Номер банковской карты не работает как пароль от счёта. Зная только 16 цифр, мошенник обычно не сможет снять наличные, войти в банковское приложение, перевести себе деньги или оформить кредит. Для таких действий нужны дополнительные реквизиты, доступ к телефону, банковскому приложению либо подтверждение владельца.
Но я бы не называл номер карты совершенно безобидной информацией. Злоумышленник может определить платёжную систему и банк, узнать часть имени через форму перевода, а затем использовать сведения в убедительном звонке или сообщении. Опасность резко растёт, если вместе с номером утекли срок действия, CVV или CVC, коды из банковских уведомлений, пароль от приложения либо фотография карты.
Фраза «без CVV ничего списать нельзя» тоже создаёт ложное чувство безопасности. Некоторые операции проходят без CVV, а 3-D Secure не всегда показывает окно с кодом из СМС. Итоговое решение принимает банк с учётом типа операции, настроек магазина, суммы, устройства и результатов автоматической оценки риска.
Если вы уже сообщили реквизиты
Сначала вспомните, какие именно данные получил собеседник. Между одним номером карты и фотографиями обеих сторон пластика лежит огромная разница.
- Сообщили только номер. Проверьте последние операции, включите уведомления и не продолжайте разговор, если собеседник просит срок действия, код безопасности или код подтверждения. Срочный перевыпуск обычно не требуется, но окончательное решение лучше принимать с учётом рекомендаций своего банка.
- Назвали номер и имя. Прямой риск списания остаётся небольшим. Готовьтесь к персонализированному фишингу. Мошенник уже может обратиться по имени, назвать банк и последние цифры карты.
- Передали срок действия или CVV. Отключите покупки в интернете либо временно заблокируйте карту и свяжитесь с банком через официальное приложение или номер с сайта. Если данные вводились на подозрительной странице, безопаснее перевыпустить карту.
- Сообщили код из СМС или подтвердили запрос в приложении. Немедленно звоните в банк. Такой код мог подтвердить не покупку, а перевод, вход, изменение настроек или привязку нового устройства.
- Установили программу удалённого доступа. Отключите устройство от сети и обращайтесь в банк с другого телефона. Одной блокировки карты может оказаться мало, поскольку мошенник мог получить доступ ко всему приложению.
Если уже появилось неизвестное списание, заблокируйте карту, сообщите банку о несогласии с операцией и сохраните уведомления, переписку и адрес подозрительной страницы. Сделать это нужно как можно быстрее. Просветительский проект Банка России рекомендует заявить о незаконной операции не позднее следующего дня после банковского уведомления. Возврат не происходит автоматически, банк проверит обстоятельства, включая действия клиента. Подробный порядок описывает инструкция по оспариванию списаний.
Материал предназначен для легальной защиты собственных денег. Проверять чужие карты, подбирать реквизиты, получать доступ к чужим счетам или обходить механизмы банков запрещено. Соблюдайте законы своей страны, особенно требования законодательства России.
Где проходит техническая граница
Длинное число на карте называется PAN, номер платёжной карты. Чаще всего пользователь видит 16 цифр, хотя встречается другая длина. Начальная группа относится к идентификатору эмитента, который часто называют BIN или IIN. По ней платёжная система понимает, куда направить запрос, а справочные сервисы могут определить платёжную систему, банк или диапазон карт. Последняя цифра помогает обнаруживать ошибки ввода по алгоритму Луна. Проверка подтверждает правильную структуру номера, но не доказывает, что карта существует и принадлежит человеку.
PAN можно сравнить с адресом. Адрес сообщает, куда отправить платёжный запрос, но сам по себе не разрешает забрать деньги. Для оплаты интернет-магазин передаёт сведения банку-эквайеру, затем запрос идёт через платёжную систему в банк, выпустивший карту. Банк проверяет статус карты, остаток или лимит, параметры операции и признаки мошенничества, после чего разрешает либо отклоняет платёж.
Срок действия подтверждает, что клиент знает ещё один реквизит. CVV или CVC показывает, что у плательщика предположительно есть данные с физической карты. Код статический и не подтверждает личность владельца. Стандарт PCI DSS поэтому запрещает хранить CVV после подтверждения конкретной операции. Интернет-магазин может сохранить карту для следующих покупок, но не должен сохранять её проверочный код.
3-D Secure добавляет отдельную проверку владельца. Магазин и банк обмениваются сведениями об операции, устройстве и поведении клиента. Низкорисковый платёж иногда проходит в фоновом режиме. При повышенном риске банк просит подтвердить покупку кодом, уведомлением в приложении, биометрией или другим способом. Поэтому отсутствие СМС не означает отсутствие проверки. Сам протокол 3-D Secure допускает как незаметный сценарий, так и дополнительный запрос к клиенту.
Отдельно работают токены. При добавлении карты в платёжное приложение или сохранении у крупного продавца настоящий PAN могут заменить специальным цифровым номером. Токен ограничивают конкретным устройством, магазином или способом оплаты. Например, Mir Pay прямо указывает, что вместо реквизитов карты использует цифровой токен. Утечка такого значения обычно создаёт меньше возможностей, чем утечка полных реквизитов пластика.
Что даёт мошеннику каждая комбинация данных
| Какие данные известны | Что реально возможно | Уровень риска | Что делать владельцу |
|---|---|---|---|
| Только номер карты | Определить платёжную систему и вероятный банк, отправить перевод, подготовить фишинг. Прямое списание маловероятно | Низкий прямой, средний косвенный | Следить за операциями и не сообщать дополнительные сведения |
| Номер и имя | Сделать звонок или сообщение убедительнее, сопоставить сведения с утечками | Низкий прямой, средний косвенный | Не верить собеседнику только потому, что тот знает имя и банк |
| Номер и срок действия | Пробовать оплату у продавцов с упрощённой проверкой. Многие банки отклонят запрос, но гарантии нет | Средний | Ограничить интернет-покупки и обсудить перевыпуск с банком |
| Номер, срок действия и CVV или CVC | Проводить карточные операции в интернете. Часть платежей потребует дополнительного подтверждения, часть может пройти без него | Высокий | Заблокировать и перевыпустить карту |
| Одноразовый код или подтверждение в приложении | Завершить ту операцию, для которой банк запросил подтверждение | Критический | Сразу связаться с банком и проверить счёт, устройства и активные сеансы |
| ПИН-код | Сам по себе не позволяет снять деньги, но становится критичным вместе с физической картой или её платёжными данными | Высокий при доступе к карте | Сменить ПИН-код либо перевыпустить карту по совету банка |
| Доступ к банковскому приложению или разблокированному телефону | Просматривать счета, менять лимиты и подтверждать доступные операции | Критический | Заблокировать дистанционный доступ через банк и защитить телефон, почту и номер связи |
Почему иногда деньги списывают без CVV и СМС? Проверочный код не является обязательным элементом каждого платёжного сценария. Продавец может не запрашивать CVV, а банк вправе оценить операцию по другим признакам. Телефонные заказы, сохранённые карты и некоторые повторяющиеся платежи работают по отдельным правилам.
Подписки особенно часто вызывают недоумение. При первом подключении клиент подтверждает карту, после чего продавец отправляет последующие списания как повторяющиеся операции. CVV заново не передаётся, а одноразовый код обычно не запрашивается. Мошенник не получает возможность оформить подписку по одному PAN автоматически, но при наличии полных реквизитов такой сценарий становится реальным.
Номер карты также помогает социальной инженерии. Преступник сообщает название банка, последние цифры и имя клиента, затем предлагает «отменить подозрительный платёж». Для отмены якобы нужен код из СМС. На самом деле код подтверждает действие, которое мошенник уже начал. Я считаю такую цепочку опаснее попытки напрямую заплатить одним номером, потому что недостающие сведения отдаёт сам владелец.
Банк России советует не сообщать незнакомцам номер карты вместе со сроком действия, CVV или CVC, ПИН-кодом и кодами подтверждения. Банковский сотрудник не просит назвать ПИН или переслать одноразовый код. Входящий звонок тоже ничего не доказывает, поскольку отображаемый номер можно подменить.
Для получения обычного перевода достаточно номера карты. Ещё безопаснее сообщить номер телефона и название банка для перевода через СБП. Покупателю с сайта объявлений не нужны срок действия, CVV, остаток на счёте, код подтверждения или ссылка на «получение денег». Настоящий входящий перевод не требует от получателя вводить реквизиты карты на странице покупателя.
Итог простой. Если мошенники знают только 16 цифр карты, паниковать и закрывать счёт обычно не нужно. Включите уведомления, проверьте лимиты и оборвите контакт при попытке получить дополнительные данные. Если раскрыты срок действия и CVV, карту лучше заблокировать и перевыпустить. Если передан одноразовый код, подтверждено действие в приложении или замечено списание, счёт идёт уже на минуты.
Частые вопросы
Можно ли снять деньги, зная только номер карты?
Обычно нельзя. Банкомат требует физическую или цифровую карту и ПИН-код, а снятие без карты подтверждается через банковское приложение или специальный код. Один PAN такого доступа не даёт.
Можно ли оплачивать покупки без CVV?
Иногда можно. Требования зависят от продавца, банка и типа операции. Отсутствие поля CVV или запроса кода из СМС не означает, что платёж невозможен или небезопасен автоматически.
Нужно ли перевыпускать карту, если сообщил только её номер?
Обычно одного номера недостаточно для списания, поэтому срочный перевыпуск требуется не всегда. Включите уведомления и уточните рекомендации банка, если номер попал к явным мошенникам или был опубликован открыто.
Может ли мошенник войти в банк по номеру карты?
Один номер не даёт доступа к приложению. Даже если банк использует карту как один из идентификаторов, дополнительно потребуются пароль, код подтверждения, доверенное устройство или другая проверка.
Можно ли оформить кредит по номеру банковской карты?
Нет, одного PAN недостаточно. Кредитное мошенничество требует гораздо большего набора персональных данных и прохождения проверки личности. Номер карты может стать частью украденного досье, но не заменяет идентификацию.
Какие данные можно дать человеку для перевода?
Для перевода по карте достаточно её номера. Для СБП обычно нужны номер телефона и название банка. Срок действия, CVV, ПИН-код и коды из уведомлений получателю денег не требуются.
Опасно ли отправлять фотографию лицевой стороны карты?
Да. На снимке могут находиться PAN, срок действия и имя. Фотография оборотной стороны ещё опаснее из-за CVV или CVC. Если обе стороны попали к постороннему, карту лучше заблокировать и перевыпустить.
Почему банк пропустил платёж без кода из СМС?
3-D Secure применяет оценку риска и не всегда требует явного действия клиента. Повторяющиеся платежи и операции с сохранённой картой также могут проходить без нового кода. Неизвестное списание нужно сразу оспорить независимо от способа подтверждения.
