«Приложите карту к телефону»: NFC-мошенничество в Казахстане

Если вас просят приложить карту к телефону, мошенники уже поставили на ваш смартфон приложение с доступом к NFC. Оно читает чип карты и сразу передаёт данные сообщнику у банкомата: карта лежит у вас, а деньги уходят в другом городе. Статистики по NFC-схемам в Казахстане нет. Начинается схема со звонка, а звонки «из банка» и поддельные SMS, по данным Генпрокуратуры, дали 23,5% из 26,3 тыс. интернет-мошенничеств за январь–ноябрь 2025 года.

Если вы читаете это, потому что уже приложили карту или увидели списания: сначала раздел «Что делать», потом всё остальное.

Как работает схема, когда просят приложить карту к телефону

Начинается всё со звонка. Звонит «служба безопасности банка», реже «сотрудник Нацбанка». Повод обычно срочный: по карте попытка подозрительной операции, карта скомпрометирована, карта скоро перестанет работать в терминалах. Отдельный вариант легенды звучит технически: нужно «обновить NFC-модуль», иначе бесконтактная оплата отключится. Никакого NFC-модуля, который обновляется по звонку, у банковской карты нет.

Потом приходит ссылка, в SMS или мессенджере, и файл скачивается мимо Google Play. Выглядит он как приложение банка, как «защита карты» или как инструмент Национального банка: в Чехии программы выдавали за приложение Чешского национального банка. Там же установочный файл даже подписан именем жертвы, чтобы выглядеть персональным. После установки программа просит доступ к специальным возможностям Android и уже сама, без вашего участия, доставляет основную вредоносную часть.

Затем очередь карты. «Приложите карту к задней крышке телефона, система подтвердит, что она у вас». Человек прикладывает. Телефон в этот момент работает как считыватель, а данные чипа уходят на сервер мошенников. Следом приложение просит ввести ПИН «для верификации»: без него не получится снять наличные в банкомате. Ни один банк второго уровня не просит прикладывать карту к телефону и не рассылает APK-файлы, а ПИН вводится только в банкомате и платёжном терминале.

Остальное происходит без вас. У сообщника в руках второй телефон, который выдаёт себя за вашу карту. Он подносит его к терминалу в магазине или к банкомату, терминал отправляет запрос, запрос через сервер приходит на ваш телефон, ваша карта отвечает, ответ летит обратно. Пока разговор со «службой безопасности» продолжается, операции идут одна за другой.

Опубликованных казахстанских случаев с суммой по этой схеме пока нет: ни МВД, ни Генпрокуратура NFC-мошенничество отдельно не выделяют. Подробнее всего схема описана в Чехии. 15 августа 2026 года издание Svět Androida рассказало о вредоносной программе WindRelay: аналитики Group-IB нашли 23 образца, часть из них маскировалась под приложения чешских банков, целями были также словацкие и словенские банки. Пока NFC-часть списывала деньги по карте, троян SpyNote на том же телефоне оформлял на имя жертвы онлайн-кредиты. По оценке Group-IB, мошенники успевали и то и другое за один звонок примерно на 13 минут. Предшественник WindRelay, программу NGate, обнаружили в августе 2024 года, она била по клиентам трёх чешских банков. По данным ESET, которые приводит издание, за первые четыре месяца 2026 года в Чехии и Словакии случаев с NGate было больше, чем за весь 2025-й, примерно в 15 раз больше год к году.

Считыватель есть в любом Android-телефоне с NFC, а сервер ретрансляции работает через интернет. Поэтому сообщник может стоять у банкомата в Алматы, Шымкенте или за границей.

Ghost Tap: что это и почему списания идут в другом городе

Ghost Tap — общее название атак, в которых данные карты считывают на одном устройстве, а воспроизводят на другом. Чешский Chip.cz 4 сентября 2026 года описал её коротко: карта физически остаётся у владельца, деньги исчезают. Предупреждения по этой схеме выпускали ESET, Malwarebytes, чешская полиция и Чешский национальный банк.

Карта у вас в кошельке, а в выписке покупки в другом городе. Терминалу всё равно, где лежит пластик. Он получает правильные ответы чипа, и для него карта присутствует. Расстояние между вашим телефоном и телефоном сообщника значения не имеет, пока оба подключены к сети. Отсюда магазины, где вы не были, и снятия в банкоматах, до которых вы не доезжали.

Бывает и по-другому: вашу карту привязывают к Apple Pay или Google Pay на телефоне мошенника, и она превращается в цифровой кошелёк на чужом устройстве. Разница с ретрансляцией в том, что после привязки ваш телефон мошенникам уже не нужен: платить можно, пока банк не удалит чужое устройство из списка кошельков. Поэтому блокировать нужно не только саму карту, но и все её цифровые копии.

Программа для NFC может прийти не одна. В чешском случае рядом работал SpyNote, в других вариантах на телефон ставят программу удалённого доступа. Здесь помогает защита самого банка. Kaspi.kz отказывается работать на телефоне, где установлены TeamViewer, AnyDesk, HopToDesk и подобные программы, где есть root-доступ или jailbreak, и там, где само приложение Kaspi установлено из неизвестного источника. Если после установки «защиты» Kaspi сообщил, что телефон не соответствует требованиям безопасности, значит, на телефоне уже стоит чужая программа. Пока её не удалили, с этого телефона не стоит входить ни в банк, ни в почту, даже если деньги уже списаны.

По каким признакам видно NFC-мошенничество

Что делать, если приложили карту к телефону мошенникам

1. Первые минуты — карта. Заблокируйте её в приложении банка или по номеру с обратной стороны, лучше с телефона родственника, а не с заражённого. Попросите оператора удалить все цифровые кошельки, к которым привязана карта, перевыпустить её и зафиксировать обращение с номером и временем. Если ПИН вводили, скажите об этом прямо.
2. Тогда же — телефон. Включите режим полёта, чтобы приложение потеряло связь с сервером. Удалите всё, что поставили по ссылке; если удаление не даётся, отзовите у программы доступ к специальным возможностям и обратитесь в сервисный центр. Пароли от банков, почты и eGov меняйте с другого устройства.
3. Первый час — линия 116. Позвоните или отправьте сообщение через antifraud.kz, портал Антифрод-центра, который ведёт Национальная платёжная корпорация Нацбанка РК. Сообщите номер, с которого звонили, ссылку на приложение и время списаний. Сам портал подчёркивает, что не запрашивает ПИН, CVV, пароли и SMS-коды: если кто-то «из Антифрод-центра» их просит, это вторая волна той же схемы. О вредоносном приложении можно сообщить и в KZ-CERT.
4. Первые сутки — полиция. Позвоните 102 или подайте заявление через Qamqor. Приложите выписку с временем и местом операций, скриншоты сообщений со ссылкой, журнал звонков, название приложения и, если сохранился, сам установочный файл. Как составить текст, разобрано в материале о том, как написать заявление и добиться регистрации в ЕРДР.
5. 3–10 дней — ЕРДР и банк. Убедитесь, что заявление зарегистрировано, получите талон и заявите ходатайство о признании потерпевшим. В банк подайте письменное заявление о несанкционированных операциях. Проверьте, не оформлены ли на вас займы: в чешском случае кредиты брали параллельно со списаниями. Как это сделать, описано в статье о том, как проверить займы и сим-карты на свой ИИН.
6. Дальше — суд. Если следствие установит, на чей счёт или чей кошелёк ушли деньги, их можно требовать как неосновательное обогащение гражданским иском параллельно уголовному делу.

Наличные, снятые в банкомате через ретранслированный чип, вернуть сложнее всего: получателя денег в выписке нет, есть только адрес банкомата. Покупки в магазинах оставляют больше следов, и по ним работает спор с банком. Операции, подтверждённые вашим ПИН-кодом, банк будет оспаривать жёстче, поэтому в заявлении подробно опишите звонок и установку приложения. Как устроен возврат через банк и Антифрод-центр, разобрано в материале о том, как вернуть деньги, переведённые мошенникам.

Расскажите близким, пока им не написали

Такие схемы работают, потому что о них узнают уже после перевода. Отправьте этот разбор родителям, друзьям, в семейный чат или в чат дома. Одно сообщение сегодня может сберечь чьи-то деньги завтра.

WhatsAppTelegramСкопировать ссылку

Как защититься в следующий раз

• Никогда не прикладывайте карту к своему телефону по чьей-либо просьбе: ни банк, ни полиция так карту не проверяют. — Ставьте приложения только из Google Play, App Store или AppGallery, а файлы APK из ссылок удаляйте не открывая. — Отключите NFC, когда не платите телефоном. На Android переключатель лежит в разделе «Подключения» или «Подключённые устройства», его удобно вынести в шторку и включать перед оплатой. — Снизьте лимит бесконтактных платежей и снятия наличных в приложении банка: сообщник успеет снять не больше лимита, пока вы на линии. — Раз в месяц проверяйте в приложении банка список цифровых кошельков, привязанных к карте, и удаляйте незнакомые устройства. — На звонок о подозрительной операции отвечайте одинаково: кладёте трубку и сами звоните по номеру с обратной стороны карты. — Не носите карту в чехле телефона: заражённое приложение прочитает её прямо там, без вашего участия.

Правило для родителей: карту прикладывают только к терминалу или банкомату, к телефону никогда. Ещё одна схема со звонками и ссылками — подмена QR-кода при оплате.

Что говорит закон

Если деньги ушли, потому что вас обманули по телефону и уговорили поставить приложение, это мошенничество. Ст. 190 УК РК определяет его как хищение чужого имущества или приобретение права на чужое имущество путём обмана или злоупотребления доверием. Пункт 4 части второй отдельно называет обман пользователя информационной системы или сети Интернет, и за него грозит до четырёх лет лишения свободы с конфискацией. Если пострадавших двое и больше, эпизоды повторялись или размер крупный, применяется часть третья: от трёх до семи лет. Текст кодекса опубликован на adilet.zan.kz.

Списание без вашего участия следствие может рассматривать и как кражу: пункт 4 части второй ст. 188 УК РК называет кражу путём незаконного доступа в информационную систему либо изменения информации, передаваемой по сетям телекоммуникаций. Квалификацию выбирает следователь. Ваша задача — подробно описать в заявлении звонок, установку приложения, прикладывание карты и ввод ПИН, если он был.

За само приложение отвечают по главе о компьютерных преступлениях. Статья 210 УК РК, «Создание, использование или распространение вредоносных компьютерных программ и программных продуктов», наказывает и распространение такой программы, по первой части до трёх лет лишения свободы. Статья 205, «Неправомерный доступ к информации», применяется, когда умышленный неправомерный доступ к охраняемой законом информации повлёк существенный вред. Поэтому в заявлении стоит указать не только списания, но и то, что на телефон установили программу, получившую доступ к NFC и специальным возможностям.

Ст. 953 ГК РК обязывает того, кто без оснований приобрёл имущество за счёт другого лица, вернуть его потерпевшему, и это правило действует независимо от того, чьим поведением вызвано обогащение. Если следствие найдёт владельца счёта или кошелька, куда ушли деньги, иск к нему можно подать, не дожидаясь приговора организатору. Норма опубликована в особенной части ГК РК.