Зарплатные реквизиты
Илья Завьялов о том, как одно письмо в бухгалтерию уводит зарплату сотрудника
В бухгалтерию приходит письмо от сотрудника: он сменил банк и просит перечислять зарплату на новую карту. Реквизиты приложены, тон вежливый, подпись привычная, срок до ближайшей выплаты. Через две недели человек приходит с вопросом, почему на счёт ничего не пришло, и выясняется, что письмо писал посторонний. Схема обходится без взлома платёжной системы и держится на одном разрешённом действии: правке поля в карточке сотрудника. Разбор ниже о том, почему такая правка проходит и какой контроль её останавливает.
Версия на русском языке для Украины.
01
Письмо, с которого всё начинается
Письмо приходит в обычный рабочий час и выглядит как рутинная просьба. Сотрудник сообщает, что закрыл счёт в прежнем банке, и просит перечислять зарплату на новую карту. Ниже идут номер счёта, название банка и имя получателя, совпадающее с именем сотрудника. Никакой срочности, никаких больших сумм, никаких вложений с макросами. Бухгалтер видит запрос, который он выполняет несколько раз в год.
Момент выбран точно. Такие письма приходят за три или четыре дня до выплаты, когда реестр ещё формируется и правка попадает в него без отдельного согласования. Часто это конец месяца или период отпусков, когда руководитель отдела недоступен, а вопросы решаются перепиской. Атакующий заранее знает график выплат, потому что его видно по публичным вакансиям, по отзывам сотрудников и по внутренним письмам, если ящик уже прочитан. Расчёт строится на том, что у бухгалтера в этот день высокая нагрузка.
Отдельная особенность в том, что схема обходится без единой технической уязвимости. Платёжная система работает штатно, банк проводит перевод по действительным реквизитам, антивирус молчит из-за отсутствия вредоносного вложения. Меняется одно поле в карточке сотрудника, и дальше деньги идут по новому маршруту сами. Обнаружение происходит только тогда, когда человек спрашивает про зарплату, то есть через одну или две недели после списания.
02
Почему просьба проходит проверку здравым смыслом
Смена банковской карты входит в число обычных кадровых событий. Люди меняют банки при переезде, при смене зарплатного проекта, после утери карты или закрытия отделения. Бухгалтерия обрабатывает такие заявки постоянно, и у неё есть законное право вносить изменение. Просьба попадает в категорию, где отказ выглядит бюрократической придиркой.
Сумма тоже работает на атакующего. Зарплата одного человека укладывается в привычный диапазон, не выбивается из платёжного реестра и не поднимает лимитных проверок в банке. Служба финансового мониторинга видит обычный перевод физическому лицу от постоянного плательщика. Ни один автоматический фильтр не имеет причины остановить такой платёж, потому что формально он ничем не отличается от сотен предыдущих.
Наконец, у бухгалтера редко есть письменная процедура на этот случай. Он знает, как оформить командировку и как закрыть аванс, но порядок подтверждения новых реквизитов в большинстве небольших компаний держится в голове. Когда правило нигде не записано, решение принимает вежливость: коллеге неудобно отказать. Атака построена ровно на зазоре между правом внести изменение и обязанностью его проверить.
03
Откуда берётся адрес отправителя
Первый вариант самый неприятный: почтовый ящик сотрудника действительно захвачен. Тогда письмо приходит с настоящего адреса, проходит все технические проверки подписи домена и попадает в существующую переписку с бухгалтерией. Атакующий видит прошлые сообщения, повторяет манеру письма, вставляет привычное приветствие и подпись. Иногда он заранее ставит правило, которое прячет ответы бухгалтера в отдельную папку, чтобы сотрудник ничего не заметил.
Второй вариант дешевле: регистрируется домен, отличающийся одной буквой или доменной зоной. Глаз читает знакомое слово целиком и пропускает подмену, особенно в мобильном клиенте, где отправитель показан только именем. Третий вариант обходится вообще без домена: письмо уходит с бесплатного почтового сервиса, а в тексте объясняется, что рабочий доступ временно потерян. Каждый из трёх вариантов даёт одинаковый результат на входе в бухгалтерию.
Отсюда следует важное для процедуры замечание. Проверка отправителя по адресу отсеивает два варианта из трёх и остаётся бессильной против первого. Когда ящик скомпрометирован, любые технические признаки подлинности говорят правду: письмо действительно отправлено из учётной записи сотрудника. Значит, подтверждение должно опираться на канал, который с почтой никак не связан.
04
Что показывают цифры
Категория, к которой относится подмена реквизитов, называется компрометацией деловой переписки. По годовому отчёту центра приёма жалоб на интернет-преступления ФБР за 2025 год на неё пришлось 3,046 миллиарда долларов заявленных потерь, второе место после инвестиционных схем. Всего за год центр принял 1 008 597 обращений и зафиксировал почти 21 миллиард долларов потерь, что на 26 процентов больше показателя предыдущего года. Подмена зарплатных реквизитов внутри этой категории выглядит скромно по сумме одного эпизода и заметно по числу попыток.
Федеральная торговая комиссия США считает отдельно схемы, где отправитель выдаёт себя за другого. За 2025 год таких обращений было больше миллиона, а заявленные потери составили 3,5 миллиарда долларов, то есть почти каждое третье обращение относится к имперсонации. Общий объём за тот же год составил 3 миллиона обращений и 15,9 миллиарда долларов против 2,6 миллиона обращений и более 12 миллиардов годом ранее. Рост идёт одновременно по числу попыток и по сумме потерь.
Есть цифра, которая важнее всех предыдущих для построения процедуры. В четырёх обращениях об имперсонации из пяти денежной потери не было вовсе. Это означает, что попыток намного больше, чем удачных списаний, и исход определяет наличие фильтра на пути письма. Компания, у которой такой фильтр описан и работает, попадает в те самые четыре случая из пяти.
05
Где именно ломается процесс
Разбор инцидентов обычно приводит к одной точке: право менять платёжные реквизиты и право исполнять платёж лежат в одних руках. В маленькой команде это выходит естественно, потому что бухгалтер один и он же ведёт кадровые карточки. Заявка приходит по почте, изменение вносится в ту же минуту, реестр уходит в банк по расписанию. Между входом заявки и уходом денег стоит ноль независимых шагов.
Вторая точка отказа связана со следом. Во многих учётных системах правка реквизитов перезаписывает поле без отдельной записи в журнале, поэтому после инцидента сложно установить, когда именно изменение произошло и по какому основанию. Сотрудник при этом не получает уведомления о том, что его платёжные данные изменились. Пока не наступит день выплаты, о правке знают только двое: бухгалтер и атакующий.
Третья точка это отсутствие сверки с кадровым источником. Заявление о смене реквизитов формально относится к кадровому документообороту, но в переписке оно живёт как обычное письмо. Никто не проверяет, есть ли соответствующее заявление с подписью, совпадает ли имя владельца счёта с именем сотрудника, менялись ли реквизиты недавно. Каждый из трёх разрывов по отдельности выглядит мелочью, вместе они складываются в открытый маршрут для чужих денег.
06
Обратный звонок и почему он ослаб
Самый распространённый контроль звучит просто: перезвонить сотруднику и уточнить. Он работает ровно до того момента, пока номер берётся из письма. В грамотно составленной заявке телефон указан прямо в подписи, и звонок попадает атакующему, который подтверждает всё, о чём его спросят. Контроль превращается в ритуал, создающий ощущение проверки при нулевом результате.
Второе ослабление связано с голосом. По исследованиям клонирования голоса 2025 и 2026 годов убедительный клон делается с записи длиной около трёх секунд и достигает примерно 85 процентов точности. участники того же эксперимента угадывали, где живой голос, а где подделка, лишь в 37,5 процента попыток. Голосовой фишинг с клонированным голосом за один квартал вырос на 1633 процента. Узнавание по голосу перестало работать как доказательство личности.
Полезным звонок остаётся при двух условиях. Номер берётся из кадровой базы или внутреннего справочника, заполненного при найме, и никогда из входящего письма. Подтверждение спрашивается по факту, который известен сотруднику и лежит вне его почты, например по сумме последнего аванса или по дате ближайшего рабочего события. При таком порядке звонок закрывает схему даже тогда, когда почтовый ящик находится под контролем постороннего.
07
Контроль, который закрывает схему
Основа контроля это подтверждение по каналу, независимому от того, откуда пришла заявка. Письмо подтверждается голосом или личной встречей, сообщение в мессенджере подтверждается звонком на известный номер, устная просьба подтверждается письменным заявлением. Правило формулируется одной строкой и обходится без оговорок: канал заявки и канал подтверждения различаются всегда.
Второй элемент это пауза. Между внесением новых реквизитов и первым платежом по ним ставится окно ожидания, а на прежний контакт сотрудника уходит уведомление о произошедшем изменении. Если заявку писал посторонний, настоящий сотрудник узнаёт о ней раньше, чем уйдут деньги. Окно в один рабочий день почти не мешает работе и снимает большую часть риска.
Третий элемент это сверка имени владельца счёта. Банк или платёжный сервис в большинстве случаев позволяет проверить соответствие имени получателя и номера счёта до отправки. Несовпадение имени сотрудника с именем держателя карты закрывает вопрос сразу, а совпадение при странной заявке остаётся поводом для звонка. Проверка занимает минуту и срабатывает даже тогда, когда все остальные признаки письма выглядят чисто.
08
Роли, когда людей меньше, чем ролей
В крупной компании схема ролей очевидна: заявку принимает кадровая служба, изменение вносит расчётчик, платёж утверждает финансовый руководитель. В команде из десяти человек эти роли часто сходятся к одному бухгалтеру. Отказ от разделения выглядит вынужденным, но у него есть дешёвая замена: разделение по времени и по подтверждению. Одно и то же лицо принимает заявку и вносит правку, однако платёж по новым реквизитам уходит только после отметки второго человека.
Вторым человеком может быть руководитель, собственник или сотрудник, который отвечает за договоры. Его задача узкая: убедиться, что подтверждение по независимому каналу состоялось, и поставить отметку. Это занимает минуты и обходится без бухгалтерской квалификации. Важнее всего сделать отметку обязательной для реестра, иначе она быстро превратится в формальность.
Отдельно стоит зафиксировать право отказа. Бухгалтер должен знать, что задержка платежа ради проверки считается правильным поведением и не будет поставлена ему в вину. Пока такой договорённости нет, любой контроль проигрывает давлению срока. Внутреннее правило, произнесённое вслух и записанное, стоит дороже любого технического фильтра.
09
Первые часы после ошибочного платежа
Скорость важнее разбирательства. Первый звонок идёт в банк отправителя с просьбой об отзыве перевода и о постановке метки на счёт получателя. Многие переводы остаются на счёте получателя часы, иногда сутки, потому что деньги выводятся частями. Разговор о том, кто виноват, откладывается на потом, потому что каждый потраченный час снижает шанс возврата.
Параллельно сохраняется доказательная часть. Письмо с заявкой выгружается вместе с техническими заголовками, скриншоты переписки делаются до любых правок, запись об изменении реквизитов фиксируется с датой и временем. Ящик сотрудника проверяется на посторонние правила пересылки и на активные сессии, потому что компрометация редко ограничивается одним письмом. Если ящик действительно захвачен, пароль меняется и сессии завершаются до того, как обсуждение инцидента пойдёт по почте.
Масштаб проблемы виден по банковской статистике. По годовому отчёту UK Finance за 2025 год зафиксировано 248 070 случаев авторизованного платежа на 576,4 миллиона фунтов, причём 66 процентов таких случаев начинаются онлайн и ещё 17 процентов через телефонные сети. Авторизованный платёж означает, что перевод сделал сам плательщик, поэтому автоматической защиты у него нет. Возврат в таких случаях зависит от скорости обращения и от политики конкретного банка.
10
Как убедиться, что контроль живой
Записанная процедура ничего не значит до первой проверки. Раз в квартал имеет смысл прислать бухгалтерии учебную заявку на смену реквизитов с адреса, похожего на рабочий, и посмотреть, что произойдёт. Результат интересен при любом исходе: состоявшееся подтверждение показывает, что процедура работает, а мгновенная правка указывает на конкретную точку для доработки. Учение разбирается открыто, без поиска виноватых, иначе следующая проверка получит заранее подготовленный ответ.
Второй способ проверки это журнал. Раз в месяц список изменённых платёжных реквизитов сверяется со списком подтверждений, и каждая правка должна иметь пару. Расхождение показывает либо пропущенную проверку, либо инцидент, который никто не заметил. Сверка занимает несколько минут при десятках сотрудников и остаётся посильной даже без отдельного специалиста по безопасности.
Наконец, процедуру пересматривают после каждого изменения в команде. Новый бухгалтер, новый сервис расчёта зарплаты, переход на другой мессенджер или смена банка меняют маршрут заявки, и старое правило перестаёт совпадать с реальностью. Короткий текст на одну страницу, доступный всем участникам процесса, работает лучше объёмного регламента, который никто ни разу не открывал. Главный признак живого контроля в том, что человек, впервые получивший такую заявку, знает следующий шаг без подсказки.
| Шаг | Кто выполняет | Что подтверждается |
|---|---|---|
| Приём заявки | Бухгалтер | Заявка зарегистрирована с датой и указанием источника |
| Подтверждение по независимому каналу | Бухгалтер | Звонок на номер из кадровой базы, вопрос по факту вне почты |
| Сверка имени владельца счёта | Бухгалтер | Имя держателя карты совпадает с именем сотрудника |
| Внесение изменения | Бухгалтер | Запись в журнале с указанием основания и времени |
| Уведомление сотрудника | Учётная система или бухгалтер | Сообщение на прежний контакт о смене реквизитов |
| Отметка второго человека | Руководитель или собственник | Подтверждение состоялось, платёж разрешён |
| Первый платёж по новым реквизитам | Бухгалтер | Окно ожидания в один рабочий день выдержано |
Вопросы и ответы
Как проверить письмо о смене зарплатной карты?
Подтвердите заявку по каналу, который с почтой никак не связан: позвоните на номер из кадровой базы и задайте вопрос о факте, которого в переписке нет. Дополнительно сверьте имя владельца счёта с именем сотрудника до первого платежа.
Что делать, если зарплата ушла на чужой счёт?
Сначала звонок в банк отправителя с просьбой об отзыве перевода, затем сохранение письма с техническими заголовками и записи об изменении реквизитов. Разбор причин откладывается на потом, потому что шанс возврата падает с каждым часом.
Можно ли менять реквизиты сотрудника по письму на почту?
Письмо подходит как заявка, но подтверждение должно прийти по другому каналу. При захваченном ящике все технические признаки подлинности говорят правду, поэтому проверка адреса отправителя сама по себе ничего не решает.
Кто должен подтверждать смену зарплатных реквизитов в небольшой компании?
Заявку принимает и вносит бухгалтер, а отметку о состоявшемся подтверждении ставит второй человек: руководитель или собственник. Платёж по новым реквизитам уходит только с этой отметкой.
Помогает ли звонок сотруднику для проверки заявки?
Помогает при двух условиях: номер берётся из кадровой базы, а вопрос касается факта, которого в почте нет. Узнавание по голосу доказательством больше не служит, потому что убедительный клон делается с записи около трёх секунд, а люди отличали подделку лишь в 37,5 процента случаев.
Как часто проверять процедуру смены реквизитов?
Раз в квартал имеет смысл прислать учебную заявку и посмотреть, дойдёт ли она до подтверждения. Раз в месяц список изменённых реквизитов сверяется со списком подтверждений, и каждая правка должна иметь пару.