Ілля Зав'ялов розбирає, як один лист до бухгалтерії змінює зарплатні реквізити

01

Як виглядає лист про новий рахунок

Схема починається з короткого повідомлення. Співробітник нібито відкрив рахунок в іншому банку і просить надіслати найближчу виплату туди. Текст тримається в межах звичайного робочого тону, без тиску і без обіцянок вигоди. Часто до листа додано скан довідки з реквізитами, оформлений акуратно і без помилок. Нічого в цьому запиті не виглядає як напад.

Час подачі обирають свідомо. Лист приходить за один або два дні до розрахункового дня, коли бухгалтерія вже зводить відомість і працює за графіком. У такий момент кожне уточнення коштує часу, а відповідь на нього затримує виплату всій команді. Прохання виглядає дрібним на тлі роботи, яку треба закрити сьогодні.

Обсяг прохання теж підібраний. Нападник просить змінити реквізити для однієї людини і для однієї виплати, без згадки про минулі періоди і без запитів на доступ до систем. Такий запит не вимагає ні пароля, ні входу в облікову систему, ні узгодження з юристом. Він лишається всередині повсякденних повноважень бухгалтера, тому й проходить.

Гроші йдуть на рахунок, відкритий на підставну особу, і зникають протягом кількох годин. Помилка спливає тоді, коли співробітник питає про виплату, тобто через кілька днів. За цей час платіж уже пройшов міжбанківський розрахунок, а кошти розійшлися далі по ланцюжку. Розрив між дією і сигналом про неї робить схему живучою.

02

Чому запит проходить бухгалтерію

Бухгалтерія працює з документами. Людина по той бік листа існує для неї у вигляді адреси, підпису і звичної манери формулювати. Коли всі три ознаки збігаються, запит сприймається як підтверджений. Перевірка особи в цій точці зазвичай ніде не описана, тому кожен вирішує сам, чи достатньо йому листа.

Друга причина в тому, що зміна реквізитів вважається побутовою операцією. Люди справді змінюють банки, закривають картки, переходять на інші зарплатні проєкти. Бухгалтер бачив десятки таких звернень, і жодне з них не закінчилося втратою. Досвід підказує йому, що ризику тут немає, і саме на цей досвід розраховує нападник.

Третя причина стосується ролей. У невеликій організації бухгалтер часто підпорядкований керівнику напряму і не має окремої лінії, куди можна винести сумнів. Запит на підтвердження виглядає як недовіра до колеги, а зайва увага до дрібниці сприймається як повільність. Соціальний тиск працює тихо і підштовхує до того, щоб просто зробити.

Четверта причина полягає у відсутності зворотного сигналу. Коли реквізити змінено, повідомлення про це не отримує ніхто: ні співробітник, ні керівник, ні друга людина у фінансах. Система мовчить рівно до моменту, коли хтось помітить відсутність грошей. Тиша між дією і виявленням і є вікном, у якому працює схема.

03

Звідки нападник знає деталі

Матеріал для листа збирається з відкритих джерел. Сайт організації дає прізвища і посади, професійні мережі уточнюють, хто відповідає за виплати, публічні документи показують формат внутрішніх звернень. Автовідповідач про відпустку підказує, коли людину не можна швидко перепитати. Кожна деталь окремо нешкідлива, разом вони дають достатньо, щоб написати переконливий текст.

Другий шлях це доступ до поштової скриньки. Скринька співробітника або підрядника відкривається через повторно використаний пароль чи через фішингову сторінку входу. Далі нападник читає листування, переймає манеру, дізнається імена і терміни, іноді тижнями нічого не роблячи. Лист, надісланий з реальної адреси, проходить будь-яку технічну перевірку відправника.

Третій шлях це підміна домену. Реєструється адреса, схожа на робочу, з переставленою літерою або з іншою доменною зоною. У поштовому клієнті на телефоні видно тільки ім'я відправника, тому різниця в домені лишається поза увагою. Відповідь на такий лист іде вже до нападника, і листування виглядає безперервним.

Підготовка займає більше часу, ніж сама атака. Нападник може місяць спостерігати за листуванням, щоб вибрати момент відрядження керівника або відпустки бухгалтера. До моменту, коли з'являється лист про реквізити, він знає внутрішні скорочення, розклад виплат і навіть звичку ставити крапку в кінці підпису. Саме тому текст не викликає відчуття чужого.

04

Що показує статистика

Ця схема належить до компрометації ділового листування. За річним звітом FBI Internet Crime Complaint Center за 2025 рік категорія дала 3,046 мільярда доларів заявлених втрат і посіла друге місце після інвестиційного шахрайства. Загалом центр прийняв 1 008 597 звернень і зафіксував майже 21 мільярд доларів втрат. Ідеться про заявлене, тобто про ту частину, яку люди дійшли повідомити.

Federal Trade Commission за 2025 рік описує суміжну картину. На видаванні себе за іншого припало понад мільйон звернень і 3,5 мільярда доларів втрат, майже кожне третє звернення за рік. Окремо на підробці під компанії зафіксовано 1 мільярд доларів, причому найбільші втрати приніс образ співробітника банку. Підміна реквізитів співробітника лежить рівно на перетині цих двох категорій.

Є ще одна цифра, яку варто читати уважно. У чотирьох зверненнях про імперсонацію з п'яти грошової втрати не було взагалі. Це означає, що спроб набагато більше, ніж успіхів, і що більшість людей зупиняються самостійно. Схема живе за рахунок обсягу розсилки і рідких влучень у момент, коли контроль слабкий.

Британські дані додають деталь про канал. За звітом UK Finance за 2025 рік 66 відсотків випадків авторизованого платежу починаються онлайн, ще 17 відсотків приходять через телефонні мережі. Пошта і месенджери лишаються основним входом, телефон працює як підсилювач довіри. Контроль, побудований довкола цих двох каналів, закриває більшу частину входів.

05

Голос як другий шар підтвердження

Коли бухгалтер вирішує передзвонити, схема не закінчується. Дослідження клонування голосу за 2025 і 2026 роки показують, що переконливий клон робиться із запису тривалістю близько трьох секунд і дає приблизно 85 відсотків точності. Три секунди це голосове повідомлення, вітання автовідповідача або фрагмент запису з наради. Матеріал для клону в більшості випадків уже лежить у відкритому доступі.

Слух людини тут допомагає слабо. В експерименті учасники відрізняли справжній голос від підробки лише у 37,5 відсотка випадків, тобто гірше за випадкове вгадування. Знайомий тембр перестав бути доказом особи. Дзвінок на номер, який прийшов у тому самому листі, підтверджує тільки те, що нападник має другий канал.

Звідси випливає вимога до перевірки. Номер для дзвінка береться з внутрішнього довідника або з кадрової картки; підпис у листі для цього не годиться, бо його заповнює відправник. Дзвонити варто самому, оскільки вхідний дзвінок обирає той, хто дзвонить. Якщо людина не відповідає, платіж чекає, і кілька годин затримки тут прийнятна ціна.

06

Зустрічна перевірка як основний контроль

Головний контроль формулюється однією фразою: будь-яка зміна платіжних реквізитів підтверджується каналом, відмінним від того, яким прийшов запит. Лист підтверджується голосом або особистою розмовою, повідомлення в месенджері підтверджується дзвінком на відомий номер. Сенс у тому, що нападник контролює один канал і рідко два одночасно. Правило працює без техніки і без бюджету.

Щоб контроль не залежав від настрою, його треба зробити обов'язковим кроком у процедурі виплат. Поки підтвердження не отримано, платіж лишається в чернетках, а рядок у відомості позначений як незавершений. Бухгалтер у цьому випадку виконує крок, який однаково застосовується до всіх, і не приймає особистого рішення про довіру. Це знімає з нього і соціальний тиск, і відповідальність за паузу.

Формулювання питання теж має значення. Питати варто про те, що знає лише справжня людина: попередній рахунок, дату останньої виплати, деталь із внутрішньої розмови. Відкрите питання «ти надсилав листа?» дає нападнику зручну відповідь. Питання з перевіркою знання ламає сценарій, бо його не було в підготовленому тексті.

Контроль треба поширити на всі суміжні операції. Зміна реквізитів підрядника, нові банківські дані в рахунку від постачальника, прохання про терміновий переказ від керівника, зміна адреси для документів. Усі ці запити приходять тим самим шляхом і закриваються тим самим правилом. Одна процедура на всі випадки запам'ятовується краще за чотири окремі.

07

Процедура зміни реквізитів на папері

Записана процедура починається з визначення того, хто взагалі має право приймати такий запит. Зазвичай це одна роль у фінансах і одна в кадрах, обидві названі поіменно. Запит, що прийшов до будь-кого іншого, передається цим людям без обговорення. Такий крок прибирає ситуацію, коли зміну вносить той, хто випадково відкрив лист першим.

Далі описується вікно тиші. Нові реквізити набувають чинності через фіксований строк, наприклад через три робочі дні, і перша виплата на них проходить після цього строку. Вікно дає час на підтвердження і на реакцію самого співробітника. Терміновість у запиті перестає працювати як важіль, бо строк однаковий для всіх.

Третій елемент це повідомлення на попередній контакт. Коли реквізити змінюють, лист про зміну йде і на стару адресу співробітника, і його керівнику. Якщо скриньку зламано, людина побачить повідомлення в іншому каналі або почує про нього від керівника. Повідомлення нічого не забороняє, воно робить тиху зміну неможливою.

Останній елемент це журнал змін. У ньому фіксується дата, ініціатор, хто підтвердив, яким каналом і які реквізити діяли раніше. Журнал дає можливість за півгодини відновити картину, коли щось пішло не так, і показує, на якому кроці перевірку пропустили. Без нього розбір перетворюється на пошук листів у чужих скриньках.

08

Поштова частина питання

Технічні налаштування знімають частину спроб ще до того, як лист побачить людина. Записи SPF, DKIM і DMARC на власному домені закривають пряму підробку адреси відправника. Політика DMARC у режимі відхилення означає, що лист із підробленим доменом організації не дійде взагалі. Це базове налаштування, яке робиться один раз і далі працює само.

Другий шар це позначка про зовнішнє походження листа. Поштовий шлюз додає видимий рядок до кожного повідомлення, що прийшло ззовні, і людина одразу бачить, що колега пише з чужого домену. Разом із цим корисно налаштувати попередження про схожі домени, коли адреса відрізняється від внутрішньої однією літерою. Обидва правила коштують кількох хвилин роботи адміністратора.

Третій шар це захист самих скриньок. Двофакторний вхід для всіх облікових записів пошти прибирає найпоширеніший спосіб потрапити в листування. Перевірка правил пересилання виявляє випадки, коли нападник тихо копіює вхідні на сторонню адресу. Такі правила варто переглядати регулярно, бо вони переживають зміну пароля.

Техніка закриває вхід, рішення про платіж лишається за людиною. Лист із реальної скриньки колеги пройде всі перевірки шлюзу і виглядатиме бездоганно. Саме тому налаштування пошти доповнюють зустрічну перевірку, замість того щоб її замінювати. Організації, які поклалися тільки на фільтри, втрачають гроші на першому ж зламаному обліковому записі.

09

Перші години після платежу

Якщо платіж уже пішов, значення має швидкість. Банк відправника повідомляється негайно, з номером платежу і проханням про відкликання, спочатку телефоном і одразу після цього письмово. Паралельно подається заява до поліції, бо без неї банк отримувача рідко заморожує кошти. Перші години дають найбільший шанс, далі гроші розходяться по ланцюжку рахунків.

Одночасно перевіряється скринька, з якої прийшов запит. Змінюється пароль, скидаються активні сесії, переглядаються правила пересилання та історія входів. Якщо доступ був у нападника, лист про реквізити навряд чи єдиний, і варто подивитися, кому ще писали з цієї адреси. Робота йде паралельно з банківською частиною, бо чекати тут нема на що.

Далі йде розмова зі співробітником, чиї реквізити підмінили. Він втратив зарплату через процес організації, тому питання відшкодування вирішується окремо і швидко. Затягування цієї частини робить наступні повідомлення про підозрілі листи менш імовірними. Люди мовчать там, де бачать, що визнання проблеми дорого коштує.

Завершує все короткий письмовий розбір. У ньому фіксується, як виглядав лист, якого кроку перевірки бракувало і що саме змінюється в процедурі. Розбір без пошуку винного дає команді змогу говорити про помилки відкрито. Через півроку цей текст стане основою для навчання нових людей.

10

Роль команди і регулярна перевірка

Навчання працює тоді, коли спирається на приклади зі своєї організації. Показаний реальний лист із підміненим доменом запам'ятовується краще за загальну лекцію про обережність. Розбирати варто саме ті сценарії, які торкаються ролей у команді: виплати, рахунки постачальників, доступи до систем. Решта тем лишається фоном.

Друге, що варто закріпити, це право на паузу. Співробітник, який затримав платіж заради дзвінка, має отримати підтвердження, що вчинив правильно, навіть коли запит виявився справжнім. Без цього наступного разу він вирішить не витрачати чужий час. Ціна помилкової паузи вимірюється хвилинами, ціна пропущеної підміни вимірюється місячним фондом оплати.

Третє, що дає ефект, це перевірка процедури на практиці. Раз на квартал хтось із керівників надсилає бухгалтерії запит на зміну реквізитів від свого імені і дивиться, чи спрацює зустрічна перевірка. Результат обговорюється в спокійному тоні, без оцінок людей. Процедура, яку жодного разу не перевіряли в дії, існує тільки на папері.