Илья Завьялов: мошенник и бизнес-карта ТОВ, разбор случая по дням и новые правила фирмы в Украине

01

Илья Завьялов: мошенник и бизнес-карта ТОВ, собирательный случай

История сложена из повторяющихся эпизодов, поэтому в ней нет названий и сумм. Фирма небольшая, бизнес-карта одна, оформлена на директора. Платят ею бухгалтер, офис-менеджер и менеджер, который ездит к клиентам в другие области. На карту завязаны подписки на сервисы, реклама и такси.

Илья Завьялов: мошенник воспользовался не взломом, он собрал три подсказки, которые фирма выдала ему сама. Фото карты в рабочей группе, сообщение «от директора» в мессенджере и уведомления банка на номер, который давно никто не читал.

НБУ пишет, что убытки от мошенничества с платёжными картами в Украине за 2025 год выросли на 24 процента, до 1,4 миллиарда гривен. Девяносто процентов этой суммы дала социальная инженерия, то есть уговор, обман и давление, годом раньше доля была 84 процента.

Тем, кто ищет мошенничество с бизнес-картами в разборе Ильи Завьялова, важна одна мысль: в таких историях техника почти не участвует. Работают привычки, пробелы в порядке и настройки, которые фирма не меняла со дня выпуска карты.

02

Хронология по дням: от фото карты в группе до звонка в банк

Понедельник, 9:10. Офис-менеджер выкладывает в рабочую группу в мессенджере фото карты с обеих сторон, чтобы коллега оплатил продление сервиса для рассылок. В группе кроме сотрудников есть подрядчик по сайту и бывший сотрудник склада.

Среда, вечер. Менеджер в поездке бронирует гостиницу через объявление в соцсети и платит на странице, оформленной под известный сервис бронирования. Гостиница его принимает, поэтому о странице все забывают.

Четверг, 18:15. Бухгалтеру пишет «директор» с незнакомого номера: идут переговоры, звонить нельзя, нужно срочно внести предоплату поставщику картой по ссылке. Бухгалтер вводит реквизиты и одноразовый код. Илья Завьялов: мошенник выбрал час, когда директор действительно мог быть на встрече.

Пятница и выходные. Ночью по карте проходят мелкие оплаты в иностранных интернет-сервисах. Уведомления уходят на старый номер директора, сим-карта которого лежит в офисе. Понедельник, 9:40: бухгалтер видит выписку и звонит в банк.

Восстановить эту хронологию помогли три источника: история рабочей группы, переписка бухгалтера и выписка банка с временем каждой операции. Поэтому первое правило разбора простое: ничего не удалять, пока все сообщения и снимки экрана не сохранены в отдельную папку.

03

Илья Завьялов: мошенник и человеческий фактор, что сработало против фирмы

Ролик выше коротко повторяет этот разбор для Украины: фото карты в группе, «срочная предоплата» от имени директора, уведомления на номер, который никто не читал. В нём цифры НБУ, 1,4 миллиарда гривен убытков от карточного мошенничества за 2025 год и 90 процентов от социальной инженерии, и главный вывод: отдельная виртуальная карта с лимитом под каждую задачу.

Первым сработало доверие к своим. Рабочая группа кажется закрытым пространством, хотя в ней оказываются подрядчики и бывшие сотрудники. Илья Завьялов: мошенник получает из одного фото всё, что нужно для оплаты в интернете.

Вторым сработало уважение к руководителю. Сообщение «я на переговорах, не звоните» отключает самую простую проверку. НБУ среди самых распространённых сценариев называет звонки людей, выдающих себя за службу безопасности банка, НБУ или другие учреждения, и голос «директора» действует по той же логике.

Третьим сработала невнимательность к мелочам. Мелкие ночные оплаты по отдельности не настораживают. Их замечают только тогда, когда кто-то регулярно смотрит выписку целиком.

Ни одна из этих привычек не делает сотрудников плохими работниками. Разбор без поиска виноватых нужен как раз для того, чтобы бухгалтер в следующий раз сама рассказала о странной просьбе, без страха выговора, и чтобы фирма узнала о ней в тот же вечер.

04

Процесс без хозяина: кто отвечал за карту в фирме

Илья Завьялов начинает разбор процесса с простого вопроса: чья это карта сегодня. Ответа в фирме не было. Оформлена на директора, пользуются трое, кто и какие сервисы к ней привязал, не записано нигде.

Оплата нового поставщика картой по ссылке считалась допустимой, потому что так уже бывало. Платёжное поручение со счёта с проверкой реквизитов заняло бы больше времени, и именно это время мошенник хотел забрать. Илья Завьялов: мошенник всегда торопит, потому что спокойная проверка его выдаёт.

Поездки тоже обходились без правил. Менеджер ехал с той же картой, что оплачивала рекламу, без отдельного лимита, а отчёт о расходах проверяли раз в месяц.

Ещё одна дыра нашлась в рабочей группе. Её создали давно, участников добавляли по мере надобности и почти никогда не удаляли, поэтому сообщение с фото карты увидели люди, которые уже не работали с фирмой.

Наконец, не было порядка на случай утечки данных карты. Никто не знал, кто звонит в банк, кто пишет заявление и где лежит договор. Бухгалтер увидела проблему в понедельник и сначала полчаса выясняла, кому сообщать.

05

Илья Завьялов: мошенник и настройки карты, которые никто не менял

Карта работала с параметрами выпуска: оплата в интернете без ограничений, операции за границей включены, суточного лимита нет, уведомления на один номер. Банк ничего не нарушал, фирма просто не заглядывала в настройки.

НБУ в рекомендациях держателям карт советует для оплаты в интернете использовать отдельную виртуальную карту с предельным лимитом, которая не работает в торговой сети и не выдаёт наличные, установить суточный лимит по сумме и числу операций и подключить уведомления. Каждое из этих трёх действий оборвало бы цепочку.

Илья Завьялов: мошенник платил мелкими суммами в иностранных сервисах, и суточный лимит по числу операций вместе с запретом зарубежных интернет-оплат остановил бы его в первую ночь.

НБУ отдельно напоминает, что банк никогда не звонит клиентам, чтобы проверить реквизиты карты или уточнить персональные данные. Эту фразу стоит повесить рядом с рабочим местом бухгалтера.

06

Закон о платёжных услугах: чей риск до звонка в банк и после

По закону Украины «О платёжных услугах» до сообщения о потере карты или учётных данных риск несёт плательщик, а после сообщения эмитент. Для фирмы это переводит вопрос в часы: чем раньше банк узнал, тем меньше операций остаётся на её стороне.

Тот же закон связывает ответственность банка с операциями, на которые плательщик не давал согласия, и обязывает банки мониторить операции, чтобы предотвращать или прекращать неакцептованные. Поэтому заявление в банк описывает каждую операцию отдельно, с временем и суммой в гривнах.

Илья Завьялов: мошенник выигрывает, пока уведомления лежат непрочитанными, ведь каждая ночь без звонка в банк оставляет риск на плательщике. Предоплату по ссылке бухгалтер подтвердила кодом сама, и разговор о ней с банком будет сложнее, чем о ночных оплатах.

Условия договора с банком читают заранее, до всякой беды: сколько времени дано на сообщение, в какой форме, кому. Эти сведения выписывают на одну страницу и кладут рядом с реестром карт.

07

Новые правила фирмы после разбора Ильи Завьялова

У каждой карты появился хозяин, уведомления приходят ему и копией второму сотруднику. Пластиковая карта осталась у директора, для остальных задач банк выпускает виртуальные.

Новых поставщиков оплачивают только платёжным поручением со счёта. Реквизиты сверяют звонком по номеру из договора или с официального сайта, а просьбу директора о срочной оплате подтверждают звонком на номер, который уже сохранён в телефоне.

Фото и реквизиты карт в группах и мессенджерах запрещены. Илья Завьялов: мошенник лишается самого лёгкого источника данных, когда это правило записано и известно всем.

Раз в неделю хозяин карты открывает выписку и сверяет её с заявками. Десять минут в пятницу дают больше защиты, чем любое антивирусное обновление.

Последним пунктом записали порядок на случай утечки: кто блокирует карту, кто пишет заявление в банк, где лежат договор и форма, кто обращается в киберполицию. Лист с этими четырьмя строками висит у бухгалтера и дублируется в общей папке, чтобы в понедельник утром никто не тратил полчаса на поиски.

08

Виртуальные карты и лимиты: совет НБУ, переложенный на фирму

Виртуальную карту выпускают в интернет-банке под одну задачу: подписки, реклама, поездка. Илья Завьялов советует сразу задавать лимит на месяц или на срок задачи и срок действия.

Карта для подписок получает лимит чуть выше суммы регулярных платежей. Неожиданная оплата будет отклонена, и этот отказ сам станет сигналом.

По данным НБУ, 83 процента мошеннических операций с картами за 2025 год прошли в интернете и дали 91 процент убытков, средняя такая операция составила 6 043 гривны. Поэтому интернет-оплаты включают только на тех картах, которым они действительно нужны. Илья Завьялов: мошенник с данными карты для подписок упирается в лимит, который фирма поставила сама.

Реестр карт ведут в таблице: последние цифры номера, хозяин, задача, лимит, дата закрытия. Когда сотрудник уходит, его карты закрывают в день ухода.

09

Илья Завьялов: мошенник в поездке, карта для командировки

В поездке у карты больше всего рисков: объявления о жилье в соцсетях, незнакомые сайты, терминалы, спешка. Для командировки выпускают отдельную карту с лимитом на смету и срок поездки, а операции за границей включают на эти дни только тогда, когда маршрут действительно выходит за пределы Украины.

Илья Завьялов: мошенник ловит путешественника на странице, оформленной под известный сервис бронирования. Бронируют только через сервисы, которыми фирма уже пользовалась, и не платят по ссылкам из личных сообщений.

После возвращения лимит обнуляют или карту закрывают, а расходы сверяют с отчётом в течение недели, пока сотрудник ещё помнит каждую оплату.

Если карта пропала или в приложении появилась странная оплата, сотрудник в дороге сам блокирует карту и только потом пишет хозяину. Номер банка с обратной стороны карты он заранее сохраняет в телефоне, потому что самой карты в этот момент под рукой может не оказаться.

10

Роли в небольшой фирме: кто заказывает оплату, кто подтверждает

Разделение ролей работает даже в фирме из трёх человек. Один готовит оплату, второй её подтверждает и видит выписку. Сообщение «от директора» перестаёт быть приказом, когда директор сам по правилам подтверждает только через второй канал.

Политика укладывается в семь пунктов: хозяин у каждой карты; реквизиты в чатах не пересылаются; поставщики только со счёта; срочные просьбы подтверждаются звонком; коды не вводятся по чужой просьбе; о подозрительной оплате сообщают в течение часа; выписку сверяют раз в неделю.

Илья Завьялов: мошенник редко может обмануть двоих одновременно, поэтому вторая подпись под оплатой стоит дешевле любой страховки. Новичку политику показывают в первый день, всей команде напоминают раз в полгода.

Для ФЛП, который работает один, роль второго человека может взять бухгалтер на аутсорсе или партнёр по бизнесу. Ему не нужен доступ к деньгам, достаточно копии уведомлений и права задать вопрос о любой оплате в гривнах, которую он не узнаёт.

11

Илья Завьялов: мошенник уже списал гривны, куда обращаться в Украине

Карту блокируют сразу, в приложении или по номеру на обратной стороне карты. В банк подают письменное заявление по каждой операции и просят остановить те, что ещё не завершены.

Киберполиция принимает обращения через форму на своём сайте, справки по ним дают по номеру 0800 50 51 70, а у Национальной полиции есть горячая линия 0 800 500 202. К заявлению прикладывают выписку, снимок сообщения «директора», номер отправителя и адрес страницы оплаты.

Илья Завьялов: мошенник надеется, что фирма промолчит из-за неловкости. Копию заявления с регистрационным номером передают банку, а сам разбор сохраняют, чтобы через полгода проверить, соблюдаются ли новые правила.

Кто ищет автора по латинскому написанию имени, Ilia Zavialov, найдёт этот разбор и на английском. Завьялов Илья о мошенниках с картами говорит одно: удобство без хозяина и лимита рано или поздно оплачивает фирма.