Миру – «мир»?

НСПК предупредила о проблемах с онлайн-оплатой картами иностранных систем.

Заявление НСПК – официальное признание того, о чем в ЦБ предупреждали еще два года назад. Правда, коллеги из НСПК сегодня говорят об «онлайн-платежах», сразу уточним: речь, по сути, идет об операциях электронной коммерции (e-commerce). И проблема здесь не в самих картах Visa и Mastercard как физических носителях, а в том, что для проведения таких операций в браузере клиента должны быть установлены актуальные сертификаты Национального удостоверяющего центра (НУЦ). Если их нет – браузер на самом деле разрешит транзакцию, но сообщит, что соединение не защищено. Это пугает людей, и они не платят. Это как если бы у банковского сайта перестал действовать двухфакторный SSL-сертификат.

Теперь о реальных поводах

Формально – истекают корневые сертификаты безопасности на стороне платежных шлюзов и в процессинге. Если точнее: на сайтах магазинов (ТСП) отзывают рутовые (корневые) сертификаты, на которых были сделаны сертификаты сайтов. Сайты перешли на НУЦ-сертификаты, но в зарубежных браузерах их нет. Требуется вручную их туда установить. Это не имеет никакого отношения к типу карты – «Мир» или от международных платежных систем. Проблема общая.

Но есть и неформальная версия, которую обсуждают в кулуарах. Возможно, это не просто техническая история, а мягкое принуждение к отказу от карт международных платежных систем. По сути, их можно и нужно было вывести из оборота как инструмент для внутрироссийских расчетов еще год-два назад. Но регулятор почему-то давал по тормозам, и не раз. Теперь же обстоятельства вынуждают действовать более активно.

НСПК не лукавит, когда говорит, что переход на российские сертификаты не отразится на безопасности

Точно на безопасности не отразится – ведь будут добротные сертификаты на ГОСТах! Но все происходящее – не замена батарейки в пульте, это замена всей системы верификации. Мы уходим от глобальной инфраструктуры доверия, выстроенной десятилетиями, к суверенной, которую еще предстоит обкатать. И пока новые сертификаты не подтверждены на всех уровнях – от банка-эмитента до торгового терминала, – риск технических сбоев остается. На карте, замечу, совсем другие, не SSL-сертификаты. И если с онлайн-оплатой проблемы возникнут у всех держателей карт международных платежных систем, то для офлайн-транзакций сценарий иной. В отличие от интернета, где проблема в сертификатах сайтов, в офлайне отказ может произойти на уровне чипа – там свои сертификаты, и их поддержка тоже зависит от международной инфраструктуры. Поэтому хотя коллапса в метро и транспорте я не жду, но точечные отказы исключать нельзя.

К чему готовиться банковским клиентам?

Очевидный совет – перевыпустить карту на «Мир». Но это совсем не в связи с поднятой темой! «Мир» – это безопасно и это работает. Однако отмечу другой, более глубокий слой проблемы, о котором сегодня предпочитают умалчивать. Мы меняем софт, строим свой процессинг – это правильно. Но физически чипы для карт, даже для карт «Мир», остаются импортными. Китай – это не наши заводы. Мы зависим от поставок кристаллов. И в России нет своего производства чипов для платежных карт на современных технологических процессах – все пока импорт. Экономика такого производства пока остается убыточной по сравнению с азиатскими поставками.

Впрочем, не будем сгущать краски. Риск перекрытия поставок чипов существует, но он не катастрофический, если говорить именно о платежных картах. Для банковской розницы этот риск вполне приемлемый. Другое дело, что отсутствие хороших отечественных чипов – это проблема для гораздо более важных для страны отраслей, где критична электронная компонентная база. Здесь упрекать НСПК – значит стрелять не по тем мишеням. Это задача уровня государства, а не платежного института. Однако это не значит, что риск можно игнорировать. Завтра перекроют поставки – и карты «Мир» могут стать просто пластиком без работающего чипа. Вот об этом в НСПК предпочитают не говорить. А надо – честно обсуждать, чтобы мы готовились к настоящей технологической независимости, а не к косметическим перевыпускам.

В конце – приятное: несмотря на все риски, подвижки есть. Это и СБП, которая работает независимо от карточных сертификатов, и мобильное приложение Mir Pay, которое позволяет платить с телефона. Всё неплохо. Но это не отменяет проблемы с чипами – их надо решать системно.