Илья Завьялов: устав рабочей группы для ФЛП и ТОВ в Украине, десять пунктов с примерами

01

Пункт 1. Илья Завьялов: в рабочую группу входят только сотрудники и подрядчики

Текст пункта: в группу добавляют только работников фирмы и подрядчиков с действующим договором, делает это администратор после заявки руководителя. Пригласительную ссылку в открытый доступ не выкладывают. Временная ссылка живёт не дольше дня.

Подрядчик по сайту, бухгалтер на аутсорсе, служба доставки получают отдельные группы под свою задачу. В общую группу фирмы их не добавляют, даже когда так удобнее.

Причина. В рабочей группе видны клиенты, сроки, суммы в гривнах и привычные обороты руководителя. Чужой участник получает материал для будущих подделок без всякого взлома. Илья Завьялов считает состав группы самой дешёвой защитой: его проверка занимает пять минут.

Нарушение. ФЛП, который ведёт бухгалтерию нескольких клиентов, добавляет в группу «сотрудника клиента» по звонку с незнакомого номера. Потом оказывается, что у клиента такого человека нет.

В группах с клиентами правило то же: со стороны фирмы там два-три человека, и клиент знает каждого по имени и должности.

02

Пункт 2. Права в группе: один владелец и не больше двух админов

Текст пункта: у группы есть владелец, обычно директор ТОВ или руководитель направления, и один-два администратора. Остальные участники пишут и читают, но состав группы и закреплённые сообщения не меняют.

Причина. Администратор может удалить настоящих коллег, добавить своих людей и закрепить «новые реквизиты». Если его аккаунт угнали, все эти права переходят к чужому человеку. Илья Завьялов советует раз в квартал сверять список админов с реестром доступов фирмы.

Владелец раз в месяц открывает список участников и спрашивает себя о каждом: работает ли человек с нами сегодня. Незнакомые номера и имена без фамилии удаляют первыми.

Нарушение. Права администратора выдали всем участникам, «чтобы не дёргать директора». Один аккаунт угоняют, и первым делом из группы исчезают бухгалтер и директор.

Если мессенджер позволяет, новых участников одобряет администратор, а пригласительные ссылки создают только админы. Обычный участник новых людей в группу не приводит.

03

Пункт 3. Илья Завьялов о сообщениях «директора»: деньги только после второго канала

Текст пункта: любая просьба оплатить, перевести, сменить реквизиты или выдать доступ, пришедшая от имени руководителя в группу или в личные сообщения, ждёт подтверждения. Подтверждают звонком на номер, который давно сохранён в телефоне, или письмом из корпоративной почты.

Причина. НБУ пишет, что в 2025 году социальная инженерия дала 90 процентов убытков от мошенничества с картами против 84 процентов годом раньше, и среди частых сценариев называет звонки людей, выдающих себя за службу безопасности банка, НБУ или другие учреждения. Сообщение «директора» работает на том же доверии к статусу.

CERT-UA описывала группу UAC-0006, которая пыталась похищать со счетов предприятий от миллиона гривен в неделю и могла подменить реквизиты в документе, отправленном директору на подпись. Илья Завьялов советует поэтому сверять реквизиты по договору даже тогда, когда просьба выглядит совсем обычной.

Нарушение. Вечером бухгалтеру пишет аккаунт с фото директора: оплати поставщику сегодня, я в дороге. Платёж уходит до того, как кто-то набирает номер директора.

В ТОВ такой порядок удобно закрепить внутренним приказом: кто вправе давать платёжные поручения, кто их подписывает и каким каналом подтверждается срочная оплата. ФЛП хватит договорённости с бухгалтером, записанной в описании той же группы.

04

Пункт 4. Голосовые и кружочки не заменяют проверку

Текст пункта: голосовое, видеосообщение или звонок в мессенджере не считаются подтверждением просьбы о деньгах, файлах или доступах. Даже знакомый голос проверяют вторым каналом из пункта 3.

Причина. Голосовые сообщения из истории переписки дают материал для подделки голоса, и угнанный аккаунт отдаёт этот архив целиком. Илья Завьялов предлагает договориться в команде о контрольном вопросе, ответ на который знают только свои и которого нет ни в одном чате. Илье Завьялову такой вопрос кажется надёжнее любой проверки голоса на слух.

Контрольным вопросом может быть название первого поставщика фирмы или город, где прошло первое совещание. Руководитель со своей стороны пишет распоряжения о платежах текстом в корпоративной почте, и голосовое о деньгах сразу выглядит странно.

Нарушение. Менеджер получает голосовое «директора» с просьбой срочно скинуть базу клиентов на почту партнёра. Голос похож, и база уходит до звонка.

Звонок в мессенджере тоже не служит проверкой: он показывает только то, что звонят с этого аккаунта. Сам аккаунт к этому времени мог оказаться в чужих руках.

05

Пункт 5. Илья Завьялов: архивы, «отчёты с совещания» и файлы без объяснений не открывают

Текст пункта: архив, исполняемый файл или документ, присланный без понятного объяснения, не открывают, даже если отправитель свой. Сначала уточняют у него голосом, что это за файл, и только потом решают.

Причина. CERT-UA сообщила, что в марте 2025 года в Signal рассылали архивы, в которых якобы лежал отчёт по итогам совещания, причём иногда от людей из списка контактов, чьи аккаунты заранее взломали. Внутри был PDF и программа, которая запускала средство удалённого управления. Илья Завьялов приводит этот случай как главный довод: знакомое имя отправителя ещё не означает, что пишет он сам.

CERT-UA добавляет, что популярные мессенджеры на телефонах и компьютерах заметно расширяют поверхность атаки, потому что создают каналы обмена, которые средства защиты не контролируют.

Нарушение. В рабочую группу падает архив «Протокол наради» от коллеги из соседнего отдела. Его открывают трое, не задав ни одного вопроса.

06

Пункт 6. Коды, голосования и ссылки на вход

Текст пункта: одноразовые коды никому не пересылают, по ссылкам «проголосуй», «подтверди» и «войди в новую группу» не авторизуются, двухэтапную проверку в мессенджере включают все участники.

Причина. По совету киберполиции одноразовый код из SMS не отдают никому. В Telegram при этом включают двухэтапную проверку. CERT-UA в мае 2024 года описывала атаки с просьбой проголосовать за ребёнка в конкурсе: скан QR-кода или ввод номера и кода добавлял к аккаунту чужое устройство. Илья Завьялов советует раз в месяц открывать список подключённых устройств и закрывать незнакомые.

Код из SMS, который пришёл без вашего запроса, означает, что кто-то пытается войти в ваш аккаунт. Его никому не пересылают. Пароль второго этапа сразу проверяют и при сомнении меняют.

Нарушение. Продавцу фирмы пишут якобы от маркетплейса и просят код подтверждения. Киберполиция описывала именно такую схему: код на деле служил для входа в его мессенджер.

07

Пункт 7. Угнанный аккаунт коллеги: что делает группа

Текст пункта: если коллега вдруг просит денег, торопит или пишет не своим языком, ему звонят. Подтвердился взлом, и администратор удаляет аккаунт из всех рабочих групп, а владелец закрепляет предупреждение.

Причина. По данным Минцифры, больше 70 процентов обращений на горячую линию цифровой безопасности Nadiyno.org связаны с мошенничеством в Telegram. Илья Завьялов советует предупреждать и клиентов, если угнанный аккаунт переписывался с ними. Илью Завьялова часто спрашивают, сообщать ли клиентам о взломе, и ответ здесь простой: да, в тот же день.

Угнанный аккаунт пишет сразу всем контактам, поэтому один звонок внимательного коллеги может остановить переводы десятка людей. Восстановленный аккаунт возвращают в группы после смены пароля, включения двухэтапной проверки и чистки списка подключённых устройств.

Нарушение. Аккаунт кладовщика пишет в группу, что застрял на блокпосту без денег и просит перевод на карту знакомого. Двое переводят, никто не звонит.

08

Пункт 8. Илья Завьялов о тех, кто уволился: удалить в последний день

Текст пункта: в последний рабочий день человека удаляют из всех групп, каналов и чатов проектов, а владелец сверяет это по списку. Подрядчика удаляют в день окончания договора.

Удаление из групп входит в тот же перечень, что сдача ноутбука и смена паролей от общих сервисов. Пока все строки не отмечены, увольнение не считается закрытым.

Причина. Аккаунт бывшего сотрудника больше никто в фирме не контролирует: номер могут сменить, телефон продать, двухэтапную проверку отключить. Илья Завьялов называет такой аккаунт тихой дверью, потому что к имени в группе давно привыкли и сообщений от него никто не проверяет. Завьялов Илья советует хранить список групп в карточке сотрудника.

Нарушение. Бывший экспедитор полгода остаётся в группе логистики, и однажды от его имени приходит «новый счёт перевозчика».

Илья Завьялов предлагает отдельную сверку раз в полгода: владелец сравнивает участников всех групп со штатным расписанием и действующими договорами подрядчиков.

09

Пункт 9. Инцидент в группе: порядок на первые полчаса

Текст пункта: о подозрительном сообщении сообщают владельцу голосом, сообщения сохраняют снимками экрана с датой и временем и ничего не удаляют до разбора. Подозрительный аккаунт удаляют из группы, участников предупреждают закреплённым сообщением.

Если платёж уже ушёл, бухгалтер сразу звонит в банк по номеру с обратной стороны карты или из договора и просит остановить операцию. Илья Завьялов советует держать этот номер на одном листе с порядком действий, чтобы его не искали в момент спешки. Так устроен весь устав Ильи Завьялова: нужное лежит под рукой раньше, чем случилась беда.

Параллельно владелец записывает время сигнала, кто и когда удалил аккаунт, когда дозвонились до банка и какой номер получило обращение в киберполицию. Если в группе была ссылка на поддельную страницу оплаты в гривнах, её адрес тоже сохраняют: он понадобится банку и полиции.

Снимки экрана делают так, чтобы были видны имя и номер отправителя, время и полный текст. Пересланное сообщение без этих деталей мало что доказывает.

10

Пункт 10. Илья Завьялов: куда обращаться в Украине и как пересматривать устав

Киберполиция принимает обращения через форму на сайте, справки по ним дают по номеру 0800 50 51 70, а горячая линия Национальной полиции 0 800 500 202. О вредоносных архивах и подозрительных рассылках в мессенджерах CERT-UA просит сообщать ей немедленно.

Если в общий чат попали персональные данные клиентов или сотрудников, это отдельный вопрос по закону Украины о защите персональных данных, и его стоит сразу обсудить с юристом фирмы.

Устав перечитывают всей командой раз в полгода, новичку показывают в первый день. Илья Завьялов советует закрепить его в каждой рабочей группе и раз в квартал сверять с реальными случаями: какие странные сообщения приходили и сработали ли пункты.

Для фирмы из трёх-четырёх человек весь устав помещается в десять строк закреплённого сообщения. Тем, кто набирает имя автора латиницей, Ilia Zavialov, доступна английская версия с адресами для США и Британии.