Кибермошенничество в 2026 году: как распознать обман и защитить деньги

Что такое кибермошенничество

Кибермошенничество — это обман с использованием цифровых каналов, цель которого — получить чужие деньги, данные или доступ к аккаунтам. Злоумышленники могут представиться сотрудниками банка или госорганов, прислать ссылку на поддельный сайт, убедить установить вредоносное приложение или написать от имени взломанного аккаунта.

От хакерской атаки кибермошенничество отличается прежде всего способом воздействия. При взломе атакуют систему и используют её технические уязвимости, а при мошенничестве человека подталкивают к нужному действию: перевести деньги, назвать код, открыть файл или предоставить доступ к устройству.

На практике эти методы часто соединяются: разговор создаёт страх и ощущение срочности, а фишинговая страница или вредоносная программа помогает похитить данные.

Кибермошенничество в 2026 году: статистика и новые правила проверки переводов

Масштаб проблемы лучше всего показывают не прогнозы, а банковская статистика. Во II квартале 2026 года злоумышленникам удалось провести 458,7 тыс. мошеннических операций на сумму чуть менее 7,4 млрд ₽. По сравнению с предыдущим кварталом число таких операций сократилось на 7,5%. Одновременно банки остановили 17,5 млн попыток хищения почти на 1,9 трлн ₽.

Среди перечисленных Банком России типов компьютерных атак самым распространённым остаётся использование методов социальной инженерии. Во II квартале регулятор выявил 28 678 таких атак — на 49,75% больше, чем в первом. Банк России отмечает, что злоумышленники часто убеждают человека самостоятельно перевести деньги, перейти по фишинговой ссылке или установить вредоносную программу.

Изменились и правила, по которым банки проверяют переводы на признаки мошенничества. С 1 января 2026 года Банк России расширил перечень таких критериев с шести до двенадцати. Банки по-прежнему учитывают нетипичные для клиента параметры операции, совпадение данных получателя с базами Банка России или самого банка, а также использование устройства, сведения о котором уже попали в базу регулятора.

К новым признакам относятся сведения о вредоносном ПО или нетипичных параметрах сессии на устройстве клиента, а также смена номера телефона в онлайн-банке или на Госуслугах в течение 48 часов до перевода. Банки учитывают и определённые последовательности операций. Например, подозрение вызовет перевод физлицу, которому клиент не переводил деньги последние шесть месяцев, если менее чем за 24 часа до этого на его счёт поступило более 200 тыс. ₽ через СБП с его собственного счёта в другом банке.

Ещё один признак — совпадение сведений о получателе с данными государственной информационной системы противодействия правонарушениям, совершаемым с использованием информационных и коммуникационных технологий. Этот критерий начал применяться 1 марта 2026 года.

Перечень предназначен для банковской проверки переводов: многие признаки, например совпадение с закрытыми базами или изменение параметров устройства, пользователь самостоятельно увидеть не может. Поэтому решение банка провести операцию само по себе не подтверждает, что получатель безопасен. Дальше разберём схемы обмана и сигналы, которые человек способен заметить сам.

Банки предотвратили хищение почти 2 трлн ₽ со счетов россиян — при этом число мошеннических атак продолжает расти

Сам ЦБ стал инициатором блокировки 4,6 тыс. мошеннических сайтов и аккаунтов в соцсетях

Подробнее

Виды кибермошенничества в 2026 году

В 2026 году распространены многоэтапные схемы, в которых злоумышленники соединяют несколько способов воздействия, отмечает Дмитрий Галов, руководитель Kaspersky GReAT в России.

Человек может сначала получить сообщение со ссылкой на поддельный сайт, затем — звонок от «сотрудника банка», а в конце — предложение установить приложение или «спасти» деньги переводом. Поэтому границы между видами кибермошенничества условны: в одной атаке технические инструменты часто работают вместе с социальной инженерией. В таблице собраны основные схемы, их заметные признаки и возможные последствия.

8 распространённых схем мошенничества и как их распознать

Технические методы: как похищают данные и захватывают устройства

У технических атак разные цели: одни собирают данные на поддельных страницах, другие запускают на устройстве вредоносный код, третьи пытаются войти в аккаунт без участия владельца.

Фишинг: письма, СМС, звонки и QR-коды

Фишинг — общее название атак, в которых злоумышленник выдаёт себя за знакомого человека или организацию и подталкивает жертву раскрыть данные, открыть вредоносный файл либо перейти на поддельный сайт. Атака может начаться с электронного письма, сообщения в мессенджере или соцсети, СМС, звонка и даже QR-кода.

У отдельных каналов есть свои названия. Фишинг через СМС называют смишингом, а через телефонные звонки и голосовые сообщения — вишингом. Само сообщение обычно ничего не крадёт: оно ведёт на фальшивую страницу входа или оплаты, предлагает скачать файл либо связаться с мошенником. Если пользователь вводит на поддельном сайте логин, пароль, данные карты или код подтверждения, информация попадает к злоумышленникам.

Мошенники придумали новую схему обмана с цифровым рублем: продавцов заманивают поддельными QR-кодами

Злоумышленники убеждают продавцов самостоятельно перейти на фальшивую страницу и раскрыть банковские данные

Подробнее

Вредоносное ПО: от кражи паролей до удалённого доступа

Вредоносное программное обеспечение — широкая категория программ, которые выполняют на устройстве действия без ведома владельца. Одни перехватывают логины, пароли и платёжные данные, другие позволяют удалённо управлять компьютером или смартфоном, третьи загружают дополнительные вредоносные модули.

Такие программы часто маскируют под полезные приложения и файлы. В феврале 2026 года Банк России предупреждал о рассылках с якобы бесплатными книгами и антивирусами. В описанной регулятором схеме после запуска файла злоумышленники могли получить дистанционный доступ к смартфону, читать входящие СМС, просматривать журнал звонков и управлять функциями устройства.

К вредоносному ПО относятся и программы-вымогатели. Они блокируют систему или шифруют данные, а затем требуют выкуп за восстановление доступа. Для обычного пользователя это может означать потерю личных файлов, а для компании — остановку рабочих процессов.

Брутфорс и другие атаки на пароли

При брутфорс-атаке программа последовательно проверяет разные варианты пароля, пока не найдёт подходящий. Помимо полного перебора злоумышленники используют словари с распространёнными комбинациями и учитывают доступные сведения о человеке: имена, даты и другие предсказуемые элементы.

Другой механизм — подстановка учётных данных. В этом случае пароль не подбирают: преступники берут уже утёкшую пару «логин — пароль» и автоматически проверяют её на других сайтах. Если человек использует одни и те же данные для входа в нескольких сервисах, утечка на одном ресурсе может привести к захвату остальных аккаунтов.

Криптоджекинг: скрытый майнинг на чужом устройстве

Криптоджекинг — использование компьютера, смартфона или сервера для добычи криптовалюты без согласия владельца. Код для майнинга может попасть на устройство вместе с вредоносной программой или запуститься через заражённый сайт.

Основная цель такой атаки — не украсть файлы, а присвоить вычислительные ресурсы и электроэнергию. Из-за скрытого майнинга устройство может тормозить, перегреваться и быстрее разряжаться.

Криптоджекинг может быть только одной частью заражения. Руководитель центра исследования киберугроз «Лаборатории Касперского» Kaspersky GReAT в России Дмитрий Галов приводит пример кампании, в которой стилер Arcane распространялся под видом несуществующей программы FixIt для обхода блокировок: «Пользователям предлагали скачать якобы полезную программу с сайта, который продвигался в поисковой выдаче и на YouTube. Но вместо неё на устройство устанавливались майнер для добычи криптовалюты и стилер, способный похищать логины, пароли, платёжные данные и другую конфиденциальную информацию».

Мошенники стали рассылать RAR-архивы под видом деловой переписки — при открытии файла запускается вирус

Всего за месяц количество электронных писем с вредоносными файлами выросло на 13%

Подробнее

Социальная инженерия: как мошенники управляют решениями

При социальной инженерии главной мишенью становится не устройство, а решение человека. Мошенник создаёт тревожную или, наоборот, заманчивую ситуацию, а затем предлагает готовый выход: перевести деньги, назвать код, установить приложение или передать наличные курьеру.

Финансовый психолог Матвей Зотов обращает внимание на типичный приём: сразу после запугивания человеку предлагают способ «решить» проблему. На фоне тревоги этот вариант начинает казаться единственным.

Правдоподобия легенде добавляют реальные сведения о жертве. По словам руководителя департамента информационной безопасности финансового маркетплейса Банки.ру Тимура Гараева, мошенники собирают информацию из открытых профилей, утечек и других элементов цифрового следа.

«Служба безопасности банка» и «следователь ФСБ»

Мошенник представляется сотрудником банка, Банка России или правоохранительных органов и сообщает о подозрительном переводе, заявке на кредит либо утечке персональных данных. В разговор могут включиться несколько «специалистов»: один обнаруживает угрозу, другой подтверждает серьёзность ситуации, третий диктует инструкции по «спасению» денег. Для убедительности жертве иногда присылают поддельные удостоверения, постановления и другие документы.

Дальше человека убеждают оформить встречный кредит, снять наличные, передать их курьеру, установить программу удалённого доступа или перевести накопления на «безопасный счёт». В июле 2026 года Банк России описал вариант этой схемы с «заменой основного счёта». Лжесотрудники правоохранительных органов сообщали об утечке данных и возможном финансировании незаконной деятельности, а затем требовали снять все деньги и внести их через банкомат по указанным реквизитам.

Никаких «безопасных», «защищённых» или «специальных» счетов для сохранения накоплений не существует. Сотрудники банков и государственных ведомств не просят граждан снимать или переводить деньги, оформлять кредиты и участвовать в операциях по поимке преступников. Как уточняет руководитель департамента информационной безопасности финансового маркетплейса Банки.ру Тимур Гараев, настоящий сотрудник банка также не станет запрашивать пароль, код из СМС или другие сведения, позволяющие войти в онлайн-банк либо подтвердить операцию.

«Родственник в беде»

Человеку звонят от имени родственника или сообщают, что его близкий попал в аварию, больницу либо стал участником уголовного дела. После этого в разговор может вступить «врач», «адвокат» или «сотрудник полиции», который требует срочно оплатить лечение, возместить ущерб или передать деньги, чтобы родственника не привлекли к ответственности.

Схема держится на страхе за близкого и чувстве ответственности: жертве не дают времени связаться с родственником и проверить историю. Деньги просят перевести на чужой счёт либо отдать курьеру, который якобы доставит их врачу, пострадавшему или сотруднику ведомства.

Фальшивый выигрыш или подработка

Вместо страха мошенники могут использовать предвкушение выгоды. Человеку сообщают о призе, выплате или лёгком заработке, а затем требуют сначала вложить собственные деньги: оплатить комиссию, страховку, доставку, доступ к заданию или вывод заработанного. Для получения «выплаты» также могут предложить ввести данные карты на поддельной странице.

Схемы с трудоустройством часто выглядят обстоятельнее. Лжеработодатель размещает привлекательную вакансию, проводит собеседование и обсуждает обязанности, а уже после этого просит оплатить обучение, медосмотр, спецодежду или оформление договора. Банк России предупреждает: настоящие работодатели не требуют от кандидатов переводить деньги или финансово участвовать в каких-либо операциях ради получения работы.

Новые угрозы 2026 года: что изменилось в знакомых схемах

Большинство перечисленных ниже технологий появилось не в 2026 году. Изменились их доступность, качество и способы применения: искусственный интеллект помогает быстрее готовить убедительные сообщения и подделывать голоса, преступные инструменты продаются как готовые услуги, а умные устройства и криптовалюты становятся частью многоэтапных схем. Поэтому новой часто оказывается не сама технология, а масштаб или сценарий атаки.

ИИ-фишинг и дипфейки: обман становится убедительнее

Генеративный искусственный интеллект помогает мошенникам быстрее создавать, переводить и адаптировать фишинговые сообщения под конкретную аудиторию. Тексты становятся грамотнее и естественнее, поэтому ошибки и странные формулировки уже нельзя считать надёжным признаком обмана. Нейросети также могут поддерживать переписку и менять легенду с учётом ответов собеседника.

По словам руководителя департамента противодействия финансовому мошенничеству компании в сфере кибербезопасности F6 Дмитрия Ермакова, ИИ увеличивает скорость и масштаб атак и снижает требования к подготовке злоумышленников. Руководитель Kaspersky GReAT Дмитрий Галов в России, также отмечает, что генеративные модели позволяют создавать персонализированные и многоязычные фишинговые сообщения практически без языковых ошибок.

Другое применение ИИ — синтез голоса и изображения. Мошенник может представиться родственником, руководителем или должностным лицом и подкрепить легенду голосовым сообщением, видеозвонком или «кружком» в мессенджере. Для имитации голоса может хватить короткого фрагмента речи из открытых источников, а сама технология стала доступна людям без специальной подготовки.

Кибербезопасность в России в 2026-м: актуальные тренды, угрозы и методы защиты

Фишинг без опечаток, дипфейки и ransomware: чему противостоять и чем, кроме технологий

Подробнее

Ведущий аналитик F6 Евгений Егоров приводит примеры интерактивных видеозвонков от имени сотрудников силовых структур, поддельных сообщений руководителей и дипфейков знаменитостей в рекламе криптосхем. При этом переоценивать распространённость технологии не стоит:

«В целом дипфейк-звонки представляют серьёзную угрозу, однако пока нельзя говорить о том, что они стали основным или массовым инструментом мошенников», — подчёркивает Дмитрий Галов.

Таким образом, главная перемена не в появлении совершенно нового вида обмана. Привычная социальная инженерия получила более правдоподобные декорации, а знакомый голос или лицо на экране перестали гарантировать, что человек действительно тот, за кого себя выдаёт.

Crime-as-a-Service: готовая атака в аренду

Crime-as-a-Service, или CaaS, — это модель, при которой одни участники преступного рынка продают или сдают в аренду другим инструменты, инфраструктуру и услуги для проведения атак.

В набор могут входить вредоносные программы, фишинговые шаблоны, украденные учётные данные, доступ к уже взломанным системам, серверная инфраструктура и проведение DDoS-атак.Возможность купить или арендовать отдельные элементы атаки позволяет даже людям без серьёзной технической подготовки запускать масштабные кампании.

Для пользователя это означает, что сложную схему необязательно проводит один виртуозный хакер. Одни преступники могут собирать данные, другие — создавать вредоносные программы, третьи — обзванивать жертв или выводить похищенные деньги. CaaS превращает разрозненные инструменты в доступный преступный конструктор.

Криптомошенничество: новая оболочка старых схем

При криптомошенничестве злоумышленники создают поддельные инвестиционные платформы, биржи, приложения и кошельки либо выдают себя за сотрудников настоящих сервисов. Пользователю показывают фиктивный доход, позволяют вывести небольшую сумму для укрепления доверия, а затем требуют увеличить вложения или оплатить комиссию. Другой сценарий — фишинговая страница, на которой предлагают ввести закрытый ключ или секретную фразу для восстановления кошелька.

ИИ добавляет этим сценариям убедительности. Например, по словам Евгения Егорова из F6, мошенники используют дипфейки знаменитостей для рекламы поддельных криптопроектов. Синтетическое видео создаёт иллюзию личной рекомендации, хотя человек мог никогда не иметь отношения к проекту.

Криптомошенничество не следует путать с криптоджекингом. При криптоджекинге злоумышленники тайно используют ресурсы чужого устройства для майнинга, а здесь убеждают человека самостоятельно перевести цифровые активы или отдать доступ к кошельку.

Особый риск связан с возвратом денег. Если пользователь напрямую отправил биткоины на адрес мошенника, банк не сможет отменить операцию. После подтверждения транзакцию нельзя обратить: вернуть такой платёж может только получатель.

Умные устройства: источник данных и давления

Подключённые к интернету камеры, видеоняни, колонки, замки и другие устройства могут стать дополнительной точкой входа для злоумышленника. Риск особенно высок, если владелец не сменил стандартный пароль, давно не обновлял прошивку или оставил включённым ненужный удалённый доступ. Посторонние в отдельных случаях могут получить доступ к трансляции или записям умных камер.

Сам по себе взлом умного устройства — ещё не мошенническая схема. Но записи, звук и сведения о привычках владельца могут использоваться для шантажа, запугивания или подготовки более правдоподобного обмана. В этом случае устройство становится не конечной целью, а источником информации и дополнительным способом давления на человека.

Как распознать мошенника: 10 красных флагов

Мошенник может знать имя собеседника, грамотно писать, показывать удостоверение и говорить голосом знакомого человека. Поэтому оценивать нужно не убедительность легенды, а поведение собеседника и действия, которых он требует.

Один признак не всегда доказывает обман. Но сочетание неожиданного обращения, давления и просьбы сообщить данные или распорядиться деньгами — достаточная причина прервать общение и проверить информацию независимо.

1. Ставит искусственный дедлайн

Убеждает, что решение нужно принять немедленно: через пять минут исчезнут деньги, закроется выгодное предложение или начнутся проблемы с законом. Цель — не оставить времени на проверку.

2. Бьёт по сильной эмоции

Пугает, стыдит, обвиняет, обещает лёгкие деньги или вызывает жалость. Например, сообщает о родственнике в беде, уголовном деле или внезапной компенсации.

3. Изолирует от советов и проверки

Требует не класть трубку, не звонить в банк и никому не рассказывать о происходящем. Запрет посоветоваться с близкими он может объяснять «тайной следствия» или безопасностью операции.

4. Просит ключи доступа

Запрашивает ПИН-код, CVV или CVC с обратной стороны карты, пароль от онлайн-банка либо код из СМС или push-уведомления.

5. Заставляет «спасать» деньги своими руками

Предлагает перевести накопления на «безопасный» счёт, снять наличные, оформить кредит или внести деньги через банкомат по продиктованным реквизитам. Таких счетов для защиты средств не существует, а сотрудники банков и государственных ведомств не требуют подобных операций.

6. Просит открыть доступ к устройству

Просит установить приложение, включить демонстрацию экрана или удалённое управление. Так он может увидеть уведомления и реквизиты, перехватить код или получить контроль над смартфоном.

F6 и MAX объединились против мошенников — за два месяца компании выявили более 2,5 тыс. фишинговых сайтов

Искусственный интеллект автоматически находит поддельные сайты и приложения

Подробнее

7. Уводит на подконтрольную страницу

Присылает ссылку или QR-код, после перехода просит войти в аккаунт, ввести данные карты или совершить платёж. Адрес может отличаться от официального одной буквой, другим доменом или незаметно заменённым символом.

8. Использует нехарактерный канал или реквизиты

Представляется следователем, но звонит через мессенджер; говорит от имени банка, но просит перевести деньги физическому лицу; предлагает работу, но требует оплатить обучение. Сотрудники Банка России, государственных и правоохранительных органов не звонят гражданам через мессенджеры.

9. Просит обойти защиту

Требует отключить антивирус, проигнорировать предупреждение банка, скрыть назначение перевода или назвать сотруднику ложную причину снятия наличных. Такая просьба означает, что защитные механизмы мешают провести задуманную операцию.

10. Использует легко подделываемые доказательства

Предъявляет номер телефона, аватарку, логотип, удостоверение, квитанцию, голосовое сообщение или видеокружок как подтверждение личности. Такие материалы можно скопировать, сгенерировать или получить после взлома чужого аккаунта.

Чек-лист: как защититься от мошенников

Надёжная защита строится не на одной привычке, а на системе барьеров. Даже если один уровень даст сбой, остальные могут сохранить аккаунт или хотя бы ограничить ущерб. Такую систему удобно разделить на четыре уровня: аккаунты, финансы, данные и семья.

1. Аккаунты: разные ключи для разных дверей

Один пароль для нескольких сервисов превращает утечку с одного сайта в угрозу для всей цифровой жизни. В исследовании Kaspersky среди 231 млн паролей, попавших в утечки в 2023–2026 годах, 60,2% комбинаций можно было подобрать примерно за час.

Код из приложения-аутентификатора меньше зависит от мобильной сети, чем СМС. Однако любой одноразовый код можно выманить на поддельном сайте, поэтому второй фактор снижает риск, но не превращает подозрительную страницу в безопасную.

2. Финансы: ограничения на случай ошибки

Финансовые барьеры не помогают распознать мошенника, зато уменьшают цену ошибки, если обман всё же сработал.

Самозапрет не блокирует ипотеку, автокредиты под залог машины, основные образовательные кредиты, поручительства и операции по уже выданным кредитным картам. Поэтому он защищает от части сценариев, но не заменяет остальные ограничения.

3. Данные и устройства: меньше материала для атаки

Чем больше сведений находится в открытом доступе, тем проще собрать убедительную легенду: назвать родственников, место работы, недавнюю поездку или привычный банк.

4. Семья: заранее согласованный протокол

Голос и изображение больше нельзя считать достаточным доказательством личности. В неожиданной просьбе о деньгах надёжнее работает семейный порядок проверки, известный заранее.

Кодовое слово, сохранённое в семейном чате, теряет смысл при взломе аккаунта. Поэтому такой секрет хранится вне переписки и меняется, если мог стать известен посторонним.

В России хотят ввести запрет на увеличение лимита кредитных карт — ограничение можно будет установить на Госуслугах

Банки не смогут увеличивать кредитные лимиты по уже выданным картам

Подробнее

Пошаговая инструкция: что делать, если обманули мошенники

Первые минуты — не время выяснять, кто виноват и обязан ли банк вернуть деньги. Сначала важно остановить движение средств, перекрыть доступ к аккаунтам и сохранить следы атаки. Дальнейшие действия зависят от того, что именно произошло: перевод денег, передача реквизитов, установка приложения или оформление кредита.

Шаг 1. Связаться с банком — сразу

Звонить нужно по номеру из банковского приложения, с официального сайта или с обратной стороны карты, а не по контактам из сообщения мошенника. Если телефон мог оказаться под удалённым управлением, для звонка лучше использовать другое устройство.

Банку понадобится точное описание ситуации:

В зависимости от сценария банк сможет заблокировать карту и доступ в онлайн-банк, зарегистрировать заявление о несогласии с операцией, попытаться остановить или отозвать перевод. Номер обращения и ответ банка лучше сохранить.

Об операции, совершённой без согласия клиента, банк необходимо уведомить немедленно, но не позднее дня, следующего за уведомлением о списании. Если перевод был подтверждён самим клиентом, обратиться всё равно стоит как можно быстрее, однако это не гарантирует возврата. Подробные условия разберём в FAQ.

Чарджбэк применяется главным образом при оспаривании некоторых покупок, оплаченных картой. Для перевода по номеру телефона, карты или счёта действует другой порядок, поэтому требование «сделать чарджбэк» подойдёт не во всех случаях.

Если мошенники убедили оформить кредит, важно выяснить, началась ли выдача денег. Для кредитов, подпадающих под период охлаждения, средства от 50 тыс. до 200 тыс. ₽ становятся доступны через четыре часа после подписания договора, свыше 200 тыс. ₽ — через 48 часов. До окончания этого срока от получения денег можно отказаться.

Шаг 2. Перекрыть доступ к устройствам и аккаунтам — в первый час

Если на телефон или компьютер установили неизвестное приложение либо включили удалённый доступ, устройство нужно отключить от интернета и больше не открывать на нём банковские приложения. Перед удалением программы пригодятся скриншоты её названия, значка и выданных разрешений.

Пароли меняют с другого, заведомо безопасного устройства. В первую очередь — от электронной почты, через которую восстанавливается доступ к остальным сервисам, затем от онлайн-банка, Госуслуг, мессенджеров и соцсетей. Одновременно завершают незнакомые активные сессии и подключают двухфакторную аутентификацию.

При подозрении на перехват номера мобильный оператор сможет заблокировать или перевыпустить сим-карту. Если мошенники получили доступ к почте или мессенджеру, знакомых и коллег стоит предупредить по другому каналу: преступники могут продолжить рассылку уже от имени владельца аккаунта.

Шаг 3. Сохранить доказательства — до удаления переписки и приложений

Для банка и полиции пригодятся:

Одних скриншотов иногда недостаточно: по возможности сохраняются исходные письма, файлы и экспорт переписки. При этом подозрительные ссылки и вложения повторно не открываются.

Шаг 4. Подать заявление в полицию — желательно в тот же день

Заявление примут в любом территориальном отделе полиции независимо от места совершения преступления. При личной подаче выдаётся талон-уведомление с номером КУСП — он подтверждает, что обращение зарегистрировано.

В заявлении важны не юридические термины, а последовательность событий: кто и когда связался, кем представился, какие действия предложил, какие данные были раскрыты и куда ушли деньги.

Краткий шаблон:

Копию заявления, талон-уведомление и все последующие ответы полиции лучше хранить вместе с банковскими документами.

Шаг 5. Проверить кредитную историю — в ближайшие дни

Сервис Госуслуг показывает, в каких бюро кредитных историй хранятся сведения о человеке. После получения списка кредитный отчёт запрашивается отдельно в каждом БКИ. Два отчёта в течение календарного года каждое бюро предоставляет бесплатно, при этом на бумаге бесплатно выдаётся не более одного.

Проверка в день происшествия может ещё не показать новый кредит: финансовая организация передаёт сведения в БКИ не мгновенно. Поэтому при серьёзной утечке персональных данных запрос стоит повторить через несколько рабочих дней.

Если обнаружен неизвестный кредит или заём, последовательность такая:

Если кредитор после проверки не признает сведения недостоверными, договор и запись в кредитной истории, возможно, придётся оспаривать в суде.

Шаг 6. Подключить регуляторов — если проблема не решена

Жалоба в Банк России не заменяет обращение в сам банк. Сначала финансовой организации направляется письменная претензия. Обычно она должна ответить в течение 15 рабочих дней; при необходимости срок могут увеличить ещё максимум на десять. Если ответ не решает проблему, его копию вместе с доказательствами прикладывают к обращению в интернет-приёмную Банка России.

Роскомнадзор подключается, когда есть основания говорить о незаконной обработке или распространении персональных данных. Само хищение денег расследует полиция. Банк России рассматривает жалобы на нарушения обязательных требований банком или МФО, но не разрешает гражданско-правовые споры. Имущественное требование в пределах своей компетенции рассматривает финансовый уполномоченный, а затем спор можно передать в суд.