Платежі
Ілля Зав'ялов розбирає лист про зміну реквізитів, який приходить зі справжньої скриньки
Лист приходить із адреси, на яку команда писала місяцями. Тема та сама, підпис той самий, усередині згадані деталі проєкту, відомі лише двом людям. Змінився в ньому рівно один рядок: банківські реквізити для рахунка, на який і так чекали цього тижня. Питання цього матеріалу стосується процедури: що саме має спрацювати всередині організації, щоб такий лист став звичайною робочою паузою і зупинився до з'ясування. Відповідь лежить у розподілі ролей і в одному правилі, яке коштує кілька хвилин на кожну зміну реквізитів.
Версія українською мовою для України.
01
Чому цей лист не викликає підозри
Схема починається задовго до самого листа. Хтось отримує доступ до поштової скриньки: до скриньки підрядника, до скриньки бухгалтера замовника або до скриньки менеджера, який веде проєкт. Далі кілька тижнів нічого не відбувається, тому що зловмисник просто читає. Він вивчає, як у цій парі компаній прийнято звертатися одне до одного, хто підписує рахунки, коли їх надсилають і скільки часу минає до оплати. Лист, який зрештою приходить, написаний саме на цьому матеріалі.
Технічної ознаки підробки в такому листі немає, оскільки підробляти нічого не довелося. Адреса відправника справжня, домен справжній, службові підписи сходяться, повідомлення лежить у тій самій гілці, де лежать десятки попередніх. Антиспам пропускає його, бо з погляду пошти це звичайна ділова кореспонденція між сторонами, які листуються рік. Спроба шукати ознаки фальшивого листа веде в глухий кут, тому що шукати немає чого.
Через це порада звіряти адресу відправника втрачає сенс саме в тій ситуації, де вона найдорожча. Вона працює проти схожих доменів і проти грубих підробок, і зовсім не працює, коли скриньку читають зсередини. Ілля Зав'ялов у розборах цієї категорії наполягає на простій межі: усе, що приходить каналом зв'язку, залишається запитом і потребує окремого підтвердження. Ця межа виглядає надто суворою рівно доти, доки не побачиш, як виглядає перший такий лист.
Друга причина непомітності лежить у мові повідомлення. У ньому немає тиску, немає загроз і немає термінового тону, який зазвичай радять помічати. Там стоїть спокійна фраза про зміну обслуговуючого банку, іноді з поясненням про перевірку рахунка або про перехід на іншу юридичну особу. Саме буденність формулювання і робить його переконливим.
02
Скільки коштує ця категорія в масштабі
Масштаб зручно вимірювати за звітами, які збирають скарги постраждалих. За 2025 рік центр з інтернет-злочинності при ФБР прийняв 1 008 597 звернень і зафіксував заявлені втрати майже на 21 мільярд доларів, що на 26 відсотків більше, ніж роком раніше. Компрометація ділового листування дала в цьому обсязі 3,046 мільярда доларів і посіла друге місце після інвестиційних схем. Лист про зміну реквізитів належить саме до цієї категорії.
Британська статистика дивиться на ту саму проблему з боку платежів. За 2025 рік там зафіксували 248 070 випадків, коли людина або компанія самостійно підтвердила переказ, і 576,4 мільйона фунтів втрат за цими випадками. Ключове слово тут «самостійно»: платіж проходить усі банківські перевірки, тому що його справді авторизував той, хто мав на це право. Банк бачить нормальну операцію від нормального клієнта і не має підстав її зупиняти.
Там само видно, звідки такі випадки починаються. 66 відсотків із них стартують онлайн і ще 17 відсотків через телефонні мережі. Для невеликої організації це означає, що вхідна точка майже завжди лежить у звичайних робочих каналах, якими користуються щодня. Захист периметра тут дає мало, оскільки периметр ніхто не ламає.
Ці цифри потрібні для однієї практичної речі: вони показують, що йдеться про масову категорію з передбачуваним сценарієм. Передбачуваний сценарій закривається процедурою, тому далі мова піде саме про неї. Технічні засоби відіграють допоміжну роль, оскільки ламається довіра між людьми, тоді як пошта і банк працюють штатно.
03
Момент, у який приходить лист
Час надсилання в цій схемі важить не менше за текст. Лист приходить у день, коли платіж уже стоїть у планах: після підписаного акта, наприкінці місяця, у переддень закриття етапу. Людина, яка його читає, уже налаштована платити, і повідомлення лягає в готову дію. Психологічно це знімає більшу частину сумнівів, тому що сумніватися доводиться в тому, що вже вирішено.
Другий елемент вибору моменту стосується людей. Лист часто приходить, коли керівник у відрядженні, коли бухгалтер працює останній день перед відпусткою або коли команда закриває реліз. Зловмисник бачить це прямо з листування, де обговорюють графіки, відпустки і зустрічі. Вікно, у яке він цілиться, це проміжок, коли перевіряти особливо незручно.
Третій елемент це сума. У схемах проти невеликих команд рідко просять переказати все відразу; частіше сума збігається з тим рахунком, який і так виставили. Збіг суми знімає останнє питання, бо очікуване число стоїть на своєму місці. Саме тому увага до суми в такій перевірці дає хибне відчуття контролю.
З цього випливає перший практичний висновок. Момент, у який зміну реквізитів найважче перевірити, це рівно той момент, у який її просять. Процедура має бути записана заздалегідь і працювати без обговорення, оскільки в потрібну хвилину часу на обговорення вже не залишиться.
04
Правило, яке закриває цю категорію
Правило формулюється однією фразою. Банківські реквізити ніколи не змінюються на підставі повідомлення, хоч би яким каналом воно прийшло і хоч би що в ньому було. Зміна відбувається лише після підтвердження за контактом, який був у вас до початку цієї розмови: за номером із договору, з попереднього рахунка або з картки контрагента. Номер із підпису нового листа для цього не годиться, тому що він міг прийти разом із самим листом.
Важлива деталь стосується напрямку дзвінка. Підтверджує лише той дзвінок, який ви ініціюєте самі за збереженим номером. Вхідний дзвінок, що нібито підтверджує лист, доводить тільки факт дзвінка. Ця різниця виглядає формальною доти, доки не побачиш, як просто влаштувати вхідний виклик із потрібним номером на екрані.
Правило має бути записане в тому самому місці, де живе платіжна процедура, і мати конкретного власника. У невеликій команді це зазвичай одна сторінка у внутрішній базі і одне речення в шаблоні платіжного доручення. Записане правило відрізняється від усної домовленості тим, що його можна показати новому працівникові в перший день. Усна домовленість зникає разом із людиною, яка її пам'ятала.
Окремо варто описати, що робити, коли співрозмовник наполягає на терміновості. Пауза на підтвердження триває від кількох хвилин до одного робочого дня, і реальний контрагент від неї нічого не втрачає. Наполягання на тому, щоб паузу пропустили, саме собою є сигналом, який варто зафіксувати письмово.
05
Чому голос перестав бути достатнім підтвердженням
Дзвінок за збереженим номером залишається основою процедури, проте всередині нього змінилося одне. Переконливий клон голосу сьогодні будується із запису тривалістю близько трьох секунд і дає приблизно 85 відсотків схожості. Три секунди це довжина автовідповідача, голосового повідомлення в робочому чаті або репліки на записаному вебінарі. Матеріал для клону є практично на кожного, хто веде переговори голосом.
Здатність людини почути підробку виявилася нижчою за очікування. В експерименті учасники відрізняли справжній голос від синтезованого лише в 37,5 відсотка випадків. Це означає, що впізнавання на слух перестало бути перевіркою і перетворилося на відчуття. Відчуттю в платіжній процедурі місця немає.
Наслідок для правила простий і дзвінка не скасовує. Значення має номер, за яким телефонуєте ви, оскільки він веде до конкретної людини незалежно від того, як звучить голос у слухавці. До цього додається коротке контрольне питання про річ, якої немає в листуванні: деталь останньої зустрічі, назва внутрішнього документа, домовленість, обговорена вголос. Той, хто читав скриньку, відповіді на таке питання не має.
Голосовий канал через це варто описати в процедурі окремим абзацом. Він залишається робочим доти, доки напрямок дзвінка і контрольне питання стоять на своїх місцях. Коли співрозмовник просить перенести підтвердження в чат або на пошту, процедура повертається до початкового правила і зміна чекає. Кілька хвилин на контрольне питання коштують дешевше за будь-який зі сценаріїв, описаних вище.
06
Хто в команді має право змінювати реквізити
Процедура тримається на ролях, і в маленькій команді їх зазвичай виявляється дві. Перша роль отримує запит на зміну і виконує підтвердження за збереженим контактом. Друга роль вносить зміну в платіжну систему після того, як перша повідомила результат. Коли обидві дії робить одна людина, процедура зводиться до її настрою в конкретний день.
Розділення ролей дає ще один ефект, який видно лише згодом. Воно перетворює перевірку на нормальну робочу дію, за яку людині не соромно. Бухгалтер, який просить паузу, виконує свою роль, і це очевидно всім учасникам розмови. Там, де такого розділення немає, перевірка виглядає як особиста недовіра до підрядника, і саме тому її пропускають.
У командах, де людей фізично двоє, другу роль бере на себе засновник або керівник. Значення має незалежність другої дії від першої, тоді як посада тут вторинна. Якщо друга людина недоступна, зміна чекає, і платіж іде за старими реквізитами або не йде взагалі. Затримка платежу на день коштує менше за переказ на чужий рахунок.
Ролі варто закріпити письмово разом із заміщенням на час відпусток. Найчастіше схема спрацьовує саме в тижні, коли одна з ролей порожня і в команді про це знають. Заміщення описується одним рядком: хто підтверджує, якщо основна людина недоступна. Без цього рядка процедура тримається на присутності конкретної людини в офісі.
07
Де живуть реквізити і навіщо журнал змін
Реквізити мають одне місце зберігання, і листування ним не є. Картка контрагента в обліковій системі або окрема захищена таблиця виконує роль джерела істини, з якого бухгалтерія бере дані для платежу. Рахунок у листі при цьому залишається документом, який звіряють із карткою. Коли джерелом даних для платежу стає останній лист, процедура втрачає точку опори.
До картки додається журнал змін. У ньому фіксують дату зміни, того, хто запитав, того, хто підтвердив, канал підтвердження і номер, за яким телефонували. П'ять полів достатньо, і саме через невелику кількість полів такий журнал доживає до другого місяця. Перевантажений журнал перестають заповнювати протягом кількох тижнів.
Журнал змін корисний і поза моментом інциденту. Він показує нормальну частоту таких подій у вашій організації, і на цьому фоні одразу видно аномалію. Коли підрядник, який не змінював реквізити три роки, робить це вдруге за місяць, питання виникає саме собою. Без журналу така картина ніде не збирається, і кожен випадок сприймається як перший.
Окремо варто зафіксувати правило про старі реквізити. Попередні дані залишаються в картці з позначкою про недійсність і датою заміни. Це потрібно для внутрішнього розбору і для банку, який проситиме показати, куди платили раніше. Видалені дані доводиться відновлювати з виписок у найгірший для цього момент.
08
Перша година після переказу
Якщо платіж уже пішов, усе вирішує швидкість. Перший дзвінок робиться у свій банк із проханням про відкликання переказу і блокування коштів на боці отримувача. Гроші з рахунка отримувача зазвичай виводять далі протягом годин, тому реальне вікно вимірюється першою годиною. Розмова з банком іде швидше, коли під рукою вже є дата, сума, номер платежу і копія листа.
Другий крок це повідомити підрядника іншим каналом. Той самий ланцюжок листів для цього не годиться, оскільки його читають. Дзвінок за збереженим номером або повідомлення в месенджері дає підрядникові шанс зрозуміти, що його скриньку контролюють, і попередити інших клієнтів. У багатьох випадках такий самий лист уже пішов кільком компаніям одночасно.
Третій крок стосується власної інфраструктури. Поки невідомо, чию скриньку читають, паролі і сесії змінюють з обох боків: у бухгалтерії, у менеджера проєкту і в керівника. Разом із паролем скидають активні сесії і перевіряють правила пересилання пошти, тому що саме через приховане пересилання найчастіше зберігають доступ. Двофакторний вхід вмикають у той самий день.
Четвертий крок це письмова фіксація. Коротка хронологія з часом кожної дії потрібна банку, страховій компанії і поліції, і зібрати її через тиждень значно важче. Одна сторінка, написана в день інциденту, економить кілька днів пізніше. Туди ж додають повні заголовки листа, які згодом попросять для розбору.
09
Що змінюється в команді, коли правило записане
Найпомітніша зміна стосується права зупинити платіж. У команді, де процедура записана, будь-хто може сказати «зачекайте, я підтверджу» без пояснень і без ризику виглядати недовірливим. Там, де процедури немає, така фраза потребує сміливості, і в напруженому тижні її часто не вистачає. Записане правило переносить відповідальність із людини на порядок дій.
Другу зміну видно на масштабі всієї категорії. За даними американського регулятора, у чотирьох зверненнях про видавання себе за іншого з п'яти грошової втрати не було взагалі, тобто спроб значно більше, ніж успішних випадків. Підробка під компанії за той самий період дала близько 1 мільярда доларів втрат. Розрив між кількістю спроб і кількістю втрат тримається саме на тому, що хтось зупинився і перевірив.
Третя зміна стосується підрядників. Коли ви одного разу пояснюєте партнерові, що зміна реквізитів проходить через дзвінок і паузу, наступного разу він сам про це нагадує. Кілька таких розмов формують спільну норму на рівні всіх ваших контрагентів. Ілля Зав'ялов описує цю норму як найдешевший елемент захисту, оскільки вона не потребує ні ліцензій, ні впровадження.
Останнє, що варто врахувати, стосується навчання нових людей. Процедура працює доти, доки її знає той, хто платить сьогодні, і вона перестає працювати в перший же тиждень після зміни бухгалтера. Один абзац у чек-листі для новачка закриває це питання надійніше за будь-яку розсилку. Перевірка процедури раз на квартал на вигаданому прикладі показує, чи жива вона насправді.
| Елемент листа | Справжній | Наслідок для процедури |
|---|---|---|
| Адреса відправника | Так | Звірка адреси нічого не доводить |
| Історія листування | Так | Скриньку читають зсередини |
| Номер рахунка і сума | Так | Дані взяті з попередніх листів |
| Час надсилання | Обраний | Лист приходить у день очікуваного платежу |
| Банківські реквізити | Ні | Єдиний змінений рядок |
| Голос у слухавці | Невідомо | Значення має номер, за яким телефонуєте ви |
| Підтвердження поштою | Ні | Канал підтвердження збігається зі зламаним |
Питання і відповіді
Як перевірити нові банківські реквізити підрядника?
Підтвердження дає лише дзвінок, який ви робите самі за номером із договору, попереднього рахунка або картки контрагента. Номер із підпису нового листа для цього не годиться, оскільки він міг прийти разом із самим листом.
Чи можна підтвердити зміну реквізитів електронною поштою?
Відповідь на той самий лист нічого не підтверджує, тому що зламана скринька і є джерелом повідомлення. Підтвердження має прийти каналом, який не залежить від листування.
Що робити, якщо платіж за новими реквізитами вже пішов?
Перший дзвінок робиться у свій банк із проханням про відкликання і блокування коштів, і реальне вікно тут вимірюється першою годиною. Далі підрядника повідомляють іншим каналом, а паролі і сесії скидають з обох боків.
Чи достатньо впізнати голос підрядника в телефоні?
Переконливий клон голосу будується із запису тривалістю близько трьох секунд, а люди в експерименті відрізняли справжній голос лише в 37,5 відсотка випадків. Спрацьовує номер, за яким телефонуєте ви, разом із контрольним питанням про річ, якої немає в листуванні.
Хто в невеликій команді має відповідати за зміну реквізитів?
Одна роль підтверджує зміну за збереженим контактом, друга вносить її в платіжну систему після отриманого результату. Коли обидві дії виконує одна людина, процедура тримається лише на її уважності в конкретний день.
Чому лист про зміну реквізитів приходить зі справжньої адреси?
Зловмисник тижнями читає зламану поштову скриньку однієї зі сторін і пише зсередини реального листування. Підробляти домен або підпис йому не потрібно, тому пошуки технічних ознак фальшивки нічого не дають.