Почему браузеры блокируют сайты российских банков и чем опасны сертификаты Минцифры

Сбер, ВТБ, Россельхозбанк, Альфа-банк, Промсвязьбанк, «Уралсиб» и банк «Санкт-Петербург» перевели сайты на TLS-сертификаты Национального удостоверяющего центра Минцифры. Для клиента это красные экраны в иностранных браузерах и новый вектор риска для любых онлайн-платежей.

Почему банки бегут на отечественные сертификаты

Иностранные удостоверяющие центры массово отзывают сертификаты у российских компаний. В июне процесс запустил японский GlobalSign против подсанкционных организаций, сообщает Forbes со ссылкой на Telegram-канал «Об ЭП и УЦ». 3 августа под раздачу попал китайский TrustAsia Technologies — отзыв затронул банки, «Роснефть», «Алросу», «Геоскан», платежные шлюзы и системы ДБО. Let's Encrypt, по словам киберадвоката Саркиса Дарбиняна, выдаёт сертификаты только негосударственным организациям. Без валидной подписи Chrome, Safari и Firefox блокируют доступ или требуют ручного подтверждения — для клиента сайт просто не открывается. ВТБ и Россельхозбанк подтвердили Forbes переход и предлагают клиентам установить корневой сертификат Минцифры вручную или скачать «Яндекс Браузер», где он встроен. Минцифры рекомендовало это ещё 23 июля, а 4 августа «Яндекс Браузер с Алисой AI» уже возглавил топ бесплатных приложений российского App Store.

Главный риск — MITM, который вы включаете сами

TLS-сертификат подтверждает браузеру, что вы попали на сайт банка, а не на фишинговый клон, и шифрует пароли, номера карт, переводы. Саркис Дарбинян, сооснователь «Роскомсвободы», объясняет: как только корневой сертификат Минцифры установлен на устройство, браузер начинает слепо доверять любому сайту с «отечественной» подписью. Провайдер — или тот, кто контролирует сеть на его уровне — получает возможность подменить соединение и перехватить логины, реквизиты, содержимое переводов и переписки. Это классическая MITM-атака, только развязку для неё создаёт сам пользователь по совету ведомства. Красный экран Chrome, от которого нас «спасает» отечественный сертификат, — единственное, что стоит между вашими деньгами и перехватом.

Что делать при оплате картой и подарочными сертификатами

• Не ставьте корневой сертификат Минцифры на устройство, через которое заходите в банк-клиент, редите подарочные карты и оплачиваете подписки — без отдельного изолированного профиля и понимания рисков.
• Если банк или платёжный шлюз переехал на отечественный сертификат, а вы на Chrome/Safari/Firefox — не игнорируйте красный экран. Один клик «всё равно открыть» нередко ведёт на фишинговый клон.
• Разнесите платежи по разным браузерам: один для банка и покупок, другой — для всего остального. Бесплатный костыль, но рабочий.
• Если магазин подарочных карт или подписка переехали на НУЦ Минцифры, уточните альтернативный способ оплаты: зарубежная карта, крипта, проверенный посредник.

Пока «Яндекс Браузер» собирает топы App Store, безопасность ваших платежей зависит не от замка в адресной строке, а от того, насколько осознанно вы относитесь к тому, кому этот замок реально доверяет.