Онлайн-займы в Кыргызстане: как закон требует проверять заёмщика

18 августа 2026 года Нацстатком Кыргызстана опубликовал экспресс-информацию о микрокредитовании: за первое полугодие небанковские финансово-кредитные организации выдали 48,5 млрд сомов, а число получателей выросло в 2,7 раза — до 1 559 235 человек. Средний займ упал вдвое, с 70,9 до 31,1 тыс. сомов. Рынок раздаёт всё более мелкие суммы всё большему числу людей через смартфон. На таких оборотах проверка заёмщика перестала быть бэк-офисной формальностью. Это главный производственный процесс кредитора — и на него теперь смотрят сразу Нацбанк и Кабмин.

Каждый пятый сом — займ на месяц

Статистика НБКР по микрофинансовым организациям показывает, куда сместился рынок. За 2025 год МФО выдали 86,4 млрд сомов — на 35,9% больше, чем годом раньше. Кредитный портфель к середине 2026-го достиг 68,7 млрд сомов.

Внутри этого роста спрятан структурный сдвиг. Займы сроком до одного месяца дали 2,2% выдач в 2023 году, 9,0% — в 2024-м и 20,9% — в 2025-м. Во втором квартале 2026 года — уже 23,5%. Официальной статистики онлайн-выдач НБКР не публикует, но десятикратный за два года рост сверхкоротких займов при удвоении числа получателей и падении среднего чека — это след PDL-кредитования через приложения. 24.kg передаёт позицию Нацстаткома в тех же словах: скачок числа заёмщиков связан с агрессивным развитием сервисов краткосрочного онлайн-кредитования.

География подтверждает диагноз. В экспресс-информации Нацстаткома на Бишкек приходится 46,8% получателей микрокредитов — против 20,8% двумя годами раньше. Потребительские займы забирают 93,5% всех получателей. Выдаёт эти деньги компактный сектор: по годовому отчёту НБКР за 2024 год, на конец 2024-го в стране работали 108 МФО — 9 микрофинансовых компаний, 64 микрокредитные компании и 35 микрокредитных агентств.

Цена непроверенного заёмщика

За 2025 год кибермошенники вывели у жителей Кыргызстана 826 млн сомов, вернуть удалось 73,9 млн — меньше 9%. Эти цифры замминистра внутренних дел Нурбек Абдиев назвал в Жогорку Кенеше в марте 2026-го: деньги уходят за часы, жертвы спохватываются позже.

Как это выглядит в жизни, показала история, описанная Kaktus.media. Госслужащей позвонили по видеосвязи, представившись сотрудниками сотовой компании, и перехватили доступ к интернет-банку — за 11 минут мошенники сняли 31 тыс. сомов с карты и оформили на жертву кредит на 153 600 сомов. Кредит числится на жертве. Зампред банка сообщил ей, что знает о 55 таких пострадавших.

Второй вектор — внутренний. В Кара-Суу в июле 2025 года 11 человек подали заявления о займах, которых не брали: местная жительница в сговоре с бывшим сотрудником кредитного отдела с декабря 2024-го оформляла кредиты на чужие имена — всего свыше 4 млн сомов. Возбуждено дело по части 2 статьи 379 УК КР, подделка документов.

Мошенник приходит и снаружи, и изнутри, а онлайн-канал масштабирует оба вектора. Регулятор ответил не рекомендациями, а тремя слоями обязательных норм.

Три слоя правил: закон, порядки НБКР, порядок Кабмина

Слой первый — закон. Закон от 28 апреля 2025 года № 84 добавил в закон «О микрофинансовых организациях» № 124 статью 35-4: МФО «должны обеспечить наличие и эффективное функционирование системы противодействия мошенничеству (антифрод-системы)», а её параметры задаёт Нацбанк. Антифрод перестал быть конкурентным преимуществом — это лицензионное условие.

Слой второй — порядки удалённой идентификации НБКР. Ещё в 2020 году Нацбанк утвердил два документа: порядок для банков (постановление от 13 мая 2020 года № 2020-П-12/27-1-(НПА)) и отдельный порядок для МФО(от 30 сентября 2020 года № 2020-П-33/54-3-(НФКУ)). Способов удалённой идентификации два — сверка фото и видеосвязь, и к обоим прописаны технические требования. Программное обеспечение «должно как минимум обеспечивать автоматическое сличение фотографии в документе, удостоверяющем личность, и изображения клиента, а также предусматривать защиту от подмены данных». Документ проверяется на подлинность «путем запроса… в соответствующие государственные информационные системы». Сеанс видеосвязи идёт «в режиме реального времени без перерывов», в кадре — лицо и плечи, тёмные очки запрещены.

Слой третий — порядок цифровой идентификации Кабмина. Базовая обязанность заложена в законе о противодействии отмыванию преступных доходов № 87: статья 21 требует «идентифицировать и верифицировать клиента» в рамках надлежащей проверки. Как именно это делать удалённо, с 1 декабря 2025 года описывает постановление Кабинета министров № 739 с Положением о надлежащей проверке клиента, внутри которого — Порядок цифровой идентификации и верификации для операций, совершаемых удалённо. «Получение онлайн-кредита» прямо названо в перечне услуг, к которым он применяется; распространяется он и на банки, и на все три формы МФО, и на платёжные организации.

Редакция от 7 июля 2026 года — постановление № 463 — добавила в этот порядок технический минимум, которого раньше в кыргызстанском праве не было. Дословно: «алгоритмы проверки живости (liveness check) должны быть сертифицированы на соответствие международным стандартам защиты от атак на биометрическое предъявление (например, ISO/IEC 30107-3 или эквивалент)». Там же — перечень ситуаций, в которых идентификацию нельзя завершать. В том числе: клиент младше 16 лет; IP-адрес за пределами Кыргызстана без подтверждённых причин; обнаружены VPN, proxy или Tor; выявлены признаки удалённого управления устройством — RDP, TeamViewer, AnyDesk; идентификаторы устройства (Device ID, IMEI, MAC-адрес) совпадают с устройствами других клиентов; антиспуфинг фиксирует среднюю или высокую вероятность «средств подделки, монтажа, эмуляторов камеры или искусственного интеллекта (Deepfake)».

Требования есть и к самой платформе проверки — базовые действуют с декабря 2025 года, правки 2026-го их дополнили. Платформа должна быть «размещена на серверах на территории Кыргызской Республики», шифровать каналы передачи данных — «включая передачу изображений, видеопотока и данных проверки живости», принимать «только фотографии и (или) видеозаписи, созданные в режиме реального времени» и хранить фото- и видеоматериалы «в исходном качестве». Купить облачный сервис с серверами в Европе и считать вопрос закрытым не получится.

Требования писались под конкретные схемы. Пункт про эмуляторы камеры бьёт по инъекции видеопотока, пункт про TeamViewer — ровно по сценарию из истории выше, где жертвой управляли с чужого iPhone.

Сколько можно выдать, решает способ идентификации

Самое практичное в этой конструкции — жёсткая связка между глубиной проверки и размером займа.

Расчётный показатель в Кыргызстане — 100 сомов, размер не менялся с 2006 года.

Кредиторы транслируют эту сетку в продукты без изменений. У МФК «Салым Финанс» условия онлайн-кредита сформулированы дословно по нормативным потолкам: «при удаленной идентификации — до 15 000 за раз. До 30 000 сомов в месяц», при идентификации в офисе — до 100 000 за раз. Продуктовая линейка онлайн-МФО в Кыргызстане — производная от регуляторных лимитов: выше чек — глубже идентификация.

Поверх лимитов работает период охлаждения. Постановление НБКР от 27 ноября 2024 года № 2024-П-12/63-1-(НПА) определило его как время после подписания договора, в течение которого банк не перечисляет деньги, — изначально от 3 до 24 часов в зависимости от суммы. Весной 2025 года сетку скорректировали; Оптима Банк описывает действующий вариант так: до 50 000 сомов — без охлаждения, от 50 001 до 100 000 — 4 часа, свыше 100 000 — 12 часов плюс контрольный звонок сотрудника. Логика прозрачна: у жертвы социальной инженерии появляется время передумать, а у банка — обязанность переспросить.

Регулятор эту конструкцию продолжает крутить: в августе 2026-го НБКР вынес на обсуждение проект об увеличении лимитов онлайн-кредитов МФО и периодов их охлаждения.

Два запроса, без которых выдача незаконна

Проверка личности — половина обязательной программы. Вторая половина — проверка кредитного поведения, и обе её нормы появились или ужесточились в 2025 году.

Закон «Об обмене кредитной информацией» № 160 требует от кредитора «запрашивать кредитную информацию не менее чем у двух кредитных бюро». В реестре НБКР их ровно два — «Ишеним» и «Сэйф энд Саунд», то есть на практике опрашиваются оба.

Второй запрос появился в 2025 году — самозапрет. Гражданин бесплатно устанавливает через госпортал запрет на заключение с ним кредитных сделок, а кредитор обязан проверять его наличие — закон разрешает делать это без согласия клиента. Санкция за игнорирование прописана в самом законе: «кредитная сделка, заключенная… с нарушением требований пункта 6 части 3 настоящей статьи, является ничтожной». Выдал займ человеку с самозапретом — потерял право требования. Для скорингового конвейера это означает обязательную предвыдачную проверку по бюро в реальном времени, без исключений для «маленьких и быстрых» займов.

Платёжеспособность тоже под потолком

Оценку платёжеспособности закон теперь тоже нормирует. Принятый 28 октября 2025 года закон «О потребительском кредите» № 237 распространяется «на банки и небанковские финансово-кредитные организации, поднадзорные Национальному банку» — то есть и на МФО. Он ограничил номинальную ставку: она «не может превышать 0,08 процента в день», причём проценты начисляются на уменьшающийся остаток. Для PDL-сегмента, привыкшего к другой экономике, это прямое сжатие маржи — и дополнительный мотив отсекать невозвраты на входе.

Тот же закон ввёл обязательный расчёт показателя долговой нагрузки. Если ПДН заёмщика превышает 60 процентов, кредитор до заключения договора «обязан под роспись уведомить заемщика о рисках неисполнения обязательств». Онлайн-конвейер, который раньше мог ограничиться паспортом и селфи, теперь обязан считать доходы и платежи — ещё один запрос к данным на каждую заявку.

Госбиометрия: сверить можно, искать нельзя

У государства есть база биометрических данных граждан, и доступ к ней для кредиторов формализован. Порядок, утверждённый постановлением Кабмина № 725, допускает к идентификации «юридические лица независимо от форм собственности… при наличии правовых оснований» — по соглашению с уполномоченным органом и техническим оператором. Работает это «посредством веб-сервисов, в том числе с применением сервиса идентификации Face-Id с возможностью проверки живого присутствия (Liveness)», в режиме «запрос-ответ» через систему межведомственного взаимодействия «Тундук».

Границу очерчил Цифровой кодекс, действующий с 6 февраля 2026 года. Статья 48 разрешает обработку биометрии «только в целях цифровой аутентификации физического лица путем сравнения с его биометрическими данными» — и прямо запрещает сравнение «со всеми имеющимися в базах данных биометрическими данными». В переводе с юридического: сверка 1:1 — «передо мной действительно тот человек, чьи данные в заявке» — законна, поиск 1:N по всей государственной базе — нет. Найти дубликаты и повторные заявки кредитор может только в собственной базе, и строить эту базу придётся самому.

Рынок пришёл к требованиям неодновременно

Часть игроков выстроила полный цифровой контур задолго до обязательных норм. MBank ещё в 2021 году описывал схему: сканирование паспорта камерой, селфи-видео, «для защиты от мошенников используются алгоритмы Liveness, разработанные VisionLabs», сверка лица с фотографией в документе, финальное подтверждение сотрудником.

На другом полюсе — процессы из прошлой эпохи. У «М Булак» до сих пор действует инструкция по онлайн-заявке образца 2020 года: заполнить короткую анкету и дождаться звонка специалиста — колл-центр вместо eKYC. Такая модель законна и сегодня, пока договор подписывается при личной явке. Но для полностью дистанционной выдачи технический минимум — сертифицированный liveness, антидипфейк, детект удалённого управления — теперь задан нормативно, и разрыв между лидерами и остальными превратился из маркетингового в комплаенсовый.

Что из обязательного закрывает технология

Biometric.Vision собирает регуляторный контур проверки заёмщика в одну сессию: клиент фотографирует документ, делает селфи — система проверяет документ, живость и сходство лиц, возвращает вердикт через API или SDK. Сопоставление с нормами выглядит так:

Работоспособность связки проверена на живом кредиторе: в кейсе защиты МФО автоматическая проверка документов и биометрическая верификация дали предотвращение 90% мошеннических попыток на этапе заявки.

Три вещи, которых биометрический вендор не сделает — ни мы, ни кто-либо ещё. Запросы в кредитные бюро и проверку самозапрета технология лиц не заменяет: это отдельный канал, который кредитор строит с «Ишеним» и «Сэйф энд Саунд». Поиск 1:N по государственной базе не проведёт ни один поставщик — статья 48 Цифрового кодекса его запрещает. И сертификацию liveness стоит проверять документами у любого вендора, включая нас: у Biometric.Vision опубликован номер сертификата ISO 27001 (№ 760281), соответствие ISO 30107-3 заявлено на сайте; поддержку конкретных серий кыргызстанских документов правильно подтверждать на пилоте, на ваших реальных потоках.

Первые 500 проверок в месяц бесплатны, интеграция через Web SDK занимает около 30 минут — достаточно, чтобы прогнать порядок цифровой идентификации на своих заявках до того, как это сделает надзор. Как контур работает для микрофинансовой организации — на странице биометрия для МФО.