Безопасно ли подключать банковский счёт к финансовому приложению?

Переживаешь, что привяжешь банковский счёт к финансовому приложению? Здесь подробно расскажу, что именно происходит, когда ты подключаешься, к каким данным идёт доступ и как понять, можно ли доверять приложению.

Мне задают этот вопрос часто. И я понимаю, почему — особенно от людей, которые переехали в США и месяцами аккуратно выстраивали там своё финансовое присутствие. Открыли банковский счёт, получили первую кредитную карту, настроили прямой депозит. Всё это кажется хрупким. Последнее, чего тебе хочется, — это отдать это какому-то приложению.

Так что я дам тебе прямой ответ, а не маркетинговый.

Что на самом деле происходит под капотом

Когда ты подключаешь свой банк к YPA Finance, ты не отдаёшь нам свой пароль. Это работает не так.

Мы используем Plaid — сервис банковского подключения, которым пользуются Venmo, Robinhood, Coinbase и тысячи других приложений. Вот что Plaid делает на самом деле: в большинстве крупных банков США он открывает родной экран входа твоего банка (не наш), и ты авторизуешься напрямую там — это называется OAuth. Твои учётные данные уходят в твой банк. Мы их никогда не видим и не храним. Мы получаем токен только для чтения — по сути, ограниченный пропуск, который говорит: «этот человек разрешил вам читать его балансы и транзакции».

Этот токен не может двигать деньги. Не может инициировать переводы. Он не может ничего, кроме как дать нам читать данные — те же самые данные, которые ты бы увидела, если бы зашла в банк сама.

Ты можешь отозвать его в любой момент. Из нашего приложения или прямо в настройках безопасности твоего банка.

Что мы на самом деле видим

Когда ты подключаешься, YPA Finance может получить доступ к:

И всё. Мы не видим твой полный номер счёта, твой SSN или ITIN и твои учётные данные для входа. У нас нет никакой возможности двигать или снимать деньги. Никогда.

Хочу быть предельно конкретной, потому что именно такие детали большинство приложений прячут в свою политику конфиденциальности.

Как проверить, можно ли доверять финансовому приложению

Я бы применила тот же чек-лист, который использую, когда оцениваю сторонние инструменты для нашей собственной инфраструктуры:

Используют ли они настоящего провайдера банковского подключения? Plaid, MX, Finicity — это регулируемые, аудируемые сервисы. Если приложение напрямую просит у тебя реальные банковские учётные данные, закрывай его.

Подключение только для чтения? У приложения для бюджета нет никаких законных причин инициировать переводы. Если оно просит такое разрешение, что-то не так.

Есть ли у них страница безопасности? Не расплывчатый абзац в духе «мы серьёзно относимся к безопасности», а настоящая страница со стандартами шифрования, статусом соответствия и политикой хранения данных. Если её нет, они надеются, что ты не спросишь.

Продают ли они твои данные? Это должно быть заявлено прямо. «Мы не продаём твои финансовые данные». Если политика конфиденциальности уклончива по этому пункту, это и есть твой ответ.

Какой стандарт шифрования? AES-256 для данных в покое, TLS 1.3 для передачи. Это те же стандарты, которые используют крупные банки США.

Что мы делаем в YPA Finance

Я уже говорила это и буду продолжать говорить: в финтехе доверие — это не маркетинговый слоган, это архитектура. Вот как это выглядит на практике:

Мы используем соединения Plaid только для чтения. Твои учётные данные никогда не попадают в наши системы. Данные шифруются с AES-256 в покое и при передаче. Мы не храним твой SSN или ITIN. Мы не продаём твои данные — ни рекламодателям, ни брокерам данных, никому. Наша инфраструктура работает на Google Cloud с архитектурой нулевого доверия и мониторится 24/7.

Сейчас мы идём к сертификации SOC 2 Type II — процесс уже запущен. А пока наши меры безопасности выстроены в соответствии со стандартами SOC 2.

Полную картину можно посмотреть на нашей Security page, если хочешь копнуть глубже.

Итог

Подключить свой банк к приложению с хорошей репутацией — безопасно. Статистически это безопаснее, чем заходить в свой банк через Wi-Fi в отеле. Технология была специально спроектирована, чтобы решить проблему с паролями.

Риск не в самом акте подключения. Риск — подключиться не к тому приложению, которое небрежно обращается с твоими учётными данными, неправильно шифрует или продаёт твои данные третьим лицам.

Потрать две минуты на страницу безопасности приложения, прежде чем что-либо подключать. Если её нет или это три предложения маркетингового текста, проходи мимо.

---

Светлана Бурнинова — сооснователь и CTO YPA Finance. У неё 15 лет в финансовых системах и 7 лет в инфраструктуре, она имеет сертификации AWS, CKA, CKAD и HashiCorp Terraform.