть уверены, что ваши сбережения остаются под вашим полным контролем.