Илья Завьялов: как мошенники зарабатывают на кассах и терминалах малого бизнеса и как проверить письмо, договор и мастера

01

Илья Завьялов: кассы и терминалы малого бизнеса как мишень

Илья Завьялов работает с небольшими командами, где касса стоит у входа, а терминал лежит рядом с кофемашиной. Отдельного айтишника там нет, бухгалтер приходит раз в неделю, а продавец меняется по графику. Такую точку удобно обманывать: решения принимает тот, кто сейчас за стойкой.

Касса и терминал выглядят как одно устройство, хотя за ними стоят разные стороны. Онлайн-касса передаёт чеки в налоговую через оператора фискальных данных. Терминал принимает карты по договору с банком. Мошенники путают эти роли нарочно: «оператор» грозит блокировкой счёта, «банк» требует перерегистрировать кассу.

Ставки у таких схем выше, чем кажется. Банк России в обзоре за 2025 год насчитал 29,3 миллиарда рублей, похищенных у клиентов банков, плюс 6,4 процента к прошлому году, а число операций без согласия выросло на 31,2 процента. Предприниматель в этой статистике тоже клиент банка, и звонок «службы эквайринга» работает по тем же правилам.

Илья Завьялов делит все сюжеты на две группы. В первой у владельца выманивают деньги или коды прямо сейчас, во второй получают подпись или физический доступ к устройству, и ущерб растягивается на месяцы. Против первой группы работает перезвон по своему номеру, против второй правило «ничего не подписываем и никого не пускаем без согласования».

02

Кто есть кто: налоговая, ОФД, банк и сервисная компания

Путаница ролей и есть главный ресурс схемы, поэтому полезно один раз разложить их по местам. Налоговая регистрирует кассу и видит чеки. Оператор фискальных данных принимает чеки от кассы и передаёт их в ФНС по договору с вами. Банк-эквайер зачисляет оплату картами. Сервисная компания чинит и обновляет оборудование, если вы с ней договорились.

Ни одна из этих сторон не управляет другой. Оператор не может заморозить расчётный счёт, банк не решает вопросы регистрации ККТ, налоговая не продаёт терминалы. Когда в письме или звонке одна сторона угрожает полномочиями другой, перед вами сценарий, написанный мошенником.

У каждой стороны есть свой канал связи, известный вам заранее: кабинет ККТ на сайте ФНС, кабинет оператора, номер банка из договора эквайринга, телефон сервисного партнёра. Илья Завьялов предлагает записать эти четыре канала на одной карточке и повесить её рядом с кассой, без паролей и кодов.

Такая карточка экономит время и новичку. Продавец, вышедший на первую смену, не знает, кто такой ОФД, но может прочитать, куда звонить, если кто-то пишет о блокировке.

03

Илья Завьялов о письмах «от ОФД»: блокировка кассы за два часа

Типичное письмо выглядит так: «Ваша ККТ будет заблокирована, фискальные данные не передаются, подтвердите договор по ссылке». В нём логотип, ИНН компании, номер кассы. Ссылка ведёт на страницу, похожую на кабинет оператора, где просят логин, пароль или оплату «продления» с карты.

Сам статус оператора проверяется за минуту. ФНС определяет оператора фискальных данных как российскую организацию, получившую разрешение на обработку фискальных данных, и сама выдаёт и аннулирует такие разрешения. Список операторов лежит на сайте ФНС в разделе реестров: в файле от 26.11.2025 там 15 организаций с ИНН, адресом сайта и номером приказа.

Дальше проверяется договор. По статье 4.6 закона № 54-ФЗ договор с оператором публичный, в нём обязательно прописаны цена, срок действия и порядок расторжения. Если срок подходит к концу, это видно в вашем экземпляре договора и в кабинете оператора, куда вы заходите по своей закладке. Внезапная блокировка «через два часа» в эту схему не укладывается.

Илья Завьялов советует держать в карточке точки одну строку: какой ОФД обслуживает кассу, ИНН оператора, адрес его сайта и дату окончания договора. Тогда сотрудник за стойкой сверит письмо с карточкой сам, ничего не открывая и никому не звоня.

04

Звонок «банка-эквайера»: что ему на самом деле нужно

Второй сценарий приходит голосом. «Служба эквайринга» сообщает, что терминал работает с ошибкой, выручка зависла на транзитном счёте, а для разблокировки нужно продиктовать код, установить приложение или перевести деньги на «резервный» счёт. Звонящий знает название точки и банк, потому что это видно на любом чеке.

ФНС в предупреждении от 04.04.2025 перечисляла, чего её сотрудники не делают: не просят коды и данные карт, не присылают ссылки на сторонние сайты, не переключают на «специалистов других ведомств». Банк ведёт себя так же. Код из СМС в разговоре нужен только тому, кто пытается войти в ваш кабинет.

Проверка простая и не требует знаний. Положить трубку и позвонить в банк по номеру из договора эквайринга или с официального сайта, набранному вручную. Если на линии действительно была проблема, менеджер увидит её в карточке клиента.

В этот сценарий часто вплетают третью сторону. «Банк» сообщает, что касса «не прошла сверку с налоговой», и переключает на «инспектора». Связка двух ведомств в одном звонке почти всегда означает постановку: ни банк, ни ФНС так не работают.

Илья Завьялов замечает, что звонящий почти всегда выбирает час пик или вечер пятницы. Владельца нет на месте, решает продавец, а очередь за спиной подталкивает согласиться побыстрее. Правило «по телефону ничего не подтверждаем, перезваниваем сами» снимает с продавца это давление.

05

Илья Завьялов: аренда терминала «без вложений» и договор, который не расторгнуть

Предложение звучит щедро: терминал бесплатно, комиссия ниже, чем у вашего банка, подпишите здесь, это просто заявка. Подписанная бумага оказывается договором аренды на несколько лет, с ежемесячным платежом, штрафом за досрочный выход и автоматическим продлением.

Защиту даёт статья 428 ГК РФ. Сторона, присоединившаяся к стандартному договору, вправе требовать его изменения или расторжения, если он лишает её обычных прав или содержит явно обременительные условия. По пункту 3 то же правило работает, когда условия продиктовала одна сторона при явном неравенстве переговорных возможностей.

Если продавец солгал о сути бумаги, есть статья 179. Сделку под влиянием обмана суд может признать недействительной по иску потерпевшего, причём обманом считается и намеренное умолчание. Кабальная сделка на крайне невыгодных условиях оспаривается по той же статье.

Суд остаётся последним шагом, и он стоит дороже, чем десять минут чтения. Илья Завьялов предлагает правило для владельца: ни одна бумага по оборудованию не подписывается в день визита. Её фотографируют целиком, читают вечером и сверяют с тем, что было сказано устно.

06

«Замена прошивки» мастером: кому можно трогать кассу

Мастер приходит без звонка, в форменной куртке, с удостоверением сервисной компании. Говорит, что вышло обязательное обновление и без него касса перестанет передавать чеки. Работа занимает десять минут, оплата наличными или переводом на карту.

У настоящей кассы история проще. Закон № 54-ФЗ обязывает ФНС вести реестр ККТ и реестр фискальных накопителей, а изготовитель вносит туда модель вместе с номером её версии. Обновление делается через изготовителя или вашего сервисного партнёра по договору, о нём вы узнаёте заранее, и оно не стоит денег на чужую карту.

Отраслевой стандарт платёжных систем PCI SSC в руководстве 2014 года даёт для таких визитов ясное правило: если «сервисный инженер» пришёл без предупреждения, к терминалам его не пускают, пока личность не подтверждена звонком поставщику. Все работы записывают в отчёт и хранят его не меньше шести месяцев.

Под видом прошивки в устройство ставят перехватчик данных карт или меняют реквизиты, куда уходит выручка. Поэтому вопрос «кто вас прислал» задают до того, как мастер открыл корпус, и проверяют ответ по своему номеру сервисной компании.

Илья Завьялов советует вести простой журнал визитов: дата, кто приходил, от какой компании, что делал, кто из сотрудников подтвердил визит звонком. Журнал на одной странице закрывает и требование отраслевого стандарта, и спор с банком, если что-то пойдёт не так.

07

Илья Завьялов: подмена терминала на кассе

Подмена занимает секунды. Пока продавец отвлечён, рабочий терминал меняют на похожий, где стоит считыватель данных карт. Иногда ставят накладку поверх родного устройства. Владелец замечает неладное, когда банк начинает получать жалобы покупателей.

Руководство PCI SSC советует вести список всех платёжных устройств и осматривать их по графику, например раз в день или в начале каждой смены. Серийный номер на наклейке снизу сверяют с номером, который терминал показывает на экране. Расхождение означает, что перед вами чужое устройство.

Для маленькой точки это одна строка в чек-листе открытия смены: терминал на месте, кабель родной, номер совпадает, пломбы целы. Фото устройства с четырёх сторон, сделанное в день установки, помогает заметить лишнюю деталь.

Если подмена найдена, терминал больше не используют, звонят в банк по номеру из договора и сохраняют устройство как есть. Его не разбирают сами: банку и полиции нужен нетронутый экземпляр.

Илья Завьялов обращает внимание на место установки. Терминал, закреплённый на подставке у кассы, подменить сложнее, чем устройство, которое кочует по залу. Если терминал переносной, на ночь его убирают в шкаф под замок, а утром сверяют номер.

08

Возвраты на чужую карту через терминал: правило Ильи Завьялова

Покупатель платит картой, потом возвращается и просит отменить покупку, но вернуть деньги «на карту жены, моя заблокирована». Кассир проводит возврат в терминале на продиктованный номер, и магазин теряет деньги дважды: первую оплату позже оспорят, а второй платёж ушёл постороннему.

Финансовая культура Банка России описывает, как работает спор по карте. Банк продавца выясняет, должен ли продавец вернуть деньги, и если да, списывает сумму с его счёта и через платёжную систему отдаёт банку покупателя. Сроки длинные: при покупке с получением сразу заявление обычно принимают 120-180 дней, при предоплате до 540.

Отсюда правило для кассы: возврат идёт только отменой или возвратом исходной операции, на ту же карту, по чеку. Ручного ввода номера карты для возврата у продавцов быть не должно, это настраивается в кабинете эквайринга и в правах кассира.

Илья Завьялов предлагает ещё одну мелочь: крупный возврат подтверждает второй человек, старший смены или владелец по телефону. Мошенник рассчитывает на одного уставшего кассира в конце дня.

09

Как проверить письмо или звонок: метод Ильи Завьялова

Проверка письма укладывается в четыре вопроса. От кого оно пришло и совпадает ли домен с сайтом из вашего договора. Что от вас хотят: ссылку, вложение, оплату, код. Есть ли срок «сегодня до 18:00». Можно ли решить вопрос, зайдя в кабинет по своей закладке.

Налоговая официально пишет только определённым способом. УФНС разъясняло, что электронные письма налоговой приходят с адресов вроде @tax.gov.ru или @nalog.ru, бумажные бывают только заказными, а уведомления лежат в личном кабинете. Сомнительный звонок от имени ФНС проверяют по единому номеру 8-800-222-22-22.

Письмо «от ОФД» сверяют со списком операторов на сайте ФНС и с вашим договором. Если оператор в письме другой, вопрос закрыт. Если тот же, заходят в кабинет оператора без ссылки из письма и смотрят, есть ли там уведомление.

Вложения в таких письмах опасны отдельно. ФНС описывала рассылку под видом налоговой, где документы во вложении давали удалённый доступ к компьютеру. Компьютер с кассовой программой открывать такие файлы не должен вообще.

10

Илья Завьялов: проверка договора на терминал и кассу

Перед подписью нужен полный текст, включая приложения, тарифы и общие условия, на которые ссылается договор. Если продавец говорит «это стандартная форма, её не дают», подпись откладывается.

В тексте ищут пять мест: срок и автопродление, плату за досрочный выход, кто владелец оборудования, кто отвечает за поломку и подмену, и как расторгнуть договор. Устное «можно отказаться в любой момент» ничего не значит, если в бумаге написано иначе.

Регистрацию кассы проверяют отдельно. Закон № 54-ФЗ разрешает подать заявление о регистрации в любую налоговую, через кабинет ККТ, через Госуслуги, через изготовителя или через оператора фискальных данных. Владелец в любом случае видит свою кассу в кабинете ККТ, и посредник с «особым каналом» здесь не нужен.

После подписи экземпляр договора хранится там же, где карточка точки. Через год, когда позвонит очередной «новый провайдер», ответ будет под рукой.

11

Илья Завьялов: правила для команды на точке

Схемы вокруг кассы бьют по тому, кто стоит за стойкой, поэтому правила пишут прежде всего для продавца. Их должно быть мало, и каждое помещается в одну строку на листе у кассы.

Первое: коды из СМС, пароли от кабинетов и данные карт не называют никому, кто позвонил или написал сам. Второе: любой вопрос о блокировке кассы или терминала решают перезвоном по карточке точки. Третье: ни одна бумага по оборудованию не подписывается без владельца.

Четвёртое правило касается людей: мастер, курьер или «представитель банка» без согласованного визита ждёт снаружи, пока старший смены дозванивается до компании. Пятое касается возвратов: только исходная операция, крупная сумма с подтверждением второго человека.

Илья Завьялов советует повторять эти пять строк на коротком собрании раз в месяц и после каждого подозрительного звонка. Новая схема почти всегда оказывается вариацией старой, и подготовленный сотрудник узнаёт её по первой фразе.

12

Если деньги или доступ уже ушли

Первый звонок в банк по номеру из договора или с карты: заблокировать доступ в кабинет, остановить переводы, отключить терминал, если есть подозрение на подмену. Второй звонок оператору фискальных данных, если в его кабинет вводили пароль на чужой странице.

Затем заявление в полицию с письмами, номерами телефонов, фото мастера с камеры и реквизитами, куда ушли деньги. Если подписан навязанный договор аренды, юристу понадобятся его полная копия и запись того, что обещали устно: это основа для спора по статьям 179 и 428 ГК РФ.

Последний шаг внутренний. Илья Завьялов советует разобрать случай с командой за пятнадцать минут: на каком шаге схема сработала, какое правило добавить в чек-лист смены, кому теперь звонить первым.