Новость о том, что банки начнут проверять телефоны клиентов перед переводами, звучит довольно тревожно. Особенно если добавить вторую часть — при обнаружении вируса деньги отправить не получится.
Само изменение реальное. С 1 марта 2027 года банки получат новые обязанности по защите переводов от мошенников. Однако вокруг закона уже появилось немало упрощений. Например, будто банк сможет просматривать все содержимое телефона, а отказ от проверки лишит человека возможности переводить деньги.
Так вот, закон сформулирован несколько иначе.
Если коротко, банк будет обязан отказать в переводе с конкретного устройства, если получит информацию о воздействии на него вредоносного ПО. При этом клиент вправе не соглашаться на подключение банковских средств защиты к своему телефону или компьютеру. Сам по себе такой отказ в законе не назван основанием для запрета всех переводов.
Причем банки уже сейчас оценивают состояние устройства при проверке операций. Поэтому в 2027 году механизм появится не с нуля. Изменится прежде всего то, как банк должен реагировать на подтвержденную информацию о вредоносной программе.
Ну а сегодня в материале мы подробно разберем, что именно изменится, на что человек вправе не соглашаться и в каких случаях банк будет отвечать за пропущенный мошеннический перевод.
Примечание: информация актуальна на 14 августа 2026 года. Основные новые правила, о которых идет речь в статье, вступят в силу 1 марта 2027 года.
Что изменится с 1 марта 2027 года
Поправки внесены Федеральным законом от 26 июня 2026 года № 210-ФЗ в Закон о национальной платежной системе.
Так, банки должны будут применять специальные средства защиты к собственному программному обеспечению, которым физлица пользуются для переводов. Закон прямо называет мобильное приложение банка и его официальный сайт.
Эти средства должны выявлять и контролировать воздействие вредоносного ПО до списания денег со счета.
Кроме того, клиенту должны предоставить возможность подключить такую защиту непосредственно к своему пользовательскому оборудованию. В частности, речь может идти о смартфоне или компьютере, с которого человек пользуется банковским сервисом.
При этом закон говорит не просто о наличии подозрительного приложения. Значение имеет информация о воздействии вредоносной программы или иной вредоносной компьютерной информации на программное обеспечение, которым клиент пользуется для перевода денег.
Если банк получил такую информацию в отношении устройства, с которого человек пытается провести операцию, с 1 марта 2027 года он будет обязан отказать.
Правило касается:
- операций с использованием платежных карт;
- переводов электронных денежных средств;
- переводов через Систему быстрых платежей;
- других распоряжений о переводе, если применяется устройство, в отношении которого получены сведения о вредоносном ПО.
После отказа банк должен сразу сообщить клиенту его причину. Кроме того, человеку должны объяснить, что деньги можно перевести с другого устройства либо при личном обращении в банк.
Главный момент: в этой ситуации закон говорит именно об обязанности банка отказать в операции. Это уже не просто право финансовой организации перестраховаться при подозрительном поведении клиента.
Получит ли банк доступ ко всему телефону
Нет оснований утверждать именно так.
Закон № 210-ФЗ не дает банку отдельного права читать фотографии, переписку, документы и любые другие файлы клиента. В нем говорится о средствах защиты информации, которые позволяют выявлять воздействие вредоносного ПО на банковское программное обеспечение.
Однако техническая реализация еще имеет значение. В частности, конкретному банковскому приложению могут потребоваться определенные разрешения операционной системы для работы защитных функций.
Поэтому две крайности одинаково неверны. Нельзя утверждать, что банк вообще ничего не будет анализировать на устройстве. Но и вывод о том, что закон разрешил банкам бесконтрольно просматривать все содержимое смартфона, из его текста не следует.
Какие именно разрешения потребуются приложениям конкретных банков, станет окончательно понятно по мере технической реализации новых правил.
Можно ли отказаться от проверки телефона
Да. Причем право отказаться прямо прописано в законе.
По новым частям 1.3 и 1.4 статьи 27 Закона № 161-ФЗ банк должен включить в договор два варианта для физлица:
- дать согласие на подключение средств защиты к своему устройству;
- отказаться от предоставления такого согласия.
Более того, для уже действующих договоров предусмотрен переходный период. По статье 11 Закона № 210-ФЗ банки должны до 1 сентября 2027 года внести необходимые положения в договоры и запросить у клиентов согласие либо отказ.
А вот утверждения «не дал согласие — больше не сможешь переводить деньги» в законе нет.
То есть клиент действительно вправе отказаться от подключения защитного средства банка непосредственно к своему телефону. При этом сам банк независимо от такого решения обязан защищать собственное программное обеспечение, включая мобильное приложение и официальный сайт.
Однако есть другой момент. Если у банка уже появилась предусмотренная законом информация о воздействии вредоносного ПО на устройство, с него конкретный перевод не пройдет.
Именно эти два правила важно не смешивать.
Проще говоря, отказ от подключения защиты и обнаружение заражения — не одно и то же. Первый вариант закон прямо допускает. Во втором случае с марта 2027 года банк обязан отказать в переводе с проблемного устройства.
Что банки проверяют уже сейчас
На самом деле состояние устройства учитывается и в 2026 году.
С 1 января 2026 года действует новый приказ Банка России от 5 ноября 2025 года № ОД-2506. Он расширил перечень признаков перевода без добровольного согласия клиента с шести до двенадцати.
Так, подозрение у банка могут вызвать:
- нетипичная для клиента сумма, периодичность или время операции;
- нехарактерная телефонная активность и рост числа сообщений от неизвестных отправителей;
- смена номера телефона в онлайн-банке или на Госуслугах за 48 часов до перевода;
- факторы риска на смартфоне или компьютере, включая вредоносное ПО, изменение операционной системы или провайдера связи;
- крупный перевод через СБП самому себе, после которого деньги уходят новому получателю;
- сведения о получателе в базах, которые используются для противодействия мошенничеству.
Полный перечень Банк России приводит в официальном разъяснении о признаках мошеннических переводов.
Важно понимать, что каждое обычное действие из этого списка само по себе не означает мошенничество. Более того, часть признаков изначально состоит из сочетания нескольких обстоятельств. Например, перевод новому человеку учитывается вместе с предшествующим крупным переводом самому себе.
Кстати, двенадцатый признак связан с государственной информационной системой противодействия правонарушениям. Хотя весь новый перечень установлен с января, именно этот критерий применяется с 1 марта 2026 года.
Поэтому фраза «вредоносное ПО стало признаком только с марта 2026 года» неверна. Оно прямо упоминается в девятом признаке, действующем с начала года.
Что происходит с подозрительным переводом сейчас
Здесь есть важная деталь. Не каждый подозрительный перевод просто «замораживают на два дня».
Действующая статья 8 Закона № 161-ФЗ разделяет операции.
Так, при обычном распоряжении, которое соответствует признакам мошеннического перевода, банк приостанавливает его прием на два дня.
А вот если речь идет об операции по карте, электронных деньгах или СБП, банк сначала отказывает в операции. После этого клиент получает информацию о возможности совершить повторный перевод тем способом, который предусмотрен договором.
То есть знакомая формула «банк задерживает подозрительный перевод на два дня» подходит не ко всем ситуациям. Для карт и СБП первоначальная реакция закона — отказ и возможность повторить операцию.
Если же после подтверждения или повторной попытки банк получает информацию, что получатель находится в специальной базе Банка России, действует более жесткое правило. Тогда включается двухдневный период, после которого операцию можно провести при отсутствии других законных препятствий.
Что добавится в 2027 году
Кроме того, с 1 марта 2027 года появится еще одна пауза.
После подтверждения подозрительного электронного распоряжения или повторной операции банк в определенных случаях сможет до шести часов не принимать подтвержденное распоряжение либо не проводить повторную операцию.
Обратите внимание, здесь закон использует слово «вправе». То есть шестичасовая задержка не становится обязательной для каждой подозрительной операции.
При этом специальное двухдневное правило для получателя, сведения о котором поступили из базы Банка России, сохраняется.
Когда банк обязан вернуть похищенные деньги
Еще одна тема, где легко смешать нынешние и будущие правила, — ответственность банка.
Сейчас действует следующий механизм. Если банк получил из базы Банка России сведения о получателе и вопреки требованиям закона пропустил мошеннический перевод физлица, он должен вернуть деньги в течение 30 дней после заявления клиента.
Действующая часть 3.13 статьи 8 не ставит такой возврат в зависимость от предоставления постановления о возбуждении уголовного дела.
Однако само наличие любого другого признака подозрительной операции еще не означает, что при потере денег банк автоматически должен их компенсировать. Специальное действующее правило о возврате связано именно с нарушением обязанностей после получения информации из базы Банка России.
С 1 марта 2027 года появятся дополнительные основания ответственности банка.
В частности, вернуть деньги придется, если финансовая организация получила предусмотренные законом сведения из государственной антифрод-системы либо информацию о вредоносном ПО, но не выполнила установленные требования и в результате прошел перевод без добровольного согласия клиента.
Однако порядок здесь уже другой.
Для возмещения по новым основаниям клиенту понадобится постановление о возбуждении уголовного дела по факту хищения. После обращения банк должен будет возместить деньги не позднее 30 дней.
Поэтому выражение «банк вернет украденное без полиции и суда» нельзя переносить на все случаи после 1 марта 2027 года. Для новых оснований ответственности, связанных в том числе с вредоносным ПО, закон прямо требует постановление о возбуждении уголовного дела.
Касаются ли новые правила компаний и ИП
Здесь тоже стоит быть аккуратными.
Новые положения о средствах защиты на пользовательском устройстве прямо сформулированы для клиента — физического лица. Именно физлицу банк должен дать возможность подключить защиту к своему оборудованию, и именно его согласие или отказ должны появиться в договоре.
Поэтому из Закона № 210-ФЗ нельзя сделать общий вывод, что по этой же схеме банки получат доступ к корпоративным компьютерам организаций или начнут требовать согласие сотрудника на проверку рабочего ноутбука.
Вместе с тем общие правила антифрод-проверки банковских переводов существуют и для других клиентов. Просто их не нужно смешивать с новым специальным механизмом подключения защиты к устройствам физических лиц.
Что делать, если банк отказал в переводе
Если с 1 марта 2027 года причиной станет информация о вредоносном ПО, банк должен сам сообщить об этом клиенту и назвать альтернативный способ проведения операции.
Действовать в такой ситуации можно по порядку:
- Уточните причину отказа. Важно понять, действительно ли банк ссылается на вредоносное ПО, а не на другой антифрод-признак или ограничение.
- Не повторяйте операцию бесконечно. Если проблема связана с устройством, многочисленные попытки не устранят причину отказа.
- Используйте другое устройство. Закон прямо предусматривает такую возможность, если в отношении него нет сведений о воздействии вредоносной программы.
- При необходимости обратитесь в банк лично. Операцию можно будет провести при личном присутствии клиента или его представителя.
- Проверьте устройство. Если банк сообщил о вредоносном ПО, имеет смысл удалить подозрительное программное обеспечение и проверить безопасность телефона или компьютера.
Если же проблема связана не с вирусом, а с попаданием сведений в базу Банка России, порядок будет другим. Подробнее такую ситуацию мы разбирали в статье о том, что делать при ограничениях по Закону № 161-ФЗ.
Что в итоге изменится
Итак, банки действительно получат дополнительные инструменты для защиты переводов. Но говорить о бесконтрольной проверке содержимого телефона или о принудительном согласии было бы неправильно.
Главное можно свести к нескольким правилам:
- вредоносное ПО учитывается как фактор риска уже в 2026 году;
- с 1 марта 2027 года банк будет обязан отказать в переводе, если получит предусмотренную законом информацию о воздействии вредоносного ПО на используемое устройство;
- банк должен предложить другое устройство или проведение перевода при личном обращении;
- физлицо вправе согласиться на подключение банковской защиты к своему оборудованию либо отказаться;
- сам отказ от такого согласия закон не называет основанием для автоматического запрета всех переводов;
- с 2027 года расширится и ответственность банков за мошеннические операции, но для новых оснований возврата денег потребуется постановление о возбуждении уголовного дела.
Главный вывод: с 2027 года значение будет иметь не сам факт отказа человека от «проверки телефона», а наличие у банка информации о воздействии вредоносного ПО. Именно с таким фактом закон связывает обязанность не проводить перевод с конкретного устройства.
А на сегодня все.