Илья Завьялов: схемы вокруг ПРРО и платёжного терминала ФЛП в Украине и как проверить письмо, договор и техника

01

Илья Завьялов: почему касса ФЛП интересна мошеннику

Илья Завьялов описывает типичную картину: ФЛП сам продаёт, сам ведёт учёт и сам отвечает на звонки. Касса у него в телефоне, терминал от банка, а вопросы по налогам решает бухгалтер на аутсорсе. В такой цепочке легко выдать себя за любое звено.

Терминал и касса здесь живут отдельно. Программный РРО регистрирует чеки и передаёт их в ДПС, терминал принимает карты по договору эквайринга. Мошенник связывает их в один сюжет: «касса не передаёт данные, банк заморозит поступления».

НБУ в учебных материалах 2026 года приводит итоги 2025 года: 83 процента мошеннических операций с картами прошли через интернет, 17 процентов через физические устройства, то есть торговые точки, банкоматы и терминалы самообслуживания. Каждая шестая операция приходится на офлайн, и магазин тоже в этой доле.

Илья Завьялов предлагает смотреть на кассу ФЛП как на три отдельных замка: Электронный кабинет налоговой, онлайн-банкинг с договором эквайринга и сам терминал на прилавке. У каждого замка свой ключ, и ни один ключ не передают по телефону.

02

Кто есть кто: ДПС, банк-эквайер и сервис терминала

ДПС регистрирует ПРРО и получает чеки через фискальный сервер. Банк-эквайер обслуживает терминал и зачисляет оплату картами на счёт ФЛП. Сервисная компания, если она есть в договоре, ремонтирует и меняет оборудование. Бухгалтер ведёт учёт и отчётность. У этих сторон разные задачи и разные каналы связи.

Ни одна сторона не говорит от имени другой. Налоговая не блокирует поступления на счёт, банк не приостанавливает регистрацию ПРРО, сервисная компания не решает налоговые вопросы. Сообщение, где «ДПС» грозит заморозить выручку, а «банк» требует перерегистрировать кассу, выдаёт себя этой путаницей.

Илья Завьялов советует держать на точке карточку с тремя каналами: Электронный кабинет, номер банка из договора эквайринга, телефон сервисного партнёра. Сотрудник, которому позвонили или написали, проверяет только по этой карточке.

Карточка особенно полезна, когда ФЛП нанимает продавцов посменно. Новичок не обязан разбираться в фискальных серверах, ему достаточно знать, куда перезвонить.

Бухгалтеру на аутсорсе стоит дать ту же карточку. Мошенники пишут и ему, от имени клиента или налоговой, и просят срочно поменять реквизиты или выгрузить отчёт по ссылке. Единый список каналов делает проверку одинаковой для всех, кто работает с точкой, и снимает лишние споры.

03

Илья Завьялов о сообщениях «из ДПС» про блокировку ПРРО

Письмо приходит на почту или в мессенджер: регистрация ПРРО «приостановлена», нужно подтвердить данные по ссылке или открыть файл с «актом проверки». Внешне всё похоже на официальную рассылку, иногда адрес отправителя подделан под домен налоговой.

Налоговая Украины в 2026 году несколько раз предупреждала о фишинговых письмах от её имени, вложения которых дают удалённый доступ к компьютеру. Раньше киберполиция и ДПС описывали письма «о проверке контрагентов» от имени киевских инспекций с вредоносным файлом внутри.

Сверка у ФЛП одна: всё, что касается ПРРО, видно в Электронном кабинете. Для работы с бесплатным ПРРО ДПС подают через кабинет или ЕВПЭО форму 20-ОПП и заявление 1-ПРРО. Если в кабинете никаких отметок нет, письмо можно удалять.

Сам бесплатный ПРРО ДПС выпустила для iOS, Android, Windows и в веб-версии ещё в октябре 2022 года, тогда же в стране работало 395,3 тысячи программных РРО. Платить посреднику за «активацию» или «продление» бесплатного приложения незачем.

Похожие письма приходят и от «поставщика ПРРО»: подписка якобы истекла, касса отключится в полночь, оплатите по ссылке. Если ФЛП пользуется коммерческим ПРРО, срок подписки видно в его личном кабинете, куда заходят по своей закладке. Оплата по ссылке из письма на карту частного лица всегда повод остановиться.

04

«Служба безопасности банка» и зависшая выручка

Голос в трубке говорит, что поступления по терминалу «под подозрением» и банк задержит их на месяц, если владелец сейчас не подтвердит операции кодом. Иногда предлагают «перенести» выручку на защищённый счёт.

По данным НБУ, в 2025 году социальная инженерия дала 90 процентов всех убытков от карточного мошенничества, а звонки от имени службы безопасности банка, НБУ и других учреждений регулятор назвал среди самых частых сценариев. Убытки за год выросли на 24 процента и достигли 1,4 миллиарда гривен.

Ответ на такой звонок один. Прервать разговор и набрать банк по номеру с обратной стороны карты или из договора эквайринга. Код подтверждения, продиктованный «сотруднику», открывает ваш онлайн-банкинг постороннему.

Илья Завьялов обращает внимание на детали, которыми звонящий убеждает: он называет сумму вчерашней выручки, адрес точки, имя кассира. Всё это видно по чекам и в соцсетях магазина. Точность подробностей ничего не говорит о том, кто на линии.

Отдельная ветка сценария касается ФЛП, которые принимают оплату на личную карту. «Банк» предлагает срочно «подключить бизнес-терминал» и для этого просит данные карты и код. Подключение эквайринга так не делается, его оформляют договором в отделении или в приложении банка.

05

Илья Завьялов: аренда терминала и договор присоединения

Предложение «терминал бесплатно, платите только комиссию» нередко скрывает договор аренды на два-три года с ежемесячным платежом и штрафом за ранний выход. Подписывают его на ходу, между покупателями, потому что «это заявка, банк всё равно проверит».

Статья 634 ЦК Украины позволяет стороне, которая присоединилась к стандартному договору, требовать его изменения или расторжения, если условия явно обременительны или лишают её обычных прав. Для предпринимателя есть оговорка: в иске могут отказать, если докажут, что он знал или мог знать, на что соглашается.

Эта оговорка меняет порядок действий. Подписанный договор с полным текстом в руках ФЛП потом трудно оспорить, поэтому читать нужно до подписи. Если давили и пользовались тяжёлым положением, статья 233 ЦК даёт признать сделку на крайне невыгодных условиях недействительной, но это уже суд.

Практичнее простое правило: договор по оборудованию забирают с собой, читают вечером и подписывают только после ответа банка на письменный вопрос о сроке, штрафе и владельце терминала.

Иногда аренду продают как «замену старого терминала, который скоро перестанет работать». Проверить это легко: позвонить в свой банк и спросить, планируется ли замена. Если банк ничего не знает, «замена» оказывается новым договором с другой компанией.

06

Как читать договор эквайринга и аренды терминала

Договор на терминал состоит из нескольких частей: основной текст, тарифы, общие условия обслуживания на сайте банка, акт передачи оборудования. Подписывают его, только получив все части. Если представитель говорит, что тарифы «пришлют потом», подпись переносят.

В тексте ищут пять мест: срок и автоматическое продление, плату за досрочное расторжение, владельца терминала, ответственность за поломку и порядок отказа. Каждое устное обещание сверяют с бумагой, потому что суд будет читать бумагу.

Илья Завьялов предлагает задавать банку один письменный вопрос перед подписью: какой срок договора, сколько стоит выход раньше срока, чей терминал. Ответ в официальном чате или письме с адреса банка становится доказательством, если продавец говорил иначе.

Подписанный экземпляр хранят рядом с карточкой точки и актом передачи. Через год, когда позвонит очередной «новый партнёр с выгодной комиссией», ФЛП достаточно открыть папку и сравнить.

07

Техник без вызова и «обновление» терминала

В точку заходит человек в фирменной футболке: банк меняет программное обеспечение терминалов, нужно забрать устройство на час или поставить новое. Документов нет, есть уверенный тон и бейдж.

Отраслевое руководство PCI SSC требует не допускать к терминалам «инженера», пришедшего без предупреждения, пока его личность не подтвердил звонок поставщику. Работы записывают в отчёт, отчёт хранят минимум полгода.

Для ФЛП это значит: о любом визите банк предупреждает заранее, и номер для проверки берут из договора эквайринга. Телефон на бейдже гостя для проверки не годится. Если техник торопит или просит «просто расписаться за замену», терминал из рук не выпускают.

Илья Завьялов советует записывать каждый визит в простой журнал: дата, имя, компания, что сделано, кто подтвердил звонком. Если позже банк спросит, кто имел доступ к терминалу, ответ будет на одной странице.

Запланировано ли обновление и как его проведут, спрашивают у банка по своему номеру. Если же нужна замена устройства, её требуют оформить актом с серийными номерами старого и нового терминала, и копия акта остаётся у ФЛП.

08

Илья Завьялов: подмена терминала и накладки

Подменённый терминал выглядит родным и проводит оплаты, параллельно записывая данные карт. Покупатели узнают об этом через неделю по чужим списаниям, продавец узнаёт последним.

Помогает список устройств и короткий осмотр в начале смены, как советует PCI SSC: сверить серийный номер на корпусе с номером в меню терминала, проверить кабель и пломбы. На это уходит меньше минуты.

Если номер не совпадает, устройство откладывают и звонят в банк. По статистике НБУ на торговые точки, банкоматы и терминалы самообслуживания пришлось 17 процентов мошеннических операций за 2025 год, и подмена терминала относится именно к этой части.

Илья Завьялов предлагает фотографировать терминал с четырёх сторон в день установки и хранить снимки в телефоне владельца. Лишняя накладка, чужой кабель или другой цвет корпуса на сравнении видны сразу.

09

Возврат «на карту жены» и опротестование: разбор Ильи Завьялова

Покупатель оплатил товар картой, через час вернулся и просит оформить возврат на другую карту: его якобы заблокировали. Кассир проводит возврат на продиктованный номер, а потом владелец исходной карты опротестовывает первую оплату.

По статье 89 закона № 1591-IX эквайр при опротестовании вправе приостановить завершение операции на срок по правилам платёжной системы, но не дольше 60 календарных дней. Если неправомерность подтвердится, деньги возвращаются эмитенту, а возврат на чужую карту остаётся потерей магазина.

Защита строится в настройках. Возврат проводится только по исходному чеку на ту же карту, ручной ввод номера отключён, крупную сумму подтверждает владелец. В бесплатном ПРРО ДПС для этого есть отдельные чеки возврата.

Илья Завьялов советует настроить права так, чтобы кассир физически не мог провести возврат на произвольную карту. Тогда на просьбу покупателя продавец честно отвечает: система не позволяет, возврат возможен только на карту, которой платили.

Похожий приём бывает и без возврата: покупатель просит провести оплату «частями» с нескольких карт, часть операций отклоняется, и он требует вернуть «лишнее» на ещё одну карту. Каждая такая карта может оказаться чужой, поэтому возврат делают только на карту исходной операции.

10

Как ФЛП проверить письмо, звонок и человека: советы Ильи Завьялова

Письмо проверяют по Электронному кабинету, звонок по номеру банка из договора, человека звонком в его компанию по известному вам номеру. Три канала, и ни один из них не начинается со ссылки из сообщения.

Илья Завьялов советует завести на точке листок с тремя номерами: банк-эквайер, сервисная компания по терминалу, бухгалтер. Сотрудник, которому позвонили, звонит по листку и никуда больше.

Отдельно договариваются о кодах. Никто в команде не диктует коды из СМС и не устанавливает программы удалённого доступа по просьбе звонящего, даже если он называет точную сумму вчерашней выручки.

Проверку договора ведут письменно. Вопрос банку о сроке, штрафе и владельце терминала задают в официальном чате или письмом на адрес с сайта банка, ответ сохраняют рядом с договором.

Проверка человека короче всех. Его просят подождать, звонят в банк или сервисную компанию по номеру из договора и называют имя гостя. Настоящий сотрудник спокойно ждёт, самозванец обычно вспоминает о срочном выезде и уходит.

11

Илья Завьялов: правила для команды на точке ФЛП

Правил немного, и все они для того, кто стоит за прилавком. Коды из СМС, пароли и данные карт никому не называют. Вопросы о блокировке кассы или терминала решают перезвоном по карточке. Бумаги по оборудованию подписывает только владелец.

Ещё два правила касаются людей и возвратов. Техник без согласованного визита ждёт, пока старший смены дозвонится в банк. Возврат проводится только по исходному чеку, крупную сумму подтверждает второй человек.

Илья Завьялов советует проговаривать эти правила с командой раз в месяц и после каждого странного звонка. Подготовленный продавец узнаёт знакомую схему по первой фразе, даже если её подали по-новому.

Листок с правилами вешают рядом с терминалом, на уровне глаз продавца. В момент звонка никто не вспоминает инструкции из общего чата, а короткий текст перед глазами читают все.

12

Если гривны или доступ уже ушли

Сразу звонить в банк по номеру на карте и блокировать доступ, затем подать заявление в киберполицию онлайн на ticket.cyberpolice.gov.ua. Если через счёт ФЛП прогнали чужие деньги, НБУ даёт номер 0 800 505 170 по вопросам денежных мулов.

К заявлению прикладывают письма, номера телефонов, фото техника, если оно есть, и реквизиты, куда ушли гривны. Подозрительный терминал не включают и отдают банку целым.

Если пострадали покупатели, например после подмены терминала, честнее предупредить их самому: короткое сообщение в соцсетях магазина с датами и советом проверить выписку. Так банк быстрее получит жалобы и сможет связать операции с одним устройством.

Илья Завьялов предлагает после любого случая обновить листок с номерами и чек-лист смены: какой шаг схема прошла и кто должен был её остановить.

Если подписан навязанный договор аренды, его полную копию, переписку с продавцом и записи устных обещаний передают юристу. По статьям 634 и 233 ЦК Украины спор возможен, но шансы зависят от того, насколько условия были скрыты и насколько на ФЛП давили.