Что лучше пуш уведомления или смс от сбербанка

СМС или Push уведомления от банков?

Безопасность

На чтение 7 мин Опубликовано 18.12.2020 Обновлено 08.11.2022

Что такое Push-уведомления от банков? Это короткие сообщения, переданные банком через интернет напрямую в банковское приложение на смартфон клиента, запущенное при старте ОС в спящем режиме или вручную пользователем. При обычных настройках при получении Push-сообщений появляются оповещения вверху экрана смартфона или планшета. Такие сообщения могут отправлять и установленные приложения, в данном случае это официальное мобильное приложение банка с доступом в личный кабинет клиента, получившее сообщение из банка.

Push вместо СМС?

Все мы привыкли, что банки присылают клиентам СМС:

• информацию об операциях по карте, если подключена соответствующая платная услуга (обычно в пределах 60 рублей в месяц),
• СМС с кодами подтверждения операций по карте или в интернет-банке
• напоминания о необходимости внести платеж по кредитной карте
• ежемесячные СМС-выписки (Тинькофф, Сбер и др)
• рекламно-маркетинговые рассылки

и т.д. Бессмертный призыв — «Никому не говорите код из СМС» — за ним стоят миллиарды потерянных рублей клиентов и даже сломанные судьбы.

Но за каждое СМС банку приходится платить оператору связи или СМС-агрегатору. Причем на банки и ритейл в 2018 году приходилось почти 90% всего рынка СМС-рассылок. Это большие деньги. И в 2018 году операторы стали поднимать цены на свои услуги для банков, поэтому банки стали активно искать замену СМС-сообщениям.

Чем отличаются Push от СМС, преимущества и недостатки

Если не углубляться в тонкости, нетрудно сообразить, что недостатки есть у обоих способов:

Недостатки Push

• Push могут не сохраниться в телефоне (например у Тинькофф)
• Push не придут, если нет ни Wi-Fi, ни мобильного интернета

Недостатки СМС

• СМС могут задержаться у оператора связи или даже пропасть. В этом случае по карте не получится ничего купить в интернете, не сделать перевод и т.д.
• СМС дороже для банков (ну а нам-то что).
• У некоторых банков Push бесплатные, а СМС — платные

Это понятно, но копнем чуть глубже.

Аспекты безопасности

Еще раз вспомним, что сообщения от банка могут иметь огромное значение, особенно если учесть, что это ключ ко всем вашим деньгам в банке. Более того, это еще и ключ к предодобренным кредитам, которые могут ждать вас в личном кабинете, судя по количеству случаев крупного мошенничества, проблема очень актуальная.

И всегда ключевой момент — получение сообщения от банка. Например, в этом случае кто-то привязывает свое устройство для входа в личный кабинет клиента банка:

После этого злоумышленник привязывает свое устройство, переключается на Push-уведомления и может проделывать все операции уже без участия клиента банка, никаких уведомлений с кодами для выполнения операций (взятие кредита, подтверждение переводов) клиенту банка уже не придет. Они будут приходить уже на привязанное устройство мошенников. Поэтому довольно много случаев, когда потерпевшему никто уже не звонит, а деньги со счетов исчезают.

Если бы все эти сообщения приходили строго по СМС, то без участия клиента банка можно было бы сделать максимум 1-2 действия, на сколько хватит «социальной инженерии», достигшей больших успехов. Поэтому замену СМС на Push-уведомления считаю очень опасной тенденцией. Сначала разберемся, как работают Push и как с ними бороться.

Механизм Push-сообщений для смартфона

Если у вас нет мобильного приложения вашего банка, а тем более если у вас кнопочный телефон (не смартфон), то никаких Push-уведомлений вы не получите. Получать их можно только на смартфон с установленным приложением от банка (мобильный банк) и при наличии связи с интернетом. Допустим, смартфон у вас есть.

Посмотрим, как сделаны пуш-уведомления в приложениях от разных банков.

Сбербанк-онлайн — молодец, всё хранит

Заходим в Профиль — Настройки — Уведомления от банка, и видим движок включения Push-уведомлений вместо СМС, всё культурно, выбираешь то, или другое, я себе оставил СМС:

Но, насколько я вижу, если смартфон клиента доступен, то все равно приходят Push, а не СМС. Не исключено, что банк будет «агитировать» клиентов переходить с СМС на Push-уведомления для экономии своих расходов на СМС-рассылки. Но главное в Сбербанке, что все уведомления я могу посмотреть не только в СМС-истории в своем смартфоне, но и в приложении Сбербанка по кнопке «колокольчик» справа вверху. Ни одно уведомление не теряется, и неважно как оно пришло — по СМС или через Push — сообщение.

Проблема с Тинькофф

В Тинькофф-банке ситуация гораздо хуже. Он сам решает, что присылать. И если аппарат абонента подключен к интернету и на связи, то банк принудительно присылает именно Push-сообщения, а не СМС. Можно попросить поддержку, и если хочешь получать только в СМС, вместо пуш, они их включают, но будет сюрприз: при платежах через Интернет банк или мобильное приложение — СМС оповещение не придёт. И поддержка любезно скажет, «извините но по таким операциям мы информацию в СМС не присылаем больше совсем».

Т.е. всплывает, например, ежемесячная выписка по дебетовой карте, ты ее смотришь, но при любом следующем действии сообщение исчезает бесследно и навсегда:

Особенно это неудобно для кредитной карты, где в сообщении присутствует размер платежа для сохранения льготного периода.

P.S. 04.08.2021 появилась новая версия приложения Тинькофф с сохранением пуш-сообщений:

Как бороться с Push-уведомлениями Tinkoff

Сначала я обратился в службу поддержки банка через чат. Но там сказали что не получится. Я подумал, что можно у телефона отключить Wi-Fi и мобильную связь, тогда действительно банк присылает СМС. Но интернет нужен постоянно, этот вариант не проходит. Также я посмотрел, существуют сторонние приложения, которые сохраняют Push-уведомления. Но доверять банковские сообщения, через которые можно украсть деньги, сторонним приложениям — я бы не стал. Итого, вариантов несколько:

1. Отключить на смартфоне интернет. Не годится, интернет нужен.
2. Поставить приложение для сохранения Push-уведомлений. Тоже не годится, небезопасно
3. Сделать так, чтобы приложение Tinkoff не слушало и не отвечало, пока я им не пользуюсь — эврика!

Итак, мы должны отключить приложение Tinkoff, его работу в фоновом режиме. Для этого в своем телефоне на Android (простой Huawei Honor) я залез в
Настройки — Батарея(неожиданно!) — Запуск приложений

и найти «Тинькофф» с желтым значком. Наверняка у него включен движок «Автоматическое управление», выключаем его:

и попадаем в блок «Управление вручную»

Выключаем все три движка влево. Готово! Теперь все сообщения от банка будут приходить в виде СМС и храниться в общем хранилище вашего смартфона.

Ведь теперь отключен автозапуск приложения, и оно не останется работать в фоновом режиме после его выключения. Поэтому Push-уведомления приходить не смогут. Но если вы сами запустили приложение вручную, пока оно работает, то Push-сообщения будут приходить вместо СМС. Можно, конечно, отключить интернет (Wi-Fi и мобильные данные), но тогда само приложение банка не будет работать.

Push в других банках

Большинство других банков сохраняют пуш-уведомления в своем приложении: Альфа-банк, Райффайзен, Восточный, ВТБ.

В ВТБ по умолчанию подтверждения операций приходят в СМС, в настройках можно перейти на Push, тогда уведомления будут сохраняться в приложении. Чтобы приходила информация об операциях по картам, нужно включать платный пакет уведомлений.

В Хоум Кредит и МКБ тоже нет принудительного впаривания пушей, коды приходят в СМС.

Как отключить SMS-оповещения в Тинькофф совсем?

1. В мобильном приложении нужно зайти на нужную карту (не счёт, а карту, где указаны последние 4 цифры)
2. Промотать в самый низ и выключить переключатель «Оповещения об операциях»

Новости

09.04.2021 — По данным компании DeviceLock, в даркнете за 30 тысяч долларов продан доступ к коммутатору одного из сотовых операторов. Коммутатор позволяет получить контроль над системой сигнализации SS7. С его помощью можно перехватить звонки и СМС всех провайдеров связи, с которыми у уязвимого оператора есть договор о роуминге. В их число входят и российские. Покупателем доступа, с большой долей вероятности, стал выходец из стран СНГ. Злоумышленники могут воспользоваться уязвимостью мобильной связи, чтобы перехватывать SMS-коды для авторизации в приложениях банков. С помощью SMS-сообщений злоумышленники могут войти в личный кабинет банка и использовать средства потенциальной жертвы. Название оператора сотовой связи не упоминается.

Для защиты от такого рода атак специалисты рекомендуют переключить авторизацию с СМС на push-уведомления, а также ограничить лимиты на денежные переводы.

Как лучше получать сообщения от банка: через СМС или push-уведомления?

Банки должны уведомлять клиентов обо всех операциях по картам. Получать информацию о покупках и денежных переводах можно с помощью СМС-сообщений или push-уведомлений. Оба способа уведомлений стоят денег (50-100 рублей в месяц в зависимости от банка). Какой из них лучше? Вместе с экспертами разбирался АиФ.ru.

СМС-сообщения

Оба способа информирования имеют свои плюсы и минусы, говорит руководитель направления банковского контента сервиса «Банки.ру» Юлия Кривошеева.

Формат СМС-сообщений поддерживается любым мобильным телефоном, в том числе кнопочным, и не требует подключения к интернету. СМС сохраняются в телефоне, благодаря чему в любое время можно посмотреть историю операций.

«Для получения push-уведомлений требуются смартфон с установленным на нем банковским приложением и наличие интернета, причем не все банки хранят историю push-уведомлений», — отмечает Кривошеева.

В свою очередь, эксперт в области информационной безопасности Сергей Белов выделяет минусы СМС-уведомлений: «СМС-уведомление может быть перехвачено в случае компрометации СМС-шлюза, который используется банком для рассылки уведомлений. Кроме того, СМС-уведомление может быть перехвачено через специфические атаки на протокол SS7 в сети операторов сотовой связи. В случае нахождения вне зоны покрытия сотового оператора вы не получите уведомление».

«Когда уведомления от банка привязаны к номеру телефона, здесь не все так просто. Мошенники переоформляют мобильный номер, делают дубликат сим-карты. В результате уведомления начинают приходить на новый номер, а старый (номер реального клиента) благополучно блокируется. Вы даже не поймете, кто и почему заблокировал ваш номер. И, пока будете выяснять причины блокировки, мошенники успеют получить доступ к вашим счетам, и снять деньги», — добавляет старший преподаватель Департамента правового регулирования экономической деятельности Финансового университета при Правительстве РФ Марчел Кырлан.

Push-уведомления

С точки зрения защиты от мошенничества лучше получать уведомления в виде push-сообщений, считает Марчел Кырлан. Дело в том, что push-сообщения четко привязаны к определенному смартфону, на котором установлен мобильный банк. При любых изменениях владелец немедленно получает эти извещения.

Впрочем, как рассказал заместитель директора по продажам и развитию компании-разработчика комплексного программного решения Станислав Шилов, нужно понимать, что механизм push-уведомлений по умолчанию также предполагает их пересылку через внешние сервисы, связанные с разработчиком мобильной экосистемы (Apple, Google).

«С точки зрения безопасности тоже не все так однозначно. Например, push-уведомления, в отличие от традиционных СМС-сообщений, часто отображаются на смартфоне даже при заблокированном экране, поэтому злоумышленники, получив доступ к смартфону, могут без проблем воспользоваться этой информацией. Тем не менее основная проблема все же связана именно с привязкой банковских приложений к номеру телефона. Оформив дубликат сим-карты, мошенники могут перепривязать к новому номеру банковские приложения и даже аккаунт „Госуслуг“, что позволит им совершать от имени клиента денежные переводы или подавать заявки на кредиты. Снизить риск подобного мошенничества поможет переключение авторизации в банковских приложениях с СМС на push и установление в аккаунте „Госуслуг“ двухфакторной аутентификации», — подсказывает Кривошеева.

По словам Сергея Белова, возможность перехвата данных из push-уведомления реализуется:

• путем компрометации сервера push-уведомлений компании-разработчика ОС телефона;
• путем компрометации сервера банка, который отвечает за работу с уведомлениями;
• путем компрометации устройства пользователя.

«Перечисленные риски считаются сравнительно менее вероятными, чем риски, характерные для СМС-уведомлений, что и приводит к той ситуации, что многие банки рекомендуют клиентам использование push-уведомлений», — резюмирует эксперт.

СМС или push: какие уведомления по карте безопаснее и выгоднее

Банки информируют клиентов об операциях по карте, а также рассылают коды подтверждения покупок с помощью СМС или push-уведомлений. Разобрались, чем эти способы отличаются друг от друга и кому какой вариант подойдет больше.

В чем разница и какие уведомления безопаснее

• регистрация в личном кабинете онлайн-банка,
• смартфон, поддерживающий установку банковского приложения,
• подключенный Интернет.

Для доставки push-уведомлений используются заграничные сторонние решения — сервисы, связанные с разработчиком мобильной экосистемы. Это повышает риски утечки персональных данных, а технология может стать недоступной для России или работать с ограничениями, делится генеральный директор разработчика SaaS-платформы для мультиканальных рассылок Stream Telecom Валерий Угрюмов.

С 2022 года мобильные приложения некоторых попавших под санкции банков заблокированы в магазинах приложений.

Что касается СМС, эти сообщения приходят на телефон любой модели, — в их доставке задействованы мобильные операторы, серверы которых находятся на территории Российской Федерации.

При этом, как замечает эксперт компании «Доктор Веб» Александр Горячев, пуши сложнее перехватывать мошенникам: «Для их перехвата нужно «затащить» троянскую программу, которая подделывает push-уведомления, на устройство пользователя. В случае с СМС злоумышленник может просто отправить уведомление с похожего номера и надеяться на невнимательность пользователя».

Как правило, мошенники отправляют СМС об операции, которую владелец карты не совершал, с подменного номера. Затем аферисты звонят от имени сотрудника службы безопасности банка и для блокировки покупки или перевода просят назвать персональные данные карты, информацию для доступа в мобильный банк, кодовое слово.

При получении сообщения об операции, которую вы не совершали, следует как можно скорее связаться с финансовой организацией по номеру телефона, указанному на официальном сайте банка или на карте. По телефону из СМС-сообщения о несанкционированной покупке перезванивать не стоит — мошенники умеют подделывать номера кредитных учреждений.

13.01.2023 18:13

Также известна схема, когда злоумышленники делают дубликат сим-карты с номером, на который приходят СМС-уведомления об операциях, обращаются в банк якобы для восстановления пароля от мобильного приложения и получают доступ к счету своей жертвы.

А что с правовой точки зрения

Закон обязует банки уведомлять клиентов об операциях по карте. Если со счета похитили деньги, у держателя карты есть 24 часа для обращения в банк. Как говорит эксперт в области кибербезопасности и IT-права, управляющий RTM Group Евгений Царев, доказать, что клиенту было отправлено (и получено, прочитано) СМС, проще, чем push-уведомление.

«К тому же очень легко получить данные от оператора связи, отправлялось ли СМС или нет. В случае с push это сложнее. Используется другая технология и совсем другой способ отправки сообщения. Данные у оператора связи не появляются. Пользователь может увидеть его, а может, и нет», — указывает эксперт.

Если клиент не получил уведомление о несанкционированной операции и вовремя не оспорил ее, доказать, что банк не отправил СМС, проще. В таком случае суд, скорее всего, примет сторону клиенту (при условии, что тот не сообщал третьим лицам конфиденциальные данные карты).

03.04.2023 16:50

Что будет, если подключил push-уведомления, но нет Интернета

В таком случае банк подключает так называемую каскадную доставку — если push-уведомление не доставлено до клиента, финансовая организация отправит ту же информацию в виде СМС.

Сколько стоят СМС и push-уведомления

Тарифы на СМС-уведомления определяют мобильные операторы — через их инфраструктуру отправляется протокол передачи сообщения. В I квартале 2023 года их стоимость выросла на 15–65%, выяснили эксперты агентства TelecomDaily.

Push-уведомления стоят в 1,5–2 раза дешевле, а некоторые банки и вовсе предоставляют услугу бесплатно. Как рассказала Банки.ру старший вице-президент, руководитель блока «Маркетинг» Ренессанс Банка Ольга Конюшкова, все дело в том, что операторы сотовой связи не тарифицируют пуши отдельно.

История операций

СМС-уведомления хранятся в папке сообщений, которая обычно закреплена на главном экране телефона.

Пуши сохраняются не всегда. Так, на смартфонах с операционной системой iOS они остаются в центре уведомлений, на смартфонах с операционной системой Android 10 и новее — в журнале уведомлений. В обоих случаях системные папки нужно искать в настройках.

В зависимости от банка в приложении может быть предусмотрена функция сохранения уведомлений во внутренних файлах.

Также информацию об операциях по карте можно посмотреть в мобильном банке.

Кому подойдут пуши, а кому СМС: кратко

Как видно, однозначно лучшего варианта для получения уведомлений об операциях нет.

Устанавливайте push-уведомления, если вы:

• активно пользуетесь Интернетом, у вас есть смартфон с мобильным приложением,
• историю операций просматриваете в онлайн-банке,
• хотите сэкономить.

Подключайте СМС-уведомления, если вы:

• не пользуетесь смартфоном,
• не зарегистрировались в онлайн-банке,
• предпочитаете хранить под рукой информацию об операциях по карте.

Сбербанк и ВТБ повысили плату за СМС-уведомления по банковским картам

С 1 августа возросла стоимость СМС-уведомлений по картам Сбербанка и ВТБ. Так, Сбербанк повысил стоимость СМС-уведомлений на 10 руб., ВТБ — на 20 руб. О планах повысить тарифы на эту услугу оба банка сообщали в конце июля. Стоимость услуги СМС-информирования в Сбербанке зависит от типа карты. Для держателей дебетовых карт банка ранее она составляла 60 руб. ежемесячно, а для электронных карт банка, социальных и студенческих — 30 руб. в месяц. С 1 августа стоимость уведомлений для этих карт составляет 70 руб. и 40 руб. соответственно, следует из новых тарифов банка (*.pdf.) СМС-уведомления по картам Сбербанка были и остались бесплатными для владельцев кредитных карт банка, а также для клиентов с премиальными и «золотыми» картами. Пуш-уведомления о движении средств по всем картам также остались бесплатными для всех видов карт.

Рост стоимости уведомлений связан с двукратным ростом объема бизнеса за последние пять лет, поясняла ранее пресс-служба Сбербанка. За это время возросло количество транзакций, а также количество и виды отправляемых сообщений. Также Сбербанк отмечал, что повышение тарифа на СМС-уведомления произойдет впервые за 20 лет существования услуги. ВТБ сообщил о повышении тарифов на СМС-информирование клиентов в тот же день, что и Сбербанк. У ВТБ есть два тарифа на СМС-оповещения: базовый, за который банк не взимает плату, и платный «Карты+», цена на который и выросла с 1 августа с 59 до 79 руб. в месяц.