Мошенничество с детскими картами: почему растет число краж

Максимальное наказание по отдельным составам достигает шести лет лишения свободы. Для подростков это меняет экономику, которая прежде выглядела как безобидная подработка: карта, перевод, небольшое вознаграждение.

Одновременно растет другой сегмент угроз — кража средств с карт родителей через детей. За первую половину 2025 года аналитики зафиксировали около 3500 инцидентов манипулирования несовершеннолетними, а ущерб превысил 600 млн рублей. По итогам года совокупный ущерб от схем, в которых мошенники использовали детей, превысил 1 млрд рублей. Общий объем средств, похищенных мошенниками у граждан России в 2025 году, составил 29,3 млрд рублей.

Причины роста мошенничества с детскими картами лежат не в одной уязвимости банковского приложения. Сошлись несколько факторов: раннее вовлечение детей в цифровые покупки, высокая ликвидность игровых аккаунтов, недостаток финансовой автономии и доверие к знакомому интерфейсу. Ребенок может не воспринимать передачу реквизитов как банковскую операцию, хотя для платежной системы это именно она.

Игровые платформы стали платежным коридором

Наиболее уязвимая возрастная группа — дети от 10 до 14 лет. В этом возрасте ребенок уже самостоятельно пользуется маркетплейсами, игровыми платформами и мессенджерами, но еще не умеет оценивать юрисдикцию продавца, назначение платежной страницы и последствия передачи реквизитов.

В онлайн-играх мошенническая схема обычно строится вокруг дефицитного цифрового объекта: игровой валюты, редкого предмета, скина или доступа к аккаунту. Предложение формулируется так, чтобы сократить время на размышление: скидка действует несколько минут, предмет достанется только первому покупателю, оплатить нужно сейчас. В Roblox и аналогичных сервисах подобные предложения могут распространяться через чаты, группы, внешние сайты и аккаунты, стилизованные под официальные.

Технически мошеннику не всегда требуется получить полный доступ к банковскому счету. Достаточно одного из следующих элементов:

• номера карты, срока действия и кода с обратной стороны;
• одноразового кода подтверждения операции;
• логина и пароля от аккаунта родителя;
• доступа к устройству, где уже открыто банковское приложение;
• данных учетной записи игровой платформы, если к ней привязан платежный инструмент.

Критическая ошибка возникает в момент, когда ребенок покидает официальный платежный контур. Внутри легитимной платформы платеж проходит через ее эквайринговую инфраструктуру, а спорная операция отражается в системе продавца. На фишинговом сайте платежная форма может выглядеть почти идентично, но данные уходят напрямую оператору схемы.

Для банка это не обязательно выглядит как очевидная аномалия. Операция может быть подтверждена кодом из СМС или push-уведомлением, проведена с привычного устройства и не превышать установленный лимит. Система антифрода видит успешную аутентификацию клиента, а не то, что код ввел ребенок под воздействием обмана.

Ребенок не обязан понимать архитектуру платежного шлюза. Но защита должна быть построена так, чтобы одна ошибка не превращалась в доступ к полной ликвидности семейного счета.

Почему дети становятся удобной точкой входа

Мошенническая модель работает не только за счет доверчивости. Она использует разницу между скоростью коммуникации и скоростью проверки. Сообщение в игровом чате появляется мгновенно, предложение имеет эмоциональную ценность, а решение о покупке принимается в условиях искусственного дефицита.

У детей есть несколько системных особенностей, которые делают их привлекательной целью:

1. Низкая стоимость социального контакта. Мошеннику проще убедить ребенка через игровой чат, чем вести длинный разговор со взрослым, который задаст вопросы о продавце, договоре и возврате платежа.

2. Слабое разделение цифровых ролей. Для ребенка один аккаунт может одновременно быть профилем игрока, кошельком, каналом общения и ключом к покупкам. Если украден пароль, злоумышленник получает не только доступ к игре, но и возможность использовать доверие владельца для дальнейших атак.

3. Ограниченное понимание необратимости платежа. Игровой предмет воспринимается как виртуальный объект, который можно получить повторно. Банковская операция устроена иначе: после списания деньги проходят через несколько участников — эмитента, платежную систему, эквайера и продавца, — и отмена зависит от основания спора.

4. Привязка к родительскому способу оплаты. Даже если у ребенка нет собственной карты, он может пользоваться картой родителя, сохраненной в магазине приложений или игровой платформе. Поэтому формулировка «мошенничество с детскими картами» часто описывает не отдельный продукт для несовершеннолетнего, а использование ребенка как посредника для доступа к родительскому счету.

5. Низкая вероятность немедленного сообщения. Ребенок может скрывать произошедшее из-за страха наказания. За это время мошенник успевает повторить списание, сменить пароль, вывести остаток или использовать учетную запись для атак на других пользователей.

Именно поэтому одной беседы о том, что «нельзя сообщать пароль», недостаточно. Нужна платежная архитектура с ограниченными полномочиями: отдельная карта, невысокий лимит, запрет на операции в интернете по умолчанию или подтверждение каждой покупки взрослым.

Скрытая экономика несанкционированных покупок

Несанкционированные покупки ребенка в интернете редко ограничиваются одной транзакцией. С точки зрения преступной схемы первый платеж проверяет работоспособность карты. Если операция проходит, карта считается активной, а данные могут быть переданы другим участникам цепочки.

Типовая последовательность выглядит следующим образом:

1. Ребенку предлагают виртуальный товар или скидку.

2. Его переводят на страницу, имитирующую форму оплаты.

3. Он вводит реквизиты карты родителя либо передает код подтверждения.

4. С карты списывается небольшая сумма или сразу проводится несколько операций.

5. Полученные данные проверяются повторными платежами.

6. Если платежный инструмент остается активным, его используют для более крупных списаний или перепродают.

Размер первой операции может быть намеренно небольшим. Это снижает вероятность того, что владелец карты немедленно заблокирует ее, а антифрод-система классифицирует платеж как крупную аномалию. Мелкие списания создают и другую проблему: пользователь может не заметить их в потоке операций, особенно если карта используется для подписок, покупок приложений и регулярных платежей.

Для защиты детской банковской карты от мошенников имеет значение не только номинальный лимит, но и набор разрешенных сценариев. Карта с лимитом 20 тыс. рублей на интернет-покупки, доступная без дополнительных ограничений, остается достаточно ликвидным инструментом для злоумышленника. Карта с лимитом 2 тыс. рублей, но с включенными переводами физическим лицам и снятием наличных, может представлять сопоставимый риск в другой схеме.

Практическая настройка должна разделять операции:

Такое разделение снижает не только потенциальный ущерб, но и стоимость расследования. Когда у карты один универсальный режим, банку приходится анализировать весь набор операций. При сегментированных лимитах спорная транзакция быстрее попадает в отдельный профиль риска.

Дропперство: когда подросток уже не жертва, а элемент цепочки

Вторая линия угрозы связана с подростками старше 14 лет. Им предлагают «легкую подработку»: принять перевод на свою карту, снять деньги, перевести средства дальше или передать реквизиты за комиссию. Термины «безопасная подработка», «платежный помощник» и «агент по переводам» маскируют обычную функцию дроппера — использование чужого счета для перемещения средств, происхождение которых получатель не контролирует.

Схема привлекательна для подростка по простой причине: вознаграждение обещают за действие, которое внешне не требует квалификации. Не нужно продавать товар, вести переговоры или оформлять трудовые отношения. Достаточно предоставить карту и выполнить инструкции. Но в финансовой цепочке карта — не нейтральный контейнер. Она связывает операцию с конкретным держателем, его идентификационными данными, устройством, номером телефона и историей авторизации.

После вступления в силу закона № 176-ФЗ риск изменился качественно. Передача банковской карты или доступа к ней третьему лицу из корыстных побуждений может повлечь уголовную ответственность, вплоть до шести лет лишения свободы по предусмотренным законом составам. Вопрос о возрасте, умысле и конкретных обстоятельствах оценивается в правоприменении отдельно, но экономическая логика для подростка уже очевидна: вознаграждение за передачу карты несопоставимо с потенциальными последствиями.

Нельзя смешивать два разных случая:

• подросток сам стал объектом манипуляции и передал данные, рассчитывая получить игровую валюту или скидку;
• подросток осознанно предоставляет карту за деньги, понимая, что через нее будут проходить чужие переводы.

Граница между ними может быть предметом расследования, однако для банка обе ситуации создают признаки компрометации платежного инструмента. Счет, на котором проходят транзитные операции, многочисленные входящие платежи от незнакомых лиц и быстрые переводы дальше, может быть заблокирован в рамках антифрод-процедур или банковского комплаенса.

Подростку нередко предлагают использовать собственную карту, но иногда схема начинается с просьбы «одолжить» карту родителя. В этот момент семейная проблема превращается в риск для всей платежной истории клиента: блокировка может затронуть не только одну карту, но и связанные продукты, доступ к дистанционному обслуживанию и последующие операции.

В марте 2024 года в Государственную думу внесли законопроект, предусматривающий запрет на открытие счетов подросткам от 14 до 18 лет без письменного согласия родителей или опекунов. Этот документ нельзя считать действующим правилом: речь идет именно о законопроекте. Но сама инициатива показывает направление регулирования — усиление контроля над самостоятельным доступом несовершеннолетних к банковской инфраструктуре.

Почему именно возраст от 10 до 14 лет наиболее уязвим

Уязвимость этой группы не означает, что дети младше или подростки старше защищены лучше. Речь идет о пересечении трех факторов: самостоятельного использования цифровых сервисов, ограниченного финансового опыта и высокой вовлеченности в игровые коммуникации.

Дети 10–14 лет уже умеют:

• создавать учетные записи и восстанавливать пароли;
• пользоваться чужими инструкциями;
• вводить реквизиты карты в приложении;
• переходить по ссылкам из чатов;
• совершать покупки без постоянного присутствия взрослого.

Но они часто не умеют оценить:

• почему игровой сервис просит код из банковского сообщения;
• чем официальный домен отличается от страницы-копии;
• почему «продавец» требует перевести деньги на карту физического лица;
• что возврат цифрового товара и возврат банковского платежа — разные процедуры;
• почему нельзя фотографировать карту целиком, даже если собеседник выглядит знакомым.

Классический фишинг в покупках адаптируется под детскую мотивацию. Взрослого пытаются убедить в срочности банковской операции или проблеме с доставкой. Ребенку продают статус внутри игры. Поэтому кража игровых аккаунтов у детей может быть первым этапом атаки: получив аккаунт, мошенник видит список друзей, историю общения, сохраненные способы оплаты и привычный стиль коммуникации. Затем он может писать от имени владельца его знакомым.

Эта схема повышает конверсию атаки. Сообщение от незнакомого пользователя требует доверия. Сообщение от игрового друга воспринимается как продолжение обычного общения. Если аккаунт дополнительно связан с родительской картой, цифровая атака быстро превращается в финансовую.

Где заканчивается банковская ответственность

После обнаружения списания родители обычно обращаются в банк с требованием отменить операцию. Однако наличие несовершеннолетнего участника не означает автоматического возврата денег. Банк оценивает способ аутентификации, факт передачи реквизитов, подтверждение операции, условия обслуживания и признаки того, что клиент нарушил правила безопасности.

Если ребенок сам сообщил мошеннику данные карты или код подтверждения, банк может расценить это как добровольную передачу платежной информации. В таком случае финансовая организация нередко отказывает в возврате, особенно когда операция была подтверждена корректным одноразовым кодом и не выявлены признаки технического взлома банковской системы.

Чарджбэк также не является универсальной кнопкой отмены. Он применяется в рамках правил платежной системы и обычно требует обоснования: товар не предоставлен, операция повторена, продавец не исполнил обязательства, платеж проведен с нарушениями. Если деньги ушли на фишинговый ресурс или были переведены физическому лицу, характер спора будет иным. Успех зависит от маршрута платежа, статуса получателя и доказательств, а не от самого факта, что плательщиком оказался родитель.

После обнаружения инцидента последовательность действий должна быть быстрой:

1. Заблокировать карту и выпустить новую, если реквизиты были введены на стороннем сайте или переданы собеседнику.

2. Отключить сохраненные способы оплаты в игровой платформе, магазине приложений и браузере.

3. Завершить все активные сессии учетной записи и сменить пароль.

4. Проверить, не изменены ли номер телефона, адрес электронной почты и резервные способы восстановления.

5. Зафиксировать время, сумму, получателя, переписку, адрес сайта и уведомления банка.

6. Подать заявление в банк по спорной операции, не ограничиваясь устным обращением в поддержку.

7. При наличии признаков мошенничества обратиться в правоохранительные органы.

8. Проверить связанные карты и счета, поскольку первая скомпрометированная учетная запись может использоваться для дальнейшего доступа.

Нельзя удалять переписку и историю браузера до фиксации обстоятельств. Скриншоты, уведомления, адреса страниц и идентификаторы операций формируют доказательную базу. Они не гарантируют возврат, но позволяют банку и следствию восстановить маршрут средств.

Ограниченный лимит не заменяет осторожность, но превращает потенциально крупную кражу в управляемый убыток. В антифроде это не компромисс, а расчет.

Как выстроить защиту без запрета цифровой жизни

Полный запрет онлайн-платежей для ребенка редко решает задачу. Он может привести к обратному эффекту: ребенок начнет использовать чужие аккаунты, несанкционированные способы оплаты или обходить родительский контроль. Рациональная стратегия — не убрать цифровую активность, а разделить полномочия и снизить ликвидность каждой отдельной точки.

Для этого семейная платежная инфраструктура должна включать несколько уровней.

Отдельный платежный инструмент

Карта ребенка не должна быть продолжением основной карты родителя. На ней не следует хранить сумму, которая не соответствует ближайшим расходам. Если карта используется для игр, ее лимит должен быть связан с этим назначением, а не с общим семейным бюджетом.

При регулярных покупках удобнее установить отдельный лимит на интернет-операции и запретить переводы физическим лицам. Это не устраняет все сценарии, но закрывает наиболее дорогие маршруты: вывод денег и транзит через карту.

Родительское подтверждение

Покупка в игре должна подтверждаться взрослым не через передачу кода ребенку, а через отдельный механизм согласования. Родитель проверяет название продавца, сумму и валюту. Если платформа не позволяет разделить пользователя и плательщика, карту лучше не сохранять в аккаунте.

Особенно рискованны операции в иностранной валюте. Здесь к сумме покупки добавляются конвертация, возможный спред банка и особенности округления. Ребенок видит условные 100 игровых единиц, а родитель получает списание, размер которого зависит от валюты расчетов и курса авторизации.

Защита аккаунта

Двухфакторная аутентификация должна быть включена на игровых платформах, в электронной почте и в банковском приложении. Пароль к игровой учетной записи не должен совпадать с паролем от почты. Электронная почта в этой цепочке является ключевым активом: через нее восстанавливаются аккаунты и подтверждаются изменения.

Нельзя использовать один номер телефона и одну почту как единственный канал восстановления для всех сервисов без резервного контроля. Компрометация одного профиля способна открыть путь к остальным.

Регулярный разбор операций

Родителю следует просматривать не только списания, но и попытки авторизации, отклоненные платежи, новые подписки и изменения лимитов. Повторяющиеся небольшие операции от одного продавца могут быть важнее одной крупной покупки: они показывают, что платежный инструмент тестируют или используют в рамках подписочной модели.

Уведомления должны приходить сразу, а не в конце расчетного периода. Чем дольше операция остается незамеченной, тем больше вероятность повторных списаний и тем сложнее восстановить последовательность событий.

Финансовая коммуникация

Запретительная формула «никому ничего не сообщай» слишком общая. Ребенку нужно дать короткие операционные правила:

• банк, игровая платформа и настоящий продавец не просят код подтверждения в личном чате;
• скидка не требует срочного перевода на карту физического лица;
• скриншот карты нельзя отправлять даже знакомому;
• если для получения предмета нужно выйти на неизвестный сайт, покупку следует остановить;
• при ошибочном вводе данных нельзя скрывать инцидент — чем раньше сообщить взрослому, тем меньше маршрут возможного ущерба.

Такая инструкция должна регулярно обновляться. Мошенники меняют формулировки, но сохраняют экономическую конструкцию: срочность, обещание выгоды, давление авторитетом и просьба передать платежный секрет.

Сухой расчет риска

Экономику защиты удобно считать через ожидаемый ущерб. Если вероятность серьезного инцидента за год обозначить как \(p\), потенциальный ущерб — как \(L\), а стоимость защитных мер — как \(C\), то рациональное решение выглядит следующим образом: защита оправдана, когда \(p \times L\) превышает \(C\).

В сумму потенциального ущерба входит не только прямое списание. К ней могут добавляться:

• повторные операции до блокировки карты;
• расходы на перевыпуск и восстановление аккаунтов;
• временная недоступность счета;
• потери от компрометации других карт;
• стоимость времени на оспаривание платежей;
• риск вовлечения подростка в транзит чужих средств.

Рассмотрим не жизненную историю, а условную модель. При лимите интернет-покупок 30 тыс. рублей потенциальный прямой ущерб ограничен этой суммой, но при сохраненной карте и доступных переводах фактический риск выше из-за повторных операций. Если лимит снижен до 3 тыс. рублей, переводы отключены, а каждая покупка подтверждается родителем, потенциальный финансовый ущерб сокращается на порядок, хотя вероятность фишингового контакта не меняется.

Это существенное различие. Антифрод не всегда способен предотвратить сам факт попытки. Его задача часто состоит в том, чтобы разорвать цепочку до момента, когда у злоумышленника появляется достаточная ликвидность и доступ к следующему платежному инструменту.

С точки зрения семейного бюджета защита обычно дешевле восстановления. Даже если банк примет заявление и начнет проверку, деньги могут быть уже выведены через несколько корреспондентских счетов, конвертированы или распределены между транзитными получателями. Чем больше звеньев в цепочке, тем выше операционная стоимость возврата и ниже вероятность быстро установить конечного бенефициара.

Мошенничество с детскими картами растет потому, что цифровая среда опережает финансовую зрелость пользователя. Онлайн-игры стали каналом платежей, аккаунты — идентификаторами личности, а подростковые карты — потенциальными элементами транзитной инфраструктуры. При этом ответственность постепенно смещается от общей профилактики к конкретному контролю: кто авторизовал операцию, кому передан доступ, через какую юрисдикцию прошел платеж и какие правила безопасности были нарушены.

Практический вывод не требует паники и полного отключения ребенка от цифровых сервисов. Нужны отдельная карта, ограниченные лимиты, раздельные учетные записи, двухфакторная аутентификация и немедленная реакция на компрометацию. В математике платежного риска выигрывает не тот, кто надеется на идеальную защиту, а тот, кто заранее ограничивает размер ошибки и не позволяет одной переданной строки реквизитов открыть весь семейный денежный поток.