Юридические риски и защита прав потребителей при несанкционированных операциях по банковским картам

На сегодняшний день банковские карты являются одним из ключевых элементов финансовой инфраструктуры. Именно благодаря стремительному развитию цифровых технологий постепенно преобразовалась российская банковская система. А именно, это обусловлено активным внедрением безналичных платежных систем и дистанционным обслуживанием банка, что привело как к положительным результатам (например, увеличилась скорость и частота выполнения операций и обслуживания в банках через приложения), так и к отрицательным (например, увеличилось число нарушений прав потребителей при несанкционированных операциях). В подтверждении мысли обратимся к статистическим данным Банка России, где представлены следующие данные: объем операций с использованием банковских карт в 2025 году превысил 154,3 трлн. рублей, чем в предыдущие года, а число эмитированных карт на конец года составило 500 млн. единиц [14]. Но вместе наблюдается тенденция, роста количества операций, проведенных без согласия клиентов, так в 2023 году это число составило 15,7 млн. рублей, что на 10% больше, чем было в 2022 году, а количество мошеннических операций с использованием платежных карт было самым высоким среди остальных типов операций и составило 984,77 тыс. операций [15]. Поэтому, в этих условиях вопрос юридической защиты владельцев банковских карт приобретает особую актуальность.

Ведь банковская карта (как физическая, так и виртуальная) является основным платежным инструментом, в связи, с чем и приобретает статус наиболее уязвимого объекта посягательства на совершение противоправных действий, где чаще всего слабой сторон выступает потребитель, чьи права нарушаются. И именно на него ложится бремя доказывания своей добросовестности. Поэтому данной теме стоит уделить особое внимание, с целью улучшения и внедрения эффективных правовых механизмов защиты их прав.

Правовое регулирование отношений в сфере банковских карт представляет комплексную систему норм, включающее в себя как непосредственно банковское, так и гражданское законодательство. В свою очередь ключевую роль играет Федеральный закон от 27.06.2011 № 161–ФЗ «О национальной платёжной системе», который впервые закрепил обязанность оператора по переводу денежных средств возместить клиенту сумму несанкционированной операции [2]. Но вместе с этим, практика применения данных норм выявляет ряд серьезных проблем, которые требуют научного переосмысления. Например, ситуация, когда суд встает на сторону банка, и если клиент банка не сможет доказать свою добросовестность, в этом случае в возврате денежных средств отказывают [5]. Далее следует более подробно рассмотреть: каким образом закрепляются такие отношения и как осуществляется защита прав потребителей.

Договор об использовании электронного средства платежа является основой правоотношений между банком и клиентом в сфере безналичных расчетов. Предметом договора являются услуги, оказываемые банком по дистанционному распоряжению средствами на счет клиента с использованием электронного средства платежа, а также по обмену электронным документооборотом.

Наиболее типичная конструкция такого договора определяется Федеральным законом от 27.06.2011 № 161–ФЗ «О национальной платёжной системе», а также Положением Банка России от 29.06.2021 № 762–П «О правилах осуществления перевода денежных средств» [4]. Так ч. 4 ст. 9 данного Федерального закона закрепляет за оператором обязанность информировать клиента о каждой совершенной операции по его счету. Банк обязывается уведомлять клиента о каждой операции с использованием ЭСП посредством SMS–информирования, push–уведомлений или иными, заранее согласованными, способами. Как отмечает С.А. Устимова, система уведомлений является одним из важнейших способов защиты прав потребителей в условиях цифровизации рынка банковских услуг [13].

Какие же существуют эффективные механизмы, предусмотренные в договоре, чтобы защитить права потребителей при несанкционированных операциях по банковским картам?

В соответствие с ч. 3.1-3.11 ст. 8 ФЗ № 161-ФЗ устанавливаются условия антифрод–контроля, что является особой системой мониторинга подозрительных операций. Например, Оператор по переводу денежных средств обязан осуществить проверку наличия признаков осуществления перевода денежных средств без добровольного согласия клиента, а именно без согласия клиента или с согласия клиента, полученного под влиянием обмана или при злоупотреблении доверием, до момента списания денежных средств клиента. Как показывает исследование, проведенное Д.А. Степаненко, антифрод–системы являются средством предупреждения преступлений в банковской сфере, но, все же, их эффективность может варьироваться между кредитными организациями [11].

В том числе договор определяет лимиты операций, которыми являются максимальные суммы переводов, и снятия наличных денежных средств за определенный период времени. Эти ограничения служат дополнительным механизмом защиты клиента при несанкционированном доступе к ЭСП.

И наконец, договор закрепляет порядок блокировки электронного средства платежа по инициативе клиента или банка, а также механизм оспаривания операций. Согласно данным Банка России за 2024 год, банк вернули клиентам лишь 9,9% похищенных средств, что может свидетельствовать о недостаточной эффективности существующих механизмов возврата [16].

Входе исследования было выявлено, что несмотря на наличие законодательных гарантий защиты потребителей банковских услуг, кредитные организации продолжают активно использовать договорные конструкции для перераспределения рисков несанкционированных операций на клиентов. Так, анализ типовых договоров крупнейших российских банков, позволяет выделить несколько ключевых способов такого перераспределения.

Во–первых, это ограничение сроков уведомления. Согласно ч. 11 ст. 9 Федерального закона № 161–ФЗ устанавливает, что клиент обязан уведомить банк не позднее дня, следующего за днем получения уведомления о совершении операции, однако многие банки в своих договорах устанавливают дополнительные условия, к примеру, сокращенные сроки уведомления – «незамедлительно», «в течение часа после получения оповещения о совершении несанкционированной операции». Такие формулировки создают правовую неопределенность и позволяют банку отказать в возмещении похищенных денежных средств, ссылаясь на несвоевременность обращения клиента [9].

Во–вторых, многие типовые договоры содержат условия, согласно которым клиент несет полную ответственность за все операции, совершенные с использованием ПИН–кода или же одноразового пароля (One time password), поскольку банки квалифицируют ввод корректного ПИН–кода как надлежащую авторизацию операции. Между тем, судебная практика показывает, что введение злоумышленником ПИН–кода, который стал ему известен вследствие мошеннических действий или психологического давления, не означает добровольное согласие клиента на проведение операции [5]. Например, в Определении Судебной коллегии по гражданским делам Верховного Суда Российской Федерации от 18.08.2026 г. № 5-КГ26-78-К2, ярко отражена данная ситуации, так как ВС РФ отменил решения трех инстанций, где ранее было отказано ответчику в удовлетворении его исковых требований, и определил, что именно банку надлежало установить, что намерение заключить договор исходило от клиента банка и надлежащим образом идентифицировать его [17]. А в Определении Судебной коллегии по гражданским делам Верховного Суда Российской Федерации от 08.07.2025 г. № 78-КГ25-12-К3 выделил основные моменты, которые должны учитываться судами при разрешении такого рода дел: во‑первых, соответствие сделки только внутренним правилам банка является недостаточным при разрешении таких дел, так как судам также следует проверять на соответствии нормам материального права (в частности, нормам о письменной форме сделки и ее заключении); во‑вторых, нужно проверять квалификацию использования кода-подтверждения как простой электронной подписи[18].

Как отмечает А.В. Токолов, методы психологического давления становятся все более изощренными, а возложение на потребителя обязанности противостоять профессиональным мошенникам противоречат принципу защиты слабой стороны [12].

В–третьих, ряд банков включают в договоры положения, которые фактически перекладывают бремя доказывания несанкционированного характера операции на клиента, что противоречит ч. 15 ст. 9 Федерального закона № 161, которая возлагает это бремя непосредственно на оператора. В.В. Самойлова подчеркивает, что Банк России, как мегарегулятор, должен активнее контролировать соблюдение императивных норм в типовых договорах кредитными организациями [10].

Пределы допустимости подобных договорных условий определяются несколькими факторами. Прежде всего, статья 16 Закона «О защите прав потребителей» запрещает включать в договор условия, которые ущемляют права потребителей по сравнению с правилами, установленными законами [3].

Таким образом, из этого следует, что условия договора, которые ухудшают положение клиента относительно гарантий, которые предусмотрены Законом № 161–ФЗ, являются ничтожными. Кроме того, согласно ст. 428 ГК РФ, присоединившаяся к договору сторона вправе требовать расторжения или изменения условий договора, если он содержит явно обременяющие ее условия, которые она не приняла бы при наличии возможности участвовать в определении условий договора [1].

Соответственно выделим основные разновидности (виды) несанкционированных операций. Основываясь на правовой доктрине и правоприменительной практике, принято выделять несколько типов несанкционированных операций, которые совершаются с банковскими картами. Самый распространенный вид - это физическое хищение карты с последующим ее использованием. При этом если операция совершена без ввода ПИН–кода (например, бесконтактная оплата), бремя доказывания согласия клиента полностью лежит на банке.

Еще один вид это скимминг, то есть копирование данных магнитной полосы карты через специальные устройства, устанавливаемые на банкоматы. Н.В. Морозова отмечает, что, несмотря на переход к чиповым картам, данный вид мошенничества по–прежнему распространен в ряде регионов [8].

Фишинг и социальная инжинерия это получение конфиденциальных сведений путем обмана, с использованием поддельных сайтов, звонков от имени банка, а также иных методов психологического воздействия. Согласно исследованию, проведенному А.Р. Манукяном, мошенничество с использованием ЭСП приобретает все более сложные формы. А М.А. Желудков указывает на появление дропперства, как нового вида соучастия в хищении чужих денежных средств [7].

Так какие существуют юридические риски для держателей банковских карт?

Анализ существующей правоприменительной практики позволяет выделить следующие юридические риски, с которыми могут столкнуться владельцы банковских карт. Кредитная организация может отказать в возврате денежных средств, ссылаясь на пропуск клиентом срока уведомления, который установлен договором, либо на факт ввода корректного ПИН–кода при совершении оспариваемой операции. При этом процент возврата таких денежных средств остается крайне низким, согласно данным на 2024 год, он составил всего 9,9%.

Также, рассматривая ч. 15 ст. 9 Федерального закона № 161–ФЗ согласно которой, в случае если клиент направил оператору уведомление об утрате электронного средства платежа (далее - ЭСП) и (или) о его использовании без согласия клиента, он обязан возместить клиенту сумму указанной операции, совершенной до момента направления клиентом - физическим лицом уведомления. Хоть бремя доказывания вины лежит на банке (чтобы не возмещать денежные средства, ему нужно доказать, что именно клиент нарушил порядок использовании ЭСП), физическому лицу также нужно доказать несколько фактов: факт списания денежных средств со счета, своевременное уведомление банка, обстоятельства отсутствия добровольного согласия на операцию. Но нередко на практике сроки рассмотрения таких заявлений о хищении денежных средств могут составлять от 30 до 60 дней, в течение которых клиент не имеет доступа к своим денежным средствам.

Так, какие же существуют эффективные способы защиты прав клиентов?

Действующее законодательство предоставляет клиентам несколько механизмов защиты. Во–первых, клиент вправе направить претензию в банк в порядке, который предусмотрен ст. 9 Закона № 161–ФЗ, с требованием возместить ему сумму несанкционированной операции.

Если банк откажет клиенту, то он вправе обратиться с жалобой в Банк России, поскольку он осуществляет надзор за соблюдением прав потребителей финансовых услуг [10]. (В том числе, клиент имеет право обратиться в суд с иском о защите прав потребителя, при этом он вправе требовать компенсации морального вреда и штрафа в размере 50% от присужденной суммы за неудовлетворение требований в добровольном порядке, согласно п. 6 ст. 13 Закона № 2300–1 «О защите прав потребителей».

Стоит также отметить Федеральный закон № 369–ФЗ от 24.07.2023, который стал важным шагом в усилении защиты прав потребителей, поскольку он обязывает банк проверять переводы на предмет наличия счета получателя в базе данных Банка России о мошеннических операциях и возвращать денежные средства клиенту в течение 30 дней. Однако, как отмечает Т.И. Абдурагимова в своем исследовании, цифровая трансформация платежных систем порождает новые виды мошенничества, которые требуют постоянного мониторинга и адаптации правовых механизмов защиты [6].

Таким образом, проведенный анализ позволяет сделать вывод о том, что, несмотря на наличие законодательных механизмов защиты прав клиентов при несанкционированных операциях с банковскими картами, их практическая реализация сталкивается с рядом проблем. Часто в практике сталкиваются с ситуациями, когда кредитные организации посредством договоров фактически перераспределяют риски и бремя доказывания на потребителей (клиентов). Но вступление в силу Федерального закона № 369–ФЗ представляет собой большой шаг в сфере усиления механизмов защиты прав клиентов, однако низкий процент возврата похищенных денежных средств свидетельствует о необходимости пересмотра подхода к ответственности кредитных организаций и усилению контроля со стороны Банка России.