Безопасность в приоритете (В. Тетерин, М. Доронкин, "БДМ. Банки и деловой мир", N 9, сентябрь 2013 г.)

Безопасность в приоритете

Рост проникновения интернет-банкинга В 2012 году привел к существенному увеличению доли онлайн-транзакций физлиц, однако только новыми функциями привлечь клиента становится все сложнее. В борьбе за пользователя банки начинают уделять больше внимания защищенности систем дистанционного банковского обслуживания, к этому же банкиров подталкивает и Банк России.

Маркетинговые усилия банков и большая доступность Интернета для населения обеспечили устойчивый рост доли активных пользователей интернет-банкинга среди клиентов. По оценкам экспертов, в 2012 году она выросла на 2-2,5 п.п. и составила 9%. Это неудивительно, ведь и для кредитных организаций, и для их клиентов дистанционные услуги использовать весьма выгодно: банкам это позволяет уменьшить нагрузку на операционистов, в то время как пользователи получают возможность оперативно совершать основные банковские операции, составлять свой личный платежный календарь, а зачастую и платить пониженные комиссии по транзакциям. В то же время активность пользователей обуславливает общая тенденция к увеличению объемов их накоплений в кредитных организациях, а также активизация банками потребительского кредитования. Эти явления поспособствовали увеличению спроса населения на услуги дистанционного доступа к счетам.

В 2012 году 30% банковских транзакций физлиц совершалось через Интернет (плюс 4 п.п. по сравнению с 2011 годом). При этом доля удаленных платежей в денежном выражении увеличилась до 12%, хотя на протяжении 2009-2011 годов величина этого показателя составляла 8-9%. Замедление роста числа интернет-платежей, с одной стороны, обусловлено постепенным исчерпанием эффекта низкой базы, с другой - значительной конкуренцией со стороны платежных терминалов. По оценкам "Эксперта РА", более 35% всех платежей физлиц осуществляются именно с их использованием.

Средние и продвинутые

Как и прогнозировал "Эксперт РА", рост функциональности в прошлом году в большей мере обеспечили системы интернет-банкинга второго эшелона, нежели продвинутые дистанционные сервисы, в которых основной функционал и обширная база получателей платежей уже были реализованы годом ранее. К началу 2013 года существенно выросла доля банков, предоставляющих возможность оплатить посредством интернет-банкинга штрафы ГИБДД (плюс 14 п.п.), покупку железнодорожных (плюс 17 п.п.) и авиабилетов (плюс 10 п.п.), совершить платеж в погашение кредита, взятого в другом банке (плюс 9 п.п.). Для банков же с более совершенными системами ДБО следующим шагом стало внедрение упрощенного формата проведения платежей (например, SMS-банкинга или облегченного решения внутри интернет-банкинга) и демонстрационного режима доступа к интернет-банку. В частности, такие услуги предоставляют система HandyBank, Альфа-Банк и УБРиР.

По сравнению с прошлым годом Топ-5 рейтинга функциональности почти не изменился: по-прежнему с заметным отрывом лидирует мультибанковская система HandyBank. Следом идут Банк24.ру и Альфа-Банк. Четвертое место в этот раз заняла Финансовая группа "Лайф", значительно нарастившая функциональные возможности своего интернет-банкинга. Замыкает пятерку лидеров, как и в 2012 году, система Faktura.ru.

Топ-5 систем интернет-банкинга: внешний платежный функционал*(1)

Место	Интернет-банкинг	Число поставщиков услуг, всего (шт.)	Выбор, бронирование, оплата и получение авиабилетов (число авиакомпаний)	Налоговые платежи	Штрафы ГИБДД	Онлайн-конвертация валют	Платеж на произвольные реквизиты
1	Банки-участники системы HandyBank	7417	284	1	1	1	1
2	ОАО "АЛЬФА-БАНК"	11202	71	1	1	1	1
3	Процессинговый центр Faktura.ru (ГК ЦФТ)	14110	85	1	1	1	1
4	ТКС Банк (ЗАО)	1657	0	1	1	1	1
5	"Банк24.ру" (ОАО)	2708	0	1	1	1	1
Источник: оценка "Эксперта РА" по результатам анкетирования.
*(1) Единица означает наличие опции в интернет-банкинге, ноль - отсутствие. В таблице приведено шесть параметров, всего оценивалось 20 параметров. Полная версия таблицы опубликована на сайте www.raexpert.ru.

Топ-5 систем интернет-банкинга: внутренний функционал и сервисные функции*(2)

Место	Интернет-банкинг	Операции с депозитами	Онлайн-открытие виртуальной карты	Автоматические платежи по графику, заданному пользователем	Платеж по образцу ранее совершенного платежа	Отчет по карточным операциям за любой период, выбранный пользователем	Информация о текущих кредитах (остаток задолженности, наличие просроченных платежей и график погашения)	Поручение на платеж будущей датой	Облегченное решение для платежей на небольшие суммы (например, SMS-банкинг)	Демо-режим с имитацией реальной работы
1	"Банк24.ру" (ОАО)	1	1	1	1	1	1	1	1	0
2	Банки-участники системы HandyBank	0	1	1	1	1	1	0	1	1
2	СБ Банк (ООО)	1	1	1	1	1	1	0	1	1
3	ТКС Банк (ЗАО)	1	0	1	1	1	1	1	1	0
4	"НОМОС-БАНК" (ОАО)	1	1	1	1	1	1	1	1	1
4	ОАО АКБ "Пробизнесбанк" и другие банки финансовой группы "Лайф" (кроме "Банк24.ру" (ОАО))	1	1	1	1	1	1	1	1	1
5	Процессинговый центр Faktura.ru (ГК ЦФТ)	1	0	1	1	1	1	1	1	1
Источник: оценка "Эксперта РА" по результатам анкетирования.
*(2) Единица означает наличие опции в интернет-банкинге, ноль - отсутствие. В таблице приведено девять параметров, всего оценивался 31 параметр. Полная версия таблицы опубликована на сайте www.raexpert.ru.

Топ-5 систем интернет-банкинга: информационная и финансовая безопасность*(3)

Место	Интернет-банкинг	Отдельные пароли на каждую операцию	Генератор одноразовых паролей	Виртуальная клавиатура	Лимиты по операциям, устанавливаемые банком	SMS-оповещение о совершенных транзакциях	Риски ущерба клиенту, нанесенного электронными и компьютерными преступлениями со стороны третьих лиц	Риски ущерба клиенту, нанесенного действием или бездействием сотрудников Банка
1	Банки-участники системы HandyBank	1	1	1	1	1	1	1
2	"Запсибкомбанк" ОАО	1	0	1	1	1	1	1
3	"Банк24.ру" (ОАО)	1	1	1	1	1	0	1
4	ОАО "УБРиР"	1	0	1	1	1	1	0
5	ОАО АКБ "Пробизнесбанк" и другие банки финансовой группы "Лайф" (кроме "Банк24.ру" (ОАО))	1	0		1	1	0	0
Источник: оценка "Эксперта РА" по результатам анкетирования.
*(3) Единица означает наличие опции в интернет-банкинге, ноль - отсутствие. В таблице приведено семь параметров, всего оценивалось 18 параметров. Полная версия таблицы опубликована на сайте www.raexpert.ru.

Невысокие результаты показали некоторые розничные банки. Причиной тому стало отсутствие отдельных сервисных функций, которые в большинстве систем конкурентов уже реализованы. Например, ХКФ Банк и "ВТБ24" не предоставляют возможности выпустить виртуальную карту и совершать денежные переводы "в офлайн", а система Райффайзенбанка к тому же не позволяет совершать автоплатежи и платить штрафы ГИБДД. Всего в 20% систем реализована функция демонстрационного доступа к системе ДБО.

В 2012 - начале 2013 года передовые банки в поисках новых конкурентных преимуществ на рынке интернет-банкинга один за другим обновляли интерфейсы своих систем. Переработке подверглись системы Сбербанка России, Альфа-Банка, ТКС Банка и других крупных игроков рынка дистанционных услуг. Прежде всего, они стремились сделать интерфейсы своих онлайн-систем более дружественными. Так, ТКС Банк реализовал в своей системе ДБО виджеты (блоки данных), которые пользователь может настроить под себя, а Альфа-Банк добавил в интерфейс панель избранных платежей.

Любопытно, что призеры и аутсайдеры рейтинга распределились по местам значительно более плотно, чем годом ранее: разрыв между первым и последним местом в рейтинге уменьшился с 77 до 54 баллов, а стандартное отклонение по выборке опрошенных банков - с 12,6 до 10,1 балла. Отчасти это связано с тем, что ряд банков, занявших невысокие позиции в прошлогоднем рейтинге, отказался от участия в исследовании. Другая часть бывших аутсайдеров переработала свои системы и показала более высокие результаты (среди таких банков, например, ТКС Банк, разместившийся на 6-й строчке рейтинга). Жесткой остается конкуренция и в рамках; Топ-10 рейтинга, где некоторых участников разделяет буквально наличие или отсутствие в системе двух-трех опций.

Итоговый рейтинг функциональности систем интернет-банкинга

Система интернет-банкинга	Банк	Место в рейтинге
		Итоговый рейтинг	Внешний платежный функционал	Внутренний функционал и сервисные функции	Информационная и финансовая безопасность
Система HandyBank	Банки-участники системы HandyBank*(1)	1	1	2	1
Интернет-банк	"Банк24.ру" (ОАО)	2	5	1	3
Альфа-Клик	ОАО "АЛЬФА-БАНК"	3	2	7	18
eLife	ОАО АКБ "Пробизнесбанк" и другие банки финансовой группы "Лайф"*(2) (кроме "Банк24.ру" (ОАО))	4	7	4	5
Faktura.ru	Процессинговый центр Faktura.ru (ГК ЦФТ)*(3)	5	3	5	12
Интернет-банк "Тинькофф Кредитные Системы"	ТКС Банк (ЗАО)	6	4	3	15
Интернет-банк	ЗАО "Банк Русский Стандарт"	7	9	9	10
"Телебанк"	ОАО "УБРиР"	8	17	11	4
SBANK.RU ПРИВАТ	СБ Банк (ООО)	9	24	2	14
Номос-Линк	"НОМОС-БАНК" (ОАО)	10	30	4	8
"Телебанк"	ОАО "МИнБ"	11	16	6	13
"Авангард Интернет-Банк"	ОАО АКБ "АВАНГАРД"	12	6	13	20
Интернет-Банк 24/7	"Запсибкомбанк" ОАО	13	45	8	2
"Банк-на-Диване"	ОАО "СКБ-банк"	14	12	10	15
Интернет-банк	ОАО КБ "Восточный"	15	15	13	6
Интернет-банк PSB-Retail	ОАО "Промсвязьбанк"	16	11	8	25
"ЗАПЛАТИ-ONLINE"	БАНК ИТБ (ОАО)	17	10	15	17
"КУБ-Direct"	"КУБ" ОАО	18	25	10	11
"1МБанк"	Банк "Первомайский" (ЗАО)	19	13	19	9
"Интернет-банк"	ОАО "Банк "Санкт-Петербург"	20	42	9	15
"АТБ-онлайн"	"Азиатско-Тихоокеанский Банк" (ОАО)	21	8	35	11
МКБ Онлайн	ОАО "МОСКОВСКИЙ КРЕДИТНЫЙ БАНК"	22	28	21	7
Интернет-банкинг	ОАО "МТС-Банк"	23	14	17	27
Web-banking	ОАО "Банк Москвы"	24	43	12	16
СБPayWell	ОАО "Смоленский Банк"	25	18	24	17
"ДБО BS-Client. Частный клиент"	ОАО "ВБРР"	26	26	28	10
"ДБО BS-Client. Частный клиент"	ОАО "РГС Банк"	27	31	13	22
Онлайн Партнер	ОАО "АИКБ "Татфондбанк"	28	22	13	29
Абсолют On-Line	АКБ "Абсолют Банк" (ЗАО)	29	29	23	14
Интернет-банк	ОАО АКБ "Балтика"	30	36	24	12
"iBank2"	ББР Банк (ЗАО)	31	37	23	13
СМП ON-Банк	ОАО "СМП Банк"	32	39	13	24
"ДБО BS-Client. Частный клиент"	АБ "БПФ" (ЗАО)	33	21	31	13
ОТПдирект	ОАО "ОТП Банк"	34	33	16	23
Интернет-банк	ООО "ХКФ Банк"	35	34	28	13
Интернет-банк	ОАО "ТрансКредитБанк"	36	41	14	27
Интернет-банк	ОАО КБ "Центр-инвест"	37	32	22	21
"Телебанк"	ВТБ 24 (ЗАО)	38	23	21	27
TRUST ONLINE	НБ "ТРАСТ" (ОАО)	39	35	17	26
"Телебанк"	ООО КБ "КОЛЬЦО УРАЛА"	40	55	19	21
Интернет-банк "МДМ online"	ОАО "МДМ Банк"	41	38	25	20
Интернет-банк	ОАО АКБ "Урал ФД"	42	47	14	28
Интернет-банк	ЗАО "КРЕДИТ ЕВРОПА БАНК"	43	49	27	17
IBank	КБ "ЮНИАСТРУМ БАНК" (ООО)	44	19	33	23
"PKB On-line"	ОАО Банк "Петрокоммерц"	45	60	23	17
"Домашний Банк"	ООО КБ "АйМаниБанк"	46	27	30	23
Интернет-Платежи	ЗАО "Автоградбанк"	47	40	29	20
"SGB-ONLINE"	ОАО "БАНК СГБ"	48	54	26	20
"УРАЛСИБНТЕРНЕТ-БАНК"	ОАО "УРАПСИБ"	49	51	29	16
Интернет-банк	ОАО "ЧЕПИНДБАНК"	50	56	26	19
Меткомбанк-Онлайн	ОАО "Меткомбанк"	51	48	27	21
"Интернет-Первобанк"	ОАО "Первобанк"	52	20	36	20
Raiffeisen CONNECT	ЗАО "Райффайзенбанк"	53	50	30	17
Система "Мегапэй"	ОАО АКБ "Связь-Банк"	54	44	18	32
Интернет-Банк	ОАО "Курскпромбанк"	55	57	23	24
Enter.UniCredit	ЗАО ЮниКредит Банк	56	58	20	26
"Energoline"	ОАО "Энергомашбанк"	57	46	32	20
"РУССТРОЙБАНК-ОНЛ@ЙН"	ЗАО "РУССТРОЙБАНК"	58	61	30	20
"АК БАРС Online"	ОАО "АК БАРС" БАНК"	59	52	24	31
Интернет-Банк "NetBank"	ОАО "ДНБ Банк"	60	62	26	28
Nordea online	ОАО "Нордеа Банк"	61	63	35	21
Ижкард.Ру	АКБ "Ижкомбанк" (ОАО)	62	59	34	26
"Кубань Кредит Онлайн"	КБ "Кубань Кредит" ООО	63	53	38	26
"iBank2"	ООО КБ "СИНКО-БАНК"	64	64	35	30
"iBank2"	ОАО Банк "АПЕКСАНДРОВСКИЙ"	65	63	37	30
*(1) АКБ "Ланта-Банк" (ЗАО), ОАО Банк АВБ и другие (всего более 120 банков). *(2) ЗАО АКБ "ЭКСПРЕСС-ВОЛГА", ОАО "ВУЗ-банк", ОАО "Газэнергобанк". *(3) ОАО КБ "Акцепт", ОАО СКБ Приморья "Примсоцбанк", ОАО АКБ "РБР", ООО "Хакасский муниципальный банк", Банк "ЦЕРИХ (ЗАО)", ОАО КБ "Пойдём!" и другие (всего более 130 банков).
Источник: оценка "Эксперта РА" по результатам анкетирования.

Примечание. Методология рейтинга функциональности интернет-банкинга

В этом рейтинге мы оценили возможности (функции) и уровень безопасности, которые предоставляет интернет-банкинг пользователям. источником информации для рейтинга послужили анкеты банков и аутсорсинговых компаний. Аутсорсинговые (клубные) системы оценивались по пакету услуг, предоставляющих наибольший функционал. Оценивались три группы параметров: внешний платежный функционал, внутренние операции и сервисные функции, информационная и финансовая безопасность.

Удобство интерфейса, надежность банка и число зарегистрированных пользователей не оказывали влияние на место банка в рейтинге.

Ответы по количественным вопросам нормировались и сглаживались для согласования их влияния с качественными вопросами (предусматривающими ответы "да" или "нет").

При формировании рейтинга в апреле 2013 года учитывались некоторые функции, которые при составлении прошлого рейтинга не оценивались агентством. В их числе, например, наличие демонстрационного режима работы и функции SMS-банкинга. Корректировки незначительны, поэтому методики являются сопоставимыми. Была проведена выборочная проверка присланных банками анкет. По ее результатам ряд баллов был скорректирован. Банкам, предоставившим данные, не подтвердившиеся в ходе проверки, были начислены штрафные баллы.

Мобильная защищенность

По мере того как функциональная составляющая систем интернет-банкинга насыщается, растет роль таких критериев, как их безопасность и удобство. Как показало исследование, проведенное Национальным агентством финансовых исследований (НАФИ) в июле 2012 года, среди этих факторов для пользователей первична безопасность: в соответствии с данными опроса, около четверти российских интернет-пользователей не уверены в надежности банковских онлайн-систем. Это неудивительно, ведь большая часть публикаций на тему интернет-банкинга в средствах массовой информации связана с фактами взлома систем ДБО. И хотя команды разработчиков уже сделали многое, чтобы защитить пользователя от несанкционированного вторжения (повсеместно применяются и SSL-соединение, и виртуальная клавиатура, и двухфакторная аутентификация), новые сообщения о фактах интернет-мошенничества продолжают появляться снова и снова. Конечно, за несколько лет методы защиты стали более совершенными, но с другой стороны, бюджеты на информационную безопасность в банках остаются достаточно низкими, а число транзакций, проводимых через Интернет, постоянно растет, открывая новые просторы для роста масштабов киберпреступности. На этом фоне массовым стал переход банков на технологию двухфакторной защиты, при использовании которой клиент вводит пару логин-пароль и одноразовый SMS-код. По данным, полученным "Экспертом РА" в результате исследования, к началу 2013 года уже порядка 80% систем интернет-банкинга для физлиц применяло именно описанную двухфакторную систему аутентификации (годом ранее таких систем было 59%).

Дополнительно усилить уровень безопасности интернет-банкинга помогло бы проведение удаленного аудита компьютера клиента и повышение информированности пользователя о мерах предосторожности при совершении онлайновых платежей. Не прошел аудит - уплати повышенную комиссию по операциям или символическую абонентскую плату. Однако этот метод остается экзотикой для российских банков. Низким остается и число банков, страхующих риски, связанные со злоумышленными действиями третьих лиц. Такие риски страхуют только шесть из 65 рассмотренных банков и систем, семь респондентов страхуют риски потерь, вызванных действием или бездействием своих сотрудников.

В то же время некоторые российские банки уже используют продвинутые методы обеспечения безопасности. Например, системы Банка24.ру и банка "Санкт-Петербург" предлагают пользователю установить индивидуальное приветствие, которое является защитой от фишинга. В отдельных системах реализован механизм контроля смены SIM-карты, на которую приходят временные пароли для совершения транзакций.

Безопасность по требованию

Подтолкнуть банки к повышению защищенности онлайн-платежей с большой вероятностью поможет растущий интерес к мониторингу их безопасности со стороны Банка России. Одним из нововведений регулятора в 2012 году стало утверждение формы отчетности 0403203, в которой банки, начиная с лета прошлого года, отчитываются обо всех нарушениях, связанных с переводом денежных средств по различным каналам (в том числе посредством мобильного и интернет-банкинга). Была и попытка ЦБ обязать банки документировать сведения об IP- и МАС-адресах устройств, с которых осуществляется доступ пользователей к интернет-банкингу. Однако публикация проекта соответствующего указания повлекла за собой множество критических отзывов, и идея была признана нежизнеспособной.

Улучшение безопасности возможно путем реализации многофакторной аутентификации взамен авторизации по двум факторам. Ключевой ее особенностью является дополнительное использование биометрических характеристик для идентификации пользователя. Подтолкнуть разработчиков к подобному совершенствованию систем безопасности способно, например, введение обязательного страхования рисков ущерба клиенту. Сейчас такая практика применяется крайне редко, а ведь подстегиваемые высокими тарифами страховых компаний банки начали бы переход на улучшенные подходы куда более охотно.

Вряд ли помогут укрепить доверие пользователей отдельные положения закона о национальной платежной системе, вступление которых в силу пока отложено на 2015 год. В соответствии с ними банки должны будут осуществить выплату денег клиенту, если тот не давал своего согласия на конкретную операцию. Это обстоятельство, скорее всего, откроет новые горизонты для мошенничества: даже сейчас значительная доля мошеннических транзакций совершается по схеме, когда владелец счета входит в сговор с третьим лицом и заявляет о несанкционированной операции.

В. Тетерин,

"Эксперт РА"

М. Доронкин,

"Эксперт РА"

"БДМ. Банки и деловой мир", N 9, сентябрь 2013 г.