Вы почти купили. Сайт «как настоящий», корзина на месте, кнопка «Оплатить» зелёная. Открывается экран с логотипом «банка» и полями: номер карты, срок, CVV, код из СМС. Рука уже тянется к телефону. А в адресной строке браузера — не тот сайт, который вы открывали минуту назад.
Это разбор из серии «Виртуальные карты и лимиты». Про виртуалку как буфер и про лимиты на операции уже есть отдельные страницы. Здесь — про момент, когда сомневаетесь: настоящий ли это платёжный шлюз (экран, куда магазин отправляет вас ввести номер карты, срок и CVV) или подделка под него.
🧭 Где вы сейчас: хаб — виртуальная карта. Лимиты — отдельная инструкция. Эта страница — фишинг шлюза. Автоплатежи — инструкция. Брокеры и −399 ₽ — хаб «Анти-подписки».
Что такое платёжный шлюз и что такое фишинг — без тумана
Платёжный шлюз — отдельная страница (или окно), где вы вводите данные карты, чтобы магазин получил оплату. Это не «корзина с кроссовками», а шаг «деньги с карты». На нормальном пути вы сами открыли магазин в браузере (Яндекс / Google в адресной строке или на ya.ru), выбрали товар, нажали «Оплатить» — и попали на экран оплаты.
Фишинг — подделка под знакомый сайт или экран банка/магазина. Цель одна: выманить номер карты, срок, код с оборота (CVV / CVC — три цифры на пластике; у виртуалки их показывают в приложении) и код из СМС или пуша. Банк России прямо пишет: фишинговые сайты сильно похожи на официальные, а жертвы чаще всего приходят туда по ссылкам из писем и СМС. Разбор — в FAQ ЦБ по информационной безопасности (блок про фишинговый сайт).
Важно: это не «банк сам списывает». Часто вы сами вводите данные на чужой странице. Потом мошенники платят ими где‑то ещё. И вот тут неприятный момент из раздела ЦБ про мошеннические практики: если данные отдали сами, банк не обязан возвращать сумму «автоматом».
Как вы вообще попадаете на поддельный шлюз
Типичные дороги — не «я сам набрал адрес магазина», а вот эти:
- Ссылка из СМС / мессенджера: «заказ задерживается, оплатите доставку», «подтвердите покупку», «ваш заказ отменят».
- Письмо на почту с кнопкой «перейти к оплате» — вы не открывали этот магазин сами в браузере.
- Реклама / «похожий» сайт в выдаче: домен почти как у известного магазина, но с лишней буквой, дефисом или «.ru.com».
- После «оплаты» звонок: «мы ошиблись номером, продиктуйте код из СМС». Код не диктуете — это отдельная схема из FAQ ЦБ.
ЦБ говорит коротко и без поэзии: по ссылкам из подозрительных писем и СМС на сайты не ходите. Лучше такие ссылки вообще не открывать. Покупаете — только на проверенных сайтах, а рядом с адресом в строке браузера смотрите замок.
Как проверить шлюз глазами — по шагам в браузере
Перед тем как вводить CVV и код из СМС, останавливаетесь и смотрите не на красивую кнопку, а на адресную строку.
- Открываете покупку сами: в браузере набираете название магазина или заходите с закладки. Не из СМС.
- Смотрите адрес: есть ли замок (безопасное соединение). Нет замка / браузер орёт «небезопасный» — закрываете вкладку.
- Читаете домен по буквам. «ozon-pay-secure.ru» и «магазин.рф-оплата.xyz» — не то же самое, что официальный сайт, который вы привыкли видеть.
- Сравниваете: страница оплаты «выпрыгнула» из ниоткуда после клика по ссылке из сообщения — это красный флаг, даже если логотип знакомый.
- Сомневаетесь — закрываете вкладку. Открываете официальное приложение магазина / банка или снова ищете сайт сами в браузере. Не возвращаетесь по той же ссылке из СМС.
ПИН в интернете и по телефону не вводите — это прямо в памятке Банка России № 120‑Т. Настоящий сотрудник банка не звонит и не просит CVV с кодом из СМС «для разблокировки».
⚠️ Красный флаг на экране оплаты:
Просят ПИН. Просят «подтвердить карту» по ссылке из СМС, а не из вашего приложения. Домен странный, а логотип «как у банка». Звонят и просят продиктовать код из пуша «потому что вы уже на странице». Кладите трубку. Закрываете вкладку. Правила — в разделе ЦБ про мошеннические практики.
Пример (сценарий, не замер ЦБ): пришла СМС «ваш заказ №48291 ждёт оплату, ссылка». Открыли — корзина на 4 790 ₽, шлюз с полями карты. В адресной строке что‑то вроде pay-market-secure[.]online, а не сайт магазина, куда вы обычно заходите. Закрываете вкладку. В браузере сами ищете магазин. Заказа с таким номером нет. Данные карты не вводили — и хорошо.
Уже ввели номер и CVV — что делать сразу
Не «подожду, может само». Порядок такой:
- В официальном приложении банка (из магазина приложений телефона, не по ссылке из СМС) блокируете карту. Нет приложения — звоните по номеру на обороте пластика или с официального сайта банка.
- Смотрите выписку: есть ли уже списания. Делаете скрин экрана с операциями (это картинка на телефоне: кнопки «питание + громкость» или штатный снимок экрана).
- Пишете в чат банка бланком ниже: данные карты могли уйти, нужна блокировка или перевыпуск, проверьте чужие списания.
- Если деньги уже ушли — в течение суток после уведомления о списании ЦБ советует ещё заявление в банк «я не согласен с операцией» и обращение в полицию. Шаги — на странице про мошеннические практики.
- Код из СМС, который уже пришёл «на подтверждение», никому не диктуете и никуда больше не вводите.
Параллельно режете ущерб на будущее: для интернета — виртуальная карта с небольшой суммой; на основной — лимиты (онлайн и суточный потолок) и пуш на каждую операцию.
Готовый текст в чат банка: «подозрительный шлюз / данные могли уйти»
Копируете в чат поддержки. Это срочное сообщение про безопасность карты, не жалоба в ЦБ. Синие поля — ваши данные.
Виртуалка и лимиты — зачем они рядом с этим разбором
Фишинг бьёт по данным карты. Виртуалка сужает дыру: на страницу магазина уходит отдельный номер с небольшой суммой, а не зарплатная. Лимит на основной карте режет сценарий «сняли всё за ночь», если номер всё‑таки утёк. От развода по телефону это не спасёт. От утечки на левом шлюзе — да, помогает.
Памятка ЦБ № 120‑Т как раз про это: для интернета — отдельная карта с потолком. Как выпустить — в хабе. Как поставить потолки — в инструкции про лимиты.
Чего эта страница не обещает
- Не список «всех плохих доменов». Мошенники меняют адреса. Смотрите строку браузера и путь, как вы сюда попали.
- Не гарантия возврата денег. Если данные ввели сами, банк может отказать в автоматическом возврате — так прямо пишет ЦБ. Скорость блокировки решает многое.
- Не разбор подписок −399. Там хаб анти-подписок.
- Не инструкция по автоплатежам в приложении. Там — как отключить автоплатежи.
Совет от Анны: Что делать нам с вами?
Перед следующей онлайн‑покупкой открываете магазин сами в браузере — не из СМС. На экране оплаты смотрите адрес и замок. CVV и код из пуша вводите только если уверены: это ваш путь, а не «ссылка из сообщения». Для интернета — виртуалка с небольшой суммой и лимиты на основной карте. Уже ввели данные на странной странице? Блокируете карту в приложении, бланк выше — в чат банка, скрин выписки — на всякий. Пуши на каждую операцию включаете сегодня, не «когда‑нибудь».
База знаний спецпроекта «Виртуальные карты и лимиты»:
Серия и соседние щиты:
- Хаб: виртуальная карта как буфер для интернета
- Лимиты на операции по карте
- Фишинг платёжного шлюза (эта страница)
- Как отключить автоплатежи
- Анти-подписки и брокеры
- СБП: переводы без комиссий
- Госуслуги под замком
Часто задаваемые вопросы
Это поддельная страница оплаты, которая выглядит как настоящий экран магазина или банка. Цель — выманить номер карты, срок, CVV и код из СМС. Банк России описывает такие сайты в FAQ по информационной безопасности.
Смотрите адресную строку браузера: замок, домен без «левых» букв, путь «сами открыли магазин», а не ссылка из СМС. Сомневаетесь — закрываете вкладку и заходите на сайт сами через поиск в браузере.
Сразу блокируете карту в официальном приложении банка, пишете в чат бланком из этого разбора, смотрите выписку. При чужих списаниях — заявление о несогласии и, по рекомендации ЦБ, обращение в полицию.
Она сужает ущерб: на левый сайт уходит отдельный номер с небольшой суммой. От развода по телефону не защищает. Для основной карты всё равно ставьте лимиты и пуши.
Нет. Код из СМС и ПИН никому не диктуете. Настоящий сотрудник банка так не работает — это в FAQ ЦБ и в разделе про мошеннические практики.
Анна Соколова
Финансовый обозреватель портала #Рукредиты. 12 лет разоблачаю банковские уловки и перевожу новости экономики на человеческий язык.
16 сентября 2026 года
