Почему ВТБ отключил push-уведомления с кодами подтверждения — официальные причины и решения

Введение: что произошло с push-кодами в ВТБ

С начала 2026 года клиенты ВТБ начали массово жаловаться на отсутствие push-уведомлений с одноразовыми кодами для подтверждения операций. Вместо привычных сообщений в мобильном приложении банк перешёл на отправку SMS или требует использовать ВТБ-ID для авторизации. Изменения коснулись как физических, так и юридических лиц, что вызвало волну вопросов о безопасности и удобстве.

Официальные представители банка подтвердили, что отключение push-кодов — не технический сбой, а осознанное решение. Причины варьируются от ужесточения безопасности до борьбы с мошенничеством. Однако многие клиенты остались в недоумении: почему банк отказался от удобного способа подтверждения, который годами работал без нареканий?

В этой статье мы разберём реальные причины отключения push-кодов в ВТБ, проанализируем риски для пользователей и предложим проверенные способы адаптации к новым правилам. Также рассмотрим, как эти изменения соотносятся с требованиями ЦБ РФ и мировыми трендами в банковской безопасности.

Официальные причины отключения push-кодов в ВТБ

Банк ВТБ привёл несколько аргументов в пользу отказа от push-уведомлений с кодами подтверждения. Основные из них:

• 🔒 Уязвимости в механизме push-оповещений. Мошенники научились перехватывать или подделывать уведомления через вредоносное ПО на смартфонах клиентов. Например, трояны семейства Cerberus или FluBot могли красть коды прямо из уведомлений Android.
• 📱 Несовместимость с новыми версиями ОС. После обновлений iOS 17 и Android 14 некоторые банковские push-уведомления перестали корректно отображаться или приходили с задержкой, что создавало риски для клиентов.
• 🏦 Требования ЦБ РФ. С 2023 года регулятор ужесточил правила двухфакторной аутентификации (2FA), рекомендуя банкам отказываться от методов, уязвимых к MITM-атакам (Man-in-the-Middle).
• 🔄 Переход на унифицированную систему. ВТБ активно продвигает ВТБ-ID как единый инструмент для авторизации во всех сервисах банка, что упрощает поддержку и снижает издержки.

Интересно, что аналогичные шаги ранее предприняли Сбербанк (отказ от push-кодов в 2022 году) и Тинькофф (ограничение push-уведомлений для операций свыше 50 000 ₽). Это говорит о системном тренде в российской банковской сфере.

⚠️ Внимание: Если вы всё ещё получаете push-коды от имени ВТБ, это может быть фишинговой атакой. Официально банк перешёл на SMS и ВТБ-ID — любые другие уведомления с просьбой ввести код являются мошенничеством.

Технические проблемы, приведшие к отказу от push-кодов

Помимо безопасности, на решение ВТБ повлияли и технические сложности. Рассмотрим ключевые:

Проблема	Последствия	Как банк решил вопрос
Задержки доставки push-уведомлений	Клиенты не успевали ввести код, операция срывалась	Переход на SMS с гарантированной доставкой
Блокировка уведомлений на iPhone	После обновления iOS 17+ push-коды не отображались в замкнутом виде	Интеграция с Apple Wallet для уведомлений
Конфликты с антивирусами	Программы вроде Kaspersky или Dr.Web блокировали банковские push-уведомления	Отказ от push в пользу альтернативных каналов
Высокий трафик на серверах	В пиковые часы push-уведомления приходили с задержкой до 5 минут	Оптимизация инфраструктуры, но полный отказ от push

Особенно остро проблема стояла для клиентов с root-правами или кастомными прошивками на Android. Такие устройства часто не получали push-уведомления вообще, что создавало риски для транзакций. Банк решил не тратить ресурсы на поддержку нестандартных конфигураций, а перейти на более надёжные каналы.

Как мошенники эксплуатировали push-коды: реальные случаи

Одна из главных причин отказа от push-кодов — их уязвимость перед современными мошенническими схемами. Вот наиболее распространённые сценарии атак:

• 📲 Перехват уведомлений через трояны. Вредоносное ПО (например, Anubis или BlackRock) могло считывать содержимое push-уведомлений и отправлять коды злоумышленникам в реальном времени.
• 🔄 Социальная инженерия с подменой уведомлений. Мошенники отправляли фейковые push-коды от имени банка, убеждая клиентов ввести их на фишинговых сайтах.
• 📱 Атаки через уязвимости в Android. Например, эксплойт DirtyCow позволял злоумышленникам получать доступ к уведомлениям других приложений, включая банковские.
• 💳 Клонирование SIM-карт. Если мошенник получал дубликат SIM, он мог перехватывать и push, и SMS-коды, но push были проще скомпрометировать из-за отсутствия привязки к номеру телефона.

По данным Group-IB, в 2023 году доля атак с использованием перехваченных push-кодов выросла на 40% по сравнению с 2022 годом. ВТБ, как один из крупнейших банков России, стал мишенью для таких схем, что и подтолкнуло его к радикальным мерам.

⚠️ Внимание: Если вам пришло уведомление с просьбой ввести push-код на сайте, даже если он выглядит как официальный портал ВТБ — это 100% мошенничество. Банк никогда не запрашивает коды через веб-формы.

Пример фишинговой атаки с push-кодами

Мошенники рассылали SMS вида: "Ваша карта ВТБ заблокирована. Введите push-код из уведомления для разблокировки: [ссылка]". При переходе клиент видел копию сайта ВТБ, где просили ввести код из реального push-уведомления. После ввода деньги списывались со счёта.

Что делать клиентам: альтернативы push-кодам в ВТБ

После отключения push-уведомлений у клиентов осталось несколько способов подтверждать операции. Рассмотрим их плюсы и минусы:

Метод	Как работает	Плюсы	Минусы
ВТБ-ID	Авторизация через биометрию или пин-код в приложении	Быстро, не требует ввода кодов	Нужно постоянно иметь доступ к смартфону
SMS-коды	Код приходит на номер, привязанный к карте	Работает на любых телефонах	Риск перехвата при клонировании SIM
Звонок в колл-центр	Оператор подтверждает личность и операцию	Максимальная безопасность	Долго, не всегда доступно
Аппаратные токены	Физическое устройство для генерации кодов	Защищено от цифровых атак	Нужно носить с собой, платно

Банк рекомендует использовать ВТБ-ID как основной метод, так как он интегрирован с биометрической авторизацией (Face ID/Touch ID) и меньше подвержен атакам. Однако для операций свыше 100 000 ₽ может потребоваться дополнительное подтверждение по SMS или звонок.

Скачайте последнюю версию приложения ВТБ Онлайн|Зарегистрируйтесь или обновите данные в профиле|Перейдите в раздел "Безопасность" → "ВТБ-ID"|Создайте пин-код или настройте биометрию|Подтвердите привязку через SMS-->

Как защитить свои деньги после отключения push-кодов

Переход на новые методы подтверждения требует от клиентов дополнительных мер предосторожности. Вот ключевые рекомендации:

• 🔐 Включите уведомления о входе в ВТБ-ID. Это поможет оперативно обнаружить несанкционированный доступ.
• 📱 Обновите приложение ВТБ до последней версии. Старые версии могут содержать уязвимости, которыми воспользуются мошенники.
• 💳 Настройте лимиты на операции. В личном кабинете можно установить дневные/месячные лимиты на переводы, чтобы минимизировать ущерб при взломе.
• 🔍 Проверяйте отправителя SMS. Коды должны приходить только с номера 900 или +7 900 123-45-67 (официальные номера ВТБ).

Также стоит подключить службу ВТБ-Антифрод, которая мониторит подозрительные операции и блокирует их до подтверждения клиентом. Эта опция бесплатна для держателей дебетовых карт ВТБ-Мир и Visa/Mastercard.

Частые ошибки клиентов при переходе на новые методы подтверждения

Многие пользователи сталкиваются с проблемами после отключения push-кодов из-за неверных действий. Рассмотрим типичные ошибки и как их избежать:

• ❌ Игнорирование обновлений приложения. Без актуальной версии ВТБ Онлайн могут не работать ВТБ-ID или SMS-коды.
• ❌ Отключение уведомлений от банка. Клиенты часто блокируют SMS или push из-за спама, но затем не получают коды подтверждения.
• ❌ Использование публичного Wi-Fi для операций. В открытых сетях высока вероятность перехвата данных, включая SMS.
• ❌ Хранение кодов в заметках или мессенджерах. Мошенники могут получить доступ к этим данным через взлом аккаунта.

Ещё одна распространённая проблема — несовпадение номера телефона в профиле банка и на SIM-карте. Если вы сменили номер, но не обновили его в личном кабинете, SMS-коды будут приходить на старый номер, что сделает подтверждение операций невозможным.

FAQ: ответы на популярные вопросы о push-кодах в ВТБ

Могут ли push-коды вернуться в ВТБ в будущем?

Вероятность этого крайне мала. Банк делает ставку на ВТБ-ID и биометрию как более безопасные альтернативы. Однако для корпоративных клиентов возможны исключения — например, аппаратные токены для юридических лиц.

Что делать, если не приходит SMS с кодом?

Проверьте:

1. Баланс телефона (SMS могут блокироваться при отрицательном балансе).
2. Настройки телефона — не включён ли режим "Не беспокоить" или блокировка неизвестных номеров.
3. Актуальность номера в профиле ВТБ (обновите в Настройки → Профиль).

Если проблема сохраняется, обратитесь в поддержку через чат в приложении или по номеру 8 800 100-24-24.

Можно ли использовать push-коды в ВТБ для бизнеса?

Для юридических лиц и ИП банк предлагает альтернативные решения:

• Аппаратные токены (eToken или Rutoken).
• Электронная подпись (ЭЦП) для подтверждения платежей.
• Специальные корпоративные версии ВТБ-ID с расширенными настройками безопасности.

Push-коды для бизнеса отключены полностью.

Как отличить настоящий SMS-код от фишингового?

Официальные SMS от ВТБ:

• Приходят с короткого номера 900 или +7 900 123-45-67.
• Не содержат ссылок или запросов ввести код на сайте.
• Текст лаконичный: "Ваш код: 1234. Не сообщайте его никому".

Фишинговые SMS часто содержат опечатки, срочные призывы ("срочно подтвердите!") или ссылки на подозрительные домены (например, vtb-security.ru вместо vtb.ru).

Будет ли ВТБ компенсировать убытки, если деньги спишут из-за уязвимости в SMS-кодах?

Банк компенсирует убытки только если клиент не нарушал правила безопасности (не сообщал коды третьим лицам, не использовал взломанные устройства и т. д.). Для возмещения нужно:

1. Немедленно заблокировать карту через ВТБ Онлайн или колл-центр.
2. Написать заявление в банк с описанием инцидента (в течение 3 дней с момента списания).
3. Предоставить доказательства (скрины переписки с мошенниками, если она была).

Срок рассмотрения заявления — до 30 дней. При отказе можно обжаловать решение через Роспотребнадзор или суд.