Ілля Зав'ялов скам навколо каси і термінала ФОП: як перевірити лист, договір і техніка

01

Ілля Зав'ялов скам навколо каси і термінала: з чого почати

Ілля Зав'ялов, консультант з цифрової безпеки невеликих команд, пропонує почати з простого розмежування. Каса, тобто програмний РРО, реєструє чеки і передає їх до ДПС. Термінал приймає картки за договором еквайрингу з банком. Шахрай навмисно зводить їх в одну історію, щоб налякати подвійно.

Цифри НБУ показують, що офлайн теж під ударом. За 2025 рік 83 відсотки шахрайських операцій з картками пройшли через інтернет, а 17 відсотків через фізичні пристрої: торговельну мережу, банкомати і пристрої самообслуговування. Кожна шоста операція стосується реального прилавка.

Загальні збитки від карткового шахрайства у 2025 році, за даними НБУ, зросли на 24 відсотки, до 1,4 мільярда гривень, а середня сума однієї операції піднялася до 5 536 гривень. Для невеликої кав'ярні це виручка за день, і втратити її можна за один дзвінок.

Ілля Зав'ялов скам такого роду ділить на дві групи. У першій у власника виманюють гроші чи коди просто зараз, у другій отримують підпис або фізичний доступ до пристрою, і шкода тягнеться місяцями. Проти першої групи працює передзвін за своїм номером, проти другої правило нічого не підписувати і нікого не пускати без погодження.

Обидві групи тримаються на поспіху. Дзвінок лунає в годину пік або в п'ятницю ввечері, коли власника немає на місці, а черга за спиною підганяє погодитися швидше. Пауза у п'ять хвилин руйнує більшість таких сценаріїв.

02

Хто є хто: ДПС, банк-еквайр і сервісна компанія

ДПС реєструє ПРРО і бачить чеки. Банк-еквайр обслуговує термінал і зараховує оплату на рахунок ФОП. Сервісна компанія, якщо вона є в договорі, ремонтує і міняє обладнання. Кожна сторона має власний канал зв'язку, і жодна не говорить від імені іншої.

Звідси перша ознака схеми. Податкова не заморожує надходження на рахунок, банк не скасовує реєстрацію ПРРО, технік не вирішує податкових питань. Якщо в повідомленні одна сторона погрожує повноваженнями іншої, текст писав шахрай.

Ілля Зав'ялов скам-повідомлення радить звіряти з карткою точки, де записані три канали: Електронний кабінет, номер банку з договору еквайрингу і телефон сервісного партнера. Карткою користується кожен продавець, навіть той, хто вийшов на першу зміну.

Таку саму картку варто дати бухгалтеру на аутсорсі. Йому теж пишуть від імені клієнта або податкової з проханням терміново змінити реквізити чи вивантажити звіт за посиланням.

Спільний перелік каналів робить перевірку однаковою для всіх, хто працює з точкою. Продавцю не треба знати, як улаштований фіскальний сервер, йому досить прочитати, куди передзвонити, і не сперечатися з людиною на лінії.

03

Ілля Зав'ялов скам-листи «від ДПС» про блокування ПРРО

Лист приходить на пошту або в месенджер: реєстрацію ПРРО «призупинено», потрібно підтвердити дані за посиланням або відкрити файл з «актом перевірки». Логотип, код ЄДРПОУ, офіційний тон. Іноді адреса відправника підроблена під домен податкової.

Податкова у 2026 році кілька разів попереджала про фішингові розсилки від її імені, вкладення яких дають віддалений доступ до комп'ютера. Раніше кіберполіція і ДПС описували листи про «перевірку контрагентів» нібито від київських інспекцій зі шкідливою програмою у файлі.

Перевірка в ФОП одна. Усе про ПРРО видно в Електронному кабінеті: для роботи з безкоштовним ПРРО ДПС подають через кабінет або ЄВПЕЗ форму 20-ОПП і заяву 1-ПРРО. Немає позначок у кабінеті, отже лист можна видаляти.

Безкоштовний ПРРО ДПС випустила для iOS, Android, Windows і у вебверсії ще в жовтні 2022 року, тоді в країні працювало 395,3 тисячі програмних РРО. Платити посереднику за «активацію» чи «продовження» безкоштовного застосунку немає потреби.

Схожі листи надходять і від імені «постачальника ПРРО»: підписка нібито закінчилася, каса вимкнеться опівночі, сплатіть за посиланням. Строк комерційної підписки видно в особистому кабінеті постачальника, куди заходять за своєю закладкою. Оплата за посиланням з листа на картку приватної особи завжди привід зупинитися.

04

Дзвінок «служби безпеки банку» і зависла виручка

Голос у слухавці каже, що надходження по терміналу «під підозрою» і банк затримає їх на місяць, якщо власник зараз не підтвердить операції кодом. Інколи пропонують «перенести» виручку на захищений рахунок.

НБУ рахує, що у 2025 році соціальна інженерія дала 90 відсотків усіх збитків від карткового шахрайства, і серед найпоширеніших сценаріїв називає дзвінки від імені служби безпеки банку, НБУ та інших установ. Кодів підтвердження справжній банк по телефону не питає.

Ілля Зав'ялов скам-дзвінок пропонує обривати одразу і самому набирати банк за номером зі звороту картки або з договору еквайрингу. Якщо проблема справжня, менеджер побачить її в картці клієнта.

Переконувати шахрай любить подробицями: називає суму вчорашньої виручки, адресу точки, ім'я касира. Усе це видно з чеків і сторінки магазину в соцмережах. Точні деталі нічого не кажуть про те, хто на лінії.

Ілля Зав'ялов скам цього типу бачить і в ФОП, які приймають оплату на особисту картку. «Банк» пропонує терміново «підключити бізнес-термінал» і просить для цього дані картки та код. Еквайринг так не підключають: його оформлюють договором у відділенні або в застосунку банку.

05

Ілля Зав'ялов скам з орендою термінала і договір приєднання

Пропозиція звучить щедро: термінал безкоштовно, платите тільки комісію, підпишіть тут, це просто заява. Підписаний папір виявляється договором оренди на два-три роки з щомісячним платежем, штрафом за дострокове розірвання і автоматичним продовженням.

Стаття 634 ЦК України дозволяє стороні, яка приєдналася до стандартного договору, вимагати його зміни або розірвання, якщо умови явно обтяжливі чи позбавляють її звичайних прав. Для підприємця є застереження: у позові можуть відмовити, якщо доведуть, що він знав або міг знати умови.

Тому читати потрібно до підпису. Якщо тиснули і скористалися скрутним становищем, стаття 233 ЦК дає визнати недійсним правочин на вкрай невигідних умовах, і сторона, яка цим скористалася, відшкодовує збитки. Але це вже суд, гроші і місяці часу.

Ілля Зав'ялов скам з орендою зупиняє одним правилом: жоден папір щодо обладнання не підписують у день візиту. Договір фотографують повністю, читають увечері і звіряють з тим, що обіцяли усно.

Варто подивитися і на того, хто пропонує. Агент, який не може назвати банк-еквайр, дає візитку без адреси компанії і поспішає «бо акція діє до вечора», продає підпис, а термінал для нього лише привід. Справжній банк дасть час подумати.

06

Як читати договір еквайрингу: поради Іллі Зав'ялова

Договір на термінал складається з кількох частин: основний текст, тарифи, загальні умови на сайті банку, акт передачі обладнання. Підписують його лише тоді, коли на руках усі частини.

У тексті шукають п'ять місць: строк і автопродовження, плату за дострокове розірвання, власника термінала, відповідальність за поломку і порядок відмови. Усну обіцянку «відмовитеся будь-коли» звіряють з папером, бо суд читатиме папір.

Перед підписом банку ставлять одне письмове питання про строк, ціну виходу і власника термінала. Відповідь в офіційному чаті або листом з адреси банку стає доказом, якщо продавець говорив інакше.

Інколи оренду подають як «заміну старого термінала, який скоро перестане працювати». Перевіряється це дзвінком у свій банк: якщо там про заміну нічого не знають, перед вами новий договір з іншою компанією.

Підписаний примірник зберігають разом з карткою точки і актом передачі. Через рік, коли подзвонить черговий «новий партнер з вигідною комісією», досить відкрити теку і порівняти умови.

07

«Оновлення прошивки» і технік без виклику

До точки заходить людина у фірмовій футболці: банк міняє програмне забезпечення терміналів, треба забрати пристрій на годину або поставити новий. Документів немає, є впевнений тон і бейдж.

Галузевий стандарт платіжних систем PCI SSC у настановах 2014 року радить не допускати до терміналів «інженера», який прийшов без попередження, доки його особу не підтвердив дзвінок постачальнику. Роботи записують у звіт, звіт зберігають щонайменше пів року.

Для ФОП це означає, що про візит банк попереджає заздалегідь, а номер для перевірки беруть з договору. Телефон, надрукований на бейджі гостя, для перевірки не годиться.

Ілля Зав'ялов скам-техніка радить відсікати журналом візитів: дата, ім'я, компанія, що зроблено, хто підтвердив дзвінком. Якщо банк згодом спитає, хто мав доступ до термінала, відповідь буде на одній сторінці.

Чи заплановане оновлення і як його проведуть, питають у банку за своїм номером. Якщо пристрій справді міняють, заміну вимагають оформити актом із серійними номерами старого і нового термінала, і копія акта лишається у ФОП.

08

Ілля Зав'ялов скам із підміною термінала

Підмінений термінал схожий на рідний і проводить оплати, паралельно записуючи дані карток. Покупці дізнаються про це за тиждень із чужих списань, продавець дізнається останнім.

Настанови PCI SSC радять вести перелік усіх платіжних пристроїв і оглядати їх за графіком, наприклад раз на день або на початку зміни. Серійний номер на наліпці звіряють з номером, який термінал показує на екрані.

Ілля Зав'ялов скам-підміну пропонує ловити фотографіями: термінал знімають з чотирьох боків у день встановлення і зберігають знімки в телефоні власника. Зайва накладка, чужий кабель чи інший колір корпусу на порівнянні помітні одразу.

Якщо номер не збігся, пристрій відкладають і дзвонять у банк. Самостійно його не розбирають: банку і поліції потрібен цілий екземпляр.

Допомагає і місце встановлення. Термінал, закріплений на підставці біля каси, підмінити складніше, ніж пристрій, який мандрує залом. Переносний термінал на ніч прибирають під замок, а зранку звіряють номер.

09

Повернення на чужу картку: правило Іллі Зав'ялова

Покупець оплатив товар карткою, за годину повернувся і просить оформити повернення на іншу картку, бо його нібито заблокували. Касир повертає гроші на продиктований номер, а згодом власник першої картки опротестовує оплату.

За статтею 89 закону № 1591-IX еквайр при опротестуванні може призупинити завершення операції на строк за правилами платіжної системи, щонайбільше на 60 календарних днів. Коли неправомірність підтверджено, гроші йдуть емітенту, а повернення на чужу картку лишається втратою магазину.

Захист закладають у налаштуваннях. Повернення проводять лише за первинним чеком на ту саму картку, ручне введення номера вимкнене, велику суму підтверджує власник. У безкоштовному ПРРО ДПС для цього є окремі чеки повернення.

Схожий прийом трапляється і без повернення. Покупець платить «частинами» з кількох карток, частину відхилено, і він просить віддати «зайве» на ще одну картку. Кожна з них може виявитися чужою.

Права касира варто налаштувати так, щоб повернення на довільну картку було технічно неможливим. Тоді продавець чесно відповідає покупцеві: система не дозволяє, гроші повертаються тільки на картку, якою платили.

10

Як перевірити лист, дзвінок і людину

Лист перевіряють в Електронному кабінеті, дзвінок за номером банку з договору, людину дзвінком у її компанію за відомим вам номером. Три канали, і жоден не починається з посилання з повідомлення.

Окремо домовляються про коди. Ніхто в команді не диктує коди з СМС і не встановлює програм віддаленого доступу на прохання того, хто зателефонував.

Ілля Зав'ялов скам-лист від справжнього відрізняє за одним питанням: чи можна вирішити справу, зайшовши в кабінет за своєю закладкою. Якщо так, посилання з листа не потрібне взагалі.

Перевірка людини найкоротша. Гостя просять зачекати, дзвонять у банк чи сервісну компанію і називають його ім'я. Справжній працівник спокійно чекає, самозванець згадує про термінову справу і йде.

Перевірку договору ведуть письмово. Питання про строк, штраф і власника термінала ставлять в офіційному чаті банку або листом на адресу з його сайту, відповідь зберігають поруч з договором. Усна розмова з агентом у суді нічого не важить.

11

Правила для команди на точці

Правил небагато, і всі вони для того, хто стоїть за прилавком. Коди, паролі і дані карток нікому не називають. Питання про блокування каси чи термінала вирішують передзвоном за карткою точки. Папери щодо обладнання підписує тільки власник.

Ще два правила стосуються людей і повернень. Технік без погодженого візиту чекає, доки старший зміни додзвониться до банку. Повернення проводять лише за первинним чеком, велику суму підтверджує друга людина.

Аркуш з правилами вішають біля термінала на рівні очей продавця. У момент дзвінка інструкцій у спільному чаті ніхто не шукає. Короткий текст перед очима читають усі.

Ілля Зав'ялов скам-сценарії радить проговорювати з командою щомісяця і після кожного дивного дзвінка. Нова схема майже завжди виявляється варіацією старої, і підготовлений продавець упізнає її з першої фрази.

12

Ілля Зав'ялов скам уже спрацював: що робити

Першим ділом дзвонять у банк за номером на картці і блокують доступ, далі подають заяву до кіберполіції онлайн на ticket.cyberpolice.gov.ua. Якщо через рахунок ФОП прогнали чужі гроші, НБУ дає номер 0 800 505 170 щодо грошових мулів.

До заяви додають листи, номери телефонів, фото техніка з камери і реквізити, куди пішли гривні. Підозрілий термінал не вмикають і передають банку цілим.

Якщо постраждали покупці, наприклад після підміни термінала, чесніше попередити їх самому: коротке повідомлення на сторінці магазину з датами і порадою перевірити виписку. Банк швидше отримає скарги і зможе пов'язати операції з одним пристроєм.

Якщо підписано нав'язаний договір оренди, юристу потрібні його повна копія, листування з продавцем і записи усних обіцянок. Спір за статтями 634 і 233 ЦК України можливий, але результат залежить від того, наскільки умови приховували.

Ілля Зав'ялов скам після кожного випадку радить розібрати з командою за п'ятнадцять хвилин: на якому кроці схема пройшла, яке правило додати до аркуша, кому тепер дзвонити першим.