Банки настаивают на законодательном закреплении стандартов открытых API

Инициативу поддерживают Т-Банк, Сбер, ВТБ, Совкомбанк и Газпромбанк — все крупнейшие участники пилотных проектов мультибанкинга. Регулятор на обращение пока не ответил. Законодательный вакуум превращает каждую точку обмена данными в потенциальный вектор атаки — и это вопрос не только удобства, но и безопасности цифровой инфраструктуры.

Механика обмена: протокол есть, стандарта нет

В декабре ЦБ утвердил десять стандартов открытых API. Формат — добровольный. Более двадцати крупнейших банков тестируют передачу информации между приложениями. Сейчас мультибанкингом пользуются свыше 700 тыс. человек: более половины — через Т-Банк, где клиенты видят счета Сбера, ВТБ и Альфа Банка. С сентября к ним добавится Совкомбанк. Всего в пилоте — около двадцати кредитных организаций.

Проблема — в отсутствии обязательных правил подключения. Добавление счёта из другого банка занимает до пятнадцати шагов. АФТ проектирует укороченный маршрут, но без федерального закона каждая точечная интеграция остаётся кастомной. Как отмечает Павел Салугин из Газпромбанка, участники рынка пока создают именно точечные решения, а не единый протокол. Для региональных банков участие добровольно — у них нет ресурсов для внедрения на необходимом уровне защиты.

Риски: слабое звено определяет систему

Управляющий по анализу банковского рынка ПСБ Дмитрий Грицкевич обозначил ключевую проблему: без законодательного закрепления стандартов уровень безопасности всей системы определяется самым слабым звеном. Нерешённых вопросов минимум три: ответственность участников, порядок оформления согласий клиентов, тарификация передаваемых данных.

АФТ предлагает поэтапный подход. Сначала — обязать применять открытые API для системно значимых кредитных организаций. Потом — подключать остальных. Для массового запуска нужны четыре условия: понятная экономическая модель, единые стандарты, простой процесс подключения и федеральный закон. В международной практике базовые данные обычно передаются бесплатно — но это не гарантирует отсутствия скрытых затрат на инфраструктуру хэширования, токенизации и аудит потоков. Андрей Емелин из НСФР считает, что на первом этапе правила можно закрепить поправками в банковское законодательство, а к специальному акту вернуться позже.

Сроки и стоимость бездействия

По данным аналитика Freedom Global Владимира Чернова, принятие закона планировалось в 2025 году, обязательный запуск — на 2026-й. Оба срока сдвинуты. Участники пилотных проектов вложили значительные ресурсы. Без законодательного закрепления инвестиции могут не получить ожидаемой отдачи. Единый формат необходим — иначе каждому банку придётся отдельно настраивать обмен со всеми остальными. При масштабе в двадцать организаций это уже не десятки, а сотни попарных интеграций. Стоимость поддержки такого ландшафта растёт экспоненциально.

Для пользователей мультибанкинга это означает одно: пока стандарты добровольные, каждый новый шлюз между банками — это отдельная поверхность атаки. Правила минимизации рисков работают в любой сфере, где важна стерилизация потоков и контроль доступа. В финтехе — тем более.

Ключевое, что стоит отслеживать: ответ Банка России на письмо АФТ. Если регулятор не даст обратной связи до конца года, рынок продолжит нарастать хаотично — с растущей стоимостью каждой новой интеграции и компрометацией данных как системным риском.