Илья Завьялов разбирает подмену банковских реквизитов в настоящей рабочей переписке

01

Как выглядит подмена реквизитов изнутри рабочей переписки

Схема начинается задолго до письма со счётом. Кто-то получает доступ к почтовому ящику одной из сторон и молча читает переписку: сроки, суммы, имена, привычные обороты, порядок согласования. Ничего не происходит неделями, и это часть замысла. Вмешательство наступает в момент, когда сделка дошла до оплаты и обе стороны ждут документ. Тогда в поток встраивается письмо, неотличимое от ожидаемого.

Подделывать компанию при таком доступе не требуется. Достаточно продолжить разговор, который уже заслужил доверие: та же тема письма, та же подпись, тот же файл счёта с правильным номером договора и правильной суммой. Отличается только строка банковских реквизитов и короткая фраза о смене обслуживающего банка. Человек, готовящий платёж, сверяет сумму и назначение, потому что именно их он помнит, и пропускает то, чего в памяти никогда не было.

Внутри команды это ощущается как рутина. Счёт ожидаемый, значит, вопрос закрывается за минуту, а любая пауза выглядит как недоверие к давнему партнёру. Илья Завьялов описывает этот момент как разрыв между тем, что проверяет человек, и тем, что подменяет нападающий. Проверяется контекст, подменяется реквизит, и эти две вещи в обычном рабочем дне никогда не встречаются.

02

Масштаб схемы по данным отчётов

Ощущение редкости держится на том, что пострадавшие компании почти никогда не рассказывают о случившемся публично. за 2025 год в ФБР поступил 1 008 597 обращений на интернет-преступления, а заявленные потери приблизились к 21 миллиарду долларов, на 26 процентов больше, чем годом ранее. Компрометация деловой переписки в этой статистике даёт 3,046 миллиарда долларов и занимает второе место по деньгам, уступая только инвестиционным схемам. Речь идёт о категории, которая почти целиком состоит из платежей, отправленных сотрудниками добровольно и осознанно.

Вторая точка отсчёта относится к тому, откуда приходит первый контакт. По британским банковским данным за 2025 год, 66 процентов случаев авторизованного платежа начинаются онлайн и ещё 17 процентов через телефонные сети. Для организации это означает, что защищать приходится два входа сразу: рабочую почту, где идёт согласование, и телефон, по которому потом уточняют детали. Закрытие одного из них перекладывает нагрузку на второй.

Третья цифра относится к маскировке под организацию. Американская торговая комиссия за 2025 год насчитала около миллиарда долларов потерь на подделке под компании, причём самые крупные суммы уходили тем, кто представлялся сотрудником банка. Это тот же приём, развёрнутый в сторону сотрудника: звонок из «службы безопасности» приходит ровно тогда, когда платёж уже вызвал внутренний вопрос. Голос в трубке снимает сомнение, которое почти успело сработать.

Числа не предсказывают конкретный вторник в конкретной компании. Они задают порядок величины риска и показывают, что расход на процедуру подтверждения окупается одним остановленным платежом. Небольшая команда теряет за такой перевод сумму, после которой месяц работы уходит в ноль, а иногда и оборотные средства целиком.

03

Слабое место находится в почтовом ящике

Платёжная система при подмене реквизитов работает исправно. Перевод уходит туда, куда его отправили, подпись подлинная, лимиты соблюдены, банк добросовестно выполняет распоряжение клиента. Сломан этап раньше: доверие к каналу, по которому пришли данные получателя. Поэтому усиление контроля внутри банковского клиента почти ничего в этом сценарии не меняет.

Взломанным чаще оказывается ящик второй стороны. Небольшая студия, юрист, перевозчик или подрядчик по монтажу редко имеют администратора почты и вторую ступень входа, поэтому доступ к ним стоит дешевле. Ваша команда при этом видит абсолютно настоящее письмо с настоящего адреса, и любая техническая проверка отправителя проходит успешно. Ни один фильтр не помечает письмо, потому что помечать в нём нечего.

Отсюда следует неприятный вывод про границы ответственности. Гигиена собственной почты снижает вероятность того, что взломают вас, и никак не влияет на вероятность взлома второй стороны. Значит, процедура обязана исходить из допущения, что канал переписки уже может находиться под чужим наблюдением. Всё, что строится на логике «наша почта чистая, значит письмо честное», рушится в первый же такой день.

Практический вывод для небольшой организации умещается в одну мысль. Банковские реквизиты получателя относятся к данным, которые нельзя принимать по тому же каналу, где идёт обсуждение сделки. Их источник должен быть отдельным и заведённым заранее: договор, карточка контрагента в учётной системе, подтверждение голосом по номеру, известному до начала этого разговора.

04

Почему подтверждение ответом в ту же переписку бесполезно

Первая реакция человека, заметившего смену реквизитов, выглядит вполне разумно: ответить и спросить. Если ящик читает посторонний, ответ придёт от него, в той же ветке, через несколько минут, с извинением за неудобство и понятной ссылкой на смену обслуживающего банка. Уверенность сотрудника после такого ответа становится выше, чем была до вопроса, и платёж уходит быстрее обычного. Задан вопрос был правильный, канал для него выбран неверно.

Правило подтверждения целиком держится на смене канала. Подтверждение считается состоявшимся, когда оно приходит по каналу, который нападающий не контролирует, и когда контакт для этого канала взят из собственных записей команды. Номер телефона из подписи в подозрительном письме принадлежит тому же каналу, потому что подпись пишет отправитель. Номер из договора, из карточки контрагента или из истории прошлых звонков принадлежит другому.

Есть простая проверка качества такого подтверждения. Инициатива звонка исходит от вашей стороны, а собеседник называет номер счёта сам, не услышав его от вас. Если сотрудник диктует реквизиты и спрашивает «всё верно», подтверждение теряет смысл, потому что согласиться может кто угодно. Формулировка вопроса здесь весит больше, чем сам факт состоявшегося звонка.

05

Голос перестал работать как доказательство

Ещё несколько лет назад звонок закрывал вопрос окончательно. Сегодня убедительный клон голоса собирается с записи длиной около трёх секунд и достигает примерно 85 процентов точности, а короткие записи речи есть почти у каждого: голосовое сообщение, приветствие на автоответчике, реплика на записанной онлайн-встрече. Материал для клонирования обычно уже лежит там, где его легко взять, и добывать его отдельно нападающему не приходится.

Способность человека распознать подделку на слух оказалась ниже ожидаемой. В эксперименте слушатели отличали настоящий голос от синтезированного лишь в 37,5 процента случаев, то есть результат вышел хуже случайного выбора между двумя вариантами. Опора на ощущение «голос был точно его» перестала быть надёжной, хотя интуитивно кажется самой сильной проверкой.

Из этого следует уточнение к правилу о звонке. Значение приобретают направление вызова и знание, которого у нападающего быть не может: звоним мы, по своему номеру, и спрашиваем о том, чего в переписке никогда не было. Входящий звонок с правильным голосом и правильными подробностями подтверждает лишь то, что запись голоса доступна кому-то ещё. Договорённость о коротком контрольном вопросе, ответ на который никогда не пишется в почте, обходится команде дешевле любой техники.

06

Роли в платеже: кто готовит, кто подтверждает, кто отправляет

В небольшой команде роли часто сходятся в одном человеке, и именно это делает подмену успешной. Тот же сотрудник получает счёт, сверяет его и отправляет платёж, поэтому ошибка на первом шаге беспрепятственно проходит все остальные. Разделение не требует расширения штата: достаточно, чтобы подтверждение изменившихся реквизитов делал человек, отличный от того, кто готовит платёжное поручение.

Второй элемент это назначенный владелец процедуры. Кто-то отвечает за то, что правило записано, известно новым людям, применяется к подрядчикам и обновляется после каждого инцидента. Без такого владельца процедура живёт ровно до первого аврала, когда счёт срочный, подтверждающий сотрудник в дороге, а сроки давят со стороны клиента. В этот момент правило либо срабатывает как часть роли, либо тихо отменяется.

Третий элемент касается замещения. Контроль, существующий на одном человеке, отключается в день его отпуска, болезни или увольнения, и нападающие давно научились выбирать такие дни. Поэтому в процедуре указывается замещающий, и у него есть право остановить платёж, равное по силе праву подтвердить его.

Полезно заранее определить, кто принимает решение при разногласии. Подрядчик торопит, срок горит, подтверждение не получено: в этот момент нужен человек с полномочиями сказать «ждём» и не обязанный оправдываться за задержку. Право на паузу закрепляется процедурой, чтобы оно не зависело от характера конкретного сотрудника и от его положения в команде.

07

Как записать правило, чтобы оно пережило текучку

Длинный регламент по безопасности не выполняется почти никем. Работает короткая формулировка, помещающаяся в одну строку платёжной инструкции: изменённые банковские реквизиты подтверждаются голосом, по номеру из собственных записей команды, человеком, который называет номер счёта первым. Всё остальное вокруг темы остаётся советом, а эта строка выполняет функцию контроля.

У правила должен быть порог срабатывания, понятный без толкования. Обычно им становится любое расхождение реквизитов с карточкой контрагента в учёте, включая смену банка, смену получателя, появление посредника и переход на счёт в другой стране. Отдельно оговаривается первый платёж новому подрядчику, потому что для него сравнивать пока не с чем.

Место хранения правила определяет его судьбу сильнее, чем формулировка. Текст, лежащий в общем документе с политиками, читают один раз при найме и больше не открывают. Строка, встроенная в саму платёжную форму или в чек-лист перед отправкой, попадается на глаза каждый раз. Илья Завьялов формулирует это правило коротко: контроль работает там, где он физически стоит на пути действия.

Обучение при таком подходе занимает несколько минут. Новому сотруднику показывают одну строку, один порог срабатывания и один телефон, по которому он звонит при сомнении. Проверка усвоения тоже короткая: попросить назвать источник номера, по которому он собирается подтверждать реквизиты. Правильный ответ звучит как ссылка на договор или на карточку контрагента.

08

Первый час после того, как деньги ушли

Скорость здесь решает больше, чем полнота действий. Полученные средства переводят дальше в течение часов, поэтому обращение в свой банк с просьбой отозвать платёж делается первым, до внутреннего разбора и до разговора с подрядчиком. Формулировка просьбы включает прямое указание на мошеннического получателя, потому что от этого зависит, какой процедурой банк воспользуется и с какой срочностью.

Параллельно фиксируется доказательная база. Оригинал письма сохраняется вместе с полными техническими заголовками, потому что заголовки показывают, пришло письмо из настоящего ящика или лишь выглядело похожим на него. Пересланная копия эти данные теряет, поэтому пересылка вместо выгрузки исходного файла ухудшает положение. Сохраняются также точное время платежа, номер поручения и переписка целиком.

Дальше идёт уведомление второй стороны по каналу, отличному от почты. Если взломан ящик подрядчика, письмо о взломе прочитает тот же посторонний, и это подарит ему время на продолжение. Звонок по известному номеру решает задачу и одновременно предупреждает партнёра об атаке, которая наверняка идёт и на других его клиентов.

Последним шагом закрывается доступ, если скомпрометированной оказалась ваша сторона. Смена паролей, отзыв активных сессий, проверка правил автоматической пересылки и делегирования ящика: правило пересылки часто переживает смену пароля и продолжает тихо отдавать переписку. Пока этот пункт не выполнен, любые новые договорённости уходят по тому же маршруту.

09

Разбор инцидента без поиска виноватого

После потери денег внутри команды возникает соблазн назначить ответственного за невнимательность. Такой разбор ухудшает защиту, потому что следующий сотрудник скроет ошибку вместо того, чтобы сообщить о ней в первый час, когда отзыв ещё возможен. Полезнее восстанавливать последовательность шагов и искать место, где процедура допустила проход.

Вопросы разбора звучат предельно конкретно. Откуда пришли реквизиты, с чем их сравнивали, кто подтверждал, по какому номеру звонили и откуда взяли этот номер, сколько времени прошло между первым сомнением и отправкой платежа. Ответы почти всегда указывают на один отсутствующий шаг, и его добавление стоит дешевле любых призывов к внимательности.

Итог разбора формулируется как изменение процедуры. Одна новая строка, один уточнённый порог, одно новое обязательное поле в карточке контрагента: этого обычно достаточно, чтобы тот же сценарий не прошёл повторно. Изменение записывается в тот же день, пока подробности свежие и пока команда помнит, как именно всё выглядело изнутри.

10

Как проверять, что процедура жива

Записанная процедура и работающая процедура различаются только проверкой. Раз в квартал полезно провести короткое учение: договориться с кем-то со стороны и прислать в бухгалтерию счёт с изменёнными реквизитами, а затем посмотреть, дойдёт ли дело до звонка. Результат интересен при любом исходе, потому что показывает реальное поведение людей под давлением срока.

Второй способ проверки касается качества самих данных. Карточки контрагентов проверяются на источник телефона: он должен быть тем, что заводился при знакомстве, и не подтягиваться автоматически из последнего письма. Заодно проверяется полнота: контрагент без телефона в карточке превращает правило подтверждения в пустую строку.

Третий способ касается отчётности команды перед собой. Стоит вести короткий журнал остановленных платежей: дата, контрагент, причина паузы, результат проверки, потерянное время. Через полгода такой журнал показывает, сколько раз процедура сработала, и снимает разговоры о её избыточности.

Отдельно стоит следить за тем, как меняется инструментарий нападающих. В отчёте ФБР за 2025 год впервые появилась отметка «связано с искусственным интеллектом»: свыше 22 тысяч обращений и около 900 миллионов долларов. При этом из более чем восьми миллиардов долларов инвестиционных потерь такую отметку получили лишь 632 миллиона, и это говорит об ограничениях самой отметки: она фиксирует замеченное участие технологии, тогда как происходящее заведомо шире. Для процедуры это означает простую вещь: правило должно держаться на канале и на источнике номера, потому что способность сотрудника распознать подделку остаётся ненадёжной.