Блог Іллі Зав'ялова

Про що цей блог

Чому ламаються спільні акаунти в невеликій команді: Ілля Зав'ялов про три приховані витрати

Спільний пароль з'являється в команді тихо і з добрих намірів. Хтось відкриває сервіс, платить за одне місце, кидає логін у робочий чат, і наступного дня ним користуються четверо. Витрати такого рішення не видно рівно доти, доки все йде за планом. Питання цього тексту звучить так: що саме ламається в день, коли людина йде з команди або коли в акаунт заходить хтось чужий. Відповідь лежить у площині порядку видачі та відкликання доступу, і сам пароль тут другорядний.

Спільний акаунт майже ніколи не з'являється як обдумане рішення. Він виникає як зручність у момент, коли роботу треба зробити сьогодні, а бюджет на місця в сервісі обговорять колись потім. Хтось реєструє один обліковий запис, вставляє пароль у робочий чат, і за тиждень ним користується половина відділу. У маленькій команді така конструкція виглядає розумною, бо всі поруч і всі одне одного знають. Саме ця близькість створює відчуття, що окремі входи будуть зайвою бюрократією.

Ілля Зав'ялов про перелік доступів, яким команда справді користується

Кожна невелика команда рано чи пізно заводить перелік доступів. Спочатку в ньому десяток рядків і приємне відчуття порядку, через місяць він відстає від дійсності, а через півроку про нього згадують лише в той день, коли когось треба терміново відключити. Питання цієї статті просте: чим перелік, який дожив до цього дня, відрізняється від таблиці, закинутої на другому тижні. Відповідь тримається на трьох речах, і жодна з них не стосується формату файла чи вибору інструмента. Нижче розібрано кожну з них і процедури, які роблять перелік частиною щоденної роботи.

Перша причина стосується місця. Перелік заводять у файлі на чиємусь особистому диску або в документі, який відкрили один раз під час запуску проєкту. Робота команди тим часом іде в іншому вікні: у трекері задач, у робочому просторі, у чаті. Усе, що лежить збоку від щоденного маршруту, оновлюють на пам'ять, і пам'ять програє поточним задачам щоразу. Перелік у такому місці помирає тихо, без жодного рішення його закинути.

Підрядник змінив реквізити посеред проєкту: Ілля Зав'ялов про перевірку платежу

Лист приходить із адреси, на яку команда писала місяцями. Тема та сама, підпис той самий, усередині згадані деталі проєкту, відомі лише двом людям. Змінився в ньому рівно один рядок: банківські реквізити для рахунка, на який і так чекали цього тижня. Питання цього матеріалу стосується процедури: що саме має спрацювати всередині організації, щоб такий лист став звичайною робочою паузою і зупинився до з'ясування. Відповідь лежить у розподілі ролей і в одному правилі, яке коштує кілька хвилин на кожну зміну реквізитів.

Схема починається задовго до самого листа. Хтось отримує доступ до поштової скриньки: до скриньки підрядника, до скриньки бухгалтера замовника або до скриньки менеджера, який веде проєкт. Далі кілька тижнів нічого не відбувається, тому що зловмисник просто читає. Він вивчає, як у цій парі компаній прийнято звертатися одне до одного, хто підписує рахунки, коли їх надсилають і скільки часу минає до оплати. Лист, який зрештою приходить, написаний саме на цьому матеріалі.

Ілля Зав'ялов про підмінені реквізити у справжньому листуванні: як команда втрачає гроші

Найдорожчий збій у невеликій команді рідко схожий на атаку. Він схожий на рахунок, якого всі чекали, у гілці листування, яку всі вже читали, з одним зміненим рядком банківських реквізитів. Гроші йдуть за звичайною процедурою, з правильного акаунта, після нормального погодження, і виявляється це через тиждень від підрядника, який питає про оплату. Питання цієї статті просте: у якій точці робочого процесу такий платіж можна зупинити, коли все листування справжнє, і хто в команді за цю точку відповідає.

Листування справжнє, і саме це робить схему дорогою. Імена в копії правильні, історія гілки на місці, тон збігається зі звичним, сума відповідає домовленості, укладеній кілька тижнів тому. Інший у цьому листі лише номер рахунку, і саме номер рахунку є тим єдиним полем, якого ніхто в команді не тримає в голові. Бухгалтер звіряє суму з актом, керівник звіряє призначення платежу з виконаною роботою, а двадцять цифр отримувача проходять повз обидві перевірки.

Перевірка, що резервна копія відновлюється: процедура малої команди, яку описує Ілля Зав'ялов

Мала команда майже завжди має резервну копію. Питання в іншому: чи хтось колись розгортав її назад і дивився, що саме повернулося. Перевірка, що резервна копія відновлюється, займає кілька годин на квартал і дає відповідь до того, як питання стане терміновим. Нижче розібрано, хто проводить таку перевірку, що саме розгортає, скільки часу забирає повернення до роботи і які дані регулярно опиняються поза копією.

Панель бекапу показує зелений статус, і на цьому більшість команд зупиняється. Зелений статус означає рівно одне: завдання копіювання завершилося без помилки. Він мовчить про те, чи читається архів, чи повний у ньому набір таблиць, чи підійде пароль шифрування дворічної давнини. Перевірка, що резервна копія відновлюється, починається саме там, де закінчується зелений статус.

Ілля Зав'ялов відгуки: як читати відгуки під оголошенням про житло і не віддати завдаток шахраю

Ілля Зав'ялов відгуки під оголошеннями про житло радить читати так само уважно, як умови оплати, бо саме відгуки найчастіше переконують людину внести завдаток. Квартира на кілька діб у Києві, будиночок у Карпатах на вихідні, номер у готелі для колеги, який їде у відрядження до Одеси: схема щоразу зводиться до грошей, що пішли незнайомцю до огляду, або до даних картки, введених на чужій сторінці. Нижче по черзі розібрано оголошення, відгуки, повідомлення «від готелю» і саму оплату, з опорою на поради Національної поліції, кіберполіції та НБУ.

Шахрайство з бронюванням має кілька повторюваних форм. Оголошення про житло, якого не існує, зібране з чужих фото і з ціною нижче ринку. Справжнє оголошення, перехоплене шахраєм, із підміненим телефоном. І повідомлення після реального бронювання, де від імені готелю просять ще раз підтвердити картку.

Ілля Зав'ялов про крипторекламу з чужим іменем компанії: що робити першим

Клієнт пересилає знімок екрана. Ваш логотип, назва компанії, світлина вашого директора і запрошення до інвестиційної програми, про яку в офісі ніхто не чув. Економіка, що стоїть за цим знімком, нещодавно змінилася, і не на вашу користь. Заявлені втрати за зверненнями з позначкою про участь штучного інтелекту склали за 2025 рік 893 346 472 долари за 22 364 зверненнями, схеми з видаванням себе за іншого зросли за рік більш ніж на 1400 відсотків при зростанні тяжкості окремого випадку більш ніж на 600 відсотків, а аналіз показує, що операція з такими інструментами збирає в середньому 3,2 мільйона доларів проти 719 тисяч в операції без них. Нижче порядок дій, і порядок тут важливіший за швидкість.

Вартість виготовлення переконливої реклами обвалилася. Логотип, обличчя, голос, набір відгуків і посадкова сторінка тепер це робота на кілька годин, а не проєкт із бюджетом.

Фальшива техпідтримка дзвонить у компанію: Ілля Зав'ялов про сцену дзвінка і процедуру, яка його зупиняє

Дзвінок надходить у робочий час, і голос у слухавці називає компанію, номер заявки та ім'я знайомого підрядника. Співробітник, який щойно вийшов з наради, чує правильну термінологію і не бачить приводу сумніватися. Через кілька хвилин розмови в чужих руках опиняється одноразовий код або відкритий сеанс віддаленого доступу. Питання цього тексту звучить просто: що саме в такій сцені має спрацювати раніше за довіру. Відповідь лежить у площині заздалегідь узгодженої процедури, яку виконують незалежно від того, наскільки переконливо звучить співрозмовник.

Дзвінок надходить у середу, приблизно об одинадцятій, коли в офісі найбільше руху. Голос спокійний, трохи втомлений, з інтонацією людини, яка зробила таких дзвінків сотню за зміну. Він одразу називає постачальника, з яким команда справді працює, і додає номер заявки. Заявка звучить правдоподібно, бо тиждень тому хтось із колег дійсно писав у підтримку. Співробітник, який узяв слухавку, не має жодної очевидної причини вважати розмову дивною.

Ілля Зав'ялов скам із підміною керівника на звʼязку: правило платежу для команди

Помічник із фінансів заходить на короткий звʼязок. Директор на місці, камера увімкнена, картинка трохи мʼяка, вибачається за поспіх. Постачальника треба оплатити сьогодні, інакше зривається контракт. Реквізити нові. У розмові все звичайне, крім терміновості, а надвечір гроші вже не повернути. Далі не пояснення, а робочий регламент для команд від трьох до пʼятнадцяти осіб, у яких немає ні офіцера безпеки, ні бюджету на нього. Хто що підтверджує, починаючи з якої суми, яким каналом і що робити, коли просить людина, яка підписує вам зарплату.

Одне речення несе основний захист: платіжне доручення не виконується на підставі розмови, ким би не виглядав співрозмовник. Ні відеодзвінок, ні голосове повідомлення, ні листування, схоже на вже наявне. Підтвердження завжди йде назад каналом, який обрав не той, хто просить.

Ілля Зав'ялов про фішинг через підтвердження пристрою: запит, що додає стороннього

Будь-яке навчання з фішингу, яке проходили ваші працівники, вчило їх дивитися в адресний рядок. Ця атака таку перевірку проходить. Немає схожого домену, немає підробленої форми, немає пароля, який можна вкрасти. Працівник потрапляє на справжню сторінку входу того сервісу, яким користується щодня, вводить короткий код із надісланого повідомлення, підтверджує, і пристрій нападника опиняється в його обліковому записі з робочою сесією. Huntress нарахувала одну кампанію в березні 2026 року, яка дістала 344 організації в пʼяти країнах, а кількість спроб зросла на 1380 відсотків при порівнянні другого півріччя 2025 року з початком 2026.

Вхід за кодом пристрою існує тому, що деякі пристрої не вміють показувати форму входу. Телевізору, екрану в переговорній, принтеру чи консольній утиліті незручно приймати пароль і другий фактор. Тому пристрій показує короткий код і просить відкрити сторінку на телефоні або ноутбуці, ввести код і підтвердити.

Ілля Зав'ялов: шахрай з рахунком за каталог, платні реєстри і фальшиве продовження марки

Ілля Зав'ялов розбирає, як шахрай надсилає компанії рахунок за запис у «каталог підприємств», за місце в «реєстрі організацій», за довідку з реєстру або за продовження торговельної марки. Такі листи схожі на звичайні документи до сплати, суми в гривнях у них невеликі, а строк завжди горить. Водночас актуальні відомості ЄДР за законом доступні безоплатно, УКРНОІВІ попереджає про підроблені рахунки за збори, а податкова не раз повідомляла про розсилки від її імені з небезпечними вкладеннями. У статті ознаки розсилки, перевірка рахунку за десять хвилин і порядок дій, якщо платіж уже пройшов: банк, кіберполіція, НБУ.

Невелика бухгалтерія живе потоком платежів: оренда, зв'язок, хостинг, канцтовари, підрядники. Більшість рахунків надходить від знайомих контрагентів, тому перевірка зводиться до суми і реквізитів. Саме на цю звичку розраховує відправник, який оформлює свій лист як звичайний документ до сплати з помірною сумою і словами про річне обслуговування.

Ілля Зав'ялов: електронний підпис компанії, підміна директора і захист бухгалтерії

Ілля Зав'ялов про електронний підпис компанії і про те, як його використовують шахраї. Дзвінок від імені центру сертифікації чи податкової, лист бухгалтеру з вкладенням, програма віддаленого доступу і носій, який увесь день вставлений у комп'ютер, перетворюють підпис керівника на ключ від рахунку і від запису в реєстрі. За даними CERT-UA, лише одне угруповання за два місяці 2024 року здійснило не менше 30 спроб викрадення коштів через комп'ютери бухгалтерів, із сумами до кількох мільйонів гривень. Стаття пояснює сценарії викрадення, правила зберігання підпису в невеликій команді і порядок дій, якщо підпис уже в чужих руках.

Електронний підпис керівника давно перестав бути формальністю для звітності. Ним підписують договори, подають декларації, заходять у банк-клієнт, надсилають заяви до державних реєстрів і видають довіреності працівникам. Хто тримає підпис, той діє від імені компанії в усіх цих місцях одночасно.

Ілля Зав'ялов: відгуки про роботодавців, фейкові вакансії і вербування дропів

Ілля Зав'ялов про відгуки на роботодавців, фейкові вакансії і вербування дропів. Відгуки кандидатів першими показують, що вакансія від імені відомої компанії насправді веде до оплати навчання, депозиту за завдання або роботи з переказами через власну картку. Кіберполіція називає необхідність переказувати кошти головним тригером таких вакансій, а за оцінкою НБУ через картки дропів може проходити близько 200 мільярдів гривень на рік. Стаття пояснює, як читати відгуки про роботодавця, які ліміти бачить банк і що робити компанії, чию назву використали.

Пошук роботи став одним із найзручніших входів для шахраїв. Людина сама шукає контакт, сама надсилає резюме і сама готова виконувати інструкції, бо сприймає їх як частину нової роботи. Відгуки про роботодавця в такій ситуації працюють як перший фільтр: вони показують, чи існує компанія, чи платить вона людям і як поводиться з кандидатами.

Ілля Зав'ялов про позови до криптобірж: що робить компанія, коли її майданчик судять

Повідомлення зазвичай приходить у пʼятницю. Виведення призупинені на технічне обслуговування, підтримка відповідає шаблоном, а до понеділка зʼявляються номер справи та юридична фірма, що збирає заявників. Для компанії це не ринкова подія, а одночасно бухгалтерська, юридична й репутаційна, і рішення, які потім виявляться важливими, ухвалюються першої доби, доки ніхто ще не розуміє масштабу. Розкид повернень за великими крахами величезний: кредитори одного майданчика, що впав, до четвертої виплати пройшли позначку в сто відсотків, а інший заплатив від 15 до 72 відсотків залежно від того, у який клас потрапила вимога.

Залишок казначейства, експеримент із виплатами, дочірня компанія, що тримала розрахунковий запас, постачальник, який попросив платити стейблкоїном. Вихід на майданчик рідко буває рішенням. Він накопичується з дрібних зручних виборів, під які ніхто не писав політики.

Ілля Зав'ялов про шахраїв від імені податкової та поліції: дзвінки в компанію

Голос у слухавці називає себе працівником податкової, слідчим Нацполіції або службою безпеки банку, яка працює разом із кіберполіцією. Він знає назву компанії, прізвище директора і банк, де відкрито рахунок. Йому потрібен платіж сьогодні, щоб уникнути блокування, штрафу або кримінального провадження. Сценарій старий і досі працює в Україні, де, за даними НБУ, збитки від шахрайства з платіжними картками за 2025 рік зросли на 24 відсотки, до 1,4 мільярда гривень, а середня сума шахрайської операції зросла на 30 відсотків, до 5 536 гривень. Нижче про те, як побудований дзвінок, що тому, хто телефонує, уже відомо і яке одне правило перевірки ламає будь-яку його версію.

Дзвінок незнайомця з проханням про гроші майже завжди закінчується нічим. Дзвінок людини, яка називає себе податковою, поліцією чи фінансовим регулятором, спрацьовує значно частіше, бо позичає владу, підкорятися якій людей учать змалку.

Ілля Зав'ялов: шахраї з грантами і держпідтримкою, як ФОП і ТОВ перевірити програму

Ілля Зав'ялов пояснює, як шахрай заробляє на грантах для малого бізнесу: продає гарантію гранту за програмою «Власна справа», підсовує сайти-клони Дії та державних програм, збирає через анкети дані картки і доступ до інтернет-банкінгу. Справжня заявка подається у Дії після входу через BankID або електронний підпис, рішення ухвалює Державний центр зайнятості, а консультацію з бізнес-плану дає гаряча лінія 15-18. Далі схеми, офіційні суми і строки, перевірка програми і посередника та порядок дій, якщо гроші вже пішли: банк, кіберполіція, НБУ.

Перший контакт майже завжди виглядає як добра новина. Реклама в соцмережі обіцяє грант для ФОП без конкурсу, бот у Viber пропонує перевірити право на виплату, у робочий чат приходить посилання на сторінку, оформлену під Дію. Далі сценарій розгалужується: хтось просить гроші за супровід, хтось одразу збирає дані картки.

Ілля Зав'ялов: підставні кандидати на віддалену роботу, чужі документи і перевірка до видачі доступів

Ілля Зав'ялов, консультант з цифрової безпеки невеликих команд, розбирає тут ситуацію, яку власники бізнесу зазвичай помічають запізно: на віддалену посаду беруть людину, якої ніхто не бачив наживо, і вже за кілька днів у неї є пошта, репозиторій, хмарний диск і клієнтська база. Резюме переконливе, співбесіда минула спокійно, документи прийшли сканами. Далі по кроках: як влаштована підміна кандидата, що вимагає Кодекс законів про працю, як звірити особу і які права давати новачку, доки довіру ще не заслужено. Норми й цифри в розборі взято з текстів законів і офіційних сторінок державних відомств.

Ілля Зав'ялов пише для керівників і власників компаній на 5-50 людей, де немає окремої служби безпеки. Кадровик, бухгалтер і адміністратор мережі там часто одна й та сама людина, а найм іде швидко: за рекомендацією знайомих або з сайту вакансій.

Закриття доступів при звільненні співробітника: Ілля Зав'ялов про порядок дій у невеликій команді

Коли співробітник іде з невеликої команди, за ним лишається слід із десятка входів, про які згадують не одразу. Закриття доступів при звільненні співробітника рідко провалюється через технічну складність, частіше через порядок дій: хтось вимикає пошту і вважає справу зробленою, поки платіжний кабінет чи рекламний акаунт лишаються відкритими ще тиждень. Питання цього тексту таке: що закривають першим, чому один вимкнений акаунт не завжди означає закритий доступ, і як виглядає чекліст на сам день звільнення. Відповідь тримається на порядку дій і заздалегідь названих ролях у команді.

Відключення акаунта і закриття доступу на практиці не одне і те саме. Пошту вимикають за хвилину, і саме тут крок часто зупиняється. Людина тим часом лишається залогіненою в рекламному кабінеті з телефону і пам'ятає пароль від панелі хостингу, який ніхто не міняв роками. Ілюзія завершеної роботи виникає тому, що перший, найпомітніший вхід уже погашено.

Ілля Зав'ялов: відгуки про аутсорсингових підрядників і як не натрапити на шахрая

Ілля Зав'ялов розбирає відгуки про аутсорсингових підрядників і пояснює, як шахрай ховається за гарною репутацією. Зовнішній бухгалтер, юридична фірма на абонементі, ІТ-студія, фрилансер-ФОП чи кадрове агентство отримують від компанії одразу гроші й доступи. Помилка коштує передоплати в гривнях, інколи ще й контролю над клієнт-банком, Електронним кабінетом і сервером. Далі про те, як виглядають куплені відгуки і чужі кейси, як перевірити ТОВ і ФОП за ЄДР, чому КЕП директора має лишатися в директора, як перевірити IBAN на сайті НБУ, що записати в договір і акти та куди звертатися до банку і кіберполіції, якщо виконавець зник.

Невелика компанія рідко тримає в штаті бухгалтера, юриста і системного адміністратора. Ці функції купують ззовні, а з ними віддають паролі, ключі електронного підпису, виписки з банку, персональні дані працівників. У підрядника на аутсорсі часто опиняється більше доступів, ніж у будь-кого з команди.

Ілля Зав'ялов: шахрай із «переплатою», фото квитанції і повернення різниці на чужу картку

Ілля Зав'ялов: шахрай, який нібито переплатив за товар чи послугу, сьогодні пише ФОП і невеликим компаніям у Viber і Telegram майже щодня. Схема проста: на рахунок «прийшло більше», поверніть різницю на ось цю картку, бажано зараз. Іноді грошей немає зовсім, є лише фото квитанції. Іноді гроші справжні, але чужі, і повернення робить компанію ланкою у ланцюжку шахраїв. У цьому матеріалі розбираємо чотири сценарії, норми закону «Про платіжні послуги» і Цивільного кодексу, поради НБУ та покроковий порядок заяви до кіберполіції, якщо гривні вже пішли. Текст написаний для власників і бухгалтерів, які приймають оплату самі й часто відповідають клієнтам із того самого телефона.

Ілля Зав'ялов, консультант із цифрової безпеки невеликих команд, відносить «переплату з поверненням» до найдешевших для шахрая схем. Не треба зламувати пошту, красти паролі чи підробляти сайт банку. Достатньо, щоб людина на іншому боці сама натиснула кнопку переказу.

Ілля Зав'ялов про підміну зарплатних реквізитів листом до бухгалтерії

До бухгалтерії приходить лист від співробітника: він змінив банк і просить перерахувати найближчу зарплату на новий рахунок. Текст написаний звичними словами, підпис на місці, тон буденний. Через тиждень людина питає, чому гроші не прийшли, і виявляється, що рахунок належав сторонній особі. Питання цієї статті просте: чому такий лист проходить перевірку в організації, де є і бухгалтер, і керівник, і кадрова служба, і який саме контроль зупиняє його до платежу.

Схема починається з короткого повідомлення. Співробітник нібито відкрив рахунок в іншому банку і просить надіслати найближчу виплату туди. Текст тримається в межах звичайного робочого тону, без тиску і без обіцянок вигоди. Часто до листа додано скан довідки з реквізитами, оформлений акуратно і без помилок. Нічого в цьому запиті не виглядає як напад.

Ілля Зав'ялов про відгуки за гроші як роботу: як завдання перетворюють заробіток на перекази

Ілля Зав'ялов про відгуки за гроші та схеми із завданнями: пропозиція заробити на відгуках, оцінках товарів чи просуванні застосунків, кілька маленьких справжніх виплат, потім комбіноване завдання, яке відводить баланс у мінус, і прохання поповнити кабінет у криптовалюті. У США кількість звернень про такі схеми за перше півріччя 2024 року сягнула близько двадцяти тисяч. В Україні карткове шахрайство за 2025 рік коштувало 1,4 мільярда гривень. Нижче розібрано, як іде схема, чому вона ловить обережних людей і що робити компанії, чиїм ім'ям наймають.

Повідомлення схоже на удачу. Рекрутер пише в месенджер або смс: компанії потрібні люди, щоб писати відгуки, ставити оцінки готелям, лайкати товари чи просувати застосунки в магазині, робота займає годину на день із телефона, а оплата значно вища, ніж зазвичай платять за такі прості завдання.

Ілля Зав'ялов про правило двох підписів на платіж у малій команді

Мала команда рідко тримає окремого фінансиста, тому платіж зазвичай іде з одного акаунта і з одного рішення. Поки суми дрібні, це виглядає як економія часу. Коли з'являється рахунок розміром з місячний бюджет, та сама швидкість стає вразливістю. Нижче розібрано правило двох підписів на платіж: з якого порога воно вмикається, хто підтверджує і що робити, коли друга людина у відпустці.

У малій команді оплата тримається на одній людині. Вона має доступ до банку, знає підрядників і сама вирішує, коли натиснути кнопку. Поки з цією людиною все гаразд, схема виглядає ідеальною: рішення ухвалюється за хвилину, погоджень немає. Проблема в тому, що будь-який збій саме в цій точці одразу стає збоєм усього платіжного процесу.