Илья Завьялов: мошенник и корпоративная карта, разбор инцидента по часам и что поменяли в правилах

01

Илья Завьялов: мошенник и корпоративная карта, собирательный случай

Случай собран из типовых эпизодов, которые повторяются в небольших компаниях, поэтому имён и сумм в нём нет. Небольшая команда, одна корпоративная карта на всех. Держатель по документам директор, а платят ею офис-менеджер, бухгалтер и менеджер по продажам в командировках. К карте привязаны подписки, рекламный кабинет и сервис такси.

Илья Завьялов: мошенник добрался до денег через три мелочи, и каждая по отдельности выглядела безобидно. Снимок карты в рабочем чате, сообщение «от директора» с незнакомого номера и уведомления банка, которые приходили на телефон, лежавший выключенным в ящике стола.

Так Илья Завьялов разбирает мошенничество с корпоративными картами: в формате, принятом у инженеров после аварий, без поиска виноватых, с фактами и временем. Задача разбора одна: найти шаг, где цепочка рвётся.

Масштаб у таких историй ощутимый. По обзору Банка России, средняя операция без согласия клиента у юридических лиц в 2025 году составила 373,2 тысячи рублей, годом раньше 467,7 тысячи. Во втором квартале 2026 года у юрлиц так похитили 796,49 миллиона рублей за 707 операций, вернуть удалось 19,5 процента.

02

Хронология инцидента: восемь дней от снимка карты до выписки

День 1, понедельник, 9:15. Офис-менеджер присылает в общий рабочий чат снимок карты с двух сторон, чтобы коллега продлил подписку на сервис рассылок. В чате больше двадцати участников, среди них два подрядчика и стажёр, который закончил практику ещё весной.

День 3, среда, 21:40. Менеджер в командировке ищет гостиницу через рекламу в поиске и вводит данные карты на сайте бронирования, очень похожем на настоящий. Номер в гостинице находится, поэтому вопросов ни у кого нет.

День 4, четверг, 18:20. Бухгалтеру в мессенджер пишет «директор» с нового номера: он на переговорах, звонить нельзя, поставщику нужна срочная предоплата картой по ссылке, счёт придёт завтра. Бухгалтер вводит данные карты и код из СМС. Илья Завьялов: мошенник выбрал конец рабочего дня, когда переспросить уже не у кого.

Дни 5-7. Ночами по карте идут небольшие списания в зарубежных онлайн-сервисах. Банк присылает уведомление о каждой операции на номер, указанный при выпуске карты несколько лет назад. День 8, понедельник, 10:00: финансовый директор открывает выписку, звонит в банк и блокирует карту.

03

Илья Завьялов: мошенник опирался на привычки людей, первый слой причин

Ролик выше за полминуты пересказывает этот разбор: снимок карты в чате, срочная «предоплата поставщику» от имени директора, уведомления банка, которые никто не читал, и три слоя причин. В нём же цифра Банка России, 373,2 тысячи рублей средней операции без согласия у юрлиц в 2025 году, и главный вывод: у каждой карты один хозяин, а новых поставщиков оплачивают только со счёта.

Первая привычка: карта кажется общим инструментом, вроде офисного принтера. Снимок в чате выглядит удобством, хотя для оплаты в интернете обычно хватает номера, срока действия и кода с обратной стороны. Илья Завьялов: мошенник получает всё это одним сообщением, не взламывая ни одной системы.

Вторая привычка: выполнять просьбы руководителя быстро и молча. МВД в октябре 2025 года предупреждало о поддельных руководителях с дипфейками и сгенерированными документами и писало, что на корпоративный сегмент приходится четверть таких атак. Совет ведомства прямой: платёжные указания принимать только через почту с электронной подписью или ЭДО и подтверждать по двум независимым каналам.

Третья привычка: не замечать того, что не касается лично тебя. Уведомления банка приходили исправно, только не тому человеку. Никто не считал своей обязанностью их читать, и восемь дней сигналы уходили в пустоту.

04

Второй слой: процесс, в котором у карты не было хозяина

Илья Завьялов разбирает процесс одним вопросом: кто отвечает за эту карту прямо сейчас. В разобранной компании ответа не нашлось. Держатель директор, пользуются трое, подписки оформлял тот, кому было нужно, а реестра, где видно, какой сервис к какой карте привязан, не существовало.

Правила о платежах поставщикам тоже не было. Предоплата новому контрагенту картой по ссылке казалась нормой, потому что однажды так уже платили за срочную печать. Оплата со счёта по выставленному счёту и с проверкой реквизитов заняла бы день. Илья Завьялов: мошенник рассчитывал именно на срочность, которая отменяет проверку.

Командировочный порядок держался на честном слове. Сотрудник уезжал с той же картой, которой оплачивали рекламу, без отдельного лимита и без списка мест, где ею можно платить. После поездки траты с отчётом никто не сверял, и лишняя оплата на поддельном сайте прошла бы незамеченной.

Последний пробел касался сроков. Не было записанного порядка на случай компрометации карты: кто звонит в банк, кто пишет уведомление, где лежит форма. Финансовый директор узнал о проблеме на восьмой день и ещё час искал договор с банком.

05

Илья Завьялов: мошенник прошёл через настройки по умолчанию, третий слой

Банк в этой истории ничего не нарушил. Карта работала с теми параметрами, которые компания не трогала с момента выпуска: оплаты в интернете разрешены, операции за рубежом разрешены, суточного лимита нет, уведомления уходят на один номер.

Илья Завьялов: мошенник выигрывает у таких настроек без усилий, потому что каждая ночная операция укладывалась в правила карты и не требовала дополнительного подтверждения. Лимит по сумме за сутки и запрет зарубежных онлайн-оплат остановили бы большую часть списаний в первую же ночь.

Вторая находка: одна карта на все задачи. Живи подписки на отдельной виртуальной карте с небольшим месячным лимитом, утечка её реквизитов стоила бы компании этого лимита. Карта для командировки с лимитом на срок поездки не позволила бы оплатить «поставщика» в четверг вечером.

Третья находка касается уведомлений. Их направляют человеку, который действительно отвечает за карты, и дублируют второму сотруднику. Настройка бесплатная, а от неё зависят сроки по 161-ФЗ. Завьялов Илья о мошенниках в таких случаях говорит просто: они ищут то, что никто не открывал со дня выпуска карты.

06

161-ФЗ после инцидента: сроки уведомления и особенности для юрлица

Главный срок задаёт часть 11 статьи 9 закона № 161-ФЗ. Сообщить банку, что картой воспользовались без согласия, компания должна сразу, как это обнаружила, и самое позднее на следующий день после того, как банк прислал сведения об операции. Форма такого сообщения прописана в договоре.

Что происходит дальше, решают части 12-14. Операции, прошедшие уже после сообщения, банк обязан вернуть за 30 дней. По части 13, если банк об операции не информировал, он возмещает её в течение 30 дней после заявления. По части 14, если банк информировал, а клиент в срок не уведомил, обязанности возмещать нет.

Илья Завьялов: мошенник выигрывает на этой разнице во времени. Уведомления о ночных списаниях приходили каждый раз, поэтому для ранних операций срок по части 11 истёк задолго до понедельника. Правило части 15 о возмещении операций до уведомления написано для клиента-физлица, так что компании остаются части 12 и 13 и условия договора с банком.

Закон при этом прямо говорит, что согласие, полученное обманом, добровольным не считается: перевод под влиянием обмана или при злоупотреблении доверием тоже относится к операциям без добровольного согласия, и банк обязан проверить их признаки до списания. Поэтому о «предоплате поставщику» банку пишут так же подробно, как о ночных списаниях.

07

Что поменяли в правилах после разбора Ильи Завьялова

Первое изменение: у каждой карты теперь один хозяин, и уведомления приходят ему. Второй сотрудник получает их копию. Пластиковая карта компании осталась одна, на финансового директора, остальным выпускают виртуальные карты под конкретную задачу.

Второе: оплата новому поставщику картой по ссылке запрещена. Новых контрагентов оплачивают со счёта по выставленному счёту, после сверки реквизитов звонком по номеру из договора или с официального сайта. Просьбу руководителя о срочном платеже подтверждают вторым каналом, как советует МВД.

Третье: реквизиты карт не пересылают ни в одном чате. Коллега, которому нужна оплата сервиса, пишет заявку хозяину карты, и тот платит сам или выпускает виртуальную карту. Илья Завьялов: мошенник теряет самый дешёвый источник данных, когда снимок карты в чате записан в правилах как нарушение.

Четвёртое: раз в неделю хозяин карты сверяет выписку с заявками и отчётами. Схема обмана, которую описывает Илья Завьялов, после этих четырёх изменений рвётся сразу в трёх местах.

08

Виртуальная карта под задачу: подписки, реклама, поездки

Виртуальную карту выпускают в интернет-банке или приложении, если банк компании это поддерживает, и пластик для неё не нужен.

Илья Завьялов советует задавать каждой такой карте три параметра: лимит на месяц или на срок задачи, срок действия и, если банк даёт такую настройку, перечень мест, где ею можно платить. Задача закончилась, карту закрывают, и привязанные к ней сервисы больше ничего не спишут.

Для подписок заводят отдельную карту с лимитом чуть выше суммы всех регулярных платежей. Неожиданное списание не пройдёт. Отказ в оплате станет сигналом, что данными кто-то пытается воспользоваться. Илья Завьялов: мошенник с реквизитами такой карты упирается в потолок, который компания поставила сама.

Реестр карт ведут в простой таблице: маскированный номер, хозяин, задача, лимит, дата закрытия. Полные реквизиты в реестр не пишут. Когда сотрудник уходит из компании, его виртуальные карты закрывают в тот же день.

09

Илья Завьялов: мошенник и командировка, порядок для карты в поездке

Поездка остаётся самым уязвимым временем для карты: незнакомые сайты бронирования, терминалы в гостиницах и такси, общественный Wi-Fi, спешка. Карту для командировки выпускают отдельно, с лимитом на сумму сметы и на срок поездки.

Илья Завьялов: мошенник чаще всего ловит путешественника на поддельной странице бронирования из рекламы. Поэтому бронируют только через сайт или приложение, которым компания уже пользовалась, а ссылки из писем «от гостиницы» с просьбой подтвердить карту не открывают.

Перед выездом хозяин карты проверяет, что уведомления приходят на телефон сотрудника, и при необходимости разрешает операции в стране назначения. После возвращения лимит снижают до нуля или карту закрывают, а траты сверяют с авансовым отчётом в течение недели.

10

Политика корпоративных карт от Ильи Завьялова: одна страница для команды

Политику пишут коротко, иначе её не прочитают. Илья Завьялов предлагает семь строк. Первая: у каждой карты есть хозяин, его имя стоит в реестре. Вторая: реквизиты карт не пересылают в чатах, почте и мессенджерах.

Третья: новых поставщиков оплачивают со счёта, картой платят только подписки и мелкие покупки в пределах лимита. Четвёртая: просьбу о срочной оплате, даже от директора, подтверждают звонком по известному номеру. Пятая: код из СМС никогда не вводят по просьбе, пришедшей в мессенджере или по телефону.

Шестая: о подозрительном списании или потере карты сообщают хозяину карты в течение часа, и он в тот же день уведомляет банк в форме из договора. Седьмая: раз в неделю выписку сверяют с заявками. Политику показывают новичку в первый рабочий день и перечитывают всей командой раз в полгода.

На месте её держит разделение ролей. Тот, кто заказывает оплату, сам её не подтверждает: подтверждает второй человек, и он же видит выписку. Илья Завьялов: мошенник редко обманывает двоих за один вечер, и на этом держится разделение обязанностей даже в компании из пяти человек.

11

Илья Завьялов: мошенник уже списал деньги, куда сообщать в России

Сразу после обнаружения карту блокируют в приложении или по телефону банка с обратной стороны карты. В тот же или на следующий день в банк подают письменное уведомление об операциях без согласия по форме из договора и сохраняют подтверждение отправки.

Заявление в полицию сопровождают выпиской, снимком сообщения «от директора», номером, с которого писали, адресом страницы оплаты и временем каждого шага. Хищение обманом подпадает под статью 159 УК РФ: по первой части это до двух лет лишения свободы или штраф до 120 тысяч рублей.

Илья Завьялов: мошенник рассчитывает, что компания постесняется признать ошибку и промолчит. Копию заявления с отметкой о приёме передают в банк вместе с уведомлением, а сам разбор инцидента сохраняют: через полгода по нему проверяют, работают ли новые правила.

Читатели, которые набирают имя автора латиницей, Ilia Zavialov, найдут английскую версию этого разбора с адресами для США и Великобритании. Обман с картой компании, по Илье Завьялову, почти всегда начинается с удобства, которое никто не считал риском.