Новые возможности СБП: оплата госуслуг и межбанковское внесение наличных

Для аудитории ниши это означает появление дополнительных платёжных контуров, каждый из которых требует отдельной оценки с точки зрения процедуры идентификации, маршрутизации и потенциальных точек компрометации.

Механика C2G: кто, когда, на каких условиях

Согласно тексту указания, банки обязуются обеспечить приём C2G-платежей на трёх типах площадок: порталах государственных и муниципальных услуг, сайтах профильных ведомств и в местах обслуживания граждан бюджетными организациями. Для крупнейших кредитных организаций обязанность вступает в силу с 1 апреля 2027 года, для банков с универсальной лицензией — с 1 октября 2027 года. Ряд банков подключает C2G добровольно, до наступления регуляторного дедлайна.

Ключевой параметр для держателя счёта: C2G-платежи в СБП бесплатны, при этом банки-эмитенты не уплачивают комиссию регулятору. Это означает, что платёж не проходит через стандартную тарификационную цепочку и движется по выделенному маршруту, что само по себе требует от пользователя повышенного контроля реквизитов на каждом этапе — от считывания QR-кода до финального подтверждения в приложении банка.

Cash-in: вектор и разделённая ответственность

Второй сервис — cash-in — позволяет внести наличные через банкомат одного банка с зачислением на счёт в другом. Решение о подключении к этому функционалу каждый банк принимает самостоятельно, вследствие чего на рынке формируется неоднородная картина доступности сервиса.

С точки зрения протокола, cash-in в СБП предполагает идентификацию отправителя через устройство банка-инициатора и передачу данных в НСПК для последующего зачисления в банк-получатель. Зона ответственности за корректность приёма наличных и их идентификации лежит на банке, обслуживающем банкомат, тогда как контроль зачисления — на банке-получателе. При расследовании спорных транзакций, в том числе непрошедших зачислений, плательщику необходимо фиксировать терминальный чек, идентификатор операции в СБП и точное время внесения — что влечёт за собой необходимость хранить эти документы до момента подтверждённого поступления средств.

Что отслеживать на стороне клиента

Введение C2G расширяет поверхность атаки для социальной инженерии: подмена домена госпортала, фишинговые QR-коды в местах обслуживания, имитация платёжных форм ведомств — типовые сценарии, которые становятся актуальнее по мере того, как пользователь привыкает к новому каналу. При проведении C2G-платежа критично проверять, что операция инициируется на подлинном ресурсе (TLS-сертификат, доменное имя), а не через редирект или стороннюю форму, поскольку чарджбэк по таким платежам в пользу государства невозможен — возврат регулируется административными процедурами ведомства-получателя.

В части cash-in при проведении операции следует учитывать, что время зачисления определяется правилами банка-получателя, а не банка-инициатора. До момента подтверждённого зачисления наличные фактически находятся в процессинговом контуре, и при споре плательщику потребуется предъявить документ, подтверждающий внесение. Отсутствие единого стандарта подтверждения между банками — тот технологический зазор, который будет формировать основной поток обращений в ближайший год, и именно его следует отслеживать в первую очередь.