Як по номеру картки визначити власника

Повний номер платіжної картки не містить прізвища, адреси чи телефону власника. Звичайній людині законно доступні лише технічні ознаки: банк-емітент, платіжна система, країна випуску та тип продукту за першими 6–8 цифрами (BIN/IIN). Ім’я клієнта банки показують лише частково і лише під час власного переказу в застосунку — як захист від помилкової відправки коштів, а не як інструмент пошуку людини.

Відкритої бази «номер картки — ПІБ» не існує. Дані про власника рахунку охороняє банківська таємниця за Законом України «Про банки і банківську діяльність». Сторонній особі банк їх не видасть. Єдиний легальний шлях отримати повну інформацію — офіційний запит правоохоронців у межах провадження або рішення суду. Сервіси, що обіцяють «пробив за 50 гривень», збирають ваші реквізити або продають вигадані дані.

Що насправді закодовано в номері картки

Стандартний номер Visa чи Mastercard має 16 цифр і будується за міжнародним стандартом ISO/IEC 7812. Це не випадковий набір символів і не «паспорт людини». Це службовий ідентифікатор інструменту, за яким платіжна система розуміє, куди направити авторизацію.

Перша цифра — Major Industry Identifier. Для Visa це 4, для Mastercard — 5 (а також діапазон 2221–2720), для American Express — 3, для національної системи «Простір» часто зустрічається 9. Далі йде BIN, або IIN — Bank Identification Number / Issuer Identification Number. Раніше він займав 6 позицій, зараз банки поступово переходять на 8 знаків, щоб вистачало унікальних кодів для нових продуктів.

Цифри після BIN — внутрішній номер рахунку чи інструменту всередині банку. Сторонній особі вони нічого не кажуть. Остання цифра — контрольна за алгоритмом Луна. Вона перевіряє, чи номер набрано без помилки, і не містить жодних персональних даних. У нашій практиці ми стикалися з випадком, коли людина місяцями шукала «власника» за номером, який навіть не проходив перевірку Луна: це був вигаданий набір цифр з оголошення.

Номер картки ідентифікує платіжний інструмент, а не людину. Ім’я власника зберігається в системах банку окремо і не «зчитується» з самих цифр.

Джерела структури номера: міжнародний стандарт ISO/IEC 7812 та роз’яснення банків щодо переходу BIN з 6 на 8 знаків (зокрема матеріали sensebank.com.ua та bankchart.com.ua).

Що можна законно перевірити за номером

Практична користь номера — не «знайти людину», а зрозуміти, куди їдуть гроші і чи не виглядає реквізит підозріло. Це інше завдання, і воно цілком легальне.

Банк, країна і тип картки за BIN

Публічні довідники BIN показують емітента, бренд мережі, країну реєстрації BIN і часто категорію продукту: дебетова, кредитна, prepaid, Classic, Gold. Для України характерні, зокрема, діапазони на кшталт 5168 і 4149 у продуктів ПриватБанку, 4441 у monobank, 5167 у Ощадбанку. Це орієнтири, а не вичерпний реєстр: один банк тримає десятки BIN під різні валюти й тарифи, коди змінюються.

Корисно так: продавець на дошці оголошень каже «картка українська», а BIN вказує на емітента іншої країни. Або навпаки — номер виглядає «як у великого банку», а довідник показує маловідому установу. Це ще не доказ злочину, але вже привід зупинитися і перевірити людину іншим способом.

Приклади зібрані з відкритих BIN-довідників на кшталт ecofin.in.ua та bankchart.com.ua і можуть змінюватися. Для перевірки достатньо перших 6–8 цифр; повний номер у сторонній сайт вводити не варто.

Часткове ім’я під час власного переказу

Деякі українські банки в мобільному застосунку показують прізвище та ініціали одержувача після введення номера — уже на екрані підтвердження, до списання грошей. Це зроблено, щоб ви не відправили кошти однофамільцю чи помилковому номеру. Функція працює не завжди: залежить від банку відправника, банку одержувача, типу операції і того, чи система взагалі має право показати маску імені в цьому каналі.

Це не каталог клієнтів. Банк не шукає людину «по запиту з вулиці». Він лише підсвічує дані в межах вашої операції. Якщо переказ скасувати на етапі підтвердження, гроші не підуть, а «пошуком власника» це все одно не стане. За моїм досвідом супроводу побутових платежів, люди плутають саме цей екран із нібито відкритим реєстром. Різниця принципова: одне — перевірка свого платежу, інше — збір чужих персональних даних.

Перевірка реквізиту в базі скарг

Офіційний розділ Stop Fraud на сайті Департаменту кіберполіції дозволяє перевірити номер картки, телефон або адресу сайту на наявність попередніх скарг громадян. Сервіс не видає ПІБ і не підтверджує, що рахунок «чистий назавжди». Він показує сигнал ризику: цей реквізит уже фігурував у зверненнях. Гаряча лінія кіберполіції — 0 800 505 170. Це інструмент обережності перед переказом незнайомцю, а не спосіб встановити особу.

Чому повне ім’я за номером недоступне

Банківська таємниця в Україні — не гасло з буклета, а норма Закону «Про банки і банківську діяльність». До неї належать відомості про рахунки клієнтів, операції за дорученням клієнта та інша інформація, що стала відома банку під час обслуговування. Ім’я власника картки в зв’язці з номером інструменту якраз і є такою інформацією.

Банк розкриває її обмеженому колу: самому клієнту чи його представнику, за рішенням суду, на запит уповноважених органів у порядку статті 62 цього Закону. Після змін 2024 року Національний банк уточнив, що правоохоронці в межах повноважень можуть отримувати також унікальні ідентифікатори та номери емісійних платіжних інструментів — саме щоб розслідувати карткове шахрайство, де операція йде за номером картки, а не за IBAN. Приватна особа в цей перелік не входить.

Міжнародний стандарт PCI DSS окремо захищає cardholder data: повний Primary Account Number і, якщо вони зберігаються разом із ним, ім’я держателя та строк дії. Торговці й процесингові компанії не мають права будувати публічний пошук «хто власник цього PAN». Навіть внутрішні сервіси звірки імені (account name verification) доступні лише учасникам платіжної інфраструктури і відповідають «збігається / частково / ні», а не віддають чуже прізвище випадковому користувачу інтернету.

Тому відповідь банку на телефонний дзвінок на кшталт «назвіть, будь ласка, хто власник картки 5168…» буде відмовою. Оператор навіть не має права це перевірити «з доброти душі». Це не бюрократія заради бюрократії, а бар’єр проти соціальної інженерії: шахраї роками збирають номер картки, виманюють ім’я під час пробного переказу і далі вже грають роль «служби безпеки банку».

Що робити, якщо гроші вже пішли не туди

Ситуація типова: продаж через оголошення, «передплата на картку», після переказу продавець зникає. Або помилковий номер у месенджері. Повний портрет отримувача вам усе одно не покажуть, але бездіяльність гарантовано нічого не поверне.

1. Одразу зафіксуйте скріншоти чату, номер картки, суму, час і квитанцію з застосунку. Без цього і банк, і поліція працюють наосліп.
2. Зателефонуйте в свій банк і повідомте про шахрайську або помилкову операцію. Попросіть заблокувати подальші спроби і подайте заяву на оскарження. Строки розгляду різні, повернення не гарантоване, особливо якщо кошти вже знято з рахунку дропа.
3. Подайте заяву до поліції. Без зареєстрованого провадження банк не має підстав розкривати дані отримувача вам особисто. Саме через справу правоохоронці можуть надіслати запит емітенту.
4. Паралельно перевірте номер у Stop Fraud і додайте свій випадок, якщо сервіс це дозволяє. Так наступна людина побачить ризик раніше за вас.
5. Не «добивайте» шахрая через сумнівні боти. Друга втрата — уже ваші логіни, сесія банку або фото документів — трапляється частіше, ніж успішний «пробив».

Повернення коштів займає тижні й місяці. Іноді гроші вже розігнані ланцюжком рахунків. Реалістичне очікування таке: банк допомагає заморозити те, що ще можна заморозити; особу встановлюють слідчі, якщо справа жива. Родичі отримувача, «знайомий у відділенні» чи приватний детектив без процесуального статусу законно цих даних не відкриють.

Типові помилки

• Плутати BIN з «паспортом клієнта». Довідник покаже банк і тип картки. Прізвища там немає і ніколи не було.
• Вводити повний номер у Telegram-бот «перевірка власника». Бот зберігає PAN. Далі номер продають або використовують для фішингу вже проти вас.
• Вважати екран «Іваненко О.» у Приват24 універсальним пошуком. Це підтвердження вашого платежу, часто лише всередині екосистеми банку, і лише в момент операції.
• Телефонувати в чужий банк і вимагати ПІБ «бо я переказав гроші». Без справи й без статусу потерпілого в установленому порядку відповідь буде відмовою. Час краще витратити на заяву.
• Шукати людину в соцмережах за частковим ім’ям після тестового переказу. Так само роблять шахраї. Цей прийом не стає законним лише тому, що «я ж жертва».
• Оплачувати «бази ПриватБанку» і «зливи 2026». Частина лотів — фейк. Інша — украдені витоки. І те, і те тягне ризики для покупця даних.

Як захистити себе, коли номер картки вже у чужих руках

Для зарахування на картку в більшості внутрішньоукраїнських P2P-сценаріїв достатньо самого номера. CVV, строк дії й SMS-код для отримання грошей не потрібні. Саме тому номер із чату OLX чи з фото пластику вже є чутливим ідентифікатором інструменту, навіть якщо зняти з нього кошти «в лоб» без інших даних складніше.

Практичні правила простіші за міфи про «всезнаючі бази»:

• Для отримання оплати від незнайомця краще IBAN і повне ПІБ, ніж голий номер картки в месенджері. IBAN важче « circulювати» як дроп-реквізит у масових схемах.
• Не надсилайте фото лицьового боку картки. На пластику одночасно видно PAN і ім’я — саме ту зв’язку, яку PCI DSS вважає cardholder data.
• Тестовий переказ 1 грн заради «подивитися прізвище» залишає слід і привчає до небезпечної звички. Якщо потрібно підтвердити людину — відеодзвінок, зустріч, накладений платіж, ескроу дошки оголошень.
• Банк ніколи не просить повний номер, CVV і код з SMS в одному дзвінку «для розблокування». Якщо таке відбувається — це вже соціальна інженерія, а не перевірка власника.

Якщо мета — не знайти незнайомця, а не відправити гроші не туди, вам достатньо BIN, екрана підтвердження у своєму банку та Stop Fraud. Усього, що лежить за цією межею, законно не існує у відкритому доступі.

Де проходить межа між обережністю і порушенням

Перевірити банк за першими цифрами, звірити маску імені на екрані власного платежу, подивитися скарги в офіційній базі кіберполіції — це захист себе. Спроба купити «повне досьє», зламати кабінет, підкупити працівника відділення чи збирати анкети клієнтів під виглядом «перевірки» — уже інша територія: незаконне збирання персональних даних, втручання в приватне життя, у тяжких сюжетах — співучасть у шахрайстві.

Працівник банку, який «по дружбі» назвав ПІБ чужого клієнта, порушує внутрішні правила і закон про банківську таємницю. Той, хто це замовив, не стає в безпечнішій позиції. У справах про картковий фрод слідчі якраз і дивляться, хто, коли і навіщо запитував реквізити.

Для початківця достатньо однієї формули. Номер картки відповідає на питання «який це банк і чи не світиться реквізит у скаргах». На питання «як звати людину, де вона живе і чий це телефон» номер не відповідає. Цю відповідь банк віддає лише клієнту, суду або органу з законними повноваженнями. Усе інше — або міф, або пастка.