Кардинг через системы быстрых платежей (Pix, UPI): новые горизонты

От кардера — кардерам. Эпоха, когда кардеры безраздельно правили бал, заканчивается. 3DS, AVS, AI-скоринг — всё это превратило классический вбив в лотерею с отрицательным матожиданием. Но пока вы пытаетесь дожать старые методы, настоящие профи ушли туда, где проверка личности — это просто номер телефона. Туда, где нет CVV, чарджбэков и платёжных шлюзов с их бесконечными проверками. В мгновенные платёжные системы.

Pix в Бразилии, UPI в Индии — это не просто альтернатива картам. Это новая финансовая экосистема. И в 2026 году она стала главной мишенью для перевода грязных денег. Мгновенность перевода — величайший враг AML. Пока банк моргает, деньги уже переведены, раздроблены и спрятаны в крипту. В этой статье мы разберём каждый регион, вооружим вас конкретными схемами и предупредим о рисках, которые нельзя игнорировать.

Часть 1. Бразилия (Pix): мгновенные переводы и трояны-перехватчики​

Pix — это мгновенные переводы центрального банка Бразилии, которые по популярности превзошли кредитные и дебетовые карты вместе взятые. Это ликвидный рынок с огромным количеством финансово активного населения.

Главное преимущество Pix — транзакция необратима. В отличие от карточного чарджбэка, который можно оспорить через банк, когда деньги переведены через Pix, они ушли навсегда. Именно это делает Pix идеальным инструментом для быстрого вывода крупных сумм.

1.1. Промышленный масштаб: трояны и миллионные кражи​

Pix стал главной целью бразильских банковских троянов. Специалисты Zimperium обнаружили штамм PixRevolution, который перехватывает транзакции жертвы в реальном времени и подменяет получателя на подконтрольный кардерам счёт. Аналитики Check Point Research обнаружили в магазине приложений Google Play два банковских трояна под видом легитимного софта, которые делали то же самое.

Истинный ужас вот в чём: троян может годами сидеть в телефоне жертвы, ничего не делая. Он ждёт. Он терпеливо собирает данные. А потом, когда жертва сама инициирует перевод на крупную сумму, троян мгновенно подменяет получателя, и деньги уходят на ваш счёт. Никаких подозрительных списаний, никаких звонков из банка. Жертва сама перевела деньги «тому, кому нужно».

Масштаб: Одна только операция «Pix Seguro» привела к блокировке R103миллионов( 103миллионов( 20 млн) незаконных активов и раскрыла использование тысяч подставных счетов.

1.2. Легализация и дробление (Smurfing)​

Как легализовать кран в Бразилии? Через разбивку крупных сумм на множество мелких транзакций и использование сети «счетов-лимонадов» (contas laranjas — подставные счета). Операция, раскрытая в апреле 2026 года, показала, что преступники использовали сложные схемы отмывания с помощью компаний-фантомов и дробления средств на тысячи мелких транзакций, прежде чем вывести их в криптовалюту.

Новые правила безопасности (2026): С февраля 2026 года в Бразилии вступили в силу новые правила, включая превентивную блокировку средств на до 72 часов при подозрении на мошенничество и расширенный механизм отслеживания, позволяющий вернуть украденные средства в среднем за 11 дней.

Часть 2. Индия (UPI): мулы, лимиты и AI против мошенничества​

UPI (Unified Payments Interface) в Индии — это финансовый феномен. Миллиарды транзакций в месяц. Открыть счёт и начать принимать платежи через UPI можно почти мгновенно, встроившись в смартфон жертвы. Именно эта доступность делает UPI райским местом для дропов. Схема стара как мир: мошенники вербуют людей (часто безработных или студентов), покупают их учётные данные за пару тысяч рупий, и эти люди превращаются в мулов, через чьи счета проходят украденные средства.

2.1. Тотальная война с мулами​

Индия объявила войну дроп-счетам. Правительство намерено использовать AI для мониторинга подозрительных паттернов, так как мулы — главное препятствие в борьбе с кардингом.

• Кепы и лимиты. Резервный банк Индии (RBI) предлагает ограничить годовой кредитный оборот на счетах с пониженной должной осмотрительностью до ₹25 лакхов (~$30 000), а также ввести задержку на крупные переводы и «килл свитч» для немедленной заморозки подозрительных транзакций.

2.2. Технологическая война и новые трояны​

Индийские мошенники не дремлют. Фирма по киберразведке CloudSEK сообщила, что кардеры нашли способ обходить стандартные средства безопасности UPI-приложений, используя поддельные или вредоносные приложения, распространяемые через SMS-ссылки. Здесь важно, что большинство UPI-мошенничеств в Индии до сих пор начинается не со взлома алгоритмов, а с социальной инженерии — заставить жертву добровольно установить приложение или перевести деньги.

Часть 3. Сравнительная таблица: СБП vs Pix vs UPI​

Часть 4. Как строятся дроп-сети в 2026​

Схема дроп-сети в 2026 году стандартизировалась:

1. Вербовка. Дропов находят через Telegram, форумы «лёгкого заработка» и даже через подставные объявления о работе. Им обещают 10–20% от суммы обналичивания.
2. Регистрация. Дроп открывает банковский счёт, регистрируется в платёжной системе (часто на подставное имя или купленную на чёрном рынке).
3. Приём и дробление. Украденные средства поступают на один из аккаунтов дропа. Затем сеть «дробит» их на мелкие суммы (до R$ 5000 в Бразилии, до ₹50 000 в Индии) и рассылает по другим подставным счетам, чтобы уйти от порога срабатывания AML.
4. Обналичивание. Финальный этап: вывод на криптокошельки (USDT, XMR), покупка подарочных карт Amazon или физическое снятие наличных через банкоматы. Здесь важно, что в Индии RBI предлагает ввести задержку на крупные переводы и кэп на годовой кредитовый оборот на счетах с пониженной должной осмотрительностью.

Кейс из Бразилии: в ходе операции «Pix Seguro» было обнаружено, что преступники использовали сеть счетов-лимонадов (contas laranjas), которые были открыты с помощью украденных удостоверений личности через небанковские финтех-компании с менее строгими контролями.

Предупреждение: всегда имейте промежуточное звено (криптомиксер, P2P-обменник), разрывающее цепочку, прежде чем выводить деньги на свой счёт.

Часть 5. Прогноз на 2027: от карт к P2P-платежам​

Тенденция к переходу с карт на быстрые платежи будет только усиливаться. Бразилия, Индия, а вслед за ними и страны Евросоюза, постепенно внедряют SEPA Instant, а в будущем и цифровые валюты центральных банков (CBDC). Классический кардинг умрёт. Выживут те, кто перестроится на атаки на системы мгновенных платежей.

Главные тренды 2027 года, которые изменят всё:

1. Эскалация троянов. Бразильская модель (PixStealer, MalRhino) распространится на другие регионы. Если вы ещё не думали о создании или покупке троянов под мобильные устройства, сейчас самое время задуматься.
2. Регуляторы не дремлют. Лимиты будут снижаться, а окна для мгновенного вывода — сужаться. Даже в Индии правительство использует AI, чтобы охотиться на дроп-счета. В Бразилии уже сейчас при подозрении на мошенничество банк может заблокировать средства на счету получателя на срок до 72 часов.

Часть 6. OPSEC и чек-лист для кардера​

• Выбор региона. Бразилия (Pix) — для крупного, агрессивного вывода через трояны. Индия (UPI) — для массового, низкодоходного обналичивания через мулов.
• Региональные особенности.
  • Бразилия: Ключевая задача — успеть вывести средства до того, как банк или получатель (через механизм MED) инициирует блокировку. Скорость — ваше всё. Дробите суммы и используйте децентрализованные обменники для мгновенного перевода в USDT или Monero.
  • Индия: Главный риск — мул, который может испугаться и сдать вас полиции. Работайте только с проверенными мулами, желательно через эскроу-сервис. И готовьтесь к тому, что AI-системы правительства Индии начнут отлавливать подозрительные мультиаккаунты.
• Финал. Никогда не выводите деньги на свой личный счёт. Используйте промежуточные криптомиксеры (типа JoinMarket или даже простые обменники), а затем выводите на холодный криптокошелёк.

Резюме​

Кардинг умирает. Добро пожаловать в мир мгновенных платежей. Бразилия изобрела велосипед в виде необратимых транзакций Pix, который мы с удовольствием угоняем. Индия тонет в мулах, но запускает AI, чтобы их отловить. Это три гигантских региона с сотнями миллионов активных пользователей, где классический вбив через карту уже не работает. Здесь поле битвы другое: социальная инженерия, трояны и умение выводить средства до того, как их заблокируют.

Учитесь быстро обналичивать, ищите свежие уязвимости в интерфейсах и не зацикливайтесь на старых методах. В 2027 году быстрые платежи станут новой нормой для кардеров по всему миру.

Быстрая памятка на одну строку:
«Карты мертвы. Pix, UPI — вот где кровь. Живите моментом: пока банк думает, вы уже обналичили. Бразилия: спешите до блокировки. Индия: бойтесь AI и вербуйте мулов локально. Учитесь выводить мгновенно, иначе регуляторы выведут вас из игры»