"Яндекс" вместо Chrome и Safari: что делать, если сайты банков перестали открываться

Пользователи Рунета начали массово жаловаться на невозможность зайти на сайты ведущих российских банков в зарубежных браузерах.

Вместо привычного интерфейса Google Chrome, Safari и Microsoft Edge начали выдавать предупреждение о небезопасном соединении.

Проблема затронула кредитные организации, которые перешли на сертификаты Национального удостоверяющего центра Минцифры.

Как вернуть доступ к привычным сайтам и не пострадать от этого — в материале "Делового Петербурга".

Отзыв сертификатов и список пострадавших

В списке пострадавших оказались ВТБ, Альфа-Банк, Россельхозбанк, ПСБ, "Уралсиб", "Дом.РФ" и банк "Санкт-Петербург".

Что касается "Сбера", ограничение сработало только в браузере от Google — в остальных доступ сохранился. При этом сайты Газпромбанка, Т-Банка и Совкомбанка продолжают открываться без сбоев во всех системах.

Как убедился корреспондент "ДП", один из банков в иностранных браузерах работает с перебоями. Кроме того, накануне банк предупредил клиентов о необходимости установить российские сертификаты безопасности.

В пресс-службе ВТБ подтвердили, что клиенты могут продолжать пользоваться сервисами без ограничений, установив российские сертификаты безопасности или скачав "Яндекс Браузер".

В Альфа-Банке отметили, что сбоя в работе сервисов нет, и рекомендовали установить сертификаты по инструкции на сайте.

Сайт Т-банка в зарубежных браузерах продолжает открываться.

В чем суть технического сбоя

Причиной инцидента стал массовый отзыв иностранных SSL-сертификатов.

Так, 13 июня один из крупнейших мировых центров сертификации — японский GlobalSign — начал принудительный отзыв ранее выпущенных SSL-сертификатов у российских компаний. Причина — обновлённые требования международного консорциума CA/Browser Forum, в который входят разработчики браузеров и центры сертификации.

Новые регламенты обязали удостоверяющие центры проверять организации по санкционным спискам. GlobalSign, будучи структурой японского холдинга GMO Internet Group и имея корни в Бельгии, обязан соблюдать санкционные ограничения Евросоюза.

GlobalSign оставался последним крупным коммерческим центром, работавшим с РФ после ухода Sectigo, DigiCert и других игроков в 2022 году. По оценкам участников рынка, в коммерческом сегменте его доля достигала 90%.

Отзыв затронул не только банки, но и сертификаты для подписи программного кода, без которых невозможно легально устанавливать приложения на Windows, macOS и iOS. Эксперты предупреждали, что последствия станут очевидны ближе к концу лета, — и прогноз подтвердился.

Для бизнеса теперь встаёт выбор:

• сертификаты Минцифры устойчивы к санкциям, но не признаются зарубежными браузерами;
• переход на центры из Китая или СНГ значительно дороже и не гарантирует защиты от аналогичных отзывов;
• использование бесплатного Let's Encrypt через зарубежные прокси-серверы несёт высокие регуляторные риски.

Это приведёт к окончательному исчезновению бесшовного Рунета — бизнесу придётся разделять инфраструктуру на внутренний и внешний контур.

Как писал "ДП", потенциально под ударом могут оказаться 15-20 тыс. доменов. Под ограничения попали отдельные региональные ресурсы, тогда как крупные федеральные сайты в основном продолжают работать без аналогичных проблем. По состоянию на 24 июня в зоне.RU было отозвано около 3,2 тыс. сертификатов GlobalSign.

Как восстановить доступ к сайтам

Оставшись без зарубежных подтверждений подлинности, банки оперативно переключились на отечественные аналоги, выпущенные Минцифры.

Проблема в том, что зарубежные браузеры не имеют встроенного доверия к новому корневому сертификату. Они не могут проверить "цепочку доверия" до удостоверяющего центра, из-за чего страница сайта воспринимается как потенциально опасная и блокируется. Это не означает, что ресурс не работает — проблема исключительно в проверке безопасности соединения.

Для пользователей, которые привыкли работать с веб-версиями, есть несколько способов решения проблемы.

1. Самый быстрый — открыть сайт в "Яндекс Браузере" или "Атоме". В них поддержка российских сертификатов встроена изначально, сайты банков открываются без предупреждений и без ручных настроек.

По данным на 4 августа, "Яндекс.Браузер" с Алисой AI оказался на первом месте в топе бесплатных приложений в AppStore.

2. Установить сертификаты Минцифры в операционную систему.

Единственный официальный адрес: страница на "Госуслугах". Там лежат отдельные инструкции для Android, iOS, Windows, macOS и Linux.

3. Обойти предупреждение вручную, нажав "Подробнее", а затем "Перейти на сайт".

Этот вариант безопасен, только если вы точно знаете причину: банк из списка выше, сайт не открывается в Chrome, но открывается в "Яндекс Браузере". Если предупреждение вылезло на одном сайте, а адрес отличается хотя бы одним символом, вводить логин и пароль нельзя.

Открыть сайт в браузере с поддержкой российских сертификатов безопаснее, чем обходить предупреждение вручную: в первом случае подлинность сайта проверяется, во втором проверка отключается.

Отдельный случай: Firefox

Firefox использует собственное хранилище сертификатов, независимое от системного. Установка в Windows или macOS на него не действует. Есть два варианта решения.

1. Более простой — включить использование системного хранилища. Для этого нужно зайти в настройки, выбрать раздел приватности и защиты, пролистать до блока сертификатов и включить параметр "Использовать сертификаты операционной системы", после чего перезапустить браузер. После этого Firefox будет использовать сертификаты, установленные в системе.
2. Импортировать сертификаты вручную. Для этого нужно скачать сертификаты Минцифры, в Firefox открыть настройки, перейти в раздел сертификатов и на вкладке центров сертификации нажать импорт. Добавлять нужно сначала корневой сертификат, затем выпускающий, при импорте обязательно отметить доверие к сертификату для идентификации сайтов, после чего перезапустить Firefox.

Что делать на Mac

На macOS сертификаты устанавливаются через приложение "Связка ключей".

Нужно перейти на сайт "Госуслуги" и в разделе для macOS скачать сертификаты. После открытия скачанного файла откроется "Связка ключей", где в разделе сертификатов будут два сертификата — корневой и выпускающий. Для каждого из них нужно дважды нажать на сертификат, раскрыть раздел доверия и в пункте параметров использования сертификата выбрать "Всегда доверять", затем закрыть окно, ввести пароль от учётной записи Mac и обновить настройки.

Safari использует системное хранилище macOS и iOS, поэтому после корректной установки сертификатов сайты будут открываться без предупреждений.

Мобильное приложение банка не пострадало

Приложения не используют хранилище сертификатов браузера, поэтому переход сайтов на сертификаты Минцифры их не затрагивает.

ВТБ сообщал об этом ещё в июне, во время предыдущей волны отзыва сертификатов: отзыв сертификатов GlobalSign не затронул работу мобильных приложений, так как их работоспособность не зависит от зарубежных сертификатов. Если приложение не открывается или не пускает в личный кабинет, причина другая — интернет, кэш или технические работы.

Чего ждать от мошенников и как не потерять деньги

Специалисты по кибербезопасности предупреждают: шум вокруг сертификатов активно используют злоумышленники.

Фишинговая схема выглядит убедительно — мошенники звонят жертвам, предлагая "помочь с установкой", и просят продиктовать коды из СМС или пароли от кабинетов.

Власти и банки напоминают о базовых правилах:

• все официальные сертификаты скачиваются исключительно с портала "Госуслуги";
• любые ссылки в СМС или мессенджерах, ведущие на "зеркала" банков с установкой ПО, — это на 99% мошенничество;
• мобильные приложения банков не пострадали и продолжают работать в штатном режиме, так как используют иной механизм шифрования.

Если вы сомневаетесь в подлинности сайта, лучше не обходить предупреждение вручную через кнопку "Продолжить", а перейти в "Яндекс Браузер", где безопасность соединения будет гарантирована автоматически.