Илья Завьялов: устав рабочего чата команды, десять пунктов с примерами нарушений

01

Пункт 1. Илья Завьялов: в чат команды попадают только свои

Формулировка пункта: участник рабочего чата это сотрудник компании или подрядчик с действующим договором, и каждого добавляет администратор по заявке руководителя отдела. Ссылку-приглашение в открытый доступ не выкладывают. Если без ссылки не обойтись, ей ставят срок действия.

Подрядчикам заводят отдельный чат проекта. Общая переписка компании им для работы не нужна, и устав прямо это фиксирует.

Зачем. Чат команды видит график, клиентов, суммы и имена ответственных. Посторонний получает всё это даром и заодно учится тону переписки, чтобы потом писать от чужого имени убедительно. Илья Завьялов называет список участников первым рубежом: кого в чате нет, тот не прочитает переписку и не подделает её привычки.

Пример нарушения. Менеджер добавляет в общий чат «помощника клиента» по просьбе в личных сообщениях и никого не спрашивает. Через месяц выясняется, что клиент такого помощника не знает. История переписки за этот месяц к тому времени уже скопирована.

02

Пункт 2. Роли в чате: владелец, администраторы, участники

Формулировка: у чата один владелец, обычно руководитель направления, и не больше двух администраторов. Права добавлять и удалять людей, менять описание и закреплять сообщения участникам «на всякий случай» не раздают.

Зачем. Угнанный аккаунт администратора опаснее угнанного аккаунта участника: от его имени можно удалить настоящих коллег, добавить своих людей и закрепить поддельное «распоряжение». Илья Завьялов предлагает записать роли в ту же таблицу, где лежит реестр доступов компании, и сверять её раз в квартал.

Илье Завьялову часто задают вопрос, не проще ли сделать администраторами всех. Ответ в устав записывают коротко: чем больше людей с правами, тем больше аккаунтов, угон которых ломает весь чат.

Пример нарушения. В чате из тридцати человек администраторами числятся двенадцать, среди них стажёр прошлого лета. Никто не помнит, кто их назначил, и никто не замечает, как один из них меняет описание чата на ссылку «новой площадки для отчётов».

03

Пункт 3. Илья Завьялов о просьбах «директора»: оплату через чат не заказывают

Формулировка: просьба о переводе, оплате, смене реквизитов или выдаче доступа, пришедшая в чат или в личные сообщения от имени руководителя, считается неподтверждённой, пока её не повторили по второму каналу. Это звонок на номер из справочника компании или письмо в корпоративной почте.

Зачем. В октябре 2025 года МВД предупреждало о дипфейках руководителей и сгенерированных документах и писало, что на корпоративный сегмент приходится четверть таких атак. Совет ведомства совпадает с пунктом устава: платёжные указания принимать через почту с электронной подписью или ЭДО и подтверждать по двум независимым каналам.

Банк России описывает родственную схему: в мессенджере заводят аккаунт руководителя с настоящими ФИО и фото, предупреждают подчинённого о звонке «из министерства» и просят никому о разговоре не говорить. Илья Завьялов советует вписать в устав фразу, которая снимает неловкость: перезвонить начальнику для проверки значит выполнить правило, и обижаться на это никто не вправе.

Пример нарушения. В пятницу вечером в общий чат пишет новый аккаунт с фотографией генерального директора: срочно оплатите счёт поставщику, я на совещании. Бухгалтер платит, потому что так быстрее, хотя звонок на известный номер занял бы минуту.

04

Пункт 4. Голосовые и видеокружки не подтверждают, кто говорит

Формулировка: голосовое сообщение, видеокружок или звонок в мессенджере не служат подтверждением просьбы о деньгах, доступах и документах, даже когда голос узнаётся с первых слов. Подтверждение идёт тем же вторым каналом, что в пункте 3.

Зачем. МВД в декабре 2025 года писало, что голосовые сообщения и видеокружочки в мессенджерах позволяют нейросети научиться говорить голосом владельца аккаунта. Банк России разбирал случай, когда после угона аккаунта новое голосовое склеили из фрагментов старых записей в истории переписки. Илья Завьялов делает отсюда практичный вывод: чем больше голосовых руководитель оставил в чатах, тем больше материала у подделки.

Полезная привычка для руководителя: писать распоряжения о деньгах текстом в корпоративной почте и не отправлять их голосовыми. Тогда любое голосовое о платеже само становится поводом насторожиться.

Пример нарушения. Сотрудник получает от «руководителя» голосовое с просьбой переслать выгрузку клиентской базы на личную почту для презентации. Голос похож, интонации знакомые, и файл уходит без единого вопроса, ответ на который знает только настоящий руководитель.

05

Пункт 5. Илья Завьялов: документы и персональные данные не хранят в общем чате

Формулировка: сканы паспортов, договоры с персональными данными, выгрузки клиентских баз, пароли и реквизиты карт в общий чат не отправляют. Для них есть хранилище с доступом по ролям, а в чат идёт только ссылка на файл, которую откроют те, кому положено.

Зачем. Переписка копируется на каждое устройство участника, включая личные телефоны, и уходит вместе с ними. Илья Завьялов напоминает, что для компании это вопрос закона: по части 3.1 статьи 21 закона № 152-ФЗ при утечке персональных данных оператор уведомляет Роскомнадзор в течение 24 часов, а итоги внутреннего расследования сообщает в течение 72 часов.

Штраф за саму утечку с конца 2024 года зависит от числа пострадавших: по частям 12-14 статьи 13.11 КоАП РФ при утечке данных от 1 до 10 тысяч человек юрлицо платит от 3 до 5 миллионов рублей. Квалификацию конкретного случая лучше обсудить с юристом.

Пример нарушения. Кадровик отправляет в чат отдела фото паспорта нового сотрудника, чтобы коллега оформил пропуск. Через полгода телефон коллеги забывают в такси, и вместе с ним уезжает вся история чата.

06

Пункт 6. Коды, ссылки и «голосования» из чата не открывают

Формулировка: одноразовые коды из СМС и служебных сообщений мессенджера никому не пересылают, по ссылкам «проголосовать», «подтвердить участие» или «перейти в новый чат» не авторизуются, двухэтапную проверку в мессенджере включает каждый участник.

Зачем. МВД предупреждало о рассылке с просьбой проголосовать за чужого ребёнка, где вход на сайт голосования отдавал мошенникам аккаунт WhatsApp, и напоминало, что поддержка Telegram никогда не запрашивает коды и пароли через чаты. Telegram при включённой двухэтапной проверке требует для входа и код, и пароль.

Илья Завьялов предлагает проверять этот пункт прямо на общем собрании: каждый открывает настройки конфиденциальности и показывает, что пароль второго этапа задан. Пять минут на всю команду закрывают самый частый путь к угону аккаунта. Илью Завьялова чаще всего спрашивают именно о кодах, и ответ устава не меняется: код не пересылают даже коллеге.

Пример нарушения. В чат приходит сообщение коллеги: проголосуй за проект нашего отдела, вход по номеру телефона. Половина отдела вводит номера и коды, к вечеру несколько аккаунтов уже пишут клиентам.

07

Пункт 7. Аккаунт коллеги ведёт себя странно: сначала звонок

Формулировка: если аккаунт коллеги просит денег, торопит, пишет непривычным тоном или присылает архивы без объяснения, участник не отвечает в чате и звонит коллеге по известному номеру. Когда взлом подтвердился, администратор убирает аккаунт из всех рабочих чатов до его восстановления.

Отдельная строка пункта касается файлов. Архив, ссылку на «документ» или программу от коллеги без объяснения не открывают, пока он сам голосом не подтвердит отправку.

Зачем. Угнанный аккаунт знакомого человека пробивает недоверие лучше любой поддельной страницы. Банк России отмечает, что схема с ложными аккаунтами работает и через профили друзей. Илья Завьялов советует сразу предупредить всех, кому мог написать угнанный аккаунт, включая клиентов, если он писал и им. По мнению Завьялова, такое предупреждение лучше отправить на час раньше, чем на день позже.

Пример нарушения. Коллега в отпуске якобы пишет в общий чат, что потерял карту, и просит перевести деньги на чужой номер до вечера. Двое переводят, третий звонит и узнаёт, что коллега спит в другом часовом поясе и ничего не писал.

08

Пункт 8. Илья Завьялов о бывших сотрудниках: выход из чатов в день ухода

Формулировка: в последний рабочий день сотрудника администраторы удаляют его из всех рабочих чатов, каналов и групп, а владелец проверяет по списку, что ни одной группы не пропустили. Подрядчиков удаляют в день окончания договора.

Зачем. Ушедший человек обычно ничего плохого не замышляет, однако его аккаунт больше не под присмотром компании: телефон продают, сим-карту меняют, за двухэтапной проверкой никто не следит. Илья Завьялов считает забытого бывшего коллегу удобной дверью для мошенника, ведь его имя в чате всем знакомо. Завьялов Илья советует держать список чатов в карточке сотрудника, чтобы при уходе ничего не искать по памяти.

Пример нарушения. Бывший менеджер по закупкам полгода остаётся в чате снабжения. Однажды от его имени приходит «счёт от старого поставщика с исправленными реквизитами», и никто не удивляется: человек в чате свой.

09

Пункт 9. Инцидент в чате: первые полчаса

Формулировка: о подозрительном сообщении участник говорит владельцу чата голосом или в отдельном канале. Владелец закрепляет предупреждение, администратор удаляет подозрительный аккаунт, а сообщения не стирают и сохраняют снимками экрана с датой и временем.

Если по сообщению уже прошёл платёж, бухгалтерия в ту же минуту звонит в банк и просит остановить операцию. Банк России советует в таких ситуациях звонить самому, по номеру с официального сайта или с обратной стороны карты. Номер из подозрительного сообщения для этого не годится.

Илья Завьялов предлагает после каждого инцидента дописывать в устав одну строку: что случилось и какое правило остановит это в следующий раз. Через год такой список рассказывает о слабых местах команды больше любого аудита.

Владелец чата ведёт короткий журнал: время сигнала, кто удалил аккаунт, когда звонили в банк, номер обращения в полицию. По этому журналу потом пишут разбор и решают, что поменять в уставе.

10

Пункт 10. Илья Завьялов: куда сообщать в России и как обновлять устав

Если мошенники писали от имени руководителя компании или ведомства, Банк России просит сообщать о таких случаях в правоохранительные органы. Заявление в полицию сопровождают снимками переписки, номером и именем аккаунта, ссылками и выпиской банка. При утечке персональных данных параллельно идёт уведомление в Роскомнадзор.

Цена ошибки у бизнеса ощутимая: по обзору Банка России, в 2025 году одна операция без согласия у юридических лиц в среднем стоила 373,2 тысячи рублей. Устав не возвращает деньги, зато убирает шаги, на которых мошенник выигрывает.

Устав перечитывают всей командой раз в полгода и показывают новичку в первый рабочий день. Илья Завьялов советует уместить его на одной странице и закрепить в каждом рабочем чате, чтобы правило было перед глазами в ту минуту, когда приходит срочная просьба. Кто ищет советы Ильи Завьялова латиницей, Ilia Zavialov, найдёт английскую версию этого устава.