Ссылка на бронь квартиры в Казахстане: как у вас забирают всю карту

Если вам прислали ссылку на бронирование квартиры, а на открывшейся странице просят номер карты, срок действия, CVV и код из SMS, это развод. Страница поддельная, данные уходят мошенникам, и с карты снимают уже не задаток, а всё, что позволяют остаток и лимиты карты. Kaspi.kz пишет, что его сотрудники не спрашивают CVC и коды из SMS. О списании сообщают в Антифрод-центр Нацбанка по номеру 116 или через форму на antifraud.kz.

Как работает схема: вам прислали ссылку на бронирование квартиры

Фейковое объявление об аренде охотится за задатком. Эта схема устроена иначе: ей нужна сама карта. Поэтому приманку подают как заботу о вашей безопасности.

Сначала появляется объявление. Квартира хорошая, цена приятная, «хозяин» отвечает в чате площадки почти мгновенно. Как проверить само объявление, разобрано на странице о фейковых объявлениях об аренде. Здесь важнее следующий шаг: собеседник просит продолжить в WhatsApp или Telegram, потому что «в приложении неудобно» или «уведомления не приходят».

В мессенджере «хозяин» говорит, что на квартиру несколько желающих и держать её он готов только по брони. Бронь оформляется «через безопасную сделку», и он присылает ссылку. Адрес похож на krisha.kz, но в нём лишняя буква, дефис или слово вроде «bron». Иногда подключается «служба заботы» площадки: пишет в тот же WhatsApp и присылает скриншоты переписки с «поддержкой», где всё выглядит официально. Krisha.kz сама предупреждает о таких сообщениях от имени агентств и площадки, со скриншотами, собранными в фоторедакторе.

Потом открывается форма. Логотип, цвета, сумма брони, поля для карты. Страница просит номер, срок действия, CVV, а следом код из SMS «для подтверждения». Человек вводит всё, потому что сумма брони небольшая и кажется, что спишется только она.

Прочитайте текст SMS: банк пишет, что именно вы подтверждаете. Сообщение настоящее, поэтому выглядит как часть честной процедуры. Но код приходит на операцию, которую запустил человек с вашими реквизитами, а не на бронь, которую вы видите на экране. Если там незнакомый магазин, перевод или сумма больше брони, ничего не вводите и закрывайте страницу.

Есть зеркальная ветка, где жертва сама сдаёт жильё. Владельцу квартиры звонит «арендатор», хвалит объявление и готов перевести задаток прямо сейчас. Для этого ему якобы нужны номер карты, срок действия и CVV, а потом «пришёл код, продиктуйте». Вариант с тем же смыслом: «я уже оплатил, получите деньги по ссылке». Входящий перевод никогда не требует CVV и кодов из SMS, но в разговоре под давлением об этом не думают.

Тот же сценарий дополняют «проверкой платёжеспособности» со скриншотом баланса, «пробным переводом 1 тенге» с растущими суммами и просьбой поставить «приложение для подтверждения сделки», которое даёт удалённый доступ к телефону.

Приём не новый. Kn.kz в декабре 2019 года описывал его среди афер на рынке жилья Казахстана: мошенник звонит по объявлению о продаже и выпрашивает у владельца CVV/CVC, а затем коды из SMS. Случая с городом и суммой именно по фишингу в аренде в открытых казахстанских источниках мы не нашли, поэтому цифр ущерба здесь нет.

По каким признакам её видно

Схема держится на спешке. Квартира уходит, «хозяин» ждёт, ссылка вот-вот перестанет работать. Любого одного признака достаточно, чтобы остановиться и перепроверить собеседника через саму площадку.

Что делать, если уже ввели данные карты или назвали код

Если вы читаете это, потому что уже ввели данные карты на чужой странице или продиктовали код: сначала этот раздел, потом всё остальное. Счёт идёт на минуты, пока операция не ушла дальше.

1. Первые 10 минут. Заблокируйте карту в приложении банка или по горячей линии, в Kaspi.kz это 9999. Скажите оператору прямо: данные карты и код из SMS попали к мошенникам. Попросите остановить операции, которые ещё не прошли, и назвать номер обращения.
2. Первые 30 минут. Сообщите в Антифрод-центр Нацбанка по номеру 116 или через форму на antifraud.kz. Назовите время и сумму списания, адрес поддельного сайта и номер, с которого вам писали.
3. Первый час. Сохраните доказательства: скриншоты переписки, адресной строки поддельной страницы целиком, профиля собеседника, SMS банка с суммами. Если по просьбе ставили приложение, удалите его, отключите телефон от интернета и смените пароли от банка и eGov с другого устройства.
4. Первый день. Подайте заявление в полицию по номеру 102, в отделе или онлайн через eGov. Получите талон о приёме. Как составить текст, чтобы заявление зарегистрировали в ЕРДР, описано в инструкции по заявлению о мошенничестве. Адрес поддельного сайта укажите в заявлении, а на объявление пожалуйтесь площадке через приложение.
5. Через 3–10 дней. Напишите в банк письменное заявление об оспаривании операции и приложите талон. Если деньги ушли оплатой картой на чужом сайте, попросите рассмотреть чарджбэк. Если операцию подтвердили кодом из SMS, чарджбэк часто отклоняют, но письменное заявление всё равно нужно для следствия и суда. Проверьте, что делу присвоен номер ЕРДР.
6. Дальше. Когда следствие установит владельца счёта, куда ушли деньги, подавайте к нему гражданский иск. Подробнее о том, что может банк и чего ждать от следствия, на странице как вернуть деньги, переведённые мошенникам.

Про шансы честно. Лучше всего они в первые минуты, пока банк может остановить операцию. Когда код из SMS вы ввели сами, банк вправе считать операцию подтверждённой владельцем, и спор становится тяжелее. Если деньги успели уйти со счёта получателя, возврат зависит уже от следствия и суда.

Расскажите близким, пока им не написали

Такие схемы работают, потому что о них узнают уже после перевода. Отправьте этот разбор родителям, друзьям, в семейный чат или в чат дома. Одно сообщение сегодня может сберечь чьи-то деньги завтра.

WhatsAppTelegramСкопировать ссылку

Как защититься в следующий раз

• Не вводите CVV и код из SMS ни на какой странице, куда вас привела ссылка из переписки. Бронь квартиры этого не требует. — Ведите переписку только в чате приложения площадки. Просьбу перейти в мессенджер считайте первым тревожным знаком. — Открывайте Krisha.kz и банк только через официальные приложения, скачанные из магазина приложений. — Проверяйте домен по буквам, если всё же открыли ссылку: двойник выдаёт себя лишним символом или словом. — Не отправляйте скриншоты баланса, фото карты и не делайте «пробных» переводов по чьей-то просьбе. — Не ставьте приложения, которые вам посоветовал собеседник по сделке. — Задаток передавайте после просмотра и по письменному договору в двух экземплярах, как советует сама площадка. Как составить такой договор и не потерять деньги до встречи, разобрано на странице о задатке за аренду квартиры.

Если вы сдаёте квартиру, правило то же, только с другой стороны. Чтобы получить перевод, достаточно номера телефона или карты. Всё, что сверх этого, запрашивают только для того, чтобы списать. Звонок «арендатора», который торопит и просит продиктовать код, заканчивайте сразу, без объяснений. Настоящий арендатор приедет на просмотр, а перевод задатка по договору пройдёт по номеру телефона за минуту.

Что говорит закон

Хищение денег через поддельную страницу оплаты или выманенные реквизиты карты обычно квалифицируется как мошенничество. Статья 190 УК РК определяет его как хищение чужого имущества или приобретение права на него путём обмана или злоупотребления доверием. Пункт 4 части второй этой статьи выделяет обман или злоупотребление доверием пользователя информационной системы или сети Интернет, и наказание по нему строже, чем за обычный обман при встрече. Если деньги списали через чужой доступ к вашему банковскому приложению, следствие может квалифицировать это как кражу по пункту 4 части второй статьи 188 УК РК, путём незаконного доступа в информационную систему. Текст кодекса опубликован на adilet.zan.kz.

Если в деле участвовала программа удалённого доступа или вход в ваш банковский аккаунт с чужого устройства, это тоже стоит описать в заявлении. В Уголовном кодексе есть отдельная глава о преступлениях в сфере информатизации и связи, и следователю нужны факты: что именно вы установили, какие разрешения давали, когда пришли SMS.

Деньги, списанные с вашей карты, оказываются на счёте конкретного человека, даже если это подставной владелец карты. Статья 953 ГК РК о неосновательном обогащении обязывает того, кто без законного основания получил деньги за чужой счёт, вернуть их. Требовать можно в гражданском суде, в том числе когда организатор схемы не найден.

Ввод данных на поддельной странице не делает вас виноватым. Вы потерпевший, и заявление нужно подавать, даже если кажется, что сами всё отдали. Без заявления у банка и следствия нет основания действовать. Талон о приёме заявления сохраните: он понадобится банку и суду.