Безопасность оплаты по ссылке: проверка адреса, продавца и 3D-Secure

Оплата товаров и услуг по ссылке (инвойсинг, QR-эквайринг, P2P-ссылки) стала стандартом электронной коммерции в Казахстане. Однако этот удобный инструмент часто эксплуатируется киберпреступниками для создания фишинговых сайтов, копирующих интерфейсы популярных банков, маркетплейсов и сервисов доставки.

Как устроена подмена платежных шлюзов (фишинг)

Мошенники создают поддельные веб-страницы, имитирующие форму ввода карт известного банка или сервиса (OLX, Kazpost, Yandex). Жертве отправляют ссылку в мессенджере под предлогом «получения оплаты за товар» или «оформления безопасной доставки». При вводе данных карты на таком ресурсе злоумышленник моментально получает реквизиты и CVV-код, совершая несанкционированное списание средств.

Для усыпления бдительности мошенники могут использовать доменные имена со схожим написанием (тайпосквоттинг), SSL-сертификаты (зеленый замочек в браузере больше не гарантирует безопасность ресурса, а лишь шифрует трафик между пользователем и фишинговым сайтом) и даже имитировать чаты технической поддержки прямо на поддельной странице.

Сравнение условий

Как отличить официальный шлюз от фишинга

Сравните критические параметры безопасности перед вводом реквизитов карты.

Доменное имя

Официальный адрес не содержит лишних дефисов, опечаток или левых доменных зон (например, .net вместо .kz).

Запрашиваемые данные

Легитимный шлюз никогда не спросит ПИН-код карты, баланс счета или пароль от личного кабинета банка.

Протокол безопасности

Подлинные платежные формы используют исключительно HTTPS с валидным SSL-сертификатом (значок замочка).

Чеклист проверки ссылки перед вводом данных карты

Перед проведением любой транзакции по присланной ссылке пройдите следующие шаги контроля:

Финальная самопроверка

Чеклист проверки ссылки

Отметьте пункты, которые уже проверили. Даже без отметок список остаётся обычной памяткой.

Проверьте адресную строку браузера: домен должен строго соответствовать официальному сайту банка или сервиса (без лишних дефисов, ошибок в буквах вроде olx-kazpost.net или bank-sec.kz). Убедитесь в наличии значка замка (SSL-сертификат) и протокола https://. Внимательно прочитайте текст SMS с кодом 3D-Secure: там всегда указаны точная сумма и название продавца. Если текст гласит «Списание 50 000 KZT», а вы ждали зачисления — мгновенно прервите операцию. Для безопасных расчетов в интернете используйте цифровую карту с установленным лимитом на один день.

0 из 4 пунктов отмечено

Как проверить страницу оплаты до ввода данных

Самая частая ловушка при оплате по ссылке поддельная форма, которая внешне повторяет знакомую страницу оплаты. Похожий домен и замочек в адресной строке сами по себе не гарантируют, что платёж принимает настоящий продавец. Спокойный порядок проверки короткий. Сначала помнят простое правило: для получения денег достаточно номера карты или телефона, поэтому просьба назвать срок действия, секретные цифры карты или код из сообщения всегда служит поводом остановиться. Затем смотрят адресную строку: лишние дефисы, переставленные буквы и ошибки в домене признаки подмены. Дальше сверяют текст платежного подтверждения: если продавец или сумма не совпадают с заказом, операцию прерывают, не дожидаясь списания. Практично оплачивать покупки не основной картой, а цифровой с дневным лимитом: так сумма потенциального убытка ограничена заранее. Не хранят фото карты в заметках телефона и не сохраняют реквизиты на подозрительных сайтах: для разовой сделки лучше перевести на отдельную карту точную сумму покупки. После каждой операции смотрят чек и уведомление, а уведомления включают по всем операциям, чтобы отклонение было видно сразу. Лимиты ставят необходимые, а не максимальные. Если данные карты всё же ввели на сомнительной странице, карту блокируют сразу: через приложение банка или по официальному номеру, не ожидая подозрительной операции. Затем обнуляют лимиты операций через интернет по остальным картам, подают заявление в банк и при необходимости обращаются в правоохранительные органы, сохранив адрес страницы и все подтверждения. Если оплата уже прошла на подозрительный счет, сохраняют ссылку, детали заказа и сумму и обращаются в банк: блокировка карты защищает будущие операции, но сама по себе не отменяет платеж. Для спора с продавцом пригодятся письменные ответы его официального канала и подтверждение операции. Перед следующей покупкой проверяют, что дневной лимит цифровой карты После блокировки уточняют порядок выпуска новой карты и отменяют сохраненные реквизиты на сайтах, где ими пользовались. Для разговора с банком пригодятся адрес страницы, дата и сумма операции: по ним быстрее найти след. Полезно сравнить цифровую карту с основной: у цифровой дневной лимит видно сразу, и ошибка при оплате не затрагивает весь счет. соответствует цене заказа, а не оставлен на максимум. Если с карты ушла незнакомая операция, уведомление банка становится первой зацепкой: по нему видно дату, сумму и получателя. Спор по платежу начинают с подтверждения операции, поэтому его сохраняют вместе с адресом страницы. Для следующей проверки возвращаются к тому же порядку: обе суммы до ввода, дневной лимит, затем чек после оплаты. Проверяют и сама операцию после оплаты: если чек не пришел, сумму и получателя сверяют в выписке, а не по памяти. Для регулярных подписок держат отдельную цифровую карту с точным лимитом. Материал носит информационный характер и не заменяет индивидуальную консультацию.

Что делать, если вы уже ввели данные на сомнительном сайте

Если вы осознали, что передали данные карты мошенникам, действуйте незамедлительно:

1. Мгновенно заблокируйте карту: Сделайте это через приложение банка (кнопка «Блокировка») или позвоните в колл-центр по экстренному короткому номеру вашего банка.
2. Снимите оставшийся лимит: В приложении обнулите лимиты на интернет-операции для всех остальных ваших карт.
3. Подайте заявление: Обратитесь в банк для фиксации инцидента и напишите заявление в правоохранительные органы (MVD РК) о факте интернет-мошенничества.

Как защитить карту: ежедневные меры предосторожности

Безопасность карты начинается с базовой финансовой гигиены задолго до момента оплаты. Рекомендуется подключить SMS- и Push-уведомления, чтобы в реальном времени контролировать каждую операцию. Лимиты на покупки в интернете следует устанавливать не максимально возможные, а необходимые для ваших типовых расходов — это ограничит потери даже в случае утечки данных.

Отдельные меры касаются хранения данных. Не держите в заметках телефона или мессенджерах фотографии карты с лицевой стороны (там указаны срок действия и номер). CVV-код с обратной стороны карты не должен покидать пределы вашего сознания: его не запрашивают ни мобильные операторы, ни полиция, ни сотрудники банка.

Периодически перевыпускайте карту, особенно если вы посещали сомнительные сайты или вводили данные на страницах, которые позже оказались фишинговыми. Многие банки позволяют бесплатно перевыпускать цифровые карты прямо в приложении — в таком случае новая, с полным обновлением реквизитов, появится в течение нескольких минут.

Если на сайте есть значок замочка HTTPS, означает ли это, что сайт безопасен?

Нет. Замочек HTTPS подтверждает только то, что трафик между вами и сайтом зашифрован. Мошенники легко устанавливают бесплатные SSL-сертификаты на свои фишинговые ресурсы. Проверяйте в первую очередь само доменное имя.

Может ли покупатель отправить мне деньги, если я укажу только номер карты?

Да. Для перевода на карту отправителю достаточно знать только её 16-значный номер или номер мобильного телефона, привязанного к карте (СМП). Запрос CVC/CVV-кода или срока действия карты для приема денег — 100% признак мошенничества.

Что делать, если мне пришел код 3D-Secure для операции, которую я не совершал?

Никому не сообщайте этот код. Его приход означает, что кто-то пытается списать деньги с вашей карты прямо сейчас (или данные карты уже скомпрометированы). Зайдите в приложение банка и немедленно заблокируйте карту.

Можно ли оспорить операцию, если я сам ввел код 3D-Secure?

Введение кода 3D-Secure является аналогом собственноручной подписи плательщика согласно Закону РК «О платежах и платежных системах». Банк классифицирует такую операцию как авторизованную вами, и вернуть деньги в рамках чарджбэка будет крайне сложно. Признание мошенничества потребует расследования правоохранительных органов.

Как защитить основную карту, если я часто покупаю в интернете?

Выпустите виртуальную (цифровую) карту специально для покупок. Установите на нее нулевой лимит на интернет-транзакции и пополняйте ее с основной карты только непосредственно перед оплатой на точную сумму покупки.

Источники и дата проверки

Материал проверен редакцией Rahmet Bank News: 2026-08-10.