Покупатель прислал ссылку на оплату: как не потерять деньги в РК

Если покупатель прислал ссылку для оплаты на OLX, Kolesa или Krisha, это фишинг. Страница копирует площадку, показывает ваш товар и просит номер карты, срок действия, CVV и код из SMS «для зачисления». Деньги с карты списывают сразу после ввода. Масштаб в Казахстане виден по OLX: за 2025 год площадка заблокировала 655 тысяч аккаунтов, в том числе связанных с фишингом и попытками получить персональные данные.

Если вы читаете это, потому что уже ввели данные карты или назвали код: сначала раздел «Что делать», потом всё остальное.

Как работает схема со ссылкой на оплату

Мошенник выбирает свежее объявление. Диван, телефон, машина, квартира в аренду: товар не важен, важен продавец, который ждёт денег. «Покупатель» пишет в чат площадки коротко, соглашается на цену без торга и почти сразу просит номер WhatsApp или Telegram. Причина простая: переписку внутри площадки видит модерация, а в мессенджере ссылку никто не проверит.

Дальше появляется легенда, объясняющая, почему нельзя встретиться. Он в другом городе, в командировке, товар заберёт курьер, а оплата пройдёт «через доставку OLX» или задатком, чтобы вы сняли объявление. Kolesa.kz в октябре 2020 года описывала такой сценарий: «покупатель» пишет в WhatsApp, говорит, что находится в другом городе, и готов отправить задаток.

Потом приходит ссылка. Открывается страница с фотографией вашего товара, ценой из объявления, надписью об оплаченном заказе и кнопкой «Получить средства». Адрес похож на настоящий, но это не он: в примере Kolesa страница висела на домене pay-kolesa.site, а ссылка выглядела как pay-kolesa.site/cash77408288. Иногда вместо ссылки присылают QR-код картинкой, чтобы фильтр мессенджера не распознал адрес, и это та же схема, что разобрана в материале о мошенниках с QR-кодами.

Форма на странице просит номер карты, срок действия и CVC. К форме бывает добавлено условие: на карте должна лежать сумма не меньше перевода, «для проверки». Kolesa упоминала это требование в разборе поддельной страницы. Последний шаг — код из SMS «для подтверждения получения». На самом деле SMS пришло от вашего банка и подтверждает списание или привязку карты к чужому кошельку. Как писал Tengrinews, введённые на сайте-двойнике данные мошенники могут видеть в режиме реального времени. По данным полиции, которые приводил Informburo, деньги похищают моментально, а сам сайт через несколько секунд блокируется.

Если деньги ушли, схема заходит на второй круг. Пишет или звонит «поддержка OLX» или «служба безопасности площадки»: объявление заблокировано, нужно подтвердить личность, а украденное вернут, если вы ещё раз введёте данные, оплатите комиссию или установите «приложение для перевода». Последнее — программа удалённого доступа к телефону. Отдельно мы разбирали, почему предложение вернуть деньги у мошенников всегда оказывается новым обманом.

Случаи из Казахстана известны с 2020 года. 7 октября Kolesa.kz опубликовала предупреждение о странице «Получить задаток» и заявила, что компания не имеет отношения к pay-kolesa.site. Через два дня Tengrinews рассказал о схеме «Оплачу через OLX»: мошенник под видом покупателя готов заплатить авансом на любых условиях, предлагает перевести деньги «через OLX» и присылает ссылку на сайт-двойник. Площадка тогда опубликовала памятку и советовала встречаться лично.

Суммы появились весной 2021 года. В марте полиция Нур-Султана сообщила о более чем 100 жителях столицы, которые попались на «OLX-доставку»: «покупатель» из другого города присылал ссылку, продавец вводил на поддельном сайте данные карты, CVV и ИИН. Общий ущерб составил около 2 млн ₸, по всем фактам возбуждены уголовные дела. Об этом писал Informburo.

Зачем «покупателю» CVV и код из SMS

Чтобы отправить вам деньги, ему не нужно от вас ничего, кроме адреса перевода. В Казахстане это номер телефона, к которому привязан счёт в банке, или 16 цифр карты. Для перевода на карту достаточно её номера или номера телефона. Никакой кнопки «получить» на стороне получателя не существует, перевод просто появляется в истории операций.

Всё остальное нужно тому, кто списывает. Срок действия и три цифры с обратной стороны карты вводят, когда платят в интернете. Код из SMS банк присылает, чтобы вы подтвердили вход, платёж или перевод. Kaspi.kz в своём разделе о безопасности предупреждает: компания никогда не просит фото или данные карты, код подтверждения из SMS или код от личного кабинета, а настоящие коды приходят от имени «kaspi.kz» для регистрации, подтверждения платежей и переводов. Для получения денег CVV и код из SMS не нужны никогда.

Сам по себе номер карты без срока и CVV для оплаты в интернете не годится. Но он даёт мошеннику правдоподобный повод для следующего звонка «из банка». Проще и безопаснее назвать номер телефона для перевода.

С «доставкой» то же самое. Доставки с оплатой по ссылке у OLX.kz нет. Tengrinews, разбирая схему «Оплачу через OLX», отдельно отметил, что системы денежных переводов на сайте объявлений нет, а памятка площадки советует не открывать ссылки от потенциальных покупателей. Любая настоящая функция площадки открывается в вашем личном кабинете на olx.kz или в приложении, куда вы заходите сами, а не по присланной ссылке.

Покупатель прислал ссылку для оплаты: признаки фишинга

Тот же приём работает и без объявления. Пришла SMS о посылке, которую вы не заказывали, с предложением доплатить за хранение или таможню по ссылке? Под «Казпочту» и курьерские службы маскируют страницы с той же формой для номера карты, срока и CVV. Заказ проверяют в приложении перевозчика или по трек-номеру из магазина, где покупали, а ссылку из SMS не открывают.

Что делать, если уже ввели данные карты или продиктовали код

1. Первые минуты — карта. Заблокируйте карту в приложении банка или по горячей линии, номер которой указан на обороте. Если на поддельной странице вы вводили пароль от приложения или код входа, смените пароль и завершите чужие сеансы.
2. Первые 30 минут — звонок в банк. Скажите, что данные карты выманили через поддельную страницу, назовите время ввода и подайте заявление на отмену (опротестование) операций. Попросите номер обращения и продублируйте заявление письменно. Сделайте скриншоты страницы, адреса ссылки, переписки и профиля «покупателя».
3. Первый час — 116 и antifraud.kz. Сообщение о мошенничестве принимает Антифрод-центр Нацбанка: форма на сайте antifraud.kz, по телефону единый номер 116. Параллельно пожалуйтесь на профиль мошенника в OLX или Kolesa, а если страница копировала Kaspi, отправьте её через форму «Сообщить о мошенничестве».
4. Первые сутки — полиция. Позвоните 102 или подайте заявление через Qamqor. Приложите ссылку, номер WhatsApp или Telegram, скриншоты и выписку по списаниям.
5. 3–10 дней — ЕРДР. Добейтесь регистрации заявления в Едином реестре досудебных расследований и признания вас потерпевшим: без этого банк не выдаст следствию данные владельца счёта. Как составить заявление, чтобы его не вернули, написано в материале о заявлении в полицию.
6. Дальше — суд. Когда владелец счёта, куда ушли деньги, установлен, требуйте их гражданским иском о неосновательном обогащении, не дожидаясь приговора организатору.

Про шансы честно. Если вы ввели данные, но деньги ещё не списаны, заблокированная карта спасает всё. Если списание прошло с подтверждением вашим же кодом, для банка операция выглядит как ваша, и спор с ним идёт тяжело. Тогда решают скорость сигнала на 116 и то, успели ли деньги уйти дальше со счёта подставного получателя. Что успевает сделать банк в первые часы и когда помогает чарджбэк, разобрано в материале о том, как вернуть деньги, переведённые мошенникам.

Если деньги уже списаны и через день вам пишет «юрист» или «поддержка» с предложением вернуть их за процент, это продолжение той же атаки. Никому, кроме банка и следователя, данные по делу не передавайте.

Расскажите близким, пока им не написали

Такие схемы работают, потому что о них узнают уже после перевода. Отправьте этот разбор родителям, друзьям, в семейный чат или в чат дома. Одно сообщение сегодня может сберечь чьи-то деньги завтра.

WhatsAppTelegramСкопировать ссылку

Как защититься в следующий раз

• Для получения денег давайте только номер телефона, к которому привязан счёт. Ссылки, формы и кнопки «Получить средства» не нужны. — Не называйте никому срок действия карты, CVV и коды из SMS, даже «сотруднику площадки» или «курьеру». — Переписку ведите в чате OLX, Kolesa или Krisha: Kolesa прямо советует общаться только через личные сообщения на сайте. — Поддельный сайт OLX выдаёт адрес, поэтому читайте его целиком. Настоящий — olx.kz, всё с дополнительными словами, дефисами и другими окончаниями принадлежит кому-то ещё. Замок в адресной строке ничего не гарантирует, сертификат есть и у подделки. — Для онлайн-сделок заведите отдельную карту и держите на ней ноль, пополняя только перед покупкой. — Любую ссылку «от Kaspi», «от OLX» или «от почты» закрывайте и заходите в приложение сами. — Поддельный профиль отправляйте на модерацию: у OLX для этого работает проект Stop Alayaq, через который пользователи сообщают о подозрительных объявлениях и аккаунтах.

По данным Tengrinews, OLX Казахстан за 2025 год удалил более 2 млн объявлений с нарушениями и рассмотрел 650 тысяч жалоб. Ссылка, которую прислали в WhatsApp, в эти цифры не попадает: там её видите только вы.

Что говорит закон

Выманивание данных карты под видом оплаты — мошенничество. Ст. 190 УК РК определяет его как хищение чужого имущества или приобретение права на чужое имущество путём обмана или злоупотребления доверием. Пункт 4 части второй отдельно называет обман пользователя информационной системы или сети Интернет, и поддельная страница площадки подпадает под него. За это грозит до четырёх лет ограничения или лишения свободы с конфискацией имущества. Если мошенник похитил деньги у двух и более человек или действовал неоднократно, дело переходит в часть третью: от трёх до семи лет. Текст кодекса опубликован на adilet.zan.kz.

Когда кражей дело не ограничивается, добавляются статьи о компьютерных преступлениях. Ст. 205 УК РК «Неправомерный доступ к информации» применяется, если умышленный доступ к охраняемой законом информации повлёк существенный вред. Если «поддержка» уговорила установить программу, которая читает SMS или управляет телефоном, к делу относится ст. 210 УК РК о создании, использовании и распространении вредоносных компьютерных программ. В заявлении стоит описать не только списание, но и всё, что вы ставили на телефон по чужой просьбе.

Для возврата денег есть гражданский путь. Ст. 953 ГК РК обязывает того, кто без оснований приобрёл имущество за счёт другого лица, вернуть его. Правило действует независимо от того, чьим поведением вызвано обогащение, поэтому владелец карты, на которую ушли ваши деньги, отвечает перед вами, даже если сам говорит, что «только дал карту в пользование». Норма опубликована в особенной части ГК РК.