Безопасность оплаты по ссылке: проверка адреса, продавца и 3D-Secure

Оплата товаров и услуг по ссылке (инвойсинг, QR-эквайринг, P2P-ссылки) стала стандартом электронной коммерции в Казахстане. Однако этот удобный инструмент часто эксплуатируется киберпреступниками для создания фишинговых сайтов, копирующих интерфейсы популярных банков, маркетплейсов и сервисов доставки.

Как устроена подмена платежных шлюзов (фишинг)

Мошенники создают поддельные веб-страницы, имитирующие форму ввода карт известного банка или сервиса (OLX, Kazpost, Yandex). Жертве отправляют ссылку в мессенджере под предлогом «получения оплаты за товар» или «оформления безопасной доставки». При вводе данных карты на таком ресурсе злоумышленник моментально получает реквизиты и CVV-код, совершая несанкционированное списание средств.

Для усыпления бдительности мошенники могут использовать доменные имена со схожим написанием (тайпосквоттинг), SSL-сертификаты (зеленый замочек в браузере больше не гарантирует безопасность ресурса, а лишь шифрует трафик между пользователем и фишинговым сайтом) и даже имитировать чаты технической поддержки прямо на поддельной странице.

Сравнение условий

Как отличить официальный шлюз от фишинга

Сравните критические параметры безопасности перед вводом реквизитов карты.

Доменное имя

Официальный адрес не содержит лишних дефисов, опечаток или левых доменных зон (например, .net вместо .kz).

Запрашиваемые данные

Легитимный шлюз никогда не спросит ПИН-код карты, баланс счета или пароль от личного кабинета банка.

Протокол безопасности

Подлинные платежные формы используют исключительно HTTPS с валидным SSL-сертификатом (значок замочка).

Чеклист проверки ссылки перед вводом данных карты

Перед проведением любой транзакции по присланной ссылке пройдите следующие шаги контроля:

Финальная самопроверка

Чеклист проверки ссылки

Отметьте пункты, которые уже проверили. Даже без отметок список остаётся обычной памяткой.

Проверьте адресную строку браузера: домен должен строго соответствовать официальному сайту банка или сервиса (без лишних дефисов, ошибок в буквах вроде olx-kazpost.net или bank-sec.kz). Убедитесь в наличии значка замка (SSL-сертификат) и протокола https://. Внимательно прочитайте текст SMS с кодом 3D-Secure: там всегда указаны точная сумма и название продавца. Если текст гласит «Списание 50 000 KZT», а вы ждали зачисления — мгновенно прервите операцию. Для безопасных расчетов в интернете используйте цифровую карту с установленным лимитом на один день.

0 из 4 пунктов отмечено

Что делать, если вы уже ввели данные на сомнительном сайте

Если вы осознали, что передали данные карты мошенникам, действуйте незамедлительно:

1. Мгновенно заблокируйте карту: Сделайте это через приложение банка (кнопка «Блокировка») или позвоните в колл-центр по экстренному короткому номеру вашего банка.
2. Снимите оставшийся лимит: В приложении обнулите лимиты на интернет-операции для всех остальных ваших карт.
3. Подайте заявление: Обратитесь в банк для фиксации инцидента и напишите заявление в правоохранительные органы (MVD РК) о факте интернет-мошенничества.

Как защитить карту: ежедневные меры предосторожности

Безопасность карты начинается с базовой финансовой гигиены задолго до момента оплаты. Рекомендуется подключить SMS- и Push-уведомления, чтобы в реальном времени контролировать каждую операцию. Лимиты на покупки в интернете следует устанавливать не максимально возможные, а необходимые для ваших типовых расходов — это ограничит потери даже в случае утечки данных.

Отдельные меры касаются хранения данных. Не держите в заметках телефона или мессенджерах фотографии карты с лицевой стороны (там указаны срок действия и номер). CVV-код с обратной стороны карты не должен покидать пределы вашего сознания: его не запрашивают ни мобильные операторы, ни полиция, ни сотрудники банка.

Периодически перевыпускайте карту, особенно если вы посещали сомнительные сайты или вводили данные на страницах, которые позже оказались фишинговыми. Многие банки позволяют бесплатно перевыпускать цифровые карты прямо в приложении — в таком случае новая, с полным обновлением реквизитов, появится в течение нескольких минут.

Если на сайте есть значок замочка HTTPS, означает ли это, что сайт безопасен?

Нет. Замочек HTTPS подтверждает только то, что трафик между вами и сайтом зашифрован. Мошенники легко устанавливают бесплатные SSL-сертификаты на свои фишинговые ресурсы. Проверяйте в первую очередь само доменное имя.

Может ли покупатель отправить мне деньги, если я укажу только номер карты?

Да. Для перевода на карту отправителю достаточно знать только её 16-значный номер или номер мобильного телефона, привязанного к карте (СМП). Запрос CVC/CVV-кода или срока действия карты для приема денег — 100% признак мошенничества.

Что делать, если мне пришел код 3D-Secure для операции, которую я не совершал?

Никому не сообщайте этот код. Его приход означает, что кто-то пытается списать деньги с вашей карты прямо сейчас (или данные карты уже скомпрометированы). Зайдите в приложение банка и немедленно заблокируйте карту.

Можно ли оспорить операцию, если я сам ввел код 3D-Secure?

Введение кода 3D-Secure является аналогом собственноручной подписи плательщика согласно Закону РК «О платежах и платежных системах». Банк классифицирует такую операцию как авторизованную вами, и вернуть деньги в рамках чарджбэка будет крайне сложно. Признание мошенничества потребует расследования правоохранительных органов.

Как защитить основную карту, если я часто покупаю в интернете?

Выпустите виртуальную (цифровую) карту специально для покупок. Установите на нее нулевой лимит на интернет-транзакции и пополняйте ее с основной карты только непосредственно перед оплатой на точную сумму покупки.

Источники и дата проверки

Материал проверен редакцией Rahmet Bank News: 2026-08-10.

• Рекомендации Fingramota.kz по защите от фишинга и интернет-мошенников — официальный информационный портал Агентства РК по регулированию и развитию финансового рынка; проверено 2026-08-10.
• Закон РК «Об информатизации» от 24 ноября 2015 года № 418-V — правовая основа информационной безопасности и защиты персональных данных в РК; проверено 2026-08-10.
• Закон РК «О платежах и платежных системах» от 26 июля 2016 года № 11-VI — регулирует ответственность за совершение платежей и оспаривание несанкционированных списаний; проверено 2026-08-10.
• Закон РК «О персональных данных и их защите» от 21 мая 2013 года № 94-V — требования к сбору и обработке конфиденциальной информации клиентов; проверено 2026-08-10.