Когда говорят о защите банковского клиента от вредоносного ПО, обычно представляют антивирус, который сканирует телефон в поисках угроз. Реальный механизм устроен иначе: защитный контур встроен непосредственно в код приложения и работает по принципу RASP (Runtime Application Self-Protection — защита приложения в реальном времени своими собственными средствами). Приложение постоянно отслеживает собственное состояние и фиксирует признаки компрометации.

Что именно проверяет модуль:

• включенные специальные возможности и наложение поверх экрана (другое приложение может перекрывать интерфейс банка, чтобы перехватывать ввод);

• активные сессии удаленного доступа (кто-то прямо сейчас управляет вашим телефоном с другого устройства);

• права администратора — root на Android или jailbreak на iOS;

• работающие отладочные интерфейсы;

• подмену устройства (не эмулятор ли это вместо реального телефона);

• подозрительный автоматизированный ввод (ввод данных не человеком, а скриптом).

Некоторые банковские приложения запрашивают еще более широкий доступ к ресурсам устройства и проверяют содержимое памяти. Речь идет не только об анализе поведения пользователя, но и о полноценном сканировании системы.

И вот здесь я вижу слабость закона: единого определения вредоносного ПО в нем нет. ФСТЭК и ФСБ сертифицируют само средство защиты как продукт, но не ведут единый реестр запрещенных программ. Критерии опасности задает себе каждый конкретный банк в координации с поставщиком своего защитного модуля.

Отсюда неизбежен разнобой — одна и та же программа у одного банка проверку пройдет, а у другого поднимет тревогу. Это главный источник будущих ложных срабатываний.

В самом законе VPN и прокси-серверы как основание для блокировки не названы. VPN — несмотря на большой шум вокруг него, все еще легальный инструмент, запрета пользоваться им одновременно с приложением банка пока нет. Проблема в том, что защитные и антифродовые системы исторически считают VPN и использование прокси фактором риска.

Трафик идет через промежуточный узел, подменяется геолокация, и часть вредоносного ПО действительно маскирует управление через такие каналы. Легальный VPN может попасть под подозрение просто потому, что действует по схожему с вредоносным ПО сценарию.

Есть и второй момент, менее очевидный. Признаки использования средств обхода могут не только влиять на решение банка, но и передаваться дальше — в контур регулятора и в профильные системы вплоть до Роскомнадзора. То есть VPN на устройстве способен превратиться из установленной лично вами настройки в компрометирующий вас сигнал в какой-то федеральной базе данных. Это означает, что приложения крупных государственных банков могут быть использованы для поиска и блокировки тех или иных VPN Роскомнадзором.

Формально меры подобной защиты одинаково касаются и Android, и iOS. Но у них разные технические особенности.

• Android — более открытая система, там проще установить приложение из стороннего источника, выдать опасные разрешения и получить права администратора. Именно под Android пишется основная масса банковских троянов. При этом банковский модуль защиты на Android имеет возможность видеть гораздо больше сигналов о состоянии системы.

• iOS устроен по более строгой логике, это закрытая экосистема с изоляцией приложений, они почти не видят, что происходит у «соседей». Поэтому уровень угроз объективно ниже, но и проверять состояние устройства защитному модулю сложнее.

Вот такой сложился парадокс: на iOS меньше заражений, но и меньше возможностей их находить, а на Android — наоборот. Так что частота блокировок на разных платформах будет зависеть не от реального числа угроз, а от того, насколько глубоко защитный модуль может «заглянуть» в систему.

На этот случай предусмотрен механизм возврата. Клиент обращается в банк, и у банка есть 30 дней, чтобы вернуть деньги. Но необходимо соблюсти одно жесткое условие — по факту хищения должно быть возбуждено уголовное дело. Поэтому первым шагом пострадавшего должен стать не звонок в банк, а заявление в полицию, без этого запустить процедуру возврата не удастся.

Мой совет: при любой спорной операции сразу фиксируйте все — время, суммы, уведомления банка, переписку. Скорость и полнота свидетельств, приложенных к вашему обращению, прямо влияют на исход дела.

Универсального ответа на вопрос, подключать сертифицированную защиту или отказаться, нет. Выбор зависит от того, насколько вы искушенный пользователь.

Обычному клиенту, который держит на телефоне стандартный набор приложений из официального магазина, защиту логично подключить — она снижает и реальный риск кражи, и вероятность, что операцию заблокируют.

Технически продвинутым пользователям, у которых на устройстве есть права администратора, кастомная прошивка, среды разработки или инструменты удаленного доступа, стоит самим оценить, как поступить. Именно перечисленные признаки защитный модуль примет за угрозу, и блокировки ваших транзакций могут стать постоянными.

Риск минимизирует не факт согласия или отказа на подключение защиты, а соблюдение правил «гигиены устройства». Займитесь ею прямо сейчас:

• обновите операционную систему;

• снесите приложения из непроверенных источников;

• проверьте, кому выданы права на специальные возможности и удаленный доступ;

• как вариант, заведите для банка «чистое» устройство.

Пока условие об обязательной защите не закреплено в договоре, разумнее не соглашаться на нововведения вслепую, а уточнить у банка, что именно он предлагает подключить и на каких условиях. Решение должно быть осознанным.

На мой взгляд, самый недооцененный момент во всей этой истории — то, что формально закон говорит про вредоносное ПО, а на деле под подозрением оказывается все, что защитный модуль сочтет «нештатным окружением».

Устаревшая версия операционной системы с незакрытыми уязвимостями — один типичный триггер. Права администратора и кастомные прошивки — еще один. Приложения не из официального магазина, средства удаленного управления, эмуляторы и инструменты автоматизации — все это может вызвать отказы, даже когда речь идет о вполне легальном софте. 

Причина в том, что, как я уже отметил, единого определения вредоносного ПО нет. Граница между «опасным» и «нестандартным» проходит там, где ее провели конкретный банк и его вендор. По сути, это не столько защита от вирусов, сколько требование держать устройство в типовом, стандартном предсказуемом состоянии.

Так что больше всех попасть под раздачу рискуют не беспечные, а самые технически подкованные клиенты — именно их устройства чаще всего сильно отличаются от типовых.