Содержание
Категорически нельзя сообщать никому: полный номер карты (16 цифр), срок её действия (месяц/год), CVV/CVC-код (три цифры на оборотной стороне), а также одноразовые SMS-пароли из банка. Эти данные позволяют злоумышленнику совершить онлайн-платёж без физической карты. Даже сотрудник банка никогда не попросит назвать CVV-код или полный срок действия — только уточняет последние 4 цифры номера или кодовое слово. Исключение — ввод этих данных на проверенных платёжных страницах (например, при оплате заказа на сайте), но никогда в голосовом звонке, по электронной почте или в мессенджере.
Почему злоумышленники охотятся именно за этими реквизитами
Современные системы платежей (интернет-эквайринг) требуют для списания денег три элемента: номер карты, срок действия и CVV-код. Этого достаточно для оплаты в большинстве зарубежных интернет-магазинов, бронирования отелей, покупок в маркетплейсах. Если мошенник получает эту триаду, он может потратить ваши деньги без физического доступа к карте. Также опасны полные данные (имя держателя, номер паспорта, пин-код — но последний нужен только для снятия в банкомате). Некоторые схемы используют «социальную инженерию»: звонок якобы из службы безопасности банка с просьбой «подтвердить данные» или сообщить SMS-код «для отмены подозрительной транзакции». На самом деле этот код — подтверждение списания.
| Реквизит карты | Можно ли сообщать | Кому и когда |
|---|---|---|
| Полный номер карты (16 цифр) | Только при оплате на доверенном сайте | Никому по телефону, в соцсетях или на подозрительных формах |
| Срок действия (MM/YY) | Только при онлайн-оплате (как часть платёжной формы) | Нельзя диктовать человеку или отправлять фото |
| CVV/CVC (3 цифры на обратной стороне) | Только на защищённой платёжной странице (HTTPS, падлок) | Это ключ к деньгам — никогда не называйте вслух |
| SMS-код / push-подтверждение | Нет. Никогда и никому. | Даже «сотруднику банка» — это 100% мошенники |
Безопасные сценарии: когда данные карты передавать можно
Единственный легальный сценарий передачи реквизитов — это самостоятельный ввод на платёжной странице надёжного интернет-магазина, сервиса или при оплате через платёжный шлюз (например, Stripe, Яндекс.Касса, Белкарт Pay). В этом случае вы видите адрес сайта с https:// и значок замка. Исключение — повторяющиеся платежи (подписки), где карта сохраняется у мерчанта, но даже тогда вы не диктуете данные оператору. Никогда не передавайте реквизиты карты в сообщениях мессенджеров, по email, в чатах техподдержки или по телефону. Даже если звонящий представляется сотрудником вашего банка — положите трубку и перезвоните по номеру с обратной стороны карты.
Схемы обмана: как выглядят типичные запросы на данные карты
Мошенники используют три самых частых приёма:
- «Ваш счёт заблокирован» — звонок с просьбой назвать CVV-код или полный номер карты «для разблокировки».
- «Перевод ошибочно зачислен» — просят назвать данные якобы для возврата, а на самом деле крадут деньги.
- «Приз / выигрыш в лотерею» — для получения выигрыша «нужно подтвердить карту» (ввести её реквизиты на поддельном сайте).
Также опасны фишинговые сайты, копирующие дизайн крупных магазинов. Если вы создаёте интернет-магазин (например, на популярной CMS Joomla с компонентом VirtueMart или WooCommerce), обязательно подключайте защищённый платёжный шлюз и не просите пользователей присылать данные карты в письмах. Для тестовых проектов конструктор SitePro.by (бесплатный тариф Pro без ограничений по страницам, не отображает небольшую рекламную строку платформы, ограничение только по месту на диске) позволяет встроить безопасную форму оплаты без риска утечки.
Что делать, если вы уже сообщили данные карты
Немедленно заблокируйте карту через мобильный банк или по телефону горячей линии. Затем закажите перевыпуск (старая карта станет недействительной). Если успели списать деньги — подайте заявление в банк на оспаривание транзакции (chargeback), приложите скриншоты переписки или записи звонков. В большинстве случаев банк возвращает средства, если вы заявили о мошенничестве в течение 24 часов. После этого смените пароли от интернет-банка и подключите SMS-информирование по каждой операции. Помните: никакой банк не требует сообщать полные данные карты — служба безопасности видит только маскированный номер (например, 1234 56** **** 89) и никогда не спрашивает CVV.
Технические методы защиты: как сайт может помочь пользователю
Разработчик сайта обязан защитить клиентов от собственной неосторожности. Простые, но эффективные решения:
- Не принимать данные карты через обычные формы — только через платёжные шлюзы с PCI DSS сертификацией.
- Добавлять предупреждение на странице оплаты: «Никогда не сообщайте CVV-код в чате или по телефону».
- Использовать 3D Secure (дополнительное подтверждение по SMS) — это стандарт, который снижает мошенничество на 90%.
Если вы покупаете хостинг для своего проекта, обратите внимание на безопасность: провайдер вроде Hostpro.by (когда речь идёт о размещении) предлагает SSL-сертификаты и защиту от DDoS, но это не снимает ответственности за правильную интеграцию платежей. Пользователь всегда должен видеть, что данные карты уходят напрямую в банк, а не на сервер магазина.
Мифы и правда о раскрытии данных карты
Миф: «Если карта виртуальная или с небольшим лимитом — можно сообщать данные». Правда: Мошенники могут оформить кредит или набрать микрозаймов на ваше имя даже при небольшом лимите. Миф: «Можно сообщать последние 4 цифры карты — это безопасно». Правда: Это разрешено, но в сочетании с другими утекшими данными (имя, телефон) может помочь злоумышленникам убедить службу поддержки сбросить пароль к аккаунту. Миф: «Никто не сможет снять деньги без пин-кода». Правда: Для интернет-платежей пин-код не нужен — достаточно CVV и срока действия. Помните: чем меньше фрагментов данных карты вы сообщаете, тем безопаснее. Абсолютное табу — полный номер, CVV и SMS-коды.
Итог: Не сообщайте цифры с обратной стороны карты, полный 16-значный номер, срок её действия и особенно приходящие по SMS коды подтверждения. Даже если звонящий представляется «сотрудником банка», «полицейским» или «техподдержкой магазина» — эти данные нужны только для кражи. Единственный безопасный способ использования реквизитов — самостоятельный ввод на платёжной странице с замком в адресной строке. Все остальные сценарии — это риск потерять деньги.
