Open banking в Казахстане: безопасность API и защита финансовых данных

Open banking — это концепция, при которой банки через API предоставляют доступ к данным клиентов третьим сервисам с согласия самого клиента. Это удобно: можно управлять несколькими счетами через одно приложение, получать персонализированные финансовые советы, оформлять кредиты быстрее. Но вместе с удобством приходят новые риски.

Что такое open banking и как он развивается в Казахстане

Казахстан активно движется к открытому банкингу: АРРФР разработало концепцию открытого API для финансового рынка. Несколько банков уже предоставляют API для лицензированных финтех-компаний. Международный опыт показывает: open banking создаёт как возможности, так и новые векторы атак.

В странах с развитым open banking (Великобритания, ЕС) зафиксирован рост так называемых «атак через авторизованный доступ» — когда клиент сам разрешает вредоносному приложению доступ к своим банковским данным, не осознавая последствий.

Основные угрозы open banking

Злоупотребление согласием (Consent abuse)

Клиент даёт согласие на «просмотр баланса» приложению, а оно запрашивает более широкие права — на инициирование платежей. Или вредоносное приложение маскируется под легальный сервис. Всегда читайте, на что именно вы даёте согласие.

Компрометация токенов доступа

В open banking используются OAuth-токены вместо паролей. Если злоумышленник перехватит токен, он получит доступ к вашим данным без знания пароля. Токены имеют срок действия, но если приложение хранит их небезопасно — риск реален.

Атаки на API банка

Уязвимости в банковских API: недостаточная авторизация, SQL-инъекции, отсутствие rate limiting. Квалифицированная атака на API может дать доступ к данным множества клиентов сразу. Это ответственность банка — клиент может только выбирать надёжные банки.

Фишинговые OAuth-приложения

Мошенники создают приложения, которые запрашивают OAuth-авторизацию через легальный банк. Клиент видит официальную страницу банка и даёт согласие — не понимая, что разрешает доступ мошенникам.

Как клиент может защитить себя

1. Подключайте только официально лицензированные приложения — список доступен на finreg.kz
2. Проверяйте запрашиваемые права: приложению для просмотра статистики расходов не нужен доступ к платежам
3. Регулярно проверяйте и отзывайте ненужные разрешения в мобильном приложении банка
4. Не нажимайте на кнопку «Разрешить» в OAuth-окне, если вы не инициировали это действие
5. Используйте отдельный email для финансовых сервисов

Признаки легального open banking провайдера

Что делать при подозрительной активности

Если вы заметили несанкционированные операции или подозрительный доступ: немедленно отзовите все разрешения в настройках банковского приложения; смените пароль и PIN; сообщите в банк и запустите процедуру чарджбэка при несанкционированных платежах; обратитесь в АРРФР.

Подробнее об антифрод-защите читайте в материале как работают антифрод-системы в банках, а о чарджбэке — в статье чарджбэк и возврат платежа.