Оплата на высоких скоростях: что такое Турбооплата по QR и как ее использовать

Разбор «Турбо-наёба» от @Gazprombank

О, великие инноваторы из ГПБ! В то время как весь мир бьётся над квантовыми компьютерами и полётами на Марс, вы совершили настоящую революцию в области удаления кнопок. Ваша «Турбооплата» - это шедевр, и сейчас мы его разберём по косточкам.

1. Про «пропущенные шаги» или ловкость рук и никакого мошенничества

Вы, конечно, скромно умолчали в своей инструкции о двух ключевых шагах и добавили в «пятишаговый ад» лишний несуществующий шаг, чтобы ваш список выглядел как ⅗ вместо ⅚. На самом деле, честная цепочка выглядит так:

Шаг 0. Достать телефон, который у 90% людей уже в руке.
Шаг 1. Открыть приложение банка (иногда это требует времени, особенно если оно выгрузилось из памяти).
Шаг 2. Ввести пин-код/отсканировать палец/посмотреть в камеру, чтобы это самое приложение тебя пустило.
Шаг 3. Открыть сканер QR-кода (часто это главный экран приложения).
Шаг 4. Навести камеру.
Шаг 5. Проверить сумму и получателя (ВНИМАНИЕ! ЭТОТ ШАГ ВЫ УБИЛИ).
Шаг 6. Нажать «Оплатить».
Шаг 7: Подтвердить операцию (ВНИМАНИЕ! ЭТОТ ШАГ ПРИ ОПЛАТЕ ПО QR И ТАК ОТСУТСТВУЕТ).

Итого: без вашей турбофичи - 6 шагов, из которых 2 (открыть апп, аутентифицироваться) вы хитро вынесли за скобки, чтобы оставить только 3 и выглядеть спасителями. Гениально!

2. Про «Подтверждение операции» или «А где, блин, кнопка СТОП?»

Вы заявляете, что убрали «все действия по подтверждению операции». Но это грязный трюк. Вы убрали не подтверждение, а проверку!

Раньше цепочка была безопасной: увидел сумму и получателя -> подтвердил платёж. Теперь вы убираете единственный этап, где человек может ОТМЕНИТЬ сомнительную операцию.

Что это значит на практике? Добрый кассир Ашот, который раньше не мог списать с вас 10 000 рублей вместо 1000, потому что вы бы увидели эту сумму на экране и вскрикнули «ШО ЗА ХУЙНЯ?!», теперь может это сделать. Вы просто наводите камеру - и тут же слышите жизнеутверждающий звук «дзинь!», означающий, что с вас списали деньги. А обнаружите вы это уже в списке операций, постфактум.

3. Про «экономию полсекунды» или «Наш ответ Tesla»

Вы невероятно быстры! Вы боретесь за каждую миллисекунду. Пока другие банки улучшают защиту и внедряют буферы против мошенников, вы поступаете как настоящий ниндзя - просто убираете защиту. Это же самый быстрый способ!

Раньше: навести камеру -> убедиться, что кассир не накосячил -> подтвердить. (Время: ~3-5 секунд)

Теперь: навести камеру -> списывается хрен пойми, сколько денег -> всё. (Время: ~2,5-4,5 секунды)

Итого экономия: целых полсекунды! Зато какая адреналиновая подпитка! Платёж превращается в лотерею: «угадай, сколько ты только что отдал за этот батон?». Спасибо, Газпромбанк, за экстрим в повседневной жизни!

Ваша «турбооплата» - это не инновация, а приглашение для недобросовестных продавцов. Вы сняли единственный предохранитель, который стоял между кошельком клиента и человеческим фактором (или откровенным жульём) на кассе.

Да, вы разрешили выставить лимит. Но это лишь означает, что мошенник спишет с вас не 15 000, а только 4 999 рублей (если лимит 5000р). Поздравляем, вы не ограблены до нитки, а лишь немножко ободраны. Великое достижение!

Так что спасибо за функцию. Лучше бы вес приложения уменьшили.

В первую очередь, хочу выразить благодарность автору исходного поста за потраченные на просвещение время и силы, т.к. даже в банках мало кто понимает, как работают карты. Но, т.к. автор немало напорол херни, собрав при этом гору плюсцов, то мой внутренний перфекционист требует сатисфакции, тем более, что мы на Пикабу и тут у каждого есть своя панамка (я свою тоже приготовил если что)))). Ахтунг – длинопостище!!!!!
Начнем с того, что фраза "запишите на мой счёт" никак не связана с картами - автор же сам говорит, что на момент появления карт в ходу уже вовсю были так называемые "чековые книжки", заполняя которую, владелец фактически давал разрешение снять в банке деньги с его счета тому, кто его предъявит... если к моменту предъявления на счёте есть деньги, поэтому чековые книжки тоже кому попало банки не выдавали, а только уважаемым дядям с постоянным солидным положительным балансом на счетах. Тут, кстати, важно отметить, что и чековые книжки, и карты изначально представляли из себя форму кредитования - именно поэтому карты долгое время называли "кредитками", т.к. они не предусматривали возможности использования собственных денежных средств (в США, кстати, до сих пор так и есть - либо кредитка либо наличка). Так вот, идеологически, первые карты принципиально ничем от чековых книжек не отличались, за исключением того, что книжки были большими и неудобными, их надо было заполнять - карта в этом плане была удобнее, но!!! записки из кабака в банк для получения денег не предъявишь, а значит, надо ловить владельца и трясти с него кэш.

И вот тут мы подходим к следующему этапу, про который забыл/не знал автор, а он, между тем, очень интересный.
Между негром со счётом и электронным обменом данными в реальном времени был ещё один этап - так называемые "слипы" (от англ. slip - листок/чек). Возможно, вы обратили внимание, как красиво на картах выдавлены буквы/цифры? Вы думали, что банки такой дизайн придумали чисто по фану для привлечения внимания? А вот хуй там ночевал - такое тиснение стоит дополнительных денег и делает его специальный аппарат для тиснения, который называется эмбоссер (от англ. to embos - чеканить/тиснить). Это сейчас эмбоссеры пишут на карту разные данные (там тебе и данные для магнитной полосы и для чипа), а раньше их задача сводилась к тому, чтобы сделать на карте рельефные надписи.
Напрашивается вопрос:

А затем, что таким образом карта превращалась в некую уникальную печать, со своим номером и данными владельца. Придумали даже специальный аппарат - импринтер (от англ. imprint – отпечаток), который путём нехитрых механических действий делает оттиск данных карты на бумагу через «копирку» - все в детстве монетки на бумагу переводили? Здесь принцип примерно такой же.

Карту клали на копирку и с усилием прокатывали по ней специальный упор, иногда несколько раз и благодаря рельефному тиснению на карте она оставляла отпечаток через копирку на чеке (слипе) – отсюда появилась фраза «катать слип».
На тот момент времени, предполагалось, что карту нельзя подделать (ага-ага))))) По сути, все дальнейшее развитие – это движение в сторону безопасности расчетов по карте: после тиснения появилась магнитная полоса, а когда научились подделвать и её – чип. Информация в чипе защищена специальным ключом, поэтому подделать её невозможно. В России сейчас все транзакции по картам происходят только по чипу, а магнитная полоса и тиснение осталось как рудимент. Кстати, многие банки сейчас отказываются от рельефного тиснения, чтобы сэкономить время и деньги на выпуске карт. Да и ещё, выпуск карт на профессионально сленге называется «печать карт», поскольку эмбоссер чем-то напоминает печатный станок как по функциям так и по внешнему виду.

Так и воооооот, с момента появления слипов, в дело вступили банки, т.к. теперь можно было идентифицировать клиента по оттиску его уникальной карты. Т.е. в тот момент, карты догнали по функциональности чековые книжки: магазин «катал слип», а потом направлял его в банк для получения денег. Но проблема наличия денег на счете на момент получения слипа банком так и оставалась актуальной. И если чековые книжки были по сути векселями на предъявителя (предполагалось, что у владельца всегда есть деньги), то карты безусловно ушли в плоскость кредита, т.е. изначально предполагалось, что по карте ты тратишь деньги банка, которые потом должен вернуть, и тут был тонкий момент, что тратить можно было не бесконечно, а только определенную сумму – сумму кредита. А как это проверить, если человек с картой ездит по миру и «катает слипы» в магазинах, сумма по которым давно превысила согласованный с банком лимит? А никак – это было проблемой, которую решили только после того как появился online обмен между продавцом и банком, выпустившим карту. Этот обмен, естественно, происходит не напрямую, т.к. невозможно установить связь всех магазинов со всеми банками, да даже все банки со всеми банками никогда не свяжутся. Решением этого вопроса стала централизация операций через посредника, к которому подключаются все желающие банки. Этим посредником и стали международные платёжные системы - МПС (American Express, Visa, Mastercard, Union pay international, МИР), которые берут деньги за подключение к ним, а также комиссии за маршрутизацию оплат по картам между банками – за все это платят банки-участники.
Теперь немного про банкоматы, про которые автор придумал какую-то глупую шутку про «бабкомёты»: банкоматы называются «банкоматами» только в России (ну и русскоговорящих странах), а изобрели их, как вы уже поняли, ни разу не у нас.
У буржуев банкоматы называются ATM – Automated Teller Machine, что переводится как «автоматизированная кассовая машина», а слово «банкомат» - адаптированный перевод этого названия «БАНКОвский автоМАТ».

Тот факт, что снять деньги раньше можно было только в банкоматах определенного банка никак не связан с самими банкоматами, раньше и покупки можно было делать только в тех магазинах в которых были терминалы того банка, который выдал карту – так было пока банк не подключался к МПС. Т.е. от «железки» тут ничего не зависело.
Идем дальше: очередной билеберды автор написал, рассказывая принципы взимания комиссий в зависимости от типа операций (снятие наличных, оплата по карте, перевод по номеру счета и т.д.). Тут всё намного проще: за любую операцию по карте, которая проходит через МПС, МПС берет комиссию. Разница только в том, кто эту комиссию платит: если это снятие наличных в банкомате – платит тот, кто деньги снимает. Если это покупка, то комиссию платит банк, в чьем терминале была покупка (банк-эквайер), а тот банк по чьей карте была покупка (банк-эмитент) еще и часть этой комиссии получает в качестве стимула для привлечения большего количества клиентов, причем, чем статуснее карта – тем больше комиссия, поэтому многие банки грешили тем, что раздавали премиальные карты всем нищебродам подряд, хотя внутренние правила МПС по разным брендам предписывали выдачу премиальных карт только клиентам с определенным уровнем оборота по счетам). Соответственно, тут устает вопрос, а тот банк, который установил терминал всегда платит? – Да, всегда, поэтому он вводит комиссию для магазинов за обслуживание терминала, чтобы окупить расходы. Такое направление бизнеса называется эквайринг и, кстати, эквайринг сам по себе как продукт практически всегда для банка убыточный, поэтому сейчас банки пытаются затащить клиентов не только на эквайринг, но и на зарплатный проект, рассчетно-кассовое обслуживание, личный кабинет и прочее – всё, чтобы затащить живые деньги к себе и переиспользовать их.
Теперь про оплату картой и переводу по номеру счета: тут важно понимать, что деньги у вас лежат не «на карте», а на счете, который к ней привязан. Поэтому в любом случае операция будет проходить по счёту – карта, это всего лишь инструмент доступа к нему. Тот факт, что банки с вас комиссию не берут, когда вы покупки делаете, это не добрая воля банков, а правила МПС – они за это банки пиздят, чтобы клиенту было удобно пользоваться картой.
А теперь переходим к самой мякотке – там, где автор напорол больше всего хуерги – оплата переводом (тут видимо автор говорит про систему быстрых платежей СБП) и QR-коды. Но обо всем по порядку.
СБП переводы, они «бесплатные» не потому что перевод идёт по номеру счёта, там кстати и номера счета-то нет (обратили внимание, что вы его нигде не вводите???) – там идет перевод по номеру телефона! Так вот, бесплатные они, потому что так решил ЦБ в лице НСПК, чтобы развить данную систему и форму оплаты, т.е. это чистой воды демпинг, чтобы перетянуть на себя одеяло потока операций по картам. Если бы ЦБ драл за это комиссии, то никто никогда из банков не пошел бы в эту историю. Но погодите, полагаю, что бесплатный сыр он известно где))).
Оплата по QR, это развитие СБП, только уже не по переводам, а по покупкам. Тут логика такая: физ. лицу мы можем перевести по номеру телефона (это уникальный идентификатор), а как переводить юр. лицу? Для этого придумали регистрацию торговцев в системе СБП, в результате которой, торговцы получают идентификатор, который «зашит» в QR и по этому идентификатору осуществляется маршрутизация запроса в банк-эквайер. Т.е. в самом QR нет никакого номера счета. Маршрутизацию осуществляет Национальная Система Платежных Карт (НСПК), т.е. это наша Российская МПС – логика примерно такая же как с маршрутизацей оплат по картам. Т.е. еще раз, для магазина оплата по СБП выгодней, не потому что там перевод по номеру счета (это не так) и не потому что банки договорились, а потому что за этим следит НСПК.
В целом про оплату по QR – жутко неудобная штука т.к. слишком много телодвижений. Вообще, это же развитие платежных технологий в части оплаты по карте, но без карты)))) Т.е. вы же платите как бы с телефона, но деньгами, которые у вас есть на карточном счете, при этом, физическая карта никак тут не участвует – это называется «бескарточная операция». Вершиной «бескарточных» операций пока является использование NFC-чипа на телефоне (оплату «улыбкой» по биометрии пока в расчет не берем))). Так вот, оплата по QR, это предыдущий этап развития, характерный для тех стран где есть проблемы с использованием NFC. В частности, в Китае эта штука стала очень популярной, поскольку телефоны с NFC раньше были относительно дорогими, а вот считать QR-код могла даже самая шакалистая камера, что делало данную технологию оплаты доступной всем слоям населения. Мы же в России избалованные техническим прогрессом уже успели оценить оплату телефоном, но, в связи с санкциями, возможность такой оплаты стала ограничена на тех же яблофонах. В нашем случае, оплата по QR это вариант противодействия санкциям.
Ну, еще автор писал ерунду, что комиссии начисляются в зависимости от кода авторизации – тут уж совсем глубокая техника, но если вы дочитали до сюда, то хер с ним – ныряем глубже.
Для ЛЛ (откуда вы здесь?))) комиссии не зависят от кода авторизации. Код авторизации – это вообще ответ банка, выдавшего карту, банку, чей терминал/банкомат стоит в магазине и который запрашивает списание денежных средств (грубо говоря хватило денег или нет).
Тут надо начать с того, что у карточного счета есть 2 вида баланса: общий и доступный и они могут отличаться. Клиент всегда видит только доступный баланс, а вот чем он отличается от общего и как оно вообще работает – давайте разбираться))))
Карточные операции делятся на два класса «финансовые» и «авторизационые». Авторизационные операции это те, которые воздействуют только на доступный баланс, их также называют «холды» (от англ. hold – удержание/захват). Это операции, по которым банк-эмитент еще ждет финансовое подтверждение от банка-эквайера. Это работает так: когда вы совершаете покупку по карте в «Шестёрочке», банк-эквайер посылает запрос через МПС банку-эмитенту на подтверждение покупки (банк-эмитент проводит все необходимые проверки и дает ответ), в этот момент банк-эмитент «замораживает» сумму покупки на доступном балансе вашей карты, общий баланс при этом не изменяется. Далее, банк-эквайер, направляет списки по всем операциям (обычно в конце дня), которые произошли в его сети за прошедшие сутки в МПС, чтобы получить по ним возмещения с тех банков чьи клиенты совершали покупки. МПС разбирает эти списки и распределяет по эмитентам. Эмитент, получив такой список, сверяет его с авторизационными запросами, которые к нему поступили и, если находит пару, тогда перечисляет деньги на счет МПС для дальнейшей передачи эквайеру (этот цикл взаиморасчетов называется клиринг) и в это же время уменьшает общий баланс по карте, выравнивает его с доступным. Зачем так сложно? Честно – я уже заебался писать))) это помогает разбирать разные нестандартные ситуации, при которых операция не была фактически совершена, клиент товар не получил, но деньги при этом списались. Например, банк-эмитент дал разрешение на покупку, но ответ по каким-то причинам не дошел до магазина (свет отключили), в этом случае, банк эмитент деньги заморозил и ждет (думает, что все прошло хорошо).
А теперь переходим к финансовым операциям. Финансовые операции, это операции, которые сразу воздействуют и на доступный, и на общий балансы. Они, как правило, напрямую связаны с кэшем – это либо зачисления зарплаты, либо снятие наличных в банкомате. Здесь предполагается, что в случае, если что-то пойдет не так – недовольный клиент сам обратится в банк, а если ему удастся снять наличные несколько раз без влияния на баланс, то ищи его потом свищи. Финансовые операции резкие как выстрел – хоп! и денег нет!

Так вооот!!! Финансовые и авторизационные запросы действительно различаются, но не кодом авторизации, а идентификатором типа сообщения (Message Type Identifier), в зависимости от которого в том числе и начисляется комиссия (но не только по этому атрибуту – там логика ппц накуренная).
Написал и ахуел от простыни. Надеюсь, всё не зря.