Код просит ввести платёжная форма магазина, а иногда — человек, который звонит «из банка». Опасность зависит от того, где и кому вы его сообщаете, а шансы вернуть деньги — от того, насколько быстро вы сообщили банку и сами ли передали данные карты.
- Что такое CVV/CVC и зачем он нужен
- Где находится код и что делать, если он стёрся
- Когда CVV вводить можно, а когда нельзя
- Что будет, если код узнали мошенники: что говорит закон
- Как банк защищает от списаний без вашего согласия
- Пошаговый порядок действий при списании
- Как защитить карту при оплате в интернете
- Если банк заблокировал карту
Что такое CVV/CVC и зачем он нужен
CVV или CVC — код проверки подлинности карты: три цифры на её обратной стороне (так его называет Банк России). Он нужен, когда карту не вставляют в терминал, а платят по реквизитам: в интернет-магазине, при оплате услуг на сайте, при привязке карты к сервису. Номер, срок действия и код вместе позволяют отдать банку распоряжение о переводе денег, поэтому сама карта и её данные по закону — электронное средство платежа (п. 19 ст. 3 Федерального закона от 27.06.2011 № 161-ФЗ «О национальной платёжной системе», далее — закон № 161-ФЗ).
CVV и CVC — одно и то же, название зависит от платёжной системы: CVV пишут у карт Visa, CVC — у Mastercard. У других систем код может называться иначе, но работает так же.
| CVV/CVC | ПИН-код | |
|---|---|---|
| Где хранится | Напечатан на обороте карты или показан в приложении банка | На карте не указан, его знает только владелец |
| Где вводят | В платёжной форме сайта при оплате по реквизитам | В банкомате и терминале магазина |
| Можно ли сменить | Только перевыпуском карты | Да, через банкомат или приложение банка |
| Кому сообщать | Никому | Никому |
Смотрите также
Где находится код и что делать, если он стёрся
На пластиковой карте код напечатан на обратной стороне, рядом с полосой для подписи: три цифры без тиснения. У виртуальной и цифровой карты пластика нет — номер, срок и CVV/CVC показывает приложение или интернет-банк после входа и нажатия на изображение карты. Чем такая карта отличается от обычной, разобрано в статье о цифровой банковской карте.
Если цифры стёрлись, восстановить их на пластике нельзя — обратитесь в банк за перевыпуском карты. Пока новой карты нет, реквизиты для оплаты обычно можно посмотреть в мобильном приложении банка.
Когда CVV вводить можно, а когда нельзя
Банк России разрешает указывать номер карты, срок действия, CVV/CVC и код подтверждения из СМС только при покупках на проверенных и надёжных сайтах. В обычном магазине код не нужен: там оплату подтверждают ПИН-кодом или прикладывают карту. Не нужен он и для того, чтобы получить перевод.
| Ситуация | Вводить код? |
|---|---|
| Оплата заказа на сайте, адрес которого вы набрали сами или открыли из закладки | Да |
| Оплата по ссылке из СМС, письма или мессенджера («возврат налога», «выигрыш», «доставка») | Нет: сначала откройте сайт продавца сами |
| Покупатель с сайта объявлений «хочет перевести предоплату» и просит данные карты | Нет |
| Звонок «службы безопасности банка», «следователя», «сотрудника ЦБ» | Нет, положите трубку |
| Оплата картой в магазине или кафе | Не требуется |
Значок замка в адресной строке браузера говорит лишь о защищённом соединении, а не о честности продавца. Сайт-двойник тоже может его показывать, поэтому сверяйте адрес по буквам.
По позиции Банка России любой, кто запрашивает номер карты, срок действия, CVV/CVC, ПИН-код или код из СМС, — мошенник; сотрудники банков и государственных структур такие данные никогда не запрашивают. Как сообщить о подозрительном звонке, описано в инструкции о том, как пожаловаться на телефонных мошенников.
Что будет, если код узнали мошенники: что говорит закон
С номером, сроком и CVV/CVC можно платить в интернете без самой карты. Если оплата не требует кода из СМС или его тоже выманили, деньги могут списать сразу. Возврат регулирует ст. 9 закона № 161-ФЗ. Банк обязан сообщать о каждой операции по карте (ч. 4 ст. 9) и дать возможность уведомить его о списании без вашего согласия (ч. 5 ст. 9). Дальше всё зависит от того, когда вы сообщили банку и кто нарушил правила.
| Ситуация | Что должен банк | Срок | Норма закона № 161-ФЗ |
|---|---|---|---|
| Деньги списали после того, как вы уведомили банк | Возместить сумму | 30 дней | ч. 12 ст. 9 |
| Деньги списали до уведомления; банк прислал сообщение об операции, вы уведомили его вовремя | Возместить по заявлению, если не докажет, что вы нарушили порядок использования карты | 30 дней после заявления, при трансграничном переводе — 60 дней | ч. 15 ст. 9 |
| Банк не сообщил вам об операции | Возместить по заявлению | 30 дней после заявления | ч. 13 ст. 9 |
| Банк провёл операцию, хотя получатель был в базе Банка России, и не применил защитные меры | Возместить по заявлению | 30 дней после заявления | ч. 3.13 ст. 8 |
| Вы не уведомили банк в срок | Не обязан возмещать, кроме случая из предыдущей строки | — | ч. 14 ст. 9 |
Любое заявление клиента, в том числе спор по операции, банк рассматривает в срок по договору, но не более 30 дней со дня получения, при трансграничном переводе — не более 60 дней (ч. 8 ст. 9).
Вернёт ли банк деньги, если вы сами назвали CVV
Банк России прямо говорит: если клиент сам перевёл деньги мошенникам или предоставил им банковские данные, банк не обязан возвращать похищенное. В законе это нарушение порядка использования карты, и доказать его должен банк (ч. 15 ст. 9). Поэтому в заявлении описывайте события точно: кто звонил, с какого номера, что спрашивали. Если код вы никому не сообщали, так и напишите. При отказе требуйте письменный ответ с указанием, какое нарушение вам вменяют; его можно обжаловать в Банк России через интернет-приёмную на cbr.ru или оспорить в суде.
Как банк защищает от списаний без вашего согласия
Банк сам проверяет операции. Если операция по карте соответствует признакам перевода без добровольного согласия клиента, которые устанавливает Банк России, банк отказывает в её совершении (ч. 3.4 ст. 8 закона № 161-ФЗ). После отказа он обязан сообщить, что сделал, дать рекомендации по снижению риска и предупредить, что вы можете совершить повторную операцию с теми же реквизитами получателя и той же суммой (ч. 3.6 ст. 8). Повторяйте её, только если уверены в получателе; если вас торопят по телефону, это признак обмана.
Банк России ведёт базу случаев и попыток переводов без согласия клиентов. Банк, который получил из неё сведения о получателе, но всё равно провёл операцию с нарушением защитных правил, возмещает сумму физическому лицу в течение 30 дней после заявления (ч. 3.13 ст. 8). По разъяснению Банка России, с 25.07.2024 банк обязан вернуть деньги и тогда, когда не приостановил на два дня перевод на счёт получателя из этой базы.
Пошаговый порядок действий при списании
- Заблокируйте карту: в приложении, в интернет-банке, через контакт-центр или в отделении. Номер банка берите с обратной стороны карты или с официального сайта, а не из пришедшего сообщения.
- Уведомите банк о списании без вашего согласия в форме, которую предусматривает договор, — сразу после того, как заметили, но не позднее дня, следующего за днём получения уведомления банка об операции (ч. 11 ст. 9 закона № 161-ФЗ). Если банк прислал уведомление об операции, а вы этот срок пропустили, он не обязан возмещать сумму, кроме случая с базой Банка России (ч. 14 ст. 9).
- Подайте письменное заявление о несогласии с операцией: Банк России советует сделать это в отделении в течение суток после сообщения о списании. Укажите дату, время и сумму операции, что вы её не совершали и данные карты никому не передавали (если это так), и потребуйте возместить сумму. Возьмите копию с отметкой о приёме.
- Обратитесь в полицию с заявлением о хищении. Как его составить, описано в инструкции по заявлению о мошенничестве; подать можно и заявление в полицию онлайн. Сохраните документ о приёме заявления — он пригодится в споре с банком.
- Ждите ответа банка: не более 30 дней, при трансграничном переводе — не более 60 дней (ч. 8 ст. 9). При отказе — жалоба в Банк России или иск в суд.
Хищение денег с банковского счёта уголовный закон относит к краже (п. «г» ч. 3 ст. 158 УК РФ), если нет признаков мошенничества с использованием электронных средств платежа (ст. 159.3 УК РФ).
Смотрите также
Как защитить карту при оплате в интернете
- Заведите отдельную или виртуальную карту для покупок в интернете и пополняйте её на сумму покупки.
- Не отключайте подтверждение оплаты кодом из СМС или push-уведомлением; этот код, как и CVV, никому не называйте.
- Открывайте магазины сами, а не по ссылкам из сообщений, и сверяйте адрес сайта.
- Не платите через общественный Wi-Fi и поставьте антивирус на телефон и компьютер.
- Не фотографируйте карту с двух сторон и не пересылайте снимки в мессенджерах и почте.
- Держите включёнными уведомления об операциях: без них вы не заметите списание и пропустите срок для обращения в банк.
Если банк заблокировал карту
Банк вправе приостановить или прекратить использование карты по вашему уведомлению, по своей инициативе, если вы нарушили порядок использования по договору, а также в случаях, предусмотренных законом (ч. 9 ст. 9 закона № 161-ФЗ). Причину он обязан сообщить в день блокировки (ч. 9.2 ст. 9).
Если причина — сведения о вас или карте в базе Банка России о переводах без согласия клиентов, карту приостанавливают на время, пока они там (ч. 11.6, 11.7 ст. 9). Заявление о возобновлении в банк тут не поможет: подайте в Банк России, в том числе через свой банк, заявление об исключении сведений из базы. Решение принимают не более чем за 15 рабочих дней, отказ можно обжаловать в суд (ч. 11.8, 11.10 ст. 9).
Если карту заблокировали после ваших собственных операций, подайте в банк заявление о возобновлении и объясните, что платили сами. Банк России в информационном письме от 25.09.2026 № ИН-03-45/32 рекомендует банкам дать возможность пользоваться картой не позднее 1 рабочего дня, следующего за днём, когда банк принял решение о возобновлении.
Федеральный закон от 26.06.2026 № 210-ФЗ с 01.03.2027 меняет ст. 8 и 9 закона № 161-ФЗ, а с 01.09.2027 дополняет ст. 9; правила о защите и возмещении могут быть уточнены, сейчас действует текущая редакция.
Частые вопросы
Можно ли называть CVV код по телефону сотруднику банка?
Нет. Сотрудники банков и государственных структур такие данные не запрашивают; по позиции Банка России тот, кто их просит, — мошенник.
Что делать, если мошенники узнали CVV код карты?
Сразу заблокируйте карту в приложении или по телефону банка и перевыпустите её. Если деньги уже списали, уведомите банк не позднее дня, следующего за днём получения сообщения об операции, подайте заявление о несогласии с операцией и обратитесь в полицию.
В какой срок банк вернёт деньги, списанные мошенниками?
По операциям после вашего уведомления и когда банк не сообщил об операции — 30 дней (ч. 12, 13 ст. 9 закона № 161-ФЗ). Если операцию совершили до уведомления и банк сообщал о ней — 30 дней после заявления, при трансграничном переводе — 60 дней (ч. 15 ст. 9).
Вернёт ли банк деньги, если я сам назвал CVV?
Банк России считает, что в этом случае банк не обязан возвращать деньги. Но нарушение порядка использования карты должен доказать банк, поэтому подать заявление о возмещении всё равно стоит.
Где находится CVV на виртуальной карте?
В приложении или интернет-банке, в разделе с реквизитами карты: код показывают после входа и нажатия на изображение карты.
Чем CVV отличается от пин-кода?
CVV напечатан на карте и нужен для оплаты по реквизитам в интернете, ПИН-код на карте не указан и вводится в банкомате и терминале магазина. Сообщать нельзя ни тот, ни другой.
