Навіщо потрібна верифікація в онлайн-казино, що таке KYC і як не злити дані шахраям

У вересні 2023 року в MGM Resorts, однієї з найбільших мереж казино у світі, лягли системи. Ігрові автомати показували помилки, електронні ключі від номерів перестали відчиняти двері. Якщо вірити тому, що розповідали самі хакери, вони зателефонували в IT-підтримку, назвалися співробітником і попросили скинути доступ. Цього вистачило, щоб потрапити у внутрішню мережу. За кілька тижнів MGM визнала, що разом із системами витекли дані гостей: імена, дати народження, номери водійських посвідчень, а в частини клієнтів і номери паспортів.

Після таких історій зрозуміло, чому багато хто шукає казино без верифікації. Якщо документи не вберегла компанія з мільярдними оборотами, навіщо надсилати їх черговому сайту? Я б теж замислився. Тільки в Україні легальний оператор зобов'язаний перевірити гравця, тож обирати насправді доводиться між швидкою перевіркою і відсутністю будь-якого захисту. І зауважте, сервер MGM ніхто не зламував. Вистачило одного дзвінка.

Нижче трохи історії та дві схеми, про які варто знати заздалегідь.

Три літери зі світу фінансів

KYC розшифровується як Know Your Customer, «знай свого клієнта». У США цей принцип закріпив Patriot Act, ухвалений у жовтні 2001 року, через півтора місяця після терактів 11 вересня. Розділ 326 зобов'язав фінустанови перевіряти особу кожного, хто відкриває рахунок.

Для казино є міжнародна планка. FATF, організація, яка встановлює стандарти боротьби з відмиванням грошей, вимагає перевіряти клієнта під час операцій від 3 000 доларів або євро. Україна пішла далі. За статтею 17 закону про азартні ігри особу перевіряють уже під час створення онлайн-кабінету, і сума значення не має.

Кому це потрібно?

Казино, звісно. Йому треба переконатися, що гравцеві є 21 рік, що його немає в реєстрі самообмеження і що другий акаунт на ту саму людину не з'явиться. Плюс фінмоніторинг.

Але й гравцеві теж. Виграш надходить на ваш власний рахунок. Якщо акаунт вкрадуть, довести, що він ваш, простіше, коли особу підтверджено.

Для порівняння, у Британії з 7 травня 2019 року перевірку проходять до першого депозиту, і навіть безкоштовні демоверсії без неї не відкриваються. До цього в операторів було 72 години, і грати можна було ще до того, як хтось подивився на документи.

Як це виглядає в нас

Закон дозволяє BankID, MobileID, електронний підпис та «інші методи». На практиці найчастіше це BankID або Дія.Підпис, і займає все це кілька хвилин. Казино отримує ПІБ, дату народження та позначку щодо реєстру самообмеження.

Іноді просять селфі з документом або короткий відеодзвінок. Це законно, стаття 17 дає оператору таке право. Дивитися треба на те, де саме просять. Нормально, якщо це особистий кабінет сайту чи застосунку з реєстру PlayCity. Усе інше — привід насторожитися.

Фальшива перевірка

У червні 2026 року ТСН писав про підроблену сторінку «Дія.BankID». Замість посилання на магазин застосунків вона пропонувала завантажити APK просто з браузера. Застосунок, встановлений із такого файлу, може читати SMS і перехоплювати коди підтвердження. Виглядає все як звичайна верифікація, тому й спрацьовує.

Другий варіант простіший: у Telegram пише «служба підтримки казино». Треба терміново пройти повторну верифікацію, інакше акаунт заблокують, тож надішліть фото паспорта, дані картки і код з SMS. Розрахунок на те, що людина злякається і не стане перевіряти.

Що роблю я

• Верифікацію проходжу лише в особистому кабінеті, куди зайшов сам, а не за посиланням із повідомлення.
• Державні сервіси працюють на домені .gov.ua, «Дію» встановлюю тільки з Google Play або App Store.
• Код з SMS, CVV і PIN не потрібні жодному казино для перевірки особи. Хто їх просить, той точно не казино.
• На фото документа можна підписати, для якого сайту і якого числа його зроблено. Вкрадена копія з таким написом мало кому знадобиться.
• Пошту, до якої прив'язаний ігровий акаунт, варто захистити двофакторною автентифікацією. Через неї відновлюють паролі, тому й зламують її зазвичай першою.
• Застосунку казино доступ до SMS не потрібен узагалі.

Справжня підтримка, до речі, ніколи не квапить. Якщо в повідомленні є «терміново» та «інакше заблокуємо», я закриваю чат і заходжу в кабінет сам.

Якщо сумніваєтеся в сайті, відкрийте реєстр ліцензій PlayCity і знайдіть його там, перш ніж щось надсилати. Це забере менше хвилини.