Український фінансовий ринок переживає період значних трансформацій: банки готуються до впровадження open banking, адаптуються до нових вимог євроінтеграції та стикаються зі зростанням загроз цифрового шахрайства на тлі розвитку штучного інтелекту. Щоб розібратися, як ринок готується до нових правил, чому частина гравців може не встигнути до встановлених НБУ термінів і як Україна вже випереджає ЄС у сфері antifraud-рішень, ми поспілкувалися з директором Асоціації ЄМА, засновником Open API Group Олександром Карповим.
Фото: magnific.com
Визначальні тренди фінансового ринку 2026 року
У 2026 році український фінансовий ринок перебуває під впливом трьох ключових тенденцій.
Перша — узгодження платіжного законодавства з європейськими стандартами
Національний банк України орієнтується на 31 грудня 2027 року як кінцевий термін у межах Плану виконання заходів щодо європейської інтеграції. Цей процес включає чотири основні напрямки:
- регулювання інтерчейндж-комісій відповідно до Регламенту 2015/751 — НБУ завершує підготовку законодавчих пропозицій щодо поступового встановлення граничних ставок (0,2%/0,3% для дебетових/кредитних карток) та надання торговцям права вибору карткового продукту;
- перевірка одержувача перед авторизацією платежу (Verification of Payee) згідно з Регламентом 2024/886;
- посилення відповідальності банків за шахрайські дії, пов’язані з соціальною інженерією, відповідно до PSD3;
- надання доступу до рахунків з базовими функціями та послуги переказу коштів з рахунку (Директива 2014/92).
Ніхто не ставить під сумнів неминучість цих змін, але справжня дискусія стосується не питання «чи буде це зроблено», а пріоритетності окремих напрямків та послідовності їх впровадження. Особливо там, де для імплементації потрібні зміни до законів, а не лише нормативно-правові акти НБУ. Країни, що приєдналися до ЄС протягом останнього десятиліття, адаптували свої ринки вже будучи членами і мали для цього перехідні періоди. Україна ж бере на себе зобов’язання досягти рівня ЄС до вступу, дата якого залишається невизначеною — і це свідомо нерівні умови для вітчизняних фінансових установ.
Водночас ринок уже сьогодні відчуває реальні наслідки незавершеності регуляторних процесів: технічно готові учасники витрачають ресурси не на розвиток, а на з’ясування того, що їм взагалі дозволено робити. Одні норми вже оновлено, інші залишилися в редакції п’ятирічної давнини — і в цій прогалині існує не інновація, а вимушене дотримання вимог заради самого дотримання. Саме зараз на ринок накочується нова хвиля євроінтеграційних вимог.
Олександр Карпов, директор Асоціації ЄМА, засновник Open API Group
Друга — криза довіри в цифровому просторі
Генеративний штучний інтелект зробив технологію deepfake масовим інструментом для шахраїв. Традиційні методи верифікації особи та KYC (Знай свого клієнта) вже недостатні. Асоціація ЄМА системно реагує на ці виклики: AntiFraud Hub щомісяця обробляє понад 7 000 сповіщень про шахрайські перекази, понад 14 000 запитів від Кіберполіції та понад 1 мільйон перевірок по базі ненадійних клієнтів щодня — це охоплює 43 банки з ринковою часткою понад 98%. У 2025 році нами було запущено сервіс Stolen Identity — реєстр викрадених цифрових ідентичностей; аналогів у ЄС не існує.
PSD3 та PSR лише зараз формують вимоги до державно-приватного партнерства у боротьбі з шахрайством — того, чого в ЄС досі немає як усталеної практики. Україна вже пройшла цей шлях. Але зупинятися немає права: шахраї не стоять на місці, а технології атак еволюціонують швидше, ніж суспільство встигає адаптуватися.
Третя — відкриті фінанси
Україна демонструє чудовий приклад: не регулятор розробив стандарти й нав’язав їх ринку — а ринок через Open API Group на базі Асоціації ЄМА самостійно створив фінальні специфікації відкритого банкінгу, адаптувавши Berlin Group — європейський стандарт у цій сфері. НБУ офіційно підтримав цю ініціативу, підтвердивши, що специфікації охоплюють постачальників послуг, які обслуговують понад 95% рахунків на ринку. Кінцевий термін повної технічної готовності — 1 серпня 2026 року.
Нещодавно НБУ надіслав банкам два запити — аналітичний від Департаменту платіжних систем та наглядовий від Департаменту інтегрованого нагляду. Другий запит передбачає повноцінний дистанційний нагляд з вимогою надання документальних підтверджень: протоколів тестування, рішень про введення API в експлуатацію. І саме тоді виявляється реальна картина: частина малих банків шукає готові компоненти ззовні, оскільки їхні постачальники банківських систем просто не планують реалізовувати все необхідне. Формальне “ми впроваджуємо” і фактична готовність — це різні речі.
Як відбувається впровадження open banking і які основні виклики?
Нормативна база набула чинності з 1 серпня 2025 року, специфікації розроблені ринком через Open API Group на базі Асоціації ЄМА, НБУ офіційно їх підтримав. Технологічний дедлайн — 1 серпня 2026 року.
Стан готовності ТОП-16 системно важливих банків загалом позитивний. Шість банків обрали власну розробку — ПриватБанк, Monobank, Райффайзен, А-Банк, ПУМБ та УкрСиббанк: це 48,1 мільйона активних карток, 81,3% ринку. Ощадбанк, Сенс Банк, ОТП Банк та Кредобанк — рішення від Open API Hub Solutions: 9,05 мільйона активних карток (15,3%). Укргазбанк — Tieto (502 тисячі, 0,85%); ТАСкомбанк — TAS Link (138 тисяч, 0,23%); Кредобанк, Південний, Укрексімбанк та Ідея Банк — UPC (439 тисяч, 0,74%). Загалом ТОП-16 охоплює 98,1% активних карткових рахунків фізичних осіб.
Ширша картина менш однозначна. Щонайменше 18 банків поза ТОП-16 вже визначилися з постачальниками рішень — але 19 банків досі не обрали жодного. І окремо: кілька банків обрали групове рішення, несумісне з українською специфікацією — це призведе до додаткових витрат на адаптацію або потребу замінити постачальника пізніше.
Прогрес демонструють і найбільші небанківські постачальники платіжних послуг (ASPSP) — НоваПей та RozetkaPay.
Перший виклик — реальна, а не номінальна готовність
Йдеться про групу установ, яка є великою за кількістю, але невеликою за часткою клієнтів — менше 2% роздрібного ринку. Це малозначуще для загальної екосистеми. Для самих установ це питання відповідності регуляторним нормам: ті, хто не встигне, отримають штрафи, і, можливо, деякі з них залишать ринок.
Другий виклик — поява нових учасників ринку
Для надання послуг в екосистемі відкритого банкінгу — агрегування фінансової інформації клієнта або ініціювання платежів від його імені — потрібна нова ліцензія. Її мусять отримати всі: як стартапи, так і вже діючі банки. За десять місяців дії нових правил лише чотири організації успішно пройшли процедуру ліцензування (авторизації діяльності), ще дві-три перебувають на цьому шляху. Асоціація ЄМА співпрацює з НБУ для спрощення цього процесу. Без нових учасників (особливо, небанківських, яких багато в ЄС) відкритий банкінг залишиться лише технічною інфраструктурою — без сервісів, які роблять її корисною для пересічної людини.
Сучасні методи протидії фінансовому шахрайству
Глобальний тренд — перехід від реактивної логіки «виявити та заблокувати» до проактивної: запобігання транзакції до її виконання, а покладання відповідальності за втрати на того, хто не вжив достатніх заходів захисту.
Цікаво про тему: Новий власник докапіталізує PINbank на ₴200 млн
Що змінюють PSD3 та PSR (Регламент про платіжні послуги) в ЄС
Набрання чинності — орієнтовно перший квартал 2027 року. Ключові нововведення: обов’язковий обмін інформацією про шахрайство між надавачами платіжних послуг, посилена відповідальність за шахрайство з використанням соціальної інженерії, обов’язкова верифікація IBAN та імені отримувача (Verification of Payee).
Що вже зроблено в Україні — і де ми випереджаємо ЄС
Асоціація ЄМА побудувала унікальну екосистему AntiFraud Hub: щомісяця обробляється понад 7 000 сповіщень про шахрайські перекази (Fraud Payments Tracker), понад 14 000 запитів від Кіберполіції (CrimeCheck) та понад 1 мільйон перевірок по базі ненадійних клієнтів щодня. Це охоплює 43 банки з ринковою часткою понад 98%. Stolen Identity та MobileCheck — сервіси, що не мають аналогів у ЄС.
Ми також вивчаємо можливість розробки Enhanced VoP (Enhanced Verification of Payee) — з передплатіжною верифікацією, агрегованим показником шахрайства (fraud scoring) та перенесенням відповідальності (liability shift) для банків, які ігнорують сигнали високого ризику. Рішення ще не прийнято, але архітектура та переговорна позиція для ЄС і НБУ вже розроблені. Якщо це буде реалізовано — Україна матиме систему, що суттєво перевищуватиме вимоги ЄС.
Шахраї не стоять на місці. Жодна проблема не вирішується раз і назавжди — антифрод вимагає постійного управління, а не одноразових дій.
Open banking та безпека персональних фінансових даних
Open banking розширює межі доступу до фінансових даних — і це водночас його перевага та його ризик. Питання не в тому, чи існують ризики, а в тому, чи побудована архітектура захисту до запуску системи.
Ключові вектори ризиків
Фішинг під виглядом легітимного провайдера: шахрай імітує сервіс і отримує від клієнта дозвіл на доступ до рахунку. Захист — QWAC-сертифікати для верифікації провайдера та QSeal для підписання платіжних ініціацій. Зловживання дозволами: якщо система управління дозволами реалізована неякісно, провайдер фактично отримує більше повноважень, ніж клієнт дозволив. Соціальна інженерія на стику каналів: deepfake-голос «банківського співробітника» переконує клієнта самостійно авторизувати доступ або переказ.
Що вже забезпечує захист — і що потребує додаткових заходів
Специфікації Berlin Group, адаптовані Open API Group, закладають захист на рівні стандарту: верифікація провайдера, підписання платіжних ініціацій, підтвердження доступу, обмежені токени. Consent Manager надає клієнту прозорість та контроль: хто і до яких даних має доступ, з якого часу і на який термін — і можливість відкликати дозвіл у будь-який момент.
Найсучасніша технічна архітектура не захистить клієнта, який сам авторизує доступ шахраю. Deepfake-атаки руйнують не системи — вони руйнують людей. Open banking та безпека — це не протиріччя, а взаємопов’язані умови. ЄМА готує матеріали для клієнтів про безпечне користування сервісами відкритого банкінгу — і планує розширювати цю діяльність.