🇬🇧Платёжное мошенничество: кто возвращает деньги клиенту — PSD2, проверка получателя (VoP) и возмещение APP в Великобритании

Когда деньги уходят со счёта в результате мошенничества, европейское платёжное право начинает с одного узкого вопроса: дал ли владелец счёта согласие на платёж? Если нет, PSD2 возлагает убыток на банк или институт электронных денег (ИЭД) плательщика, который обязан вернуть деньги не позднее конца следующего рабочего дня. Если же владелец сам подтвердил перевод, поддавшись обману, право ЕС считает платёж исполненным надлежащим образом и отвечает профилактикой — проверкой получателя (Verification of Payee, VoP) до платежа.

Великобритания решает второй случай иначе: с 7 октября 2024 года британские платёжные компании обязаны возмещать клиентам потери от такого мошенничества в пределах £85 000 по одному требованию.

Кто несёт убыток: есть ли согласие на платёж

Почему право делит мошенничество на два случая

По ст. 64 PSD2 платёжная операция считается санкционированной, только если плательщик дал согласие в форме, согласованной с его поставщиком платёжных услуг (payment service provider, PSP); согласие может быть дано и через получателя или поставщика услуги инициирования платежа. Без такого согласия операция является несанкционированной (unauthorised payment transaction), и ст. 73 обязывает поставщика плательщика вернуть сумму немедленно и в любом случае не позднее конца следующего рабочего дня.

Граница проведена по тому, кто контролирует риск. Если плательщик согласия не давал, сбой произошёл в аутентификации — процессе, который поставщик сам выстраивает и протоколирует. Поэтому ст. 72 требует от поставщика доказать, что операция была аутентифицирована и правильно зарегистрирована. Если же плательщик подтвердил перевод сам, поставщик лишь исполнил полученное распоряжение: по ст. 88 платёж, исполненный в соответствии с указанным IBAN, считается надлежаще исполненным в отношении получателя.

Именно во второй ветви сегодня теряется больше всего денег. По совместному отчёту EBA и ЕЦБ, опубликованному в декабре 2025 года, платёжное мошенничество в ЕЭЗ составило в 2024 году €4,2 млрд против €3,5 млрд годом ранее; потери от мошенничества с кредитовыми переводами составили €2,2 млрд. По кредитовым переводам около 85% потерь понесли сами пользователи — главным образом потому, что мошенники убеждали их инициировать платёж самостоятельно.

Чем различаются режимы

Большинство исходов определяют три особенности.

Ещё две особенности проходят через все три режима. Корпоративные клиенты защищены слабее: ст. 61 PSD2 позволяет договориться с клиентом, не являющимся потребителем, что правила о бремени доказывания и об ответственности плательщика не применяются, а британская схема возмещения защищает только потребителей, микропредприятия и благотворительные организации. И главный предмет споров — грубая неосторожность (gross negligence): наряду с мошенничеством самого плательщика и умышленным нарушением это основание, по которому он теряет всю сумму несанкционированной операции, и доказывать его должен поставщик.

Распределение убытка: сводная таблица

Мошенничество, при котором плательщик сам отправляет перевод обманщику, далее называется APP-мошенничеством (authorised push payment fraud). Режимы различаются тем, кто платит первым, какая часть риска остаётся на плательщике и действует ли правило уже сейчас.

Таблица показывает, почему вопрос о согласии решающий: в ЕС он отделяет возврат в течение одного рабочего дня от убытка, который остаётся на плательщике, а в Великобритании обе ветви заканчиваются тем, что платит поставщик — с учётом лимитов и исключений.

Несанкционированные операции по PSD2

Сначала возврат

Как только поставщик плательщика обнаружил несанкционированную операцию или получил о ней уведомление, ст. 73(1) обязывает его вернуть сумму немедленно и не позднее конца следующего рабочего дня, восстановив счёт с датой валютирования не позднее даты списания.

Исключение одно: у поставщика есть разумные основания подозревать мошенничество, и он письменно сообщает эти основания компетентному национальному органу. Если платёж запустил поставщик услуги инициирования платежа (PISP), деньги всё равно возвращает банк, обслуживающий счёт, а PISP, если виноват он, компенсирует банку расходы (ст. 73(2)).

У плательщика тоже есть обязанности. По ст. 69 и 71 он должен пользоваться платёжным инструментом на согласованных условиях, принимать все разумные меры для сохранности персонализированных средств защиты и без неоправданной задержки сообщать об утрате, краже или неправомерном использовании — в любом случае не позднее 13 месяцев с даты списания. Тринадцатимесячный срок не действует, если поставщик не предоставил информацию об операции, которую требует PSD2.

Поставщик, выпустивший инструмент, по ст. 70 обязан держать бесплатный канал для уведомлений доступным круглосуточно, по запросу подтверждать факт уведомления в течение 18 месяцев, блокировать использование инструмента после уведомления и нести риск при пересылке инструмента или средств защиты клиенту.

Сколько может потерять плательщик

Ст. 74 распределяет убыток в зависимости от того, что именно пошло не так:

Таким образом, €50 — это потолок для случаев из первой строки, а не сумма, которую поставщик вправе удерживать по любой несанкционированной операции. Государства-члены могут и дальше снижать ответственность плательщика, если он не действовал мошеннически и не нарушил свои обязанности умышленно (четвёртый абзац ст. 74(1)). Получатель или его поставщик, не принявшие строгую аутентификацию клиента (strong customer authentication, SCA), возмещают поставщику плательщика причинённый ему ущерб.

Грубая неосторожность и бремя доказывания

Если пользователь отрицает, что давал согласие на операцию, ст. 72 требует от поставщика доказать, что операция была аутентифицирована, точно зарегистрирована и не затронута техническим сбоем. Зафиксированное использование инструмента само по себе не обязательно доказывает ни согласие, ни мошенничество, ни грубую неосторожность плательщика; поставщик должен представить подтверждающие доказательства. На практике спор решается тем, что записали системы поставщика и что было показано клиенту.

Корпоративные клиенты, электронные деньги и списания по инициативе получателя

Общее правило меняют три оговорки. С клиентом, не являющимся потребителем, ст. 61 позволяет полностью или частично исключить применение, в частности, ст. 72, 74, 76, 77, 80 и 89 и установить иные сроки уведомления, чем в ст. 71; государства-члены вправе приравнять микропредприятия к потребителям. Обязанность возврата по ст. 73 в этот перечень не входит.

К электронным деньгам ст. 73 и 74 применяются, если только поставщик технически не может заморозить счёт, на котором хранятся электронные деньги, или заблокировать инструмент (ст. 63(3)). Для инструментов малой стоимости — с разовыми платежами до €30 либо с лимитом расходов или хранимой суммой до €150 — стороны могут согласовать пониженный уровень защиты (ст. 63(1)).

Списания по инициативе получателя подчиняются собственной логике. Плательщик вправе в течение восьми недель потребовать возврата санкционированной операции, инициированной получателем или через него, если сумма заранее не была указана и превысила разумные ожидания; по прямому дебету SEPA это право безусловно. Поставщик обязан вернуть деньги или мотивированно отказать в течение десяти рабочих дней (ст. 76–77). Споры по картам идут через правила чарджбэков карточных платёжных систем, а согласие на платёж, который запускает программный агент, ставит вопросы, рассмотренные в статье об агентских платежах.

Мошенничество с переводом, который плательщик совершил сам: подход ЕС

Надлежащее исполнение по ст. 88

После APP-мошенничества остаётся санкционированный платёж. Ст. 88 PSD2 признаёт платёж, исполненный в соответствии с уникальным идентификатором (unique identifier), надлежаще исполненным в отношении получателя; если плательщик указал неверный идентификатор, поставщик не отвечает за ненадлежащее исполнение. В деле Tecnoservice (C-245/18) Суд ЕС по равнозначной норме PSD1 (ст. 74(2)) признал, что это правило действует, даже если идентификатор не совпадает с именем получателя, которое указал плательщик, и защищает также поставщика получателя. Сама ст. 88 сверки имени не требует — её добавляет проверка получателя.

Остаётся обязанность приложить усилия. Поставщик плательщика должен предпринять разумные меры, чтобы вернуть средства, поставщик получателя — содействовать ему, а если вернуть деньги не удалось, плательщик по письменному запросу получает сведения, необходимые для иска. Если это предусмотрено рамочным договором (framework contract), поставщик вправе взять плату за розыск. Как на практике работают отзыв платежа и заблокированные переводы между банками, описано в статье о корреспондентских банках и защите клиентских средств.

Строгая аутентификация этот разрыв не закрывает. По отчёту EBA и ЕЦБ, она эффективна против того мошенничества, для которого создавалась, прежде всего карточного, а её влияние на кредитовые переводы менее очевидно; манипулирование плательщиками названо растущим видом мошенничества. Карточное мошенничество, по тем же данным, было в 17 раз выше, когда получатель находился за пределами ЕЭЗ, где SCA по закону не требуется. Клиент, который сам аутентифицирует платёж мошеннику, проходит все проверки SCA.

Проверка получателя (Verification of Payee)

С 2025 года ЕС отвечает проверкой до платежа. Регламент (ЕС) 2024/886 о мгновенных платежах (Instant Payments Regulation) от 13 марта 2024 года, опубликованный 19 марта 2024 года, дополнил Регламент 260/2012 статьёй 5c. Поставщик плательщика обязан предлагать проверку получателя для кредитовых переводов в евро — и мгновенных, и обычных — независимо от канала, через который подаётся распоряжение.

Механику задаёт ст. 5c(1). Когда плательщик вводит IBAN и имя, поставщик плательщика до того, как тот сможет подтвердить платёж, запрашивает у поставщика получателя, совпадают ли они. Если имя не совпадает, плательщика предупреждают, что платёж может уйти на счёт, не принадлежащий указанному получателю; при почти полном совпадении ему показывают имя, фактически привязанное к IBAN. Для получателя — юридического лица вместо имени может сверяться налоговый номер, европейский уникальный идентификатор (EUID) или LEI.

Услуга предоставляется всем пользователям бесплатно (ст. 5b(2)). Клиенты, не являющиеся потребителями, при пакетной отправке платежей могут отказаться от проверки и в любой момент снова её подключить (ст. 5c(6)).

Между поставщиками проверка идёт по схеме VOP Европейского платёжного совета (EPC), которая даёт один из четырёх ответов:

Правила схемы — отраслевой стандарт: версия 1.1 сборника правил действует с 20 сентября 2026 года; по состоянию на сентябрь 2026 года публикация версии 2.0 была намечена на конец ноября 2026 года.

Если нарушает поставщик, ответственность смещается в обратную сторону. Когда поставщик плательщика или PISP не выполнил требования и это привело к ненадлежащему исполнению, поставщик плательщика обязан без промедления вернуть плательщику сумму; поставщик получателя или PISP, по чьей вине произошёл сбой, компенсирует поставщику плательщика его ущерб (ст. 5c(8)).

Кто и с какого момента обязан проверять получателя

Ст. 5c(9) устанавливает сроки по месту нахождения поставщика и не различает банки и небанковских поставщиков:

Для ИЭД и платёжных институтов срок менее однозначен, чем следует из текста статьи. Разъяснения служб Европейской комиссии по Регламенту (вопросы и ответы, Q&A) подтверждают, что обязанность распространяется на них, когда плательщик — их клиент (вопрос 98).

Но мгновенные платежи они вводят позже банков: ИЭД и платёжные институты еврозоны обязаны отправлять и принимать мгновенные переводы в евро лишь к 9 апреля 2027 года по ст. 5a(8), тогда как банки принимают их с 9 января 2025 года и отправляют с 9 октября 2025 года. Пункт 28 преамбулы (recital 28) указывает, что проверка получателя должна применяться с того же момента, что и обязанность отправлять мгновенные переводы, а те же разъяснения (вопрос 87) относят срок ст. 5c(9) к небанковским поставщикам, которые уже предоставляют услугу мгновенных переводов в евро.

Поэтому ИЭД или платёжный институт, уже отправляющий мгновенные переводы в евро, обязан проверять получателей с 9 октября 2025 года. Для того, кто их ещё не отправляет, срок — вопрос толкования: сама ст. 5c(9) указывает на 9 октября 2025 года, а преамбула и разъяснения — на его собственный срок для отправки мгновенных переводов. Разъяснения не имеют обязательной силы и не предрешают толкования Суда ЕС.

Болгария после перехода на евро

Болгария переносит нормы PSD2 об ответственности в ст. 75–80 Закона о платёжных услугах и платёжных системах (ЗПУПС) и с 1 января 2026 года входит в еврозону. Переход изменил две вещи: потолок ответственности плательщика теперь выражен в евро, а срок проверки получателя подчиняется особому правилу для новых членов еврозоны.

Срок проверки получателя задаёт сам Регламент. По ст. 16(9) Регламента 260/2012 поставщики государства, которое вводит евро до 9 апреля 2027 года, обязаны выполнить требования в течение года с даты введения евро и не позднее сроков для поставщиков вне еврозоны, но не обязаны делать это раньше сроков для поставщиков еврозоны. Для Болгарии это означает 1 января 2027 года как крайнюю дату; болгарский поставщик вправе ввести проверку раньше.

Соблюдение Регламента 260/2012 (кроме его ст. 5d) контролирует Болгарский народный банк (БНБ) по ч. 2 ст. 167 ЗПУПС; с 1 января 2026 года закон прямо называет Регламент 2024/886 среди актов ЕС, которые он обеспечивает.

В тексте ЗПУПС суммы имущественной санкции из таблицы по-прежнему указаны в левах — 10 000–40 000 (при повторном нарушении — 40 000–80 000); по ч. 2 ст. 11, ст. 12 и 13 Закона о введении евро в Республике Болгария они пересчитываются по курсу 1,95583 лева за евро.

Клиент, не согласный с решением поставщика, может передать спор в Помирительную комиссию по платёжным спорам (Помирителна комисия за платежни спорове) при Комиссии по защите потребителей. По ст. 175 ЗПУПС она рассматривает внутренние и трансграничные споры между поставщиками платёжных услуг или эмитентами электронных денег, в том числе получившими болгарскую лицензию ИЭД или платёжного института, и их пользователями по ЗПУПС и регламентам 2021/1230, 260/2012 и 2015/751.

Британская модель: обязательное возмещение при APP-мошенничестве

Ст. 72 Закона о финансовых услугах и рынках 2023 года (Financial Services and Markets Act 2023) обязала Регулятор платёжных систем (Payment Systems Regulator, PSR) ввести возмещение по квалифицированным случаям APP-мошенничества в системе Faster Payments. Требование PSR вступило в силу 7 октября 2024 года для Faster Payments и CHAPS — через Специальное требование 1 (Specific Requirement 1) и Специальные указания 19–21 (Specific Directions 19–21). Какие британские компании вообще являются поставщиками платёжных услуг, показано в карте лицензий FCA.

Сфера действия

Требование распространяется на платежи через Faster Payments и CHAPS, совершённые 7 октября 2024 года или позже, которые отправлены и получены поставщиками в Великобритании, включая платежи через услугу инициирования. Оно защищает потребителей, микропредприятия и благотворительные организации, которых обманом заставили заплатить не тому, кому они намеревались, или не с той целью. Под него не подпадают более ранние платежи, международные переводы, платежи через другие системы, платежи с незаконной целью и гражданские споры с добросовестными поставщиками товаров и услуг.

Поставщик отправителя и поставщик получателя

Схема делит расходы между обоими концами платежа.

Лимиты и исключения установлены заявлением о политике PS25/5:

Лимит закреплён в PS24/7 на уровне тогдашнего лимита страхования вкладов, но автоматически за ним не следует: лимит FSCS по вкладам вырос до £120 000 с 1 декабря 2025 года, а лимит возмещения при APP-мошенничестве остался £85 000. Недовольный исходом потребитель может обратиться в Службу финансового омбудсмена (Financial Ombudsman Service). По правилу DISP 1.6.2A платёжная компания или ИЭД должны дать окончательный ответ в течение 15 рабочих дней, в исключительных случаях — 35, а по DISP 2.8 жалобу омбудсмену, как правило, нужно подать в течение шести месяцев после этого ответа.

Несанкционированные операции и задержка платежа по британскому праву

Несанкционированные операции по-прежнему регулируют Правила о платёжных услугах 2017 года (Payment Services Regulations 2017). Правило 77 ограничивает ответственность плательщика за утраченный, украденный или неправомерно присвоенный инструмент суммой £35, снимает ограничение при мошенничестве или умышленном либо грубо неосторожном нарушении и освобождает плательщика от ответственности, если строгая аутентификация была обязательна, но не применялась, — если только он не действовал мошеннически.

По правилу 76 вернуть деньги поставщик должен до конца рабочего дня, следующего за днём, когда узнал об операции, если только он не подозревает мошенничество и не направил уведомление по ст. 333A Закона о доходах от преступной деятельности 2002 года (Proceeds of Crime Act 2002).

С 30 октября 2024 года правило 86(2A)–(2D) позволяет поставщику плательщика задержать исходящий платёж при разумных основаниях подозревать мошенничество или недобросовестность третьего лица — не дольше необходимого и не позднее конца четвёртого рабочего дня, с объяснением причин плательщику. Сверка имени перед платежом, Confirmation of Payee, стала обязательной по Специальному указанию 17 (Specific Direction 17): к 31 октября 2023 года для первой группы поставщиков и к 31 октября 2024 года для второй.

Орган, ведущий схему, может смениться. Законопроект о финансовых услугах и рынках (Financial Services and Markets Bill), внесённый в Палату лордов 19 мая 2026 года, предусматривает упразднение PSR и передачу его функций FCA. В сентябре 2026 года он ожидал второго чтения в Палате общин и законом не стал, поэтому схемой по-прежнему управляет PSR.

По состоянию на сентябрь 2026 года PSR планировал на декабрь 2026 года официальную консультацию по параметрам схемы, в том числе по требованиям, не урегулированным за 35 рабочих дней, и по учёту «доходов от инвестиций» (returns from investment) при возмещении. Более широкая перестройка британского надзора за платежами прослеживается в статье о британском режиме сохранности средств и криптоактивов.

Что должен выстроить оператор

Для банка, ИЭД или платёжного института — типов лицензий, собранных в разделе о финтехе, — правила об ответственности превращаются в небольшой набор механизмов контроля, у каждого из которых есть правовой источник и прямое влияние на то, кто в итоге платит:

Данные о мошенничестве питают надзор. Ст. 96(6) PSD2 обязывает поставщиков не реже раза в год передавать компетентному органу статистику мошенничества, а тот передаёт агрегированные данные в EBA и ЕЦБ. Руководство EBA об отчётности о мошенничестве (EBA/GL/2018/05 в редакции EBA/GL/2020/01, применяется с 1 января 2019 года) требует отчитываться раз в полгода, а освобождённым малым организациям — раз в год с разбивкой по полугодиям. Отчётность охватывает и несанкционированные операции, и операции, совершённые в результате манипулирования плательщиком.

Важна и договорная сторона: исключения, которые ст. 61 допускает для корпоративных клиентов, действуют лишь тогда, когда они прямо включены в рамочный договор.

Эти механизмы встроены в общий комплаенс-стек платёжной компании рядом с санкционным скринингом плательщиков и получателей — отдельным механизмом контроля.

Если деньги ушли мошенникам: жалоба и внесудебный спор

Путь к возврату средств со счёта в европейском или британском ИЭД почти всегда начинается с жалобы самому поставщику. По ст. 101 PSD2 поставщик из ЕС отвечает на бумаге или на ином согласованном долговременном носителе в течение 15 рабочих дней, а в исключительных случаях присылает промежуточный ответ и даёт окончательный не позднее 35 рабочих дней; в ответе он обязан назвать хотя бы один орган внесудебного урегулирования (ADR). Для британских ИЭД те же сроки — 15 и 35 рабочих дней — установлены правилом FCA DISP 1.6.2A.

Ст. 102 обязывает государства создать такие органы и требует их сотрудничества по трансграничным спорам.

Куда идти дальше, зависит от страны лицензии поставщика:

Внесудебная процедура не меняет материальных правил, описанных выше: она лишь даёт бесплатный способ их применить. Банк Литвы, в частности, рассматривает спор, только если потребителю не удалось урегулировать его с поставщиком напрямую.

Санкционный периметр ЕС (Регламент 833/2014)

Для граждан России круг доступных услуг сужает санкционное право. С 24 октября 2025 года, после 19-го пакета (Регламент 2025/2033), ст. 5b(2) Регламента 833/2014 запрещает прямо или косвенно оказывать гражданам РФ, физическим лицам, проживающим в РФ, и юрлицам, учреждённым в РФ, следующие услуги:

• услуги в сфере криптоактивов по MiCA;
• эмиссию платёжных инструментов, эквайринг и услуги инициирования платежа по PSD2;
• эмиссию электронных денег по EMD2.

По ст. 5b(3) запрет не применяется к гражданам государств ЕС, ЕЭП и Швейцарии и к лицам с временным или постоянным видом на жительство в ЕС, ЕЭП или Швейцарии. По разъяснениям Европейской комиссии исполнение платёжных операций, прямые переводы и снятие наличных под запрет не подпадают, а действующие счета закрывать не требуется.

При блокировке скомпрометированной карты запрет имеет практическое следствие. Перевыпуск карты Комиссия считает её выпуском, поэтому клиенту, на которого распространяется запрет, новую карту выпустить нельзя, хотя сами переводы по счёту запрет не затрагивает.

Новые персонализированные средства защиты (personalised security credentials), нужные для доступа к счёту в кредитной организации или ИЭД из ЕС или страны-партнёра по приложению VIII, выдавать можно: ст. 5c(1a) выводит их из-под запрета. Кроме того, компетентный орган может по ст. 5c(1) разрешить оказание запрещённой услуги, если она необходима для перечисленных там целей, например для удовлетворения базовых потребностей. Как поставщики выстраивают такую проверку клиентов, разобрано в статье о санкционном скрининге.

Что изменится (пока не действует)

ЕС движется к частичному возмещению, но только через акты, которые ещё не приняты. PSD3 (процедура 2023/0209(COD)) и Регламент о платёжных услугах (Payment Services Regulation, процедура 2023/0210(COD)) получили предварительное политическое соглашение 27 ноября 2025 года. Комитет ECON одобрил согласованные тексты 5 мая 2026 года, по состоянию на сентябрь 2026 года пленарное голосование ориентировочно назначено на 14 декабря 2026 года. Ни один из актов не принят, не опубликован и не вступил в силу; законодательный график отслеживается в статье о PSD3 и Регламенте о платёжных услугах.

Как объявили Европейский парламент и Совет ЕС, соглашение предусматривает четыре новшества:

• поставщик возвращает всю сумму, если мошенник, выдавая себя за его сотрудника, убедил клиента заплатить, при условии что клиент заявил в полицию и уведомил поставщика;
• поставщик, не внедривший надлежащие механизмы предотвращения мошенничества, отвечает за убытки клиентов;
• онлайн-платформы отвечают перед поставщиками, возместившими потери, если знали о мошенническом контенте и не удалили его;
• поставщики обмениваются сведениями о мошенничестве и сверяют имя получателя с идентификатором; по сообщению Парламента, при расхождении распоряжение отклоняется.

Последний пункт изменил бы действующее правило, по которому проверка получателя не должна мешать платежу. Пока Регламент не принят и не применяется, действует ст. 5c(5) Регламента 260/2012.