Неприятно удивил Сбербанк сегодня - отсутствием двухфакторной верификации при оплате картой через интернет.

Сегодня я заплатил имущественные налоги. Удобно платить стало, заходишь в кабинет налоговой, перед тобой сумма к оплате, выбираешь оплату картой, и как обычно, на специальной странице защищенной вводишь данные карты, и по идее — должно выйти окошко с вводом пароля из СМС.
Такой типа интернет магазин налогов сделали. Буквально год назад приходилось отдельно по каждому объекту операцию оплаты совершать, сейчас просто общую сумму можно оплатить.

У меня налог 121 тыс руб.  В сбере у меня были деньги, решил оплатить картой Сбера. Визой.
Ввел данные, и — у меня отвис подбородок, оплата произошла без ввода СМС.

Ну как бы сумма не маленькая, гипотетически, если кто то у меня украдет карту (или просто узнает данные — это может сделать любой работник того же Сбера, державший в руках мою карту), то может купить что нибудь в каком нибудь магазине на всю котлету.

Я решил прояснить этот вопрос — сначала меня загрузили, что СМС было, выяснилось, что это была СМС постфактум — уведомление о свершившейся операции. Потом начали говорить, что это настройки сайта налоговой — ну я им объяснил, что ранее оплачивал подобный налог картой Альфабанка, и там пришлось вводить код из СМС. 

В итоге прислали письменный ответ — одним из пунктов было —

В соответствии с действующей технологий работы Сбербанк Онлайн операции в пользу низкорисковых поставщиков услуг проходят без подтверждения SMS-паролем.
Порядок определения уровня риска операции/поставщика услуг определяется банком и не подлежит разглашению. Предоставить полный список организаций не представляется возможным.


Так что по аккуратнее с хранением денег на картах Сбера, у них свои приколы оказывается. Принимают решение сами, где мы можем оплачивать без двухфакторной верификации.