Сообщения клиентам банка и финтеха: уведомления, OTP, фрод

Это руководство для руководителей по продуктам, цифровым каналам и комплаенсу в банках, платёжных компаниях, кредиторах и финтех-компаниях. Оно показывает, какие сообщения должен получать клиент финансовой организации, какой канал и тип шаблона подходят для каждого из них, а также какие требования безопасности и регуляторов определяют, что и где вы можете отправлять.

Какие сообщения нужны банку или финтех-компании?

Финансовые сообщения делятся на пять сценариев: уведомления о транзакциях, аутентификация, управление картой, напоминания о платежах и предупреждения о мошенничестве. Все пять носят операционный характер, поэтому их должны проектировать продуктовые команды и команды по управлению рисками, а не маркетологи как кампании.

Столбец с шаблонами важен только там, где ваш регулятор допускает WhatsApp. Meta относит шаблон к служебным (utility), если он не носит рекламный характер и связан со счётом или транзакцией самого клиента; см. наше руководство по категориям шаблонов.

Чего регуляторы ожидают от финансовых сообщений?

Как правило, регуляторы ожидают своевременных уведомлений об операциях по счёту, строгой аутентификации клиента, защиты данных клиентов и понятных способов подать жалобу. Точные правила различаются по странам и часто меняются, поэтому читайте действующие циркуляры, а не пересказы.

Примеры из стран Персидского залива (GCC), которые стоит проверить

• Саудовская Аравия. Требования Центрального банка Саудовской Аравии (SAMA) Minimum Verification Controls, которые применяются к таким категориям финтеха, как электронные кошельки и кредитование, предусматривают SMS-уведомления о регистрации, повторной регистрации устройства, изменении статуса счёта и транзакциях, а также просят указывать в сообщениях цель и название организации. Банкам стоит дополнительно изучить банковские циркуляры SAMA об SMS-уведомлениях и контроле электронного банкинга в SAMA Rulebook.
• Объединённые Арабские Эмираты. В апреле 2026 года СМИ ОАЭ сообщали о циркуляре Центрального банка ОАЭ (CBUAE), который предписывает лицензированным финансовым организациям прекратить использовать мессенджеры, включая WhatsApp, для передачи данных клиентов, подтверждения транзакций или отправки кодов аутентификации со ссылкой на риски мошенничества и локализации данных. Отраслевые обзоры также описывают уведомление CBUAE 2025 года об отказе от SMS- и e-mail-OTP как единственного фактора аутентификации. Подтвердите оба пункта по CBUAE Rulebook и у своего отдела комплаенса.
• Другие страны. Многие регуляторы устанавливают правила строгой аутентификации клиента и защиты потребителей (consumer duty). Сопоставьте каждый тип сообщения с правилом, которое его требует или ограничивает.

Правила платформ

Политика WhatsApp Business Messaging запрещает просить пользователей присылать полные номера карт или финансовых счетов и относит взыскание задолженности и некоторые кредитные продукты к запрещённым сценариям. Для SMS во многих странах, включая ОАЭ и Саудовскую Аравию, требуется зарегистрированное имя отправителя (Sender ID); см. регистрацию имени отправителя (альфа-имени).

Как строить уведомления о транзакциях и управлении картой?

Клиент должен за несколько секунд узнать операцию или отклонить её. Для этого нужны фиксированная структура, маскированные идентификаторы и одно понятное действие.

Уведомление о транзакции (SMS)

{{bank}}: Покупка на AED {{amount}} в {{merchant}}, карта с окончанием {{last4}}, {{date}} {{time}}. Это не вы? Позвоните {{official number}}. Мы никогда не запрашиваем ваш PIN-код или OTP-код.

Подтверждение управления картой (приложение или SMS)

{{bank}}: Ваша карта с окончанием {{last4}} заблокирована в {{time}} в приложении {{bank}}. Если это сделали не вы, позвоните {{official number}}.

Правила оформления:

1. Ставьте в начало сумму, валюту и торговую точку.
2. Маскируйте номера карт и счетов, оставляя последние четыре цифры.
3. Используйте одно и то же имя отправителя для всех сообщений безопасности.
4. Указывайте номер телефона, напечатанный на карте или в приложении, а не ссылку.
5. Никогда не совмещайте уведомление с предложением: это подрывает доверие и может изменить категорию шаблона.
6. Отправляйте версии на арабском и английском в зависимости от языка, который выбрал клиент.

Как должны работать OTP и сообщения аутентификации?

Применяйте самый надёжный метод, которого ожидает ваш регулятор, а OTP по SMS или WhatsApp считайте одним из факторов там, где он ещё разрешён. Подробнее о доставке, сроке действия и схемах мошенничества см. в нашем руководстве по OTP.

Основные правила для финансового OTP:

• Привязывайте код к действию: «Код для перевода SAR 2 500 получателю с окончанием 4410».
• Делайте срок действия коротким и ограничивайте число повторных попыток.
• Добавляйте фразу «никому не сообщайте этот код, сотрудники банка никогда его не запрашивают».
• Следите за искусственным трафиком (traffic pumping): необычными объёмами OTP на премиальные или неожиданные диапазоны номеров; см. защиту от SMS pumping.
• Там, где разрешены шаблоны аутентификации WhatsApp, Meta поддерживает форматы copy-code, one-tap и zero-tap.

Как действовать при предупреждениях о мошенничестве и напоминаниях о задолженности?

Предупреждение о мошенничестве нельзя убедительно подделать, а напоминания о задолженности должны быть корректными, точными и отправляться только по разрешённым каналам.

Порядок действий при предупреждении о мошенничестве

1. Выявите подозрительную транзакцию и задержите или отклоните её согласно вашим правилам.
2. Отправьте SMS с деталями транзакции и без ссылки.
3. Попросите клиента подтвердить операцию в приложении или по официальному номеру телефона.
4. Если ответа нет в установленный вами срок, переходите к исходящему звонку.
5. Фиксируйте каждое сообщение и ответ для разбора споров.

Напоминания о задолженности

Отправляйте нейтральное напоминание о платеже до даты оплаты с указанием суммы, даты и официальных способов оплаты. По просроченным счетам соблюдайте местные правила защиты потребителей о частоте контактов, времени и формулировках и не используйте WhatsApp, учитывая его политику в отношении взыскания задолженности. Никогда не пишите третьим лицам о долге клиента.

Пример: e-wallet из Эр-Рияда выстраивает карту сообщений

«Nakhla Pay», условный электронный кошелёк с лицензией в Саудовской Аравии, проверяет свои сообщения перед запуском.

Команда перечисляет все события, которые требования SAMA связывают с SMS-уведомлением: регистрация, повторная регистрация устройства, изменение статуса счёта и транзакции. Для каждого создаётся шаблон SMS на арабском и английском, где указаны название Nakhla Pay и цель сообщения. Подтверждение платежей происходит в приложении; SMS OTP применяется только там, где отдел рисков одобрил его как один из факторов.

Предупреждения о мошенничестве уходят по SMS без ссылок и просят клиентов подтвердить операцию в приложении. Советы по защите от мошенников рассылаются по e-mail и в приложении и никогда не смешиваются с рекламой. Обращения в поддержку обрабатываются в контролируемом инбоксе, а агентов обучают никогда не запрашивать номера карт и коды. Комплаенс утверждает каждый шаблон до запуска и пересматривает его при выходе нового циркуляра.

Типичные ошибки и честные ограничения

• Считать WhatsApp разрешённым только потому, что он популярен. Финансовые регуляторы могут его ограничивать; сначала проверьте.
• Ссылки в сообщениях безопасности. Они приучают клиентов переходить по ссылкам, которые копируют мошенники.
• Реклама в уведомлениях. Она подрывает доверие и может перевести шаблон в маркетинговую категорию.
• Опора только на SMS OTP для рискованных действий. Многие регуляторы теперь ожидают более сильной аутентификации.
• Разные имена отправителей. Клиенты не отличают настоящие сообщения от подделок.
• Нет контроля доставки. Недоставленные уведомления означают, что клиенты пропустят мошенничество; используйте отчёты о доставке (DLR), чтобы находить проблемы.
• Считать, что сообщений достаточно для комплаенса. Сообщения дополняют, но не заменяют мониторинг мошенничества и процессы разбора споров.

Чек-лист запуска финансовых сообщений

1. Составьте список всех событий, для которых требуется или оправдано сообщение клиенту.
2. Сопоставьте каждое событие с каналом, который допускает ваш регулятор.
3. Напишите маскированные шаблоны без ссылок на арабском и английском.
4. Зарегистрируйте имена отправителей и названия шаблонов.
5. Определите срок действия OTP, число попыток и мониторинг мошенничества.
6. Задайте правила взыскания: частота, время и каналы.
7. Получите одобрение комплаенса и назначьте пересмотр после каждого нового циркуляра.

Как помогает OmniChannels.ai

OmniChannels.ai работает на базе BroadNet Technologies, телеком-компании в сфере сообщений с подключением к операторам SMS, а также сертификатами ISO/IEC 27001:2022 и SOC 2 Type II. Платформа поддерживает SMS для уведомлений и OTP, шаблоны аутентификации WhatsApp (one-tap, zero-tap и copy-code) там, где их допускает ваш регулятор, голосовой OTP и шаблоны на арабском и английском. Отчёты о доставке (DLR) с фильтрами и экспортом в CSV показывают недоставленные сообщения, а core banking и системы борьбы с мошенничеством подключаются через публичный REST API и webhooks. Узнайте больше об OTP и уведомлениях и SMS или свяжитесь с нашей командой.