Фишинговый сайт Kaspi и SMS «от банка»: как отличить подделку в Казахстане

Фишинговый сайт Kaspi, SMS о списании с «номером горячей линии» и письмо «от eGov» работают одинаково. Сообщение от имени банка или госоргана ведёт туда, где вы сами отдаёте пароль, данные карты или код из SMS. Отличить подделку в Казахстане проще всего одним правилом: проверять не сообщение, а приложение банка. За январь–ноябрь 2025 года на фишинг пришлось 18,5% зарегистрированных в стране интернет-мошенничеств, по данным Комитета по правовой статистике Генпрокуратуры РК, которые приводит inbusiness.kz.

Если вы читаете это, потому что уже ввели данные или продиктовали код: сначала раздел «Что делать», потом всё остальное.

Как работает схема фишинга от имени банка

Повод мошенники берут из обычной жизни с банком. Это списание, которого вы не делали, налоговый долг, сгорающие бонусы или заявка на кредит, которую вы не подавали. В декабре 2025 года Центр прогнозирования преступных угроз и рисков общественной безопасности Генпрокуратуры РК добавил к ним ещё три повода: «ошибку авторизации», замену домофона и проверку счётчиков. Каждый рассчитан на то, чтобы человек захотел что-то проверить или отменить сразу, не откладывая до вечера.

Сообщение приходит SMS с подменённым отправителем, письмом на почту, уведомлением внутри приложения или в WhatsApp и Telegram. Госпорталу подделывают письма точно так же. 11 декабря 2025 года eGov.kz предупредил о рассылках и звонках от своего имени, которые уводят на сторонние сайты и в чаты мессенджеров.

Ссылка из сообщения ведёт на сайт-двойник, адрес которого отличается от настоящего на одну букву, дефис или ноль вместо «о». Бывает, что ссылки нет вовсе и в тексте стоит номер телефона. Генпрокуратура назвала это схемой «позвоните сами». Человек набирает номер из SMS и попадает в колл-центр мошенников. Собеседнику он верит больше обычного, потому что звонил сам, а исходящий звонок кажется безопасным. Разговор быстро сводится к просьбе назвать код или CVV.

С номером телефона, паролем и одноразовым кодом мошенники входят в ваш банк. Деньги уходят переводами, которые система видит как ваши собственные операции.

Свежий казахстанский случай описал Finratings.kz 3 апреля 2026 года. Пользователь Threads получил SMS «от Halyk Bank» с того же номера, с которого банк присылает коды подтверждения, то есть в ту же переписку, где лежат настоящие коды. В тексте говорилось о накопленных бонусах, которые пора потратить. Ссылка вела в «каталог», а при оформлении заказа появлялась платная доставка и форма для данных карты. Банк предупредил, что реквизиты карты, введённые на такой странице, скомпрометированы. Были ли пострадавшие и на какую сумму, в публикации не сообщается.

6 ноября 2023 года Комитет госдоходов по Мангистауской области предупредил о схеме, которой не нужны ни сайт, ни звонок, передавал Kursiv. В приложении Kaspi людям приходили сообщения о том, что им «выставлен счёт для оплаты налоговой задолженности», с кнопкой «оплатить», и нажатие списывало деньги без дополнительного подтверждения. Как отличить настоящее начисление от подставного, разобрано в материале о поддельных уведомлениях об оплате.

Как отличить фишинговый сайт Kaspi: признаки фишинга от имени банка

Как выглядит поддельный домен, видно по kaspi-bannk.com. В июле 2019 года о нём сообщили в KZ-CERT, Национальную службу реагирования на компьютерные инциденты, писал Profit.kz. Домен зарегистрировали в тот же день, и сайт, в отличие от настоящего, сразу открывал окно входа, просил номер телефона и пароль, а потом одноразовый код. Сумму ущерба тогда не раскрывали. Домен читают справа налево, сначала зону, потом имя. У kaspi-bannk.com зона .com вместо .kz и лишняя «n» в слове bank, а логотип и цвета страницы копируются за минуты, поэтому KZ-CERT советовала смотреть именно на доменное имя в строке браузера. Если пришла ссылка «от Kaspi», проще вовсе по ней не переходить: откройте приложение банка сами, с главного экрана, и проверьте, есть ли там то, о чём говорит сообщение. Нажимать на push по той же причине не стоит, вредоносное приложение умеет рисовать уведомление, неотличимое от банковского.

Если пришла SMS о списании, но деньги на месте, смотрите баланс и историю операций в приложении, открытом самостоятельно. Нет списания там, значит, его не было, и сообщение нужно только для того, чтобы вы позвонили по номеру из текста. То же с SMS о заявке на кредит, которую вы не подавали: номер «для отмены» в ней и есть приманка. Если же займ действительно появился, это уже вопрос о том, сколько займов и сим-карт оформлено на ваш ИИН.

Что делать, если ввели данные на фишинговом сайте или перевели деньги

1. Первые 30 минут: банк. Позвоните по номеру с обратной стороны карты или из приложения, только не по номеру из SMS. Заблокируйте карту, смените пароль входа, попросите остановить операции, зафиксировать обращение с номером и временем и передать случай в Антифрод-центр Национального банка. Если диктовали код, скажите об этом прямо, и банк проверит, не входили ли в ваш аккаунт с чужого устройства. Сохраните скриншоты сообщения, адреса сайта и номера отправителя.
2. Первый час: 116. Номер, с которого пришло SMS или звонили, сообщите на 116, в единый колл-центр сотовых операторов. Сам Антифрод-центр Нацбанка (antifraud.kz) принимает инциденты через банк, если был перевод, и через полицию, в том числе по обращению в E-Өтініш. Центр не запрашивает ни PIN, ни CVV, ни пароли, ни SMS-коды, так что «сотрудник Антифрод-центра» с такой просьбой тоже мошенник.
3. В тот же день: KZ-CERT. Адрес поддельного сайта отправьте в Национальную службу реагирования на компьютерные инциденты по номеру 1400 или на incident@kz-cert.kz. Эти контакты служба публикует на своём сайте cert.gov.kz.
4. Первые сутки: полиция. Позвоните 102 или подайте заявление через Qamqor. Приложите скриншоты, адрес сайта, выписку по счёту и номер обращения в банк. Как составить текст, чтобы заявление приняли, разобрано в материале о заявлении в полицию и регистрации в ЕРДР.
5. Первые три дня: проверка всего остального. Посмотрите, не оформлены ли на ваш ИИН новые займы, смените пароли от eGov, почты и других банков. Если по ссылке ставили приложение, удалите его и отзовите у него доступ к SMS и уведомлениям.
6. Следующие дни: ЕРДР и статус потерпевшего. Заявление должны зарегистрировать в Едином реестре досудебных расследований в течение суток. Если талона о регистрации нет, жалуйтесь прокурору. Если после регистрации вас не признали потерпевшим, подайте ходатайство следователю. Без регистрации банк не выдаст следствию данные владельца счёта.
7. Дальше: суд. Когда владелец счёта, куда ушли деньги, установлен, их требуют как неосновательное обогащение в гражданском иске, параллельно уголовному делу.

По данным МВД, которые приводит finance.kz, до 80% подобных инцидентов остаются нераскрытыми, а возврат средств в 2025 году не превышал 26%. Пока деньги лежат на карте получателя, банк может их заморозить. После снятия наличными возврат упирается в поиск этого человека. Что банк успевает сделать и когда применим возврат платежа, подробно разобрано в материале о том, как вернуть деньги, переведённые мошенникам.

Расскажите близким, пока им не написали

Такие схемы работают, потому что о них узнают уже после перевода. Отправьте этот разбор родителям, друзьям, в семейный чат или в чат дома. Одно сообщение сегодня может сберечь чьи-то деньги завтра.

WhatsAppTelegramСкопировать ссылку

Как защититься в следующий раз

• Входите в банк только через официальное приложение, открытое с главного экрана, и никогда по ссылке из SMS, письма или мессенджера. — Номер банка берите с обратной стороны карты или из приложения; номер из текста SMS не набирайте, даже если сообщение пришло в ту же ветку, что и настоящие коды. — Коды подтверждения, CVV и данные для входа не называйте никому, кто звонит или пишет первым, включая «службу безопасности». — Налоговые долги сверяйте в e-Salyq Azamat или в разделе налогов своего банка, а не по кнопке «оплатить» из присланного счёта. — Перед вводом чего-либо на сайте прочитайте домен справа налево и сравните его с тем, который знаете. — Приложения ставьте только из магазина приложений и не выдавайте им доступ к SMS и уведомлениям без понятной причины. — Подозрительный адрес отправьте в KZ-CERT, а номер отправителя сообщите на 116, в единый колл-центр сотовых операторов. Заблокированный сайт уже не сработает на следующем человеке.

Что говорит закон

Выманивание денег через поддельный сайт или звонок квалифицируется как мошенничество. Статья 190 УК РК определяет его как хищение чужого имущества или приобретение права на чужое имущество путём обмана или злоупотребления доверием. Пункт 4 части второй отдельно называет обман или злоупотребление доверием пользователя информационной системы или сети Интернет, и фишинговая страница подпадает именно под него. По этой части наказание доходит до четырёх лет лишения свободы с конфискацией имущества, а если ущерб крупный, преступление совершено неоднократно или в отношении двух и более лиц, применяется часть третья, и наказание по ней составляет ограничение или лишение свободы на срок от трёх до семи лет. Текст кодекса опубликован на adilet.zan.kz.

Когда в деле участвует вредоносное приложение, которое рисует поддельные уведомления или читает SMS, к мошенничеству добавляются статьи главы 7 УК РК «Уголовные правонарушения в сфере информатизации и связи». Статья 210 наказывает создание, использование или распространение вредоносных компьютерных программ и программных продуктов. Статья 205 «Неправомерный доступ к информации» применяется, если умышленный доступ к охраняемой законом информации повлёк существенный вред. Поэтому в заявлении стоит описать не только списание, но и то, что вы устанавливали и какие разрешения давали.

Статья 953 ГК РК обязывает вернуть неосновательное обогащение. Владелец карты, на которую ушли ваши деньги, отвечает перед вами в гражданском порядке, даже если организатора схемы так и не нашли, а сам он утверждает, что лишь «одолжил карту». Норма опубликована в особенной части Гражданского кодекса.