Мошенники просят код из SMS: почему его нельзя диктовать никому в Казахстане

Когда мошенники просят код из SMS, домофон и запись к врачу тут только предлог: им нужен доступ к вашему банку, eGov или номеру телефона. Код подтверждает вход или операцию, которую преступник уже начал на своём устройстве. В Экибастузе Павлодарской области в мае 2024 года такой код, названный «оператору связи», обернулся для 63-летней женщины кредитом примерно на 3 млн тенге.

Если вы читаете это, потому что уже продиктовали код: сначала раздел «Что делать», потом всё остальное.

Как работает схема, когда мошенники просят код из SMS

Сам по себе код ничего не стоит. Ценность у него появляется в ту минуту, когда мошенник на своём телефоне ввёл ваш номер в приложении банка, в eGov Mobile или в сервисе займов, и система отправила подтверждение владельцу номера.

Звонят без слова «деньги». Банк ЦентрКредит в августе 2026 года описал, с чего начинается разговор: человеку звонят якобы из поликлиники, по поводу замены счётчиков или заказа с маркетплейса. «Регистратура» приглашает на профосмотр, и запись будто бы нужно подтвердить кодом, а «служба» по замене счётчиков просит цифры из SMS, чтобы внести квартиру в график. Иногда обходятся без звонка: соседка по подъезду пишет в мессенджер, что по ошибке указала ваш номер для нового домофона, и просит переслать пришедший код.

Бывает и первый звонок совсем без кода: вас просят только уточнить ИИН, дату рождения и адрес, денег никто не требует, и разговор кажется безобидным. Такие звонки собирают данные, чтобы следующий «банк» или «полиция» назвали вас по ИИН и прозвучали как настоящая организация. Так что ИИН сам по себе к деньгам не пускает, но делает следующий звонок убедительным.

Потом звучит главная фраза: «сейчас вам придёт SMS, продиктуйте код для подтверждения». Причину называют бытовую, будь то запись к врачу, продление SIM-карты, показания счётчика или замена домофона в подъезде. В сценарии, который разобрал банк, человек называет код, и разговор на этом заканчивается.

Когда код назван, мошенник ставит переадресацию звонков и SMS на другой номер или делает виртуальный дубликат SIM-карты. Так эту схему в мае 2024 года описал начальник отдела по борьбе с киберпреступностью полиции Павлодарской области Ризабек Жанат. Коды, которые банк присылает для входа в личный кабинет, приходят уже преступнику. Он входит в ваше приложение и оформляет кредит на ваше имя, а вы о новых операциях не узнаёте.

Следом звонят уже про деньги. По описанию Банка ЦентрКредит, перезванивает другой «специалист», который представляется сотрудником банка, полиции или службы безопасности, и сообщает, что на ваше имя оформляют кредит или с вашего счёта пытаются украсть деньги. Выход предлагают такой: самому оформить кредит, чтобы опередить мошенников, и перевести деньги на «безопасный счёт».

В Экибастузе в мае 2024 года 63-летней жительнице позвонил «оператор связи» и сообщил, что у её SIM-карты истекает срок действия, а продление нужно подтвердить кодом из SMS. Женщина назвала код. Мошенники перенаправили SMS банка на свой номер, и на её имя оформили кредит примерно на 3 млн тенге. По словам полиции, звонят в таких случаях с коротких, скрытых или иностранных номеров.

В сентябре 2026 года Zakon.kz рассказал о похожем случае в Мойынкумском районе Жамбылской области. Жительнице сначала позвонили якобы из коммунальной службы и попросили код из SMS «для замены домофона», затем звонили от имени ЦОНа и службы безопасности банка и убеждали, что на неё пытаются оформить кредиты. В итоге она сама взяла кредиты и сдала золото в ломбард. На счета четырёх человек ушло около 2,3 млн тенге. Мойынкумский районный суд взыскал эту сумму с получателей как неосновательное обогащение, но на момент публикации решение ещё не вступило в законную силу.

Код от Kaspi приходит только вам и нужен только вам. В Kaspi Гид сказано, что коды для регистрации, подтверждения платежа или перевода приходят по SMS от имени «kaspi.kz», а сотрудники банка никогда не просят подтверждающий код из SMS. Звонящий, который просит его назвать, не из банка, как бы он ни представился. Код регистрации, которого вы не запрашивали, означает, что ваш номер ввели в приложение на чужом телефоне.

С номером 1414 правило то же. Это контакт-центр eGov, и АО «Национальные информационные технологии», оператор электронного правительства, в сентябре 2026 года напомнило: сотрудники eGov, контакт-центра 1414, ЦОНов и правоохранительных органов не запрашивают по телефону SMS-коды. «ЦОН», который просит продиктовать код для заявки на справку, говорит не от имени государства.

По данным Комитета по правовой статистике Генпрокуратуры РК, которые приводит inbusiness.kz, за январь–ноябрь 2025 года зарегистрировано 26,3 тыс. интернет-мошенничеств. Вишинг и ложные SMS от имени банков дали 6,2 тыс. дел, или 23,5%, и эта категория выросла в 2,2 раза к 2024 году. Коды из SMS отдельно в статистике не считают.

По каким признакам видно, что у вас выманивают код

Что делать, если уже назвали код из SMS

1. Первые минуты — банк. Позвоните в свой банк по номеру с карты или из приложения и скажите, что назвали код постороннему. Попросите заблокировать карты и вход в приложение, проверить, не подключено ли новое устройство, и остановить заявки на кредит. Если код был от Kaspi, звоните по номеру из приложения, а не на тот, с которого вам звонили.
2. Сразу после банка — оператор связи, пароли и «Стоп-кредит». Попросите оператора проверить, нет ли переадресации звонков и SMS и не выпускался ли дубликат SIM-карты. Со своего телефона смените пароль на egov.kz и код доступа в банковском приложении. На портале eGov поставьте добровольный отказ от получения займов: по данным Fingramota.kz, запрет через кредитные бюро уходит во все банки и МФО, и кредит по нему оформить нельзя. Если номер пришлось сменить и в Kaspi.kz не войти, Kaspi Гид советует зарегистрироваться под новым номером: ввести имя и ИИН, подтвердить смену номера и следовать шагам на экране.
3. Первый час — данные получателя. Если деньги уже ушли, сообщите банку номер карты или телефона получателя. С июля 2024 года банки и операторы связи вместе с правоохранительными органами связаны через Антифрод-центр Нацбанка: подозрительную операцию, замеченную одним участником, почти сразу видят остальные, а банк может приостановить подозрительный перевод на срок до пяти рабочих дней.
4. Первые сутки — полиция. Позвоните 102 или подайте заявление через Qamqor. Приложите скриншоты SMS с кодом, журнал звонков с номером звонившего, выписку по счёту и документы по кредиту, если его успели оформить. Как составить заявление, разобрано в материале о том, как написать заявление о мошенничестве и добиться регистрации в ЕРДР.
5. Первые 2–3 дня — займы на ИИН. Закажите кредитный отчёт и проверьте, какие займы и SIM-карты числятся за вами: порядок есть в статье о том, как проверить займы и сим-карты на свой ИИН. О каждом чужом займе письменно сообщите кредитору и приложите талон о приёме заявления. Если заём выдали, когда «Стоп-кредит» уже действовал, по данным Fingramota.kz такой долг должен быть списан.
6. 3–10 дней — ЕРДР. Убедитесь, что заявление зарегистрировано в Едином реестре досудебных расследований, и попросите признать вас потерпевшим. Номер дела понадобится банку и кредитору, а если дойдёт до суда, то и суду.
7. Дальше — гражданский иск. Когда следствие установит владельца счёта, на который ушли деньги, их можно требовать как неосновательное обогащение, отдельно от уголовного дела.

Если вы позвонили в банк раньше, чем мошенник вывел деньги или получил одобрение кредита, операцию ещё можно остановить. Если кредит выдан и деньги уже прошли через несколько карт, возврат упирается в поиск получателя и растягивается на месяцы. Будьте готовы к тому, что банк сошлётся на операцию, подтверждённую вашим кодом: тогда главным аргументом станет заявление, поданное в первые часы, и номер дела в ЕРДР. Что успевает сделать банк и когда возможен возврат, подробно разобрано в материале о том, как вернуть деньги, переведённые мошенникам.

Названный код не делает вас соучастником. Вы потерпевший, и заявление в полицию нужно подавать, даже если стыдно рассказывать, как всё произошло. Порядок действий по часам для любого вида обмана собран на странице «Обманули мошенники — что делать».

Как защититься в следующий раз

• Любое SMS с кодом читайте целиком до последнего слова: в нём указаны сервис и цель кода, и «вход в приложение» с «записью к врачу» не спутать.
• Коды из SMS и push-уведомлений, а также от 1414 не называйте никому по телефону и не пересылайте. Кем бы ни представился собеседник, хоть соседом, хоть врачом или полицейским, ответ тот же.
• Входящий звонок от «организации» заканчивайте и перезванивайте сами по номеру с карты, официального сайта или квитанции.
• Не подтверждайте по входящему звонку ни ИИН, ни дату рождения, ни адрес: настоящая поликлиника и банк сверят их у себя.
• Поставьте «Стоп-кредит» на портале eGov заранее, до всякого звонка: пока запрет действует, по данным Fingramota.kz, заём на ваш ИИН не должны выдавать ни банк, ни МФО, даже если код у мошенника.
• Раз в несколько месяцев заказывайте кредитный отчёт и смотрите, какие SIM-карты оформлены на ваш ИИН.
• Расскажите про схему пожилым родственникам. Как ещё обманывают пожилых и оформляют на них кредиты, разобрано в материале о том, как защитить пожилых от навязанных услуг и кредитов.

Что говорит закон

Выманивание кода с последующим кредитом или переводом может быть квалифицировано как мошенничество. Ст. 190 УК РК определяет его как хищение чужого имущества или приобретение права на чужое имущество путём обмана или злоупотребления доверием. Часть вторая отдельно называет мошенничество путём обмана или злоупотребления доверием пользователя информационной системы или сети Интернет, и наказание по ней строже, чем по первой. При более серьёзных обстоятельствах, например крупном ущербе или повторных эпизодах, может применяться часть третья с ещё более строгой санкцией. Полный текст статьи опубликован на adilet.zan.kz, а чем мошенничество отличается от гражданского спора, разобрано в материале о статье 190 УК РК для потерпевшего.

Вход в чужое банковское приложение или eGov по выманенному коду затрагивает и главу о преступлениях в сфере информатизации. Там есть ст. 205 «Неправомерный доступ к информации». Для потерпевшего из этого следует практический вывод: в заявлении описывайте не только списание или кредит. Укажите сам факт входа в ваш аккаунт с чужого устройства и переадресацию SMS, а также время каждого звонка.

Деньги, ушедшие на карту подставного получателя, можно требовать гражданским иском. Ст. 953 ГК РК обязывает того, кто без законных оснований приобрёл имущество за счёт другого лица, вернуть его потерпевшему. Правило действует независимо от того, чьим поведением вызвано обогащение, поэтому требование к владельцу карты можно предъявить даже тогда, когда код вы назвали сами. Норма опубликована в особенной части ГК РК.