The IT in Finance

Банки подсели на ИИ. Теперь они зависят от Кремниевой долины

Moody's предупреждает: гонка банков за искусственным интеллектом постепенно создает новую системную зависимость. Уже не от одного банка или платежной системы, а от небольшой группы технологических компаний, которые контролируют ИИ-модели и облачную инфраструктуру.

Проблема вполне практическая. Если один крупный поставщик ИИ-моделей или облака даст сбой, пострадать одновременно могут десятки банков и страховых компаний. То есть обычный IT-инцидент потенциально превращается в отраслевой.

И это не какая-то отдаленная перспектива. В Великобритании, например, около 75% финансовых компаний уже используют ИИ, причем особенно активно страховщики и международные банки.

Причем банки постепенно передают ИИ все более серьезные функции: обработку документов, антифрод, обслуживание клиентов, оценку кредитоспособности, работу с претензиями и поддержку сотрудников.

Раньше банк боялся, что у него упадет собственный дата-центр. Теперь он должен переживать еще и за то, что произойдет у поставщика модели.

А поставщиков действительно немного. Получается своеобразный ИИ-слой поверх банковской инфраструктуры: банк владеет клиентскими данными и бизнес-процессами, но интеллектуальная часть некоторых операций может зависеть от внешней модели.

Есть и другая проблема - цена.

Сегодня ИИ-компаниям выгодно быстро наращивать рынок и субсидировать использование моделей. Но инвесторам рано или поздно понадобятся прибыли. И тогда стоимость API, вычислений и инфраструктуры может начать расти.

Moody's прямо называет это vendor dependence risk - риск зависимости от поставщика.

Для банков это особенно неприятно: отказаться от ИИ после того, как на нем построены десятки процессов, будет примерно так же легко, как вернуться от облака к собственному серверу после нескольких лет миграции.

Но есть и контраргумент.

Банки  не беспомощные стартапы. У них огромный IT-бюджет, собственные команды разработки, серьезные требования к безопасности и опыт жестких переговоров с технологическими поставщиками. Кроме того, крупные организации могут использовать несколько моделей, open-source решения и разные облачные платформы.

То есть настоящий вопрос не "ИИ или не ИИ?", а "сколько AI-поставщиков должно быть у одного банка?"

И вот здесь начинается уже не история про искусственный интеллект, а классическая банковская история про диверсификацию рисков.

Банк никогда не станет зависеть от одного платежного канала, одного дата-центра или одного поставщика критической инфраструктуры. Похоже, тот же принцип теперь придется применять и к ИИ.

#IF_ИИ

Банки заплатят за цифровизацию дважды

Российские банки в 2026 году могут потратить на информационную безопасность 43-45 млрд рублей. Это на 10-15% больше, чем годом ранее, пишет "Коммерсантъ".

Структура расходов показывает более интересный процесс: эпоха "купили систему безопасности и поставили галочку" заканчивается.

Теперь банкам нужно платить за то, чтобы десятки уже внедренных систем действительно работали как единый защитный контур.

Банк сегодня - это уже не несколько банковских систем и мобильное приложение. Это API, СБП, ДБО, облачные сервисы, платежная инфраструктура, многочисленные подрядчики, мобильные приложения, биометрия, ИИ и огромные массивы данных.

Каждый новый цифровой сервис одновременно становится новой точкой входа для атаки.

По данным ЦБ РФ, только в I квартале 2026 года было совершено почти 496 тыс. операций без добровольного согласия клиентов на 7,4 млрд рублей. При этом доля возвращенных средств составила всего 5,7%.

А в 2025 году банки с помощью антифрод-систем предотвратили мошеннических операций на 13,9 трлн рублей. То есть значительная часть экономики банковской безопасности сегодня работает не ради предотвращения абстрактного "взлома", а ради сохранения конкретных денег.

Есть и еще одна важная цифра.

По данным Positive Technologies, в первом полугодии 2026 года 18% атак на финансовый сектор приводили к прямым финансовым потерям. Еще 45% к нарушению основной деятельности, а 36% к утечкам конфиденциальной информации.

Получается интересная трансформация.

Раньше ИБ для банка была вопросом compliance: выполнить требования регулятора, поставить необходимое ПО, пройти проверки.

Теперь это уже вопрос непрерывности бизнеса.

• Если не работает приложение клиент не может перевести деньги.

• Если не работает API ломается интеграция с партнерами.

• Если произошла утечка возникает репутационный и юридический ущерб.

• Если атаковали подрядчика проблема может попасть в банк через внешний периметр.

Последний пункт особенно важен. Банк России уже отмечал рост атак на менее защищенную инфраструктуру поставщиков и сервисных компаний, которые имеют удаленный доступ к финансовым организациям.

Можно купить SIEM, антифрод, EDR, WAF, DLP и еще десяток решений. Но если они не умеют обмениваться событиями, приоритизировать угрозы и быстро передавать инцидент от одного контура к другому, банк получает дорогой набор разрозненных инструментов.

Поэтому средние банки сейчас выглядят наиболее интересным сегментом: их расходы на ИБ, по оценке "Информзащиты", могут вырасти сразу на 25-35%.

У крупных банков защитный контур уже зрелый. Маленькие вынуждены экономить. А средние оказались между двух огней: цифровизация уже достаточно глубокая, а уровень зрелости защиты еще нужно подтягивать.

И здесь появляется еще одна тенденция: ИБ становится сервисной моделью.
Небольшому банку экономически не всегда рационально строить собственный огромный SOC, содержать десятки специалистов и закрывать весь спектр угроз. Поэтому часть функций будет уходить внешним вендорам.

Получается парадокс цифровизации: чем меньше физической инфраструктуры у банка, тем больше инфраструктуры он должен защищать в цифровом мире.

Отделение можно закрыть за один день. API, мобильное приложение, процессинговый контур и систему ДБО закрыть нельзя: они работают 24/7.

Поэтому расходы на ИБ становятся практически "вечным" ИТ-бюджетом.

Регуляторные требования могут измениться. Проект импортозамещения может закончиться. Внедрение конкретной системы можно завершить. А киберугрозы не заканчиваются.

Более того, ЦБ прямо относит киберрискам не только хищение денег, но и нарушение непрерывности финансовых услуг и потенциальный системный кризис при атаке на крупные организации.

Главный вывод для банковского ИТ: недостаточно цифровизировать банк. Нужно платить за способность этой цифровой инфраструктуры оставаться доступной.

Digital banking = IT + cybersecurity + постоянные расходы на поддержание устойчивости.

Цифровой банк оказался дешевле офлайн-банка для клиента. Но точно не бесплатным для самого банка.

#IF_безопасность

Банки получили ИИ-разработчиков. А безопасность?

Данные AppSec Solutions за май 2026 года вскрывают драматический сдвиг в разработке ПО:

• Объем кода под контролем: Вырос до 550 млн строк (+43% прогнозируется по итогам года).
• Число уязвимостей: Достигло 3,1 млн находок (+70% за год).
• Сроки исправления: Медианный срок латания критических дыр увеличился со 103 до 153 дней.
• Исправление на практике: Реально закрывается лишь от 12% до 50%уязвимостей, уже переданных в разработку.

Главный триггер ИИ-ассистенты и вайбкодинг. Программист больше не пишет каждую строчку вручную. Он выступает оператором LLM, генерируя код килобайтами. Однако, по данным международных отчетов (например, Veracode), ~44% ИИ-генераций содержат уязвимости.

Если раньше разработка сдерживалась физической скоростью пальцев инженера, то теперь код пишется в десятки раз быстрее, а проверка безопасности упирается в дефицит кадров. Рынок кадрового голода в ИБ лишь разогревается (рост вакансий +26%), а инженеры просто физически не успевают разбирать завалы.

Стек под прицелом: На чем горят разработки?

По статистике отчета, универсально "безопасного" стека не существует, но распределение рисков весьма показательно:

1. Python (Лидер по плотности критического риска - 2,11 на 1000 строк): Активно внедряется в финтехе для задач Data Science, скоринга и интеграции ИИ. Высокая плотность связана с фрагментарностью кодовых баз и поверхностным отношением к валидации данных.
2. Java (Абсолютный лидер по критическим дырам - ~2,4 тыс.):Стандарт де-факто для банковского бэкенда и АБС (автоматизированных банковских систем). Из-за огромного объема наследуемого кода и тяжелых корпоративных систем Java генерирует основной массив реальных бизнес-рисков.
3. OWASP Top-10: 44% всех атакприходится на Broken Access Control(A01 - контроль доступа). Нейросети отменно верстают интерфейсы и пишут рутинные методы API, но регулярно "забывают" корректно прописать ролевые модели и права доступа (RBAC).

Специфика Финтеха: Почему банковскому сектору стоит бояться?

Для финтеха и цифрового банкинга эта тенденция носит критический характер по трем причинам:

• 38,1% риска сидит в сторонних библиотеках (SCA). Финтех традиционно собирает сервисы из Open Source модулей. Нейросети охотно подтягивают устаревшие или уязвимые зависимости. При этом концентрация критических угроз (High+Critical) в сторонних компонентах выше (28% против 20,6% в собственном коде).
• Законы и Банк России. ЦБ РФ постоянно ужесточает требования к технологической независимости и профилям защиты (ГОСТ Р 57580, регуляторика по КИИ). Отставание по срокам закрытия критических уязвимостей (до полугода!) создает прямую угрозу отзыва сертификатов или применения санкций регулятора.
• Масштабирование "унаследованного непонимания". Как точно отмечают эксперты, ИИ не изобретает новые уязвимости - он тиражирует типовые ошибки в масштабе. Когда одна и та же LLM генерирует микросервисы для платежного шлюза, кредитного конвейера и ДБО, одна архитектурная ошибка мгновенно размножается на всю экосистему банка.

Выход из пике

Заливать проблему людьми бесполезно. ИБ-специалистов на рынке нет. Единственный путь, к которому приходит индустрия, - это экосистемная автоматизация DevSecOps:

1. Отсечение шума: От 81% до 88% первичных срабатываний сканеров - ложные (False Positives). Разгребать их вручную - преступная трата ресурсов.
2. Авторазбор через LLM-агентов:Автоматические правила и ИИ-помощники уже закрывают более 50-58% первичного разбора, снижая время первичной медианной оценки с 20 дней до нескольких часов.
3. Упряжка для ИИ (Harness): Разработка должна уходить от хаотичного "вайбкодинга" к жестким рамкам. ИИ-ассистент разработчика обязан работать внутри жестко заданных инструкций, а проверки кода (SAST/SCA) должны происходить на этапе каждого коммита (CI/CD), а не перед релизом.

По итогу "Вайбкодинг" победил. Отката к ручному написанию строк не будет. Банкам и финтех-компаниям придется осознать: скорость написания кода больше не является конкурентным преимуществом. Главное - скорость его безопасной валидации. 

#IF_ИИ

Финтех возвращается в офлайн. Но уже не за клиентом, а за кассой

Еще несколько лет назад формула финтеха выглядела предельно просто: API + облако + приложение.

Сегодня этого уже недостаточно.

Точка Банк выпускает переносные терминалы, Ozon Банк строит собственную сеть банкоматов и рассчитывает довести ее до 2 тыс. устройств к концу 2026 года, Модульбанк объединяет кассу, POS и платежи в одном устройстве. А ПСБ вместе с партнерами занялся разработкой российских POS-терминалов, напоминает журнал "Инвест-Форсайт" со ссылкой на данные компании Paygine.

На первый взгляд странный разворот: банки массово идут в железо.

На самом деле это следующий этап цифровизации.

Проблема в том, что платежный SaaS становится коммодити.

В России уже 88,9% розничного оборота приходится на безналичные платежи. А альтернативные картам способы: QR, биометрия, платежные приложения и другие инструменты в 1 квартале 2026 года достигли 14,9% всех безналичных платежей.

СБП в 2025 году провела 18,3 млрд операций на 103 трлн рублей. Более того, оплату через СБП принимают уже около 3 млн компаний.

То есть продавать бизнесу просто "еще один способ принять платеж" становится все сложнее.

Поэтому финтехи спускаются вниз по стеку.

Не просто эквайринг, а терминал.

Не просто терминал, а касса.

Не просто касса, а касса + эквайринг + фискализация + аналитика + кредитование + программа лояльности.

По сути POS становится для финтеха тем же, чем смартфон стал для Apple: точкой контроля над пользовательским сценарием.

Кто контролирует устройство на кассе, тот получает не только транзакцию. Он потенциально получает контекст покупки: время, сумму, частоту визитов, динамику среднего чека и другие операционные данные.

А дальше открывается совсем другая экономика.

Из транзакционных данных можно продавать кредит.

Из поведения покупателя персональные предложения.

Из оборота торговой точки финансирование бизнеса.

Из кассы  эквайринг.

Из эквайринга лояльность.

То есть касса превращается из периферийного устройства в финансовый API физического мира.

Именно поэтому аппаратный бизнес интереснее обычного SaaS еще и с точки зрения конкуренции.

API можно заменить относительно быстро.

POS-парк уже гораздо сложнее. Его нужно установить, интегрировать с кассой, обучить персонал, настроить фискализацию, обеспечить поддержку и обновления. В результате поставщик получает не просто клиента, а довольно высокий switching cost.

Именно поэтому срок жизни POS-систем обычно измеряется годами, а не месяцами.

Но есть еще один фактор, который делает происходящее особенно интересным именно сейчас.

1 сентября 2026 года российская платежная инфраструктура одновременно получает универсальный QR-код и начинает масштабное внедрение цифрового рубля.

Универсальный QR позволит продавцу не развешивать на кассе несколько кодов разных банков: через один код покупатель сможет выбрать доступный способ оплаты. В перспективе туда же добавится цифровой рубль.

Получается парадокс.

Чем больше государство стандартизирует платежный слой, тем меньше ценности остается в самом платежном SaaS.

Для банков это означает еще одну неприятную вещь: конкурировать за физическую инфраструктуру начинают не только банки.

Маркетплейсы, финтехи, платежные сервисы и технологические платформы получают возможность строить собственные сети присутствия.

Ozon Банк вполне себе показательный пример: к концу 2026 года он планирует иметь 2 тыс. банкоматов, а в 2027-м добавить еще минимум тысячу.
Поэтому нынешняя тенденция - это не "финтех возвращается в офлайн".

Скорее, офлайн окончательно становится частью финтех-стека.

И в этом есть важный стратегический вывод.

Банк будущего может вообще не строить большую сеть отделений.

Ему будет достаточно контролировать: приложение → API → платежную платформу → POS → кассу → данные → кредит → лояльность.

Отделение для этого уже не обязательно.

А вот касса - очень даже!

#IF_мнение

Сербия: новый финтех-хаб Европы рождается не в приложениях

Пока большинство стран пытаются построить финтех через цифровые банки, кошельки и суперприложения, Сербия выбрала другой путь - сначала построить технологическую базу, а уже потом монетизировать её в финансах.

И это начинает давать неожиданный результат.

Белград и Нови-Сад годами превращались в инженерные центры: сюда приходили международные IT-компании, университеты выпускали разработчиков, а вокруг software, AI, gaming и blockchain формировалась собственная стартап-среда.

Теперь эта инфраструктура начинает работать на финансы.

Главное отличие Сербии - она хочет не только оцифровать собственные банки, но и экспортировать финансовые технологии.

Национальная система мгновенных платежей IPS NBS работает 24/7 и проводит операции за секунды. Развивается QR-платежная инфраструктура. Страна постепенно внедряет open banking по модели PSD2. А регулирование всё больше приближается к европейским стандартам.

Но самое интересное происходит за пределами внутреннего рынка.

Payten из Белграда развивает платёжную инфраструктуру, acquiring и POS-решения сразу на нескольких рынках.

ASEE экспортирует банковское ПО и финансовую инфраструктуру в десятки стран.

Finspot работает с цифровым supply-chain finance и финансированием счетов для бизнеса.

Tenderly, выросшая из сербской технологической среды, стала заметным европейским игроком в Web3-инфраструктуре.

И здесь появляется важный экономический парадокс.

Для финтеха Сербии размер внутреннего рынка может оказаться не преимуществом, а ограничением.

Небольшой рынок заставляет компании почти с самого начала думать за его пределами. Поэтому сербский финтех постепенно становится похож не столько на локальный рынок цифровых банков, сколько на экспортную IT-индустрию с финансовой специализацией.

Это напоминает стратегию Израиля и Эстонии: сначала инженерная школа → затем продукты → затем экспорт.

Именно поэтому за Сербией стоит следить не по количеству новых финтех-приложений.

А по другому показателю:
сколько финансовой инфраструктуры, созданной в Сербии, через несколько лет будет работать за пределами Сербии.

Если страна одновременно сохранит инженерные кадры, продолжит сближение регулирования с ЕС и не потеряет инвестиционную привлекательность, Белград вполне может превратиться в один из финансово-технологических цехов Европы.

И тогда главный сербский финтех-продукт окажется не тем, которым пользуются сербы.

А тем, который используют европейские банки.

#IF_мир

Банк без отделений: когда цифровизация начинает требовать запасного выхода

Банки закрывают отделения рекордными темпами. По данным ЦБ, которые приводит "Известия", за январь-август 2026 года сеть сократилась примерно на 1370 офисов. Если темп сохранится, по итогам года может исчезнуть более 2 тыс. точек.

На первый взгляд всё логично: зачем платить за аренду, охрану и сотрудников, если клиент уже давно носит банк в смартфоне?

Но здесь есть более интересная история.

Банковское отделение постепенно превращается из основного канала обслуживания в резервный.

Почти 77% россиян уже пользуются дистанционными финансовыми услугами. А инфраструктура вокруг цифрового банка продолжает расширяться: на начало 2026 года в стране было около 132 тыс. банкоматов, а получить наличные можно уже почти в 44 тыс. торговых точек через сервис "Наличные на кассе".

То есть банк фактически строит новую распределенную архитектуру:
приложение → СБП → банкомат → касса магазина → офис.

И офис в этой цепочке оказывается последним уровнем.

Причем это не только вопрос клиентских привычек. Для банка цифровой канал экономически гораздо привлекательнее: один программный продукт способен обслуживать миллионы клиентов, тогда как каждый физический офис требует площади, персонала и постоянных операционных расходов.

Однако, чем больше финансовая система становится цифровой, тем важнее становится ее офлайн-контур отказоустойчивости.

Перебои мобильного интернета это хорошо показали. Если приложение - главный интерфейс банка, то отсутствие связи превращается не просто в проблему телеком-инфраструктуры. Оно становится проблемой доступа к собственным деньгам.

И здесь отделение неожиданно приобретает новое значение.

Раньше офис был способом получить услугу. В будущем он всё чаще будет способом восстановить доступ к услуге.

Заблокированная операция, подтверждение личности, спорная транзакция, сложный продукт, проблемы с доступом к счету - всё это плохо масштабируется через чат-бота.

Поэтому идея "закроем все отделения и оставим приложение" в реальности вряд ли сработает.

Скорее появится другая модель: меньше офисов, но больше технологической нагрузки на каждый из них.

И это уже задача не столько недвижимости, сколько IT.

Банк должен обеспечить одновременно несколько независимых контуров доступа: мобильное приложение, веб, СБП, банкоматы, платежную инфраструктуру, резервные каналы связи и физические точки обслуживания.

Причем цифровой рубль, который с 1 сентября 2026 года начнет поэтапно становиться доступным клиентам крупнейших банков, эту тенденцию только усиливает: финансовая система получает еще один цифровой слой, а не еще одну сеть отделений.

Поэтому сокращение офисов не просто "уход банков в цифру". Это переход от филиальной архитектуры к распределенной цифровой инфраструктуре.

Получается, что настоящий цифровой банк - это не тот, у которого нет отделений.
А тот, которому отделения почти никогда не нужны, но которые всё-таки есть, когда действительно нужны.

#IF_рынок

Pix vs СБП: две системы , которые пошли разными дорогами

Бразильский Pix и российская СБП - редкий случай, когда национальные платежные системы действительно интересно сравнивать напрямую.

Обе созданы центральными банками, обе работают 24/7, обе дают мгновенные переводы между банковскими счетами, обе используют QR и постепенно превращаются из P2P-инструмента в инфраструктуру для бизнеса.

И даже стартовали почти одновременно: СБП - в 2019 году, Pix - в 2020-м.

По масштабу разрыв уже заметен.

В 2025 году Pix обработал около 79,8 млрд операций, СБП - 18,3 млрд. При этом СБП за год достигла 3 млн торгово-сервисных предприятий, принимающих платежи, а переводами через систему пользовались 7 из 10 россиян.

Pix сегодня используют более 170 млн физлиц, что соответствует примерно 80% населения Бразилии.

Но самое интересное здесь - не разница в 4,4 раза по числу операций. Она не объясняется тем, что бразильцы просто чаще переводят деньги.

Разница в другом.

СБП изначально очень быстро стала инфраструктурой для переводов между людьми и постепенно расширяется в сторону платежей бизнеса. В 2025 году покупки уже превысили 5 млрд операций, а количество компаний, принимающих СБП, выросло до 3 млн.

Pix прошёл похожий путь, но быстрее превратился в универсальный платежный слой экономики.

На нём уже строятся регулярные платежи, налоги, зарплатные сценарии, e-commerce, снятие наличных и новые кредитные продукты.

И вот здесь появляется принципиальная мысль.

Платежная система сама по себе не является финтех-платформой.

Платежный рельс становится платформой только тогда, когда поверх него появляется достаточно много бизнес-сценариев, чтобы пользователю перестало быть важно, через какой банк он платит.

Именно в этот момент конкуренция банков перемещается на другой уровень: приложения, кредит, антифрод, лояльность, embedded finance, аналитика и дополнительные сервисы.

Поэтому главный вопрос для СБП сегодня уже: "Сможет ли СБП стать для российской финансовой системы тем же, чем Pix стал для бразильской - базовым API, поверх которого строится следующий слой финансовых сервисов?"

Потому что построить быстрый платежный рельс - это только первый этап.

Настоящая ценность начинается тогда, когда на этом рельсе начинает ездить вся финансовая экономика.

#IF_мнение

Кто забрал кредит у банков?

На "B2B" вышел разбор того, как маркетплейсы окончательно подмигивают традиционному кредитованию. Цифры дикие: классические банковские POS-кредиты за год просели вдвое, а объемы BNPL-сервисов пробили 940 миллиардов рублей.

По сути, происходит не просто смена привычек покупателей, а жесткий технологический сдвиг. Банки со своими 30% годовых, анкетами и оценкой через БКИ тупо проигрывают BigTech-экосистемам по скорости. Яндекс, Ozon и WB смотрят не на справки о доходах, а на продуктовые корзины, частые адреса ПВЗ и историю возвратов. Для них скоринг - это мгновенный безакцептный клик прямо в UI оплаты, а не пятиминутное ожидание решения по API.

Но с 1 апреля халява для продуктовых команд уперлась в регуляторный щит. Вступил в силу закон, который обязывает стучаться в БКИ при чеке от 50 тысяч, режет срок до полугода и зажимает штрафы. По сути финтех-разработке приходится на лету перекраивать архитектуру чек-аута: нужно одновременно удерживать бесшовный UX и не уложить МФО-операторов, у которых просрочка и так поползла к 37%.

В итоге рынок развалился надвое. С одной стороны - зажатые лимитами ЦБ банки, с другой - маркетплейсы, закладывающие 2-6% комиссии за рассрочку прямо в стоимость товара. Победит тот, чьи алгоритмы смогут точнее считать риски в реальном времени, пока покупатели массово дробят чеки ниже 50 тысяч, чтобы не светиться перед регулятором.

#IF_рынок

Хакеры перестали воровать данные. Они просто вырубают банк 

Свежие данные Positive Technologies за первое полугодие фиксируют смену тактики: доля атак с вредоносным ПО упала на 22 п.п., социнженерии - на 9 п.п., а эксплуатация уязвимостей почти сошла на нет. При этом DDoS вырос кратно, атаки через подрядчиков и цепочки поставок - до 9%, а главной целью впервые стало не хищение данных, а остановка бизнес-процессов (45% против прежних значений).

На первый взгляд просто перераспределение цифр в отчёте. На деле смена экономической модели атаки, и вот почему это важно именно банкам и финтеху.

Данные обесценились как товар. Теневой рынок утечек затоварен, цены на базы падают, а ужесточение ответственности за их продажу подняло риски для продавцов. Хакер-рационалист просто ушёл туда, где маржа выше.
А маржа выше в простое. Час недоступности ДБО или процессинга бьёт по выручке и репутации быстрее и болезненнее, чем слив базы клиентов - банк обязан реагировать немедленно, а значит, платить немедленно. Это классическая логика вымогательства, только объект давления сменился с "данные" на "доступность".

Здесь и зарыт системный просчёт последних лет. Индустрия закачала огромные бюджеты в DLP, антифрод и защиту периметра - по сути, в предотвращение утечек. А в это время атакующие перешли на living off the land: легитимные админ-инструменты, скомпрометированные учётки подрядчиков, движение внутри инфраструктуры без единого байта вредоноса. Такую активность DLP не увидит в принципе - она не про данные, она про процессы.

Косвенное подтверждение тезиса - рост похищенных через СБП средств юрлиц почти втрое, до 1,4 млрд руб., и параллельный рост лимитов киберстрахования. Бизнес не столько учится предотвращать такие атаки, сколько учится их страховать. Это тревожный сигнал: рынок признаёт, что превентивная защита не поспевает, и перекладывает риск на страховщика вместо того, чтобы закрывать разрыв в детектировании.

Скорее всего, в горизонте года мы увидим смещение бюджетов ИБ в финсекторе от классического периметра в сторону UEBA/поведенческой аналитики и жёсткого контроля доступа подрядчиков - просто потому что старый инструментарий физически не видит новую тактику. Кто не успеет будет платить дважды: страховым взносом и простоем.

#IF_безопасность

Кому на самом деле выставили счёт за отечественные сертификаты

Минцифры запустило НУЦ ещё в 2022-м как страховку на случай отзыва иностранных SSL-сертификатов. Этим летом страховка сработала: участившиеся отзывы вынудили ведомство выпустить уже не рекомендацию, а предупреждение - риск касается банков, маркетплейсов и других крупных ресурсов. При этом доля иностранных сертификатов на рынке всё ещё превышает 90%.

"Ведомости" посчитали цену вопроса: по данным "Рексофта" и ГК "Астра", настройка IT-систем под отечественные сертификаты обойдётся компании с 10-50 тыс. сотрудников в 10-50 млн рублей. Сами сертификаты бесплатны - платить приходится за то, чтобы легаси-инфраструктура вообще научилась им доверять: обновление старых ОС и ПО, устранение багов с отображением и зависаниями.

Для финсектора это удар в самое уязвимое место. У банков максимум легаси при максимуме связей: интеграции с ЦБ, СБП, БКИ, десятки версий ДБО от разных подрядчиков за 10-15 лет. "Яндекс браузер" с встроенной цепочкой доверия закрывает вопрос для частных пользователей, но не для корпоративного контура: там завязаны кастомные API и платёжные терминалы, которые от смены браузера не заработают.

Экономически это CAPEX, который не создаёт ценности - просто плата за то, чтобы продолжать работать. Для крупных банков суммы переносимы, а вот для региональных игроков и МФО те же траты бьют по бюджету куда чувствительнее - что может подстегнуть консолидацию рынка и переход на аутсорс. А интеграторы вроде "Рексофта" и "Астры" получают устойчивый поток заказов не от рыночной конкуренции, а от регуляторного давления.

Главное: сертификаты - это только первый, самый простой слой суверенитета. Дальше по той же логике пойдут ОС, СУБД, офисный софт - и финсектор из-за зарегулированности почти наверняка окажется в первых рядах.

#IF_безопасность

Хакеры создали новый рынок для страховщиков

Пока компании подсчитывают ущерб от утечек данных, простоев и атак вымогателей, страховой рынок нашел в этом кризисе новую точку роста.

Киберстрахование в России выходит из нишевого продукта для крупных корпораций в полноценный рынок. Средний лимит страхового покрытия за год вырос в два раза - до 350 млн рублей, а объем запрашиваемой защиты превысил 12 млрд рублей, пишет "КоммерсантЪ".

Причина проста: бизнес понял, что вопрос уже не в том, случится ли атака, а в том, сколько она будет стоить.
Количество обнаруженных и предотвращенных ИБ-инцидентов в российских организациях выросло на 68% за год. Только за первое полугодие объем похищенных средств у юридических лиц превысил 1,4 млрд рублей - почти втрое больше прошлогоднего показателя.

На этом фоне киберстрахование стало своеобразной "финансовой подушкой" для цифровой экономики. Полис теперь может покрывать не только прямые потери, но и простой бизнеса, восстановление IT-систем, расследование атаки, работу специалистов по расшифровке данных и компенсации пострадавшим клиентам.

Но у нового рынка есть интересный парадокс.

Страховщики пока почти не повышают цены. Тарифы остаются на уровне 0,5-1,5% от страховой суммы. Причина - рынок еще слишком молодой, чтобы накопить большую статистику убытков.

Фактически страховщики сегодня продают защиту от риска, который еще не полностью посчитали.

Но ситуация может измениться. Первые крупные выплаты способны полностью перестроить рынок: компании станут проходить более жесткие проверки безопасности, страховщики начнут требовать внедрения конкретных мер защиты, а стоимость полисов может резко вырасти.

Есть и другой вопрос: не превратится ли киберстрахование в новую "индульгенцию"?

Если бизнес решит, что проще купить полис, чем инвестировать в безопасность, рынок может получить обратный эффект. Страхование должно компенсировать последствия атаки, а не заменять защиту.

В ближайшие годы киберполис может стать таким же обязательным атрибутом бизнеса, как страховка имущества или ответственность перед клиентами.

Только есть принципиальная разница: после пожара можно восстановить здание. После утечки данных вернуть доверие клиентов намного сложнее.

#IF_безопасность

СБП становится новой территорией мошенников

Пока банки годами совершенствовали защиту карточных платежей, мошенники сделали то, что всегда делают в таких случаях, - сменили поле боя.

Статистика Банка России это хорошо показывает. Во втором квартале объем похищенных через СБП средств вырос до 2,74 млрд рублей, а число мошеннических переводов почти утроилось за год, сообщает "КоммерсантЪ". При этом хищения по банковским картам продолжают снижаться.

Это выглядит не как всплеск преступности, а как миграция мошенников в более удобную инфраструктуру.

И причина здесь вовсе не в том, что СБП плохо защищена. Наоборот. Система быстрых платежей именно такой и задумывалась - простой, дешевой и мгновенной. Именно эти качества сделали ее одним из самых успешных финтех-проектов последних лет. Но одновременно они превратили СБП в идеальный инструмент для социальной инженерии.

У карточных платежей у банков остается небольшой запас времени. Есть блокировки, дополнительные проверки, механизмы оспаривания операций. У СБП философия совершенно другая: клиент подтвердил перевод - деньги через секунды уже в другом банке. Вернуть их практически невозможно. Не случайно доля возврата украденных через СБП средств сегодня составляет всего около 2%.

Фактически успех СБП породил новую проблему. Чем больше пользователей отказываются от карточных переводов в пользу мгновенных платежей, тем выше концентрация мошенничества именно в этом канале. Преступники всегда идут туда, где находятся деньги, а сегодня они все чаще проходят через СБП.

Но самое интересное впереди.

Похоже, мы подходим к моменту, когда конкурировать будут уже не скорость платежей и не размер комиссий, а качество антифрода. Если первое десятилетие развития СБП было посвящено тому, чтобы перевести деньги за несколько секунд, то следующее, вероятно, будет посвящено тому, чтобы научиться эти несколько секунд использовать максимально эффективно.

В ближайшие годы СБП , видимо, станет значительно "умнее". Банкам и НСПК придется строить антифрод нового поколения, который будет анализировать не только сумму перевода, но и поведение клиента, устройство, историю операций, связи между счетами и признаки социальной инженерии практически в режиме реального времени.

Получается парадоксальная ситуация. СБП создавалась как инфраструктура для быстрых платежей, а постепенно превращается в крупнейшую в стране платформу для анализа мошеннических операций. И именно качество этой незаметной для пользователя ИТ-системы, а не скорость перевода, может стать главным фактором развития СБП в ближайшие годы.

#IF_безопасность

Банковский интернет разделился на две зоны доверия

Сайты Сбера, ВТБ, ПСБ, РСХБ, Т-Банка и Уралсиба перестали нормально открываться в Chrome, Safari и Edge после отзыва иностранных SSL‑сертификатов. Формально это техническая история про доверенные центры сертификации. По сути еще один этап цифрового размежевания финансовой инфраструктуры.

До сих пор многим казалось, что санкции затрагивают карты, платежи и мобильные приложения, а веб‑сайты остаются «нейтральной» территорией. Оказалось, нет. Браузер тоже элемент международной инфраструктуры доверия, и решение CA/Browser Forum показывает, что санкционная политика дошла до базового уровня интернета: проверки подлинности банковского сайта.

Для ИТ в финансах здесь важен не факт ошибки «Подключение не защищено», а смена архитектуры доверия. Российские банки все активнее опираются на национальную PKI‑инфраструктуру - сертификаты Минцифры и отечественные браузеры. Это означает, что один и тот же сайт теперь может считаться безопасным в Яндекс Браузере и небезопасным в Chrome. Интернет перестает быть единым слоем совместимости и становится набором параллельных контуров.

Последствия для банков гораздо шире, чем кажется.

• Возрастает зависимость от отечественных клиентских платформ.
• Усложняется обслуживание клиентов за рубежом.
• Появляются дополнительные расходы на инструкции, поддержку и альтернативные каналы доступа.
• Усиливается роль мобильных приложений как основного способа взаимодействия с клиентом.

Фактически веб превращается из универсального канала в резервный.

Для рынка ИБ это, наоборот, окно возможностей. Банкам понадобятся собственные цепочки доверия, корпоративные корневые сертификаты, инструменты безопасной доставки сертификатов клиентам и решения для работы в изолированных контурах. То, что раньше было нишевой темой для госструктур, становится массовой банковской задачей.

Самый интересный вывод - это не «Chrome не открывает сайт Сбера». Гораздо важнее другое: впервые за долгое время российский банковский сектор столкнулся не с ограничением отдельного сервиса, а с ограничением глобального механизма интернет‑доверия. А такие изменения обычно оказываются не временной неполадкой, а новой нормой инфраструктуры.

#IF_безопасность