Между покупателем и продавцом в карточном платеже стоят четверо: банк-эмитент, платёжная система, банк-эквайер и процессор с агрегатором. Обмануть покупателя может только продавец. Но подключить продавца к инфраструктуре может только посредник — и вопрос, отвечает ли он за это подключение, до сентября этого года внятного ответа не имел нигде.

4 сентября 2026 года Федеральная торговая комиссия США объявила о мировом соглашении с Nuvei, одним из крупнейших мировых платёжных процессоров. Компания выплатит 4,85 млн долларов и перестроит процедуры проверки подключаемых магазинов.

Сумма для компании такого размера символическая. Интересно другое: впервые внятно сформулировано, за что отвечает посредник, который сам ничего покупателю не продавал.

Фабула

По утверждению ФТК, Nuvei через кипрский банк-эквайер обеспечила приём карточных платежей от американских держателей карт в пользу Reimage — офшорной схемы «технической поддержки». Механика знакомая: всплывающее окно сообщает о заражении компьютера, дальше продаётся несуществующее лечение. С 2017 по 2023 год через процессинг прошло более 30 млн долларов потребительских платежей.

Reimage был не единственным. Американская дочерняя компания открывала счета продавцам «бизнес-возможностей» с необоснованными обещаниями заработка, лицам, выдававшим себя за налоговые органы, и — что показательнее прочего — мерчантам, которых другие процессоры и банки-эквайеры ранее отключили за мошенничество или за чрезмерную долю оспоренных операций.

Мировое соглашение помимо выплаты содержит четыре запрета: обслуживать мерчантов из списка высокорисковых, который ведёт платёжная система; делать или помогать делать ложные заявления; помогать мерчантам обходить системы мониторинга мошенничества; плюс предписание внедрить строгие процедуры андеррайтинга и мониторинга. Отдельно запрещён процессинг для телемаркетинга технической поддержки.

Стандарт собран из того, что уже есть в системе

Никаких новых обязанностей регулятор не выдумывал, и в этом вся сила конструкции.

В совместном заявлении председателя ФТК и комиссара, приложенном к делу, разобрано, какие элементы недобросовестной практики образуют действия процессора и что ведомству нужно доказывать. Логика такая: обязанности проверять мерчанта существуют и без государственного предписания, потому что их устанавливают правила самих платёжных систем. Процессор обязан установить личность мерчанта, его местонахождение и характер предлагаемых товаров или услуг, сверить его со списками лиц, ранее исключённых карточными сетями за нарушения, и следить за долей оспоренных операций.

Процессор, который этого не делает или делает формально, а затем обслуживает поток платежей в пользу очевидной схемы, отвечает не за чужой обман, а за собственное поведение: за то, что открыл и удерживал канал, зная или имея все основания знать, куда он ведёт.

Для инженерного взгляда здесь важно, что стандарт «знал или должен был знать» получился не оценочным, а проверяемым. Доля оспоренных операций — это число. Факт предыдущего отключения мерчанта другим эквайером — это запись в системе. Нахождение в списке платёжной системы — это флаг в справочнике. Все три сигнала уже собираются, хранятся и доступны процессору в момент принятия решения о подключении. Ответственность привязана не к тому, что посредник мог бы теоретически выяснить, а к тому, что у него уже лежало в базе.

Как та же архитектура описана в российском регулировании

Фигура посредника у нас поименована. Это платёжный агрегатор — юридическое лицо, привлекаемое оператором по переводу денежных средств по статье 14.1 Федерального закона от 27.06.2011 № 161-ФЗ «О национальной платёжной системе».

Обязанности перечислены подробно. Агрегатор заключает договоры о приёме электронных средств платежа с юридическими лицами и предпринимателями от имени оператора и на определённых оператором условиях. Он проводит идентификацию этих клиентов по требованиям антиотмывочного законодательства. Он передаёт оператору сведения о них, а также информацию, необходимую для урегулирования споров, связанных с использованием электронных средств платежа. Он соблюдает требования Банка России к защите информации при переводах, зачисляет средства на отдельный специальный банковский счёт, а сведения о нём самом включаются в перечень, который ведёт Банк России.

Перечислено многое. Не перечислено одно: обязанность оценивать, чем именно торгует подключаемое лицо и не обманывает ли оно покупателей.

Разложить это по вопросам, на которые отвечает каждая обязанность, полезно, потому что видно пропуск. Идентификация по антиотмывочным правилам отвечает на вопрос «кто этот мерчант». Требования к защите информации — «безопасен ли канал». Специальный счёт — «где лежат деньги в пути». Ни одна не адресована вопросу, ради которого весь механизм существует с точки зрения плательщика: не является ли получатель платежа схемой.

Февральская поправка: механизм появился, вход к нему не подведён

Здесь деталь, которая превращает пробел из упущения в выбор.

Федеральным законом от 20.02.2026 № 44-ФЗ, действующим с 3 марта 2026 года, части 3 и 4 статьи 14.1 изменены терминологически: прежний «банковский платёжный агент» заменён на «платёжного агрегатора, признаваемого банковским платёжным агентом». Существо обязанностей не тронуто.

Тем же законом сделано другое, куда более значимое. В новой редакции части 10 статьи 14.2 несоблюдение агрегатором требований статьи 14.1 и антиотмывочного законодательства прямо названо основанием для одностороннего отказа оператора по переводу денежных средств от исполнения договора с ним. Симметричная норма внесена в пункт 1.8 статьи 7 Федерального закона № 115-ФЗ: несоблюдение платёжным агрегатором требований по идентификации даёт кредитной организации право одностороннего отказа от договора.

Иными словами, конструкция «нарушил требование — лишился канала» создана и работает с марта этого года. Законодатель подключил к ней ровно один вход: антиотмывочные требования и требования к порядку привлечения агрегатора. Вход «подключил мерчанта, о недобросовестности которого знал или должен был знать» к тому же механизму не подведён.

Почему антифрод здесь не помогает

Российская защита плательщика в картах выстроена вокруг другой ситуации — перевода без добровольного согласия клиента. Статья 9 закона о национальной платёжной системе, антифрод-контур, база данных Банка России о случаях и попытках таких переводов, обязанность приостановить операцию и возместить средства — всё это про то, что деньги ушли помимо воли плательщика.

В деле Nuvei конфигурация обратная. Плательщик добровольно ввёл данные карты и нажал кнопку. Согласие было. Обмануты были его представления о товаре, а не его платёжное поручение.

Это принципиальное различие, и антифрод-механизмы его не ловят по построению: они смотрят на признаки того, что операцию совершает не держатель карты, а здесь операцию совершает именно он.

Что остаётся покупателю. Требование к продавцу по закону о защите прав потребителей — эффективно ровно настолько, насколько досягаем офшорный продавец, то есть чаще всего никак. Оспаривание операции по правилам платёжной системы — работающий инструмент, но это договорный и внутрисистемный механизм, а не законная ответственность, и он ограничен сроками и основаниями, которые устанавливает сама система. Деликтный иск к агрегатору теоретически возможен, но потребует доказать противоправность, а нормативной обязанности проверять добросовестность мерчанта у агрегатора нет — значит, нет и очевидного основания противоправности.

Возражение, которое стоит проговорить

Самое сильное возражение против такой ответственности звучит так: возложение на посредника обязанности оценивать добросовестность тысяч мерчантов создаёт издержки и стимул к массовым отказам, а пострадают добросовестные малые продавцы.

Возражение серьёзное, и именно поэтому американский стандарт устроен не как обязанность знать всё. Он устроен как ответственность за пренебрежение сигналами, которые в системе уже есть: доля оспоренных операций, отключение другим эквайером, нахождение в списке платёжной системы. Проверять придётся не каждого — реагировать придётся на маркеры. Разница здесь та же, что между сплошным аудитом и алертингом по порогам: второе дешевле и точнее.

Что из этого следует

De lege ferenda решение не требует нового института, а после февральской поправки не требует и нового механизма принуждения. Достаточно включить в требования к деятельности агрегатора обязанность реагировать на объективно измеримые маркеры недобросовестности подключённого лица. Дальше всё уже собрано: неисполнение требований статьи 14.1 само по себе является основанием для одностороннего отказа оператора от договора, перечень агрегаторов Банк России ведёт, надзорные полномочия установлены, а сами показатели собираются в рамках платёжных систем без всякого участия государства.

Отдельный вопрос — возмещение самому плательщику. Расторжение договора с агрегатором его денег не возвращает. Здесь потребуется либо прямая норма, либо признание такой обязанности в качестве той, нарушение которой образует противоправность для целей статьи 1064 ГК. Второй путь короче и законодательного вмешательства не требует вовсе: достаточно одного дела, доведённого до высшей инстанции.

Дело Nuvei показывает, что соединить одно с другим можно без нового регулятора и без специального закона о процессорах. ФТК действовала на основании общей нормы о недобросовестных практиках, наполнив её содержанием через уже существующие правила платёжных систем. Российский аналог этого пути — статья 14.1 закона о национальной платёжной системе в связке с надзорными полномочиями Банка России.

Материал для нормы готов. Нормы нет.