СреднийII Кибервойна и критическая инфраструктура6 ноября 2026 г., пятница
RBI обязал банки до 3 декабря усилить защиту API-платежей
Как сообщил MediaNama 6 ноября, Резервный банк Индии (RBI) в закрытом предупреждении от 3 ноября потребовал от банков ввести как минимум 1 дополнительную меру защиты для переводов средств через API. Для действующих интеграций срок — 3 декабря 2026 года.
API (интерфейс прикладного программирования) — программный интерфейс, позволяющий банку по 1 команде принимать автоматические платёжные поручения от финтех-компаний и небанковских финансовых организаций. По данным издания, RBI провёл с банками встречу продолжительностью около 2 часов; один из банкиров сказал, что отдельные случаи мошенничества составляли от 3 до 15 крор рупий (1 крор = 10 млн). Предупреждение предусматривает 3 основные меры: предварительную регистрацию счетов получателей, лимиты на операцию и на день, а также двойное подтверждение дебетовых поручений. Лимиты на операцию вступают в силу немедленно, внутридневные лимиты скорости — в течение 1 месяца.
Клиенты из числа небанковских финансовых компаний пройдут проверку у аудитора, одобренного CERT-In; для действующих клиентов срок — 3 февраля 2027 года. По данным StudyCafe от 1 ноября, RBI ранее уже требовал от банков подтвердить соблюдение действующих киберправил. По тем же данным, 2 небанковские кредитные организации в Мумбаи 8–9 октября потеряли около 2 млн $ в результате более чем 700 несанкционированных мгновенных переводов.
Текст закрытого предупреждения не опубликован; на 6 ноября его положения удалось подтвердить лишь по изложению в прессе. Данных о том, были ли эти потери в 2 млн $ покрыты страховкой, найти не удалось. Требование RBI переносит стоимость предотвращения ущерба в операционный бюджет банков на конец 2026 года.
Оценка Talay
Вывод
RBI превратил предупреждения CERT-In в обязательные требования с конкретными сроками. Срок 3 декабря возлагает нагрузку по безопасности цепочки API между банком и финтехом на банк. Наиболее вероятный путь — небольшие финтех-компании теряют интеграции из-за стоимости аудита, а поверхность атаки сокращается.
Возможные последствия
- Финтех и выдача кредитовНегативноНедели
Предварительная регистрация получателей и двойное подтверждение замедляют автоматические платежи; интеграции, не успевшие к 3 декабря, могут быть приостановлены.
- Издержки банковНегативно1–6 месяцев
Ежегодный аудит и ежеквартальное информирование клиентов устойчиво повышают расходы банков на соблюдение требований.
- КиберрискПозитивно1–6 месяцев
Лимиты и предварительная регистрация разрывают цепочку переводов, начинающуюся с пробной операции на 1 рупию; отдельные потери могут опуститься ниже диапазона 3–15 крор.
Вероятные сценарии
- 1Требования вводятся, график соблюдается55 %
К 3 декабря банки вводят как минимум 1 меру защиты, и потери через API сокращаются.
Что отслеживать: Число инцидентов, связанных с API, о которых сообщено в CERT-In после 3 декабря
- 2Запрос об отсрочке30 %
Банки и финтех-компании просят продлить срок 3 декабря, и RBI допускает частичную гибкость.
Что отслеживать: Заявления RBI в связи с заседанием 2–4 декабря
- 3Атаки продолжаются15 %
Несмотря на требования, в ноябре и декабре продолжаются новые крупные мошенничества через API.
Что отслеживать: Сообщения в ноябре о новых мошенничествах через API на уровне крор
Вероятности — это откалиброванное суждение на основе источников, а не измерение; они пересматриваются с появлением новых данных. Не является инвестиционной рекомендацией.
Реакция рынка
Затронутые индикаторы
- Срок (действующие API)▼ 3 декабря
- Отдельное мошенничество▼ 3–15 крор ₹