Пауза как защита: что цифры 2026 года говорят о социальной инженерии и что делать компании

Техника почти выиграла: системы защиты банков распознают мошеннические операции с точностью выше 99%, а средний ущерб от одной атаки падает третий год подряд. При этом до 97% успешных атак на граждан по-прежнему идут через человека. Разбираем цифры 2026 года, прозвучавшие на конференции СПбГУ и Ассоциации российских банков, и главный вывод: защищает не технология, а пауза.

Техника победила. Человек — нет

Данные Банка России за первое полугодие 2026 года, представленные на конференции, выглядят как история успеха:

• 3,7 трлн ₽ банки защитили от хищения;
• 34,3 млн попыток хищения отражено, похищено 14,7 млрд ₽ — доли процента от атакованных сумм;
• средний ущерб снизился с 22,9 тыс. ₽ в 2024 году до 15,5 тыс. ₽ в первом полугодии 2026 года;
• эффективность антифрод-систем крупных банков — выше 99%;
• впервые за восемь лет снизилось число операций без добровольного согласия клиента — на 7,8%.

А теперь вторая половина картины. По данным, прозвучавшим на конференции, до 97% успешных атак на граждан — это социальная инженерия: не взлом систем, а разговор с человеком. Во втором квартале 2026 года количество таких атак выросло почти на 50% к предыдущему кварталу — до 28 678 инцидентов.

Почему знание правил не спасает

Самая неприятная цифра конференции касается не технологий, а памяти. В момент разговора с мошенником 40% пострадавших в 2024 году и 33% в 2025-м просто не вспомнили правила безопасности, которые знали.

Это не про неосведомлённость. Это про то, как работает мышление под давлением: при сильной эмоции — страхе, срочности, разговоре с «авторитетом» — мозг экономит ресурс и переключается на быстрые реакции. Критическая проверка в этот момент отключается первой. Поэтому инструктаж «не сообщайте никому код из СМС» работает в спокойном состоянии и не работает в момент атаки.

Мошенник не ищет наивных. Он создаёт условия, в которых обычный осторожный человек перестаёт быть осторожным: авторитет, страх, срочность, дефицит времени.

Развилка года: антифрод видит риск, но остановить не может

Отсюда выросла главная практическая проблема, которую обсуждали банки на конференции. Система может распознать, что операция рискованная, но если клиент сам подтвердил платёж, у банка часто нет оснований его остановить. Человек под влиянием мошенника настойчиво подтверждает перевод и сопротивляется помощи.

Предложения, которые звучали в ответ:

• единые подходы к оценке того, что банк сделал для защиты клиента;
• возможность временно приостановить операцию при признаках психологического воздействия;
• перенос фокуса антифрода с «обнаружить» на «помочь клиенту принять другое решение».

Последний пункт — это уже не информационная безопасность, а поведенческий дизайн.

Когнитивный буфер: пауза как первый рубеж

На конференции Лаборатория современных финансовых технологий СПбГУ представила алгоритм, который прямо отвечает на этот запрос, — когнитивный буфер.

Логика простая: если мошенничество строится на дефиците времени, то защита строится на его возврате. Рекомендации прозвучали на трёх уровнях:

• человеку — остановиться и перепроверить информацию через независимый канал: не по телефону, с которого звонят, и не по ссылке из сообщения;
• образованию — регулярные тренировки и симуляции атак, а не разовые лекции: навык должен успевать сработать раньше эмоции;
• финансовому сектору — встроенные безопасные паузы в критических операциях: намеренное «трение» интерфейса там, где цена ошибки высока.

Для продуктовых команд вывод непривычный: годами интерфейсы оптимизировали под скорость, и каждый лишний экран считался потерей конверсии. В операциях с высоким риском выгода разворачивается: замедление становится функцией безопасности.

Что с этим делать компании

Четыре вещи, которые можно внедрить, не дожидаясь изменений в регулировании.

• Найти операции, где цена ошибки выше цены задержки. Перевод новому получателю, смена реквизитов, снятие крупной суммы, оформление кредита в один клик. Для них скорость — не преимущество.
• Встроить в них паузу с понятным смыслом. Не абстрактное «вы уверены?», а конкретный вопрос, который возвращает человека в реальность: кто вам звонил, знаете ли вы получателя лично, проверили ли вы это в приложении.
• Проверить интерфейсы на тёмные паттерны. Если продукт сам приучает клиента соглашаться не глядя — предвыбранные галочки, спрятанные условия, кнопки-ловушки, — он тренирует ровно тот навык, которым пользуется мошенник.
• Тренировать людей симуляциями, а не инструктажами. Сотрудники и клиенты должны встречаться с безопасной версией атаки раньше, чем с настоящей.

Что с этим делать человеку

Одно правило, которое работает, когда все остальные вылетели из головы: любое срочное требование денег или кода — это сигнал остановиться. Не спорить, не проверять логику собеседника, а положить трубку и перезвонить самому: в банк по номеру с карты, родственнику — по сохранённому контакту, в организацию — по телефону с официального сайта.

Настоящая служба безопасности переживёт вашу паузу. Мошенник — нет: весь его сценарий держится на том, что вы не прерветесь.

Откуда цифры

Данные и формулировки приведены по итогам II Всероссийской научно-практической конференции «Поведенческая экономика и информационная безопасность: стратегический диалог», которая прошла 9–10 октября 2026 года в СПбГУ, и по материалам Ассоциации российских банков. Статистика хищений — Банк России, данные о дропперстве — Росфинмониторинг, по кредитным заявкам — НБКИ. Академия развития компетенций участвовала в круглом столе «Архитектура финансового выбора» и провела мастер-класс по наджингу в молодёжный день — подробный отчёт о конференции.