Если вы уже сообщили код, ввели пароль или дали доступ к телефону, сначала остановите возможный ущерб. Прекратите разговор и свяжитесь с банком по самостоятельно найденному официальному номеру. При подозрении на управление телефоном используйте другое доверенное устройство. Не ждите, пока появится списание, и не переводите деньги для «отмены» операции.

Фишинг — обман, при котором человека подталкивают раскрыть секреты, подтвердить чужое действие или открыть поддельный ресурс. Здесь разбираем сообщения, сайты и захват аккаунта. Проверку инвестиционных предложений и кредитных посредников рассматриваем отдельно в инструкции о финансовом мошенничестве.

Чем опасен фишинг

Пароль, одноразовый код и подтверждение в приложении могут открывать разные действия: вход, смену способа восстановления, платёж или оформление заявки. Важен текст конкретного уведомления, а не объяснение звонящего. Если действие не начинали вы, не подтверждайте его. Ошибка может случиться с любым: обвинять себя и скрывать происшествие менее полезно, чем быстро ограничить доступ.

Переход на страницу сам по себе ещё не доказывает заражение или потерю денег. Но ввод данных, установка приложения и выдача разрешений требуют разных мер. Не ограничивайтесь сменой пароля, если вы одновременно передали доступ к банковскому приложению.

Как работает схема фишинга

Обычно есть приманка, срочное требование и действие в пользу преступника. Например, сообщение о доставке предлагает «доплатить», а уведомление о доверенности — срочно позвонить. НБК 15 октября 2026 года отдельно предупредил о сообщениях про «цифровую доверенность» и кредит: обратный звонок по указанному номеру может быть следующим этапом обмана.

Не продолжайте проверку внутри предложенной мошенником цепочки: его «служба безопасности» и второй «госслужащий» не становятся независимыми источниками. Завершите контакт, откройте знакомое официальное приложение либо сами найдите контакты организации. Не нажимайте ссылку ради проверки её содержимого.

Основные виды фишинга

Названия описывают способ доставки, а не степень безопасности. Одну схему могут начать письмом, продолжить звонком и закончить установкой приложения.

Массовый фишинг через рассылки

Письмо о штрафе, возврате или блокировке приходит многим людям. Совпадение с вашей реальной покупкой не подтверждает отправителя: проверьте заказ в сервисе, который открыли самостоятельно.

Фишинг в мессенджерах и соцсетях

Сообщение может прийти из захваченного аккаунта знакомого. Просьбу проголосовать, занять деньги или переслать код проверьте другим привычным способом связи, не продолжая разговор только в том же чате.

Целевой фишинг

Имя, место работы и детали объявления создают доверие, но не доказывают полномочия собеседника. Не отправляйте документ или секрет только потому, что обращение выглядит персональным.

«Китовый» фишинг

Так называют атаки на руководителей и людей с доступом к важным данным или платежам. Необычное поручение «от директора» требует независимого подтверждения по рабочим правилам, даже при похожем голосе.

Голосовой фишинг: вишинг

Не диктуйте SMS-коды и не устанавливайте удалённый доступ по просьбе звонящего. Номер на экране, видеосвязь, удостоверение и уверенная речь не заменяют обратную проверку через официальный канал.

SMS-фишинг: смишинг

Требование перейти по ссылке для «возврата денег» или продления SIM-карты проверяйте в соответствующем сервисе самостоятельно. Не звоните по номеру из подозрительного сообщения.

QR-коды и другие формы обмана

QR-код тоже может вести на поддельную страницу. Не сканируйте неизвестный код для получения выплаты, не загружайте APK-файлы и не выдавайте доступ к экрану по чужой инструкции.

Признаки фишингового письма

  • От вас требуют секрет, оплату, установку программы или немедленное подтверждение неожиданного действия.
  • Не дают прервать разговор, посоветоваться или проверить обращение самостоятельно.
  • Название отправителя знакомо, но фактический адрес и контекст сообщения не совпадают с ожидаемыми.
  • Вложение или ссылка предлагаются без понятной причины, а последствия скрыты за словами «проверка» или «защита».

Грамотный текст и настоящий логотип не делают сообщение безопасным. Не отвечайте, не открывайте вложение и не используйте кнопку «отписаться» в подозрительном письме. Для проверки события достаточно зайти в сервис известным вам путём; исследовать ресурс злоумышленника не требуется.

Как оценить адрес сайта без опасного перехода

Сверяйте полный адрес с тем, который получили из независимого официального источника. Не выбирайте «первую рекламу в поиске» автоматически. Знакомое слово может находиться в имени поддомена или пути и ничего не говорить о владельце основного домена. В учебном адресе bank.example.invalid слово «bank» не доказывает принадлежность банку; это нерабочий пример, открывать его не нужно.

HTTPS и значок защищённого соединения не гарантируют честность сайта. Они не заменяют проверку адреса и получателя. Красивый дизайн, домен .kz, сертификат или копия лицензии тоже не являются самостоятельным доказательством. Не проверяйте сомнительную форму пробным вводом карты или небольшим платежом.

Как снизить риск захвата аккаунта

Используйте разные пароли и доступную многофакторную защиту. Обновляйте устройство и приложения из официальных источников, включите уведомления о банковских операциях. Не передавайте PIN, CVV/CVC, пароль, резервный код или код подтверждения собеседнику. Не подтверждайте вход, который вы не инициировали.

Читайте содержание SMS и push до подтверждения. Нельзя «отменить кредит», оформив по указанию звонящего новый, или «сохранить деньги», переведя их на предложенный им счёт. Сервис «Стоп-кредит» может быть дополнительной мерой против нежелательных займов, но не блокирует кражу из уже открытого счёта и имеет законные исключения. Он не заменяет защиту устройства и обращение в банк.

Что делать в зависимости от того, что произошло

  1. Только получили сообщение. Не взаимодействуйте с ним. При необходимости проверьте событие через официальный канал и отметьте сообщение как фишинг средствами почты или мессенджера.
  2. Открыли страницу без ввода данных. Закройте её. Не соглашайтесь на загрузки и разрешения. Если запускали файл или появились признаки компрометации, прекратите банковские действия на этом устройстве и организуйте его проверку.
  3. Ввели пароль или код. С доверенного устройства восстановите контроль через официальный сервис: смените пароль, проверьте способы восстановления и завершите неизвестные сеансы. При доступе к финансам сразу уведомите банк; не откладывайте звонок ради полной проверки телефона.
  4. Передали карту, установили удалённый доступ или обнаружили списание. Сообщите банку, какие данные и разрешения передали; попросите ограничить доступ и операции, уточните необходимость перевыпуска карты. Сохраните номер обращения и заявите о происшествии в полицию.

Сохраните переписку, время, адрес страницы в виде текста, сведения об операции и банковские выписки. Не открывайте ссылку повторно ради скриншота. Не стирайте всё и не сбрасывайте телефон до сохранения доступных доказательств и консультации со специалистом. Не входите в банк с устройства, которое может оставаться под чужим управлением.

Короткие ответы о фишинге

Я сам назвал код — обращаться бессмысленно? Нет. Сообщите факты честно: это важно для ограничения доступа и рассмотрения обращения. Передача кода не означает, что происшествие не нужно расследовать.

Антивирус ничего не нашёл — можно успокоиться? Отсутствие находок не возвращает раскрытый пароль и не отменяет уже подтверждённую операцию. Проверьте аккаунт и обратитесь в банк по ситуации.

Банк обязательно вернёт деньги? Гарантии нет. Попросите объяснить доступную процедуру оспаривания или попытки возврата для конкретной операции. Перевод и карточная покупка могут рассматриваться по-разному; звонок в банк и заявление в полицию сами по себе не обещают возмещение.

Куда сообщить о попытке фишинга

При угрозе деньгам первым обращением должен быть ваш банк по официальным контактам. При мошеннических действиях — полиция, в том числе номер 102. Подозрительный ресурс можно дополнительно передать через опубликованные на официальном сайте каналы KZ-CERT; такое сообщение не заменяет блокировку в банке и заявление о преступлении. Не отправляйте секреты и полные карточные данные в публичный комментарий.

25.10.2026 сопоставлены опубликованные рекомендации АРРФР, НБК, МВД и доступные материалы KZ-CERT. Это общая памятка, не диагностика устройства, юридическое заключение или обещание возврата. Finuslugi не принимает пароли и коды и не восстанавливает доступ к банковским счетам.