Платежи
Илья Завьялов о том, что делает команда, когда подрядчик сменил реквизиты
В переписке, которая идёт третий месяц, приходит письмо с обычного адреса и просит оплатить следующий счёт на новый счёт в другом банке. Ни один элемент этого письма не подделан, и в этом причина, по которой оно срабатывает. Небольшая команда обычно решает такой вопрос на месте, силами того человека, которому письмо пришло. Илья Завьялов рассматривает смену реквизитов как процедуру с назначенными ролями, потому что решение, зависящее от внимательности конкретного утра, рано или поздно будет принято неверно. Статья отвечает на вопрос, что нужно поставить на это место, чтобы такое письмо перестало быть развилкой.
Версия на русском языке для Украины.
01
Почему письмо о новых реквизитах проходит все привычные проверки
Отправитель находится внутри переписки и попадает туда через почтовый ящик подрядчика или через ящик самой команды. Тема письма настоящая, история сообщений на месте, подпись совпадает с десятком предыдущих, номер счёта относится к работе, которая действительно сделана. Адрес отправителя выдерживает любую проверку, потому что это тот самый адрес, на который команда писала месяцами. Все навыки, выработанные против поддельных писем, направлены на событие, которого здесь не происходило.
Время отправки остаётся единственным выбранным элементом. Запрос приходит в те дни, когда платёж и так ожидали, и отвечает на вопрос, который бухгалтерия собиралась задать сама. Человек, ждавший счёт, читает его появление как подтверждение того, что работа закончена и наступил момент оплаты. Ожидание делает большую часть работы по убеждению ещё до того, как прочитана первая строка.
Центр приёма жалоб ФБР отнёс к компрометации деловой переписки 3,046 миллиарда долларов заявленных потерь за 2025 год, и это вторая категория после инвестиционного мошенничества. За такой суммой стоит очень обычное событие, повторённое тысячи раз: один человек исправил одну строку в платёжной карточке, потому что об этом попросили в сообщении. Размер категории складывается из повторов, и каждый отдельный случай изнутри компании выглядит небольшим.
Из этого следует практический вывод о том, куда смотреть. Признаки подделки искать бессмысленно, потому что технически ничего не подделано. Единственное уязвимое место схемы лежит вне письма: в подтверждении по каналу, к которому у отправителя нет доступа. Всё дальнейшее в этом разборе посвящено такому каналу и тому, кто в команде за него отвечает.
02
Насколько часто небольшая команда встречает такой запрос
Тот же центр зарегистрировал 1 008 597 обращений за 2025 год и почти 21 миллиард долларов заявленных потерь, на 26 процентов больше, чем годом раньше. Цифры такого порядка описывают фоновое условие работы. Команда, которая ни разу не получала подобного запроса, пока удачно стоит в очереди, и очередь движется.
Федеральная торговая комиссия оценила потери на подделке под компании в 1 миллиард долларов за 2025 год, причём наибольшие суммы пришлись на тех, кто представлялся сотрудником банка. Это соседняя ветка того же приёма: сначала письмо меняет реквизиты, затем звонок закрепляет изменение голосом человека, называющего себя банком. Команда, договорившаяся подтверждать реквизиты звонком, но не договорившаяся, кто кому звонит, остаётся уязвимой ровно к этому сценарию.
Британская отраслевая статистика за 2025 год насчитала 248 070 случаев авторизованного платежа на 576,4 миллиона фунтов. Авторизованный платёж означает, что деньги отправил сам плательщик, своей рукой, через обычный интерфейс банка, и антифрод банка видел нормальную операцию. Категория растёт именно потому, что технического взлома платежа в ней нет; ломается решение человека.
Там же указано, что 66 процентов таких случаев начинаются онлайн и ещё 17 процентов через телефонные сети. Для небольшой команды это означает, что точка входа почти всегда почта, мессенджер или звонок, то есть те же каналы, в которых идёт обычная работа. Отдельного защищённого контура для денег у такой команды обычно нет, и создавать его целиком слишком дорого. Дешевле выделить один шаг, который нельзя пройти внутри этих каналов.
03
Где именно ломается решение внутри небольшой команды
В компании из пяти или пятнадцати человек роли обычно совмещены. Один сотрудник ведёт переписку с подрядчиком, он же формирует платёж, он же подтверждает его в банке. Совмещение экономит время каждый день и один раз стоит всей суммы платежа. Схема рассчитана именно на такую конфигурацию, потому что второго взгляда в ней нет.
Второй разрыв в том, что запрос приходит без статуса. Письмо о смене реквизитов выглядит рабочей мелочью наравне с уточнением сроков или заменой контактного лица. У команды нет отдельного названия для этого события, поэтому оно не попадает ни в какой перечень исключений и обрабатывается по общему правилу «ответить и сделать».
Третий разрыв создаёт срочность. В письме почти всегда есть причина торопиться: закрытие квартала у подрядчика, блокировка старого счёта, штраф за просрочку. Срочность выполняет здесь одну задачу: сокращает время между чтением и действием до величины, в которой проверка физически не помещается. Ни один из перечисленных поводов невозможно опровергнуть из письма, и попытка это сделать уводит внимание в сторону.
Четвёртый разрыв появляется после инцидента и мешает следующему разбору. Сотрудник, исправивший строку, понимает, что ошибся, и рассказывает об этом позже, чем мог бы. Команда, где такой рассказ стоит должности, узнаёт о платеже через неделю, когда возврат уже невозможен. Скорость сообщения внутри команды входит в ту же процедуру, что и проверка до платежа.
04
Правило, которое закрывает всю категорию целиком
Формулировка простая: реквизиты не меняются на основании сообщения. Любое сообщение, в любом канале, с любой историей переписки, переводит платёж в состояние ожидания и запускает проверку. Правило намеренно не различает подозрительные и обычные письма, потому что различить их по содержанию невозможно. Оно срабатывает одинаково на письмо злоумышленника и на настоящую просьбу подрядчика, и в этом его главное свойство.
Проверка состоит в голосовом подтверждении по номеру, известному команде до начала этого разговора. Номер берётся из подписанного договора, из карточки контрагента или из предыдущего оплаченного счёта. Номер из подписи нового письма для этого не годится, потому что подпись контролирует тот, кто письмо отправил. То же относится к номеру, присланному в ответ на уточняющий вопрос в той же переписке.
Правило дешевле любой технической меры, доступной небольшой команде. Один звонок занимает пару минут и делается несколько раз в год, потому что подрядчики меняют реквизиты редко. Стоимость правила измеряется этими минутами, а стоимость его отсутствия равна сумме одного платежа. Такое соотношение в безопасности встречается редко, и им стоит пользоваться.
У правила есть побочный эффект, который проявляется со временем. Подрядчик, которому позвонили для подтверждения, запоминает, что в этой компании реквизиты проверяют. Через какое-то время он начинает предупреждать о смене заранее и сам называет номер для обратного звонка. Правило постепенно превращается в общий стандарт двух компаний и снижает трение при каждом следующем изменении.
05
Откуда берётся номер, по которому звонят
Правило работает при одном условии: номер существует до инцидента. Момент подписания договора остаётся единственным спокойным временем, когда обе стороны обмениваются контактами без давления. Если номер вносится в карточку контрагента тогда же, когда подписывается договор, к моменту спорного письма он лежит там уже несколько месяцев. Собирать контакты в день, когда пришёл запрос на смену реквизитов, поздно по определению.
Карточка контрагента должна жить там, где идёт работа с платежами. Отдельный файл на чьём-то диске не открывают в момент, когда вопрос нужно решить быстро. Если номер лежит в той же системе, где формируется платёж, проверка занимает столько же времени, сколько взгляд на соседнее поле. Место хранения определяет, будет ли проверка выполнена под давлением.
Ведение этих карточек лучше закрепить за одним человеком. Роль подходит любому сотруднику, через которого проходят договоры, и бухгалтерской квалификации не требует. Задача состоит в том, чтобы у каждого действующего подрядчика было поле с номером и пометкой, откуда этот номер взят. Пустое поле означает, что первый же запрос на смену реквизитов придётся решать без опоры.
Раз в год перечень стоит сверять с действительностью. Подрядчики закрываются, контактные лица меняются, номера переходят к другим людям. Сверка занимает час на десяток контрагентов и обеспечивает, что в нужный момент звонок попадёт туда, куда рассчитывали. Без сверки перечень стареет медленно и незаметно, и обнаруживается это ровно тогда, когда он нужен.
06
Почему голос сам по себе перестал быть подтверждением
Сила голосового подтверждения находится в канале. Звонок делает команда, по номеру, который отправителю письма не подконтролен, и попадает к человеку, до которого злоумышленник не дотягивается. Узнаваемость голоса играет при этом вспомогательную роль, и за последние два года её вес заметно снизился.
Убедительный клон голоса собирается с записи длиной около трёх секунд и достигает примерно 85 процентов точности. Три секунды это длина приветствия в голосовой почте или короткого фрагмента публичного выступления. Для подрядчика, у которого есть сайт с видео или подкаст, материал уже собран и лежит открыто. Отдельного взлома для получения такой записи не требуется.
В эксперименте люди отличали настоящий голос от синтезированного в 37,5 процента случаев. Результат хуже случайного угадывания при выборе из двух вариантов, потому что подделка звучит чище и увереннее оригинала. Опираться на ощущение «голос знакомый» после этих данных смысла нет. Именно поэтому в процедуре важен инициатор звонка: команда набирает номер сама.
Центр приёма жалоб ФБР впервые ввёл отметку «связано с искусственным интеллектом» и собрал по ней свыше 22 тысяч обращений и около 900 миллионов долларов за 2025 год. Отметка фиксирует те случаи, где применение технологии заметили и описали. Доля таких случаев в действительности выше, и это дополнительный довод в пользу процедуры, не зависящей от распознавания подделки на слух.
07
Роли: кто получает запрос, кто подтверждает, кто платит
Процедура становится исполнимой, когда у каждого шага есть имя. Получатель письма ставит платёж на паузу и передаёт запрос дальше. Ответственный за расчёты находит номер в карточке, звонит и записывает результат. Изменение в платёжной системе вносит тот, кто ведёт платежи, и вносит только после появления записи о подтверждении.
Разделение важнее квалификации. Даже в команде из трёх человек можно устроить так, что запрос принимает один сотрудник, а звонит другой. Второй участник разбирается в существе вопроса поверхностно; его задача в том, чтобы решение прошло через ещё одну голову, свободную от давления исходного письма. Именно это ломает схему, потому что злоумышленник работает с одним конкретным адресатом.
Для крупных сумм имеет смысл добавить второе подтверждение. Порог назначается по размеру бизнеса, и его величина менее важна, чем сам факт существования порога. Выше порога платёж уходит после отметки двух человек, ниже проходит по обычной процедуре. Такой порог документируется одной строкой и не требует никаких инструментов.
Роли нужно назвать письменно и держать там же, где лежит остальная рабочая документация. Устная договорённость держится, пока команда не выросла и никто не ушёл в отпуск. Новый сотрудник, который придёт через полгода, узнает о правиле только из текста. Один абзац в документе о платежах закрывает эту задачу.
08
Как встроить проверку в рабочий процесс, чтобы её не обходили
Правило, требующее памяти, отмирает за несколько месяцев. Чтобы этого не произошло, проверка должна занимать место в том же интерфейсе, где выполняется платёж. Достаточно одного поля рядом с реквизитами: дата подтверждения, номер, по которому звонили, и имя того, кто звонил. Пустое поле видно сразу и задаёт вопрос само.
Второй приём это пауза по умолчанию. Любое изменение реквизитов переводит контрагента в состояние ожидания на один рабочий день. Пауза стоит немного, потому что настоящая смена реквизитов почти никогда не бывает срочной; подрядчик, действительно поменявший банк, спокойно ждёт сутки. После введения паузы срочность в запросе сама становится поводом для более внимательного отношения.
Третий приём касается формулировки в договоре. Пункт о том, что смена платёжных реквизитов вступает в силу после голосового подтверждения по номеру из договора, ставится один раз и действует на весь срок отношений. Подрядчик при подписании узнаёт о правиле заранее и перестаёт воспринимать звонок как недоверие. Тот же пункт даёт формальное основание задержать платёж, пока проверка не пройдена.
Полезно один раз проговорить процедуру на примере. Разбор занимает двадцать минут на общей встрече: показывается настоящее письмо такого рода, называются шаги и имена ответственных. После этого правило перестаёт быть строчкой в документе и получает конкретную картинку в голове у каждого. Повторить разбор имеет смысл при появлении нового человека, отвечающего за деньги.
09
Что делать, когда платёж уже ушёл
Первый час определяет исход. Деньги с принимающего счёта обычно уходят дальше в течение нескольких часов, поэтому звонок в свой банк с просьбой об отзыве делается раньше всего остального. Заявление подаётся тем способом, который банк считает официальным, и параллельно фиксируется время обращения. Разбор причин переносится на потом, потому что в первый час значение имеет только скорость.
Второе действие это связь с подрядчиком по каналу вне скомпрометированной переписки. Телефонный звонок по известному номеру сообщает ему, что его ящик, вероятно, читают, и что такие же письма могли получить другие его клиенты. Для подрядчика это часто первая информация о взломе. Письмо в ту же ветку подобного эффекта не даёт, потому что его прочитает и тот, кто там находится.
Третье действие направлено внутрь. Почтовый ящик команды проверяется на посторонние правила пересылки, на активные сессии и на недавние смены паролей. Если точка входа была на стороне команды, замена одного пароля без разбора правил оставляет доступ на месте. Заголовки писем и сами сообщения сохраняются целиком, потому что они понадобятся банку и любому дальнейшему обращению.
Четвёртое действие это внутренний разбор. Вопрос ставится о том, какого шага не хватало в процедуре и в каком месте он должен появиться. Поиск невнимательного сотрудника закрывает разбор раньше, чем находится причина, и почти гарантирует повторение случая. Команда, получившая после инцидента один новый обязательный шаг, закрыла категорию целиком.
| Шаг | Кто выполняет | След, который остаётся |
|---|---|---|
| Запрос на смену реквизитов | Получатель письма | Платёж переведён в ожидание |
| Поиск номера в карточке контрагента | Ответственный за расчёты | Номер из договора с пометкой об источнике |
| Звонок по этому номеру | Ответственный за расчёты | Дата, время и имя собеседника |
| Вопрос о детали, которой нет в переписке | Ответственный за расчёты | Ответ записан в карточке |
| Второе подтверждение выше порога суммы | Руководитель или второй сотрудник | Отметка двух человек в записи о платеже |
| Изменение реквизитов в системе | Тот, кто ведёт платежи | Кто изменил и на каком основании |
| Оповещение остальных плательщиков | Ответственный за расчёты | Перечень тех, кого предупредили |
Вопросы и ответы
Как проверить, что подрядчик действительно сменил реквизиты?
Позвонить по номеру, который был в карточке контрагента до появления этого письма, и подтвердить изменение голосом. Номер из подписи нового сообщения для проверки не годится, потому что подпись контролирует отправитель.
Что делать, если счёт уже оплачен на чужие реквизиты?
Первым действием обратиться в свой банк с просьбой об отзыве платежа, потому что деньги уходят дальше в течение нескольких часов. Затем предупредить подрядчика по телефону, вне скомпрометированной переписки, и проверить собственный почтовый ящик на посторонние правила пересылки.
Можно ли подтвердить смену реквизитов по электронной почте?
Подтверждение по почте ничего не добавляет, если именно почтовый ящик служит точкой доступа злоумышленника. Смысл появляется только в канале, которым отправитель письма не управляет.
Кто в небольшой команде отвечает за проверку реквизитов?
Один назначенный сотрудник ведёт карточки контрагентов и выполняет звонок, а изменение в платёжной системе вносит тот, кто готовит платежи. Разделение этих двух действий важнее квалификации участников.
Можно ли доверять голосу в телефонном подтверждении?
Клон голоса собирается с записи длиной около трёх секунд, а люди отличали подделку от оригинала лишь в 37,5 процента случаев. Поэтому значение имеет то, что звонок инициирует команда и делает его по заранее известному номеру.
Как закрепить правило смены реквизитов в договоре?
Достаточно одного пункта о том, что новые платёжные реквизиты вступают в силу после голосового подтверждения по номеру из договора. Такой пункт предупреждает подрядчика заранее и даёт формальное основание задержать платёж до проверки.