Блокировки по 161-ФЗ: что следует знать предпринимателям

Закон 115-ФЗ знаком многим (например, мы писали о нем тут), но про 161-ФЗ предприниматели знают значительно меньше и часто путают их. Однако, по 161-ФЗ тоже могут возникнуть блокировки, когда банк подозревает мошенничество и обязан провести проверку.

Эксперт — команда фрод-мониторинга Модульбанка. Записала Тамара Лапкина.

О чем закон 161-ФЗ и какие виды мошенничества рассматриваются

161-ФЗ — это закон, описывающий функционирование Национальной платежной системы и ее структуру. Центробанк регулирует Национальную платежную систему, в которую входят различные платежные сервисы и системы, банки, поставщики платежных услуг и приложений.

Согласно этому закону, банки обязаны предотвращать случаи возможного мошенничества по счетам (в законе это называется «операции без согласия клиента») и проводить проверки по 161-ФЗ при возникновении подозрений.

Случаи мошенничества бывают разными, но наиболее распространенные это:

• Непредоставление услуг. Например, компания «Холодок» перевела деньги компании «Морозко» за поставку промышленных холодильников, а та пропала. Время идет — холодильников нет.

Как крадут деньги через фишинговые сайты

Иногда мошенники используют социальную инженерию, выманивая у человека личные данные, надавив на страх или любопытство. Классический пример — якобы сотрудник банка звонит и просит срочно сообщить данные карты и код из смс, чтобы «мошенники не украли деньги». Со счетами тоже есть варианты: например, «сотрудник банка» просит перевести средства на безопасный счет.

Бывает, что человек по просьбе устанавливает на компьютер TeamViewer — программу для удаленного доступа — и делится экраном; или находит флешку с вирусной программой и из любопытства подключает ее к компьютеру. Так тоже можно потерять логин и пароль от личного кабинета, а также любые личные данные.

Признаки подозрительных операций

Проведение проверок по 161-ФЗ — это не желание банка, а его обязанность, иначе у него будут проблемы с ЦБ. Центробанк сформулировал основные признаки подозрительных операций, на которые банки должны обращать внимание. Если операция подпадает под следующие признаки, банк обязан провести проверку:

• 1. Получатель денег находится в специальной базе данных недобросовестных получателей, собранной Банком России.
• 2. Информация о параметрах устройств, с помощью которых вошли в автоматизированную систему или программное обеспечение (например, в личный кабинет банка), присутствует в специальной базе ЦБ.
• 3. Характер операции, время, сумма, периодичность операций, параметры устройства нехарактерны для клиента и его деятельности. Например, если клиент обычно списывает со своего счета одни суммы, а тут начинает списывать другие, да еще с другой частотой, — это знак для банка, что возможно деньги выводит злоумышленник, завладевший чужими данными.

Для выявления подозрительных операций банки используют собственные алгоритмы. Еще есть специальная система ФинЦЕРТ — Центр мониторинга и реагирования на компьютерные атаки в кредитно-финансовой сфере, где банки взаимодействуют и обмениваются информацией о подозрительных операциях.

Банк может подозревать недобросовестность своего клиента-получателя, а может проверить исходящую операцию, чтобы клиент не стал жертвой мошенников.

Ваш счет заблокировали
по 115-ФЗ?

Оставьте заявку, и мы обеспечим вам переход в «зеленую» зону, гарантируя, что подобных проблем больше не возникнет

Действия банка при подозрительной операции

При возникновении сомнений в законности операции, банк проводит проверку, блокируя электронную подпись клиента и его карту. Сроки проверки различаются: для исходящих операций (клиент отправляет деньги) — два рабочих дня, для входящих (клиент принимает деньги) — по закону пять рабочих дней, а Модульбанк старается укладываться в три дня, чтобы минимизировать неудобства для клиента.

Проверка потенциально недобросовестного получателя может выглядеть следующим образом: сотрудник банка связывается с директором компании через чат и запрашивает подтверждающие документы (договор с партнером, выписки по счетам из других банков, штатное расписание), пояснения о деятельности компании, фотографии помещений и складов. Иногда мошенники присылают поддельные документы и фотографии складов, найденные в интернете, но это не помогает.

Если компания реальная и документы в порядке, проверка проходит успешно, и блокировка снимается. В случае непрохождения проверки, банк возвращает деньги отправителю в течение двух дней и закрывает счет недобросовестного клиента, удерживая неустойку.

Гид по новой реальности для малого бизнеса

Проверки исходящих операций проводятся, когда у банка есть подозрения, что доступ к личному кабинету получил кто-то другой. В большинстве случаев банк успевает выявить, что клиент стал жертвой фишинга, и предотвращает списания, заблокировав счет. Но иногда ситуация развивается иначе.

Если деньги уже ушли со счета клиента, но еще не переведены в другой банк или не зачислены получателем, их возвращают. Если же мошенники успели получить и обналичить деньги, вернуть их, к сожалению, уже нельзя. Деньги можно вернуть только до их зачисления на чужой счет, а переводы между банками обычно происходят быстро. В случае, если средства переведены, но не обналичены, возможно привлечь полицию: подать заявление, добиться ареста счета мошенника и вернуть деньги через суд.

Если при проверке выясняется, что подозрительную исходящую операцию проводит сам клиент, блокировка снимается.

Рекомендации клиентам банков

• Не затягивайте с прохождением проверки и оперативно предоставляйте запрашиваемые документы;
• Будьте внимательны в интернете с личными данными и не передавайте их без необходимости третьим лицам. Если доступ к личному кабинету имеют другие люди, проведите с ними инструктаж: по опыту Модуля часто на фишинг попадаются бухгалтеры компаний.

Модульбанк защищает бизнес от 115-ФЗ

Предотвратим блокировку, покажем ваш рейтинг надежности, расскажем о рисках. Без бумажной волокиты и визитов в офис — все вопросы решаем круглосуточно онлайн.

Краткие советы

• 161-ФЗ — это закон, согласно которому банки обязаны проверять подозрительные операции по счетам.
• Наиболее распространенные виды мошенничества — незаконный доступ в личный кабинет через фишинг, подмена реквизитов в почте и непредоставление услуг.
• Мошенников выявляют по признакам, установленным Центробанком.
• Банк может подозревать в недобросовестности как своего клиента-получателя, так и проверять исходящую операцию.
• При подозрениях банк требует от клиента прохождения проверки.
• Срок блокировки подозрительной исходящей операции — два дня, входящей — пять по закону, три в Модульбанке.

Девятая статья: революции не произошло

С 1 января начала действовать девятая статья 161-ФЗ «О национальной платежной системе», обязывающая банки возмещать финансовые потери клиента при совершении транзакций без его согласия. Банкиры ожидали катастрофических последствий. Портал Банки.ру разобрался, что происходит на самом деле. В конце прошлого года банкиры активно обсуждали, как жить в условиях строгих требований девятой статьи 161-ФЗ.

С 1 января начала действовать девятая статья 161-ФЗ «О национальной платежной системе», обязывающая банки возмещать финансовые потери клиента при совершении транзакций без его согласия. Банкиры ожидали катастрофических последствий. Портал Банки.ру разобрался, что происходит на самом деле.

В конце прошлого года банкиры активно обсуждали, как жить в условиях строгих требований девятой статьи 161-ФЗ. Были высказывания о серьёзных опасениях, что банки столкнутся с волной мошенничества со стороны клиентов. Действительно, если банк обязан возмещать утраченные средства, «если не докажет, что клиент нарушил порядок использования средства платежа», ничто не мешает клиенту провести транзакцию и сразу её оспорить, требуя компенсации.

Напомним, что девятая статья 161-ФЗ обязывает банк возмещать клиенту потерянные деньги при условии своевременного уведомления от клиента о том, что транзакция была совершена без его согласия, либо об утрате средства платежа (например, платежной карты). Своевременным считается уведомление, отправленное не позднее дня, следующего за тем, как оператор платежа (например, банк) уведомил клиента о совершении операции. Если оператор не уведомил клиента, тот имеет право на возмещение потерь в любое время.

В результате банкиры не стали делать резких движений, активно тратиться на усиление антифрод-систем и переписывать договоры. План был прост: хотя пресловутая девятая статья и содержит четкие требования к банкам, в ней отсутствуют многие необходимые условия для их применения. Например, не указано, в какой срок надо выплачивать компенсацию, есть только требование рассмотрения заявления клиента в течение 30 дней со дня получения либо 60 дней в случае оспаривания трансграничного перевода. Кроме того, банк может отказать в компенсации, если докажет нарушение клиентом порядка использования средства платежа — но доказывать это он должен, очевидно, не клиенту, а суду. Также важна форма уведомления банка клиентом, которая определяется не законом, а договором между клиентом и банком. Всё это оставляет банкам большое пространство для манёвра.

В «Народном рейтинге» портала Банки.ру можно найти немало случаев, иллюстрирующих гибкий подход банков к требованиям девятой статьи. Так, пользователь ploxix68 рассказал о том, как утратил 50 тыс. рублей с дебетовой карты Visa, выпущенной Сбербанком. 19 марта он обнаружил пропажу денег и выяснил, что деньги были списаны 18 и 19 марта через мобильный номер, зарегистрированный в «Мобильном банке» Сбербанка. Написав заявление, пострадавший начал ждать реакции банка. Через месяц он получил ответ, что все операции выполнены верно. Получить компенсацию в соответствии с 161-ФЗ клиент не сможет, так как нарушил правила использования средств платежа. Мобильный номер, указанный в договоре, был отключен оператором из-за неактивности за две недели до инцидента. Но клиент не оформил заявление на отключение услуги «Мобильный банк». Далее номер был выдан другому лицу. Этот человек, вероятно, и воспользовался ситуацией. Привязка «Мобильного банка» к идентификатору сим-карты снова не сработала. Таким образом, единственным путём возврата денег для клиента остается суд.

Ещё один случай с «Сбером» завершился для пострадавшего более благоприятно. Пользователь под ником Plznotme потерял 460 тысяч рублей, которые были похищены через перевыпуск сим-карты оператора «Мегафон» (привязка к сим-карте в «Сбере» снова не сработала). Инцидент произошёл 7 марта. 9 марта клиент подал жалобу в Сбербанк и одновременно заявление в полицию. В этом случае пострадавший опоздал с заявлением на один день и, следовательно, не мог претендовать на возмещение убытков согласно девятой статье 161-ФЗ. Тем не менее, уже 26 апреля расследование, проведённое Сбербанком, было завершено, и клиент получил компенсацию.

Пользователь vladkrik сообщил, что 11 февраля с его зарплатной карты, выпущенной Ситибанком, было совершено шесть несанкционированных транзакций на общую сумму 42 тысячи рублей. При этом он не получал никаких уведомлений. На следующий день, узнав о мошенничестве, клиент сообщил об этом по телефону в службу поддержки, а 13 февраля отправил заявление в свободной форме по факсу.

По словам представителя Ситибанка, заявление клиента «не содержало полной информации о спорных операциях, поэтому расследование не было начато», что значит, что форма уведомления не соответствовала договору и требованиям 161-ФЗ. Наконец, 23 февраля клиент составил заявление по всем правилам, и 13 марта банк начал расследование. Банк утверждает, что СМС-уведомления о спорных транзакциях клиенту были направлены, а не получил он их по своей вине или по вине оператора связи. Проверить это клиент не может, и 161-ФЗ здесь ничем не помог. По состоянию на 5 мая расследование по заявлению клиента не было завершено, хотя 60-дневный срок, установленный восьмой частью девятой статьи 161-ФЗ, давно истёк.

Пользователь Natal’a Gratcheva пострадала от действий тайских воров. 13 января её карта, выпущенная Ситибанком, была украдена. В тот же день служба по противодействию мошенничеству Ситибанка заблокировала карту после обнаружения подозрительной транзакции. 14 января пострадавшая вернулась в Москву и подала заявление на оспаривание операции в Ситибанке. 16 января банк начал расследование. На 30 апреля банк так и не возместил клиенту потерянную сумму.

Мы обратились в Ситибанк за разъяснениями о том, как со вступлением в силу девятой статьи 161-ФЗ изменились процедуры информирования клиентов банка об операциях. Руководитель департамента Ситибанка по качеству обслуживания Эвелина Нечипоренко сообщила порталу Банки.ру: «Мы подключили всем нашим клиентам бесплатное СМС-информирование о списаниях по картам. Как и банку, клиенту следует заботиться о безопасности информации и средств. Поэтому мы просим клиентов проверять операции по счетам и картам в интернет-системе Citibank Online и соблюдать ряд мер для обеспечения безопасности при использовании банковских продуктов. В частности, это включает информирование банка о планируемых поездках в другие страны, своевременное обновление контактной информации в банке, чтобы сотрудники могли оперативно связаться с клиентом в случае подозрительной операции по карте и т. д.».

Также мы попытались узнать, каковы у Ситибанка сроки возмещения потерь при спорных транзакциях. «Расследование спорных операций производится в соответствии с российским законодательством, правилами международных платёжных ассоциаций Visa и MasterCard, а также условиями обслуживания ЗАО КБ «Ситибанк». Расследование проводится при участии платёжной ассоциации, банка, обслуживающего торговое предприятие, и самого торгового предприятия. В среднем возврат средств происходит в течение 60—90 дней после даты заявления на оспаривание», — объяснила Эвелина Нечипоренко.

С аналогичными вопросами портал Банки.ру обратился к другим финансовым учреждениям. Руководитель управления банковских карт Уральского Банка Реконструкции и Развития Алексей Пискунов отметил, что в банке существует регламент по выплате компенсации: «Регламент соответствует нормам законодательства. На практике возврат клиенту производится в течение семи рабочих дней со дня подачи заявления, если по результатам проверки сумма подлежит возмещению».

После вступления в силу девятой статьи 161-го закона УБРиР изменил порядок уведомления клиентов об операциях. Как объяснил Пискунов, банк принял решение уведомлять клиентов через e-mail. «Для каждого клиента нашего банка создан электронный ящик, на который поступает подробная выписка об операциях. Чтобы получить доступ к электронной почте, необходимо в отделении банка запросить свой логин и пароль».

Можно утверждать, что скандальная девятая статья пока не сильно облегчила жизнь клиентам банков, пострадавшим от электронного мошенничества. И не очень усложнила жизнь самим банкам. В большинстве случаев банки находят способы затягивать рассмотрение жалоб или вовсе отказывать клиентам в возмещении. Как и прежде, все зависит от доброй воли банка. Но всегда остается надежда на суд, который, как правило, считает клиента банка заведомо незащищенной стороной.