Підмінені реквізити у справжньому листуванні: процедура і ролі, які описує Ілля Зав'ялов

01

Чому підміна реквізитів виглядає як звичайний робочий день

Листування справжнє, і саме це робить схему дорогою. Імена в копії правильні, історія гілки на місці, тон збігається зі звичним, сума відповідає домовленості, укладеній кілька тижнів тому. Інший у цьому листі лише номер рахунку, і саме номер рахунку є тим єдиним полем, якого ніхто в команді не тримає в голові. Бухгалтер звіряє суму з актом, керівник звіряє призначення платежу з виконаною роботою, а двадцять цифр отримувача проходять повз обидві перевірки.

Нападнику не потрібно вигадувати компанію з нуля. Йому потрібно з'явитися наприкінці розмови, яка вже заслужила довіру всіх учасників, і додати туди одну правку. FBI Internet Crime Complaint Center за 2025 рік нарахував 3,046 мільярда доларів втрат на компрометації ділового листування, це друга за розміром категорія збитків після інвестиційної. Цифра описує саме таку механіку: гроші йдуть добровільно, за внутрішньою процедурою компанії, без жодного зламаного замка на стороні платника.

Для невеликої команди тут є окрема неприємність. Велика організація має казначейство, де реквізити заводить одна група людей, а платіж проводить інша, і підміна впирається в цей розрив. У команді з п'яти осіб той самий співробітник читає лист, вносить отримувача в облік і натискає кнопку, тому підміна проходить увесь шлях за одну дію. Захист у такій команді тримається на тому, звідки взагалі береться рядок реквізитів.

Око тут майже не допомагає. Домен відправника може відрізнятися однією літерою, вкладення відкривається звичним PDF, підпис у листі скопійовано з попередньої переписки. Іноді лист приходить зі справжньої скриньки підрядника, який сам ще не знає, що його пошту читають сторонні. У цьому випадку технічна перевірка відправника взагалі нічого не дасть, бо відправник справді той, за кого себе видає.

02

Звідки береться доступ до гілки листування

Підміна реквізитів є останнім кроком довшої роботи. Перед нею хтось тижнями читає пошту однієї зі сторін і чекає на потрібний рахунок. У цей час нічого не ламається і нічого не зникає, тому в команди немає приводу щось запідозрити. Саме тривала тиша відрізняє цю схему від звичайного спаму з проханням оплатити невідомий рахунок.

Доступ отримують кількома звичними шляхами. Пароль від пошти повторюється на сторонньому сервісі, база якого колись витекла. Співробітник вводить пароль на сторінці, схожій на корпоративну поштову форму. Підрядник підключає до скриньки сервіс розсилок і забуває про нього на рік. Масштаб цього потоку видно з річної статистики: FBI Internet Crime Complaint Center за 2025 рік прийняв 1 008 597 звернень і зафіксував майже 21 мільярд доларів заявлених втрат, на 26 відсотків більше, ніж роком раніше.

Технічний слід усередині скриньки зазвичай мінімальний. Найчастіше це правило пересилання, яке тихо кладе копію потрібних листів в окрему папку або надсилає їх назовні. Іноді це створений сторонній доступ, який виглядає в журналі як звичайний поштовий клієнт. Перегляд правил пересилання, підключених застосунків і активних сесій займає кілька хвилин на скриньку і має сенс як регулярна процедура з призначеною датою.

03

Чому відповідь у тій самій гілці нічого не підтверджує

Природна реакція на дивний рахунок полягає в тому, щоб написати у відповідь і перепитати. Якщо скриньку контрагента читає стороння людина, заспокійлива відповідь прийде саме від неї, у тій самій гілці, за кілька хвилин, з правильними подробицями. Така відповідь підтверджує рівно одне: у нападника є доступ до листування. Для команди це виглядає як знята підозра, і платіж іде далі вже з чистою совістю.

Те саме стосується месенджера, у якому команда спілкується з підрядником. Обліковий запис у месенджері захищений часто гірше за пошту, а довіри до нього більше, бо там пишуть швидко і коротко. Підтвердження в месенджері після листа поштою виглядає як вихід в інший канал, хоча обидва канали можуть бути в одних руках. Перевірка має спиратися на контакт, який команда зафіксувала заздалегідь і зберігає у себе.

Статистика платіжного шахрайства пояснює, чому цю роботу доводиться робити всередині команди. За даними UK Finance за 2025 рік, 66 відсотків випадків авторизованого платежу починаються онлайн і ще 17 відсотків проходять через телефонні мережі. Обидва числа описують один шлях: людину переконують у каналі зв'язку, і вона сама віддає розпорядження банку. Банк бачить нормальний платіж від нормального клієнта, тож автоматика на його стороні тут ловить дуже мало.

04

Голос перестав бути доказом особи

Наступний за листом крок це дзвінок. Донедавна він вважався надійним: знайомий голос підтверджував нові реквізити, і питання закривалося. Переконливий клон голосу сьогодні роблять із запису тривалістю близько трьох секунд, і він дає приблизно 85 відсотків точності. Записів такої довжини вистачає у голосових повідомленнях, у сторіс, у записах вебінарів і на автовідповідачі.

Розрахунок на слух себе вичерпав. В експерименті люди відрізняли живий голос від синтезованого лише в 37,5 відсотка випадків, тобто гірше, ніж навмання. Знайомість голосу тут працює проти слухача, бо вона знімає настороженість замість того, щоб її додавати. Робочим лишається один параметр дзвінка: хто кому набирає і за яким номером.

Позначка про штучний інтелект уже з'явилася у звітності. FBI Internet Crime Complaint Center уперше ввів її за 2025 рік і зібрав понад 22 тисячі звернень приблизно на 900 мільйонів доларів. Порівняння з іншими рядками того самого звіту показує межу цієї цифри: з понад восьми мільярдів доларів інвестиційних втрат позначку «пов'язано зі штучним інтелектом» отримали лише 632 мільйони. Позначка фіксує помічене потерпілим, тому реальна частка синтетичного голосу і тексту вища за будь-яке число у звіті.

Практична форма перевірки залишається простою. Зміну реквізитів підтверджує людина, яка сама набирає номер із власного довідника команди, зібраного під час укладення договору. Розмова вважається успішною тоді, коли співрозмовник називає номер рахунку і суму, не почувши їх від того, хто дзвонить. Питання про погоду і про спільних знайомих тут нічого не дають, бо ці подробиці лежать у тому самому листуванні.

05

Де в платіжній процедурі стоїть перевірка

Перевірку часто ставлять у момент оплати, і це запізно. У цей момент людина бачить готовий платіж, у якому реквізити вже підставилися з картки контрагента, і звіряти їх немає з чим. Правильна точка стоїть раніше: тоді, коли реквізити контрагента змінюються в обліковій системі. Саме там з'являється новий рядок, і саме там його можна зупинити однією дією.

З цього випливає розділення ролей. Той, хто змінює картку контрагента, і той, хто підтверджує списання, це різні люди. Коли обидві дії робить одна рука, друге підтвердження перетворюється на другий клік тієї самої людини. У команді з двох осіб роль підтверджувача бере зовнішній бухгалтер або співзасновник, і головна умова тут стосується повноважень: він має право відмовити без наслідків для стосунків усередині команди.

Порядок дій описується кількома рядками. Лист із новими реквізитами сам собою картку контрагента не змінює. Зміна вноситься після голосового підтвердження за збереженим номером і фіксується з датою, іменем того, хто вносив, і іменем того, хто підтверджував. Платіж, який іде за новою карткою вперше, проходить окреме погодження незалежно від суми.

Записана процедура має ще одну функцію, про яку зазвичай не думають. Вона знімає з конкретного співробітника необхідність щоразу приймати рішення під тиском і посилатися на власну обережність. Коли підрядник наполягає на терміновості, співробітник посилається на порядок, який діє для всіх, і розмова на цьому закінчується. Усна домовленість такої опори не дає, тому вона тримається рівно до першого напруженого дня.

06

Реєстр контрагентів як єдине джерело реквізитів

Реквізити мають одне джерело, і листи до нього не належать. Джерелом виступає реєстр контрагентів: договір, картка в обліковій системі, особистий кабінет підрядника. Лист буває приводом для зміни, підставою для неї стає підтверджений запис у реєстрі. Різниця виглядає формальною рівно доти, доки в гілці не з'явиться підроблений рахунок.

Реєстр вимагає власника. У невеликій команді це одна названа людина, яка веде картки контрагентів і має право їх змінювати, плюс одна названа підміна на час її відсутності. Без власника реєстр перетворюється на таблицю, куди дописує кожен, і історія змін у ній зникає. Ця історія важить не менше за самі дані, бо вона відповідає на питання, коли рядок став іншим і хто до нього торкався.

Корисно, щоб реєстр зберігав попередні реквізити поряд із новими. Стара банківська адреса дає точку відліку під час розбору інциденту і показує, чи мінялися реквізити раніше. Підрядник, у якого рахунок змінюється втретє за півроку, помітний саме з історії записів. Ця сама історія стає в пригоді, коли до розбору підключається банк і питає, з якого моменту платежі йшли повз справжнього отримувача.

07

Ознаки, які вмикають перевірку незалежно від суми

Поріг суми потрібен, і сам собою він недостатній. Якщо перевіряти кожну підписку за десять доларів, команда за тиждень навчиться погоджувати не читаючи, і процедура стане формальністю. Поріг має відсікати рутину і залишати під наглядом ті суми, втрата яких відчутна для бюджету. Рахувати його зручно від місячного обороту команди, а переглядати раз на квартал.

Поверх порога працює перелік ознак. Перший платіж новому отримувачу проходить перевірку завжди. Зміна банківських реквізитів у давнього підрядника проходить перевірку завжди. Такий самий результат дають платіж на картку фізичної особи замість рахунку компанії, зміна країни банку, прохання розбити суму на кілька переказів і терміновість, яка прийшла ззовні.

Federal Trade Commission окремо рахує підробку під компанії: близько мільярда доларів заявлених втрат, причому найбільші суми там, де співрозмовник представлявся працівником банку. Дзвінок від нібито банку з попередженням про підозрілий платіж і пропозицією перевести гроші на «безпечний рахунок» продовжує ту саму історію з реквізитами. Відповідь на цей сценарій команда готує заздалегідь, бо в момент дзвінка часу на роздуми вже немає.

08

Перша година після платежу

Швидкість тут важить більше за повноту розбору. Кошти з рахунку отримувача переводять далі протягом годин, і вікно на повернення вимірюється тим самим часом. Перший дзвінок іде у власний банк із проханням відкликати платіж, другий контакт це банк отримувача. Розбір того, як саме лист потрапив у гілку, спокійно чекає своєї черги.

Паралельно зберігається доказова частина. Оригінальний лист зберігається з повними технічними заголовками, бо саме вони показують, чи прийшов він зі справжньої скриньки. Пересланий лист заголовків не зберігає, тому пересилання скриншотом або в тілі іншого листа знищує головне. Разом із листом фіксуються час платежу, номер операції в банку і знімок картки контрагента до внесення зміни.

Ролі на час інциденту призначаються наперед. Одна людина веде спілкування з банком і тримає хронологію подій, друга займається доступами: змінює паролі, перевіряє правила пересилання, знімає зайві підключені застосунки. Третя пише підряднику іншим каналом, бо його скринька цілком може бути в чужих руках. Коли ролі розподіляються вже під час інциденту, перша година йде на з'ясування, хто кому дзвонить.

09

Як процедура переживає відпустки і нових людей

Процедура зазвичай вмирає у першу ж відпустку підтверджувача. Платіж горить, друга людина недоступна, і команда одноразово пропускає перевірку. Виняток повторюється, і за два місяці процес повертається до однієї людини та однієї кнопки. Через це підміна на час відсутності призначається заздалегідь, у спокійний момент, коли жоден рахунок нікого не підганяє.

Винятки корисно записувати. Журнал винятків займає кілька рядків: дата, сума, хто дозволив обійти перевірку і з якої причини. Сам факт запису прибирає більшість дрібних обходів, бо пояснювати рядок у журналі незручно. Через квартал журнал показує, у якому місці процедура заважає роботі і що в ній варто змінити.

Новий співробітник дізнається про порядок у перший тиждень, до першого платежу. Разом із доступами йому дістається коротке правило про джерело реквізитів і про підтвердження голосом за збереженим номером. Раз на квартал команда проганяє навчальну ситуацію: хтось із своїх надсилає лист зі зміненими реквізитами і дивиться, де саме цей лист зупиниться. Вправа коштує півгодини і показує стан процедури точніше за будь-яку доповідь про безпеку.

Останнє стосується ставлення до помилки. Співробітник, який оплатив підроблений рахунок, має повідомити про це протягом хвилин, і зробить він це лише там, де за помилку не карають публічно. Команда, у якій про такий платіж мовчать до кінця дня, втрачає єдине вікно на відкликання коштів. Тому питання внутрішньої культури має тут цілком практичну ціну, і вимірюється вона сумою конкретного платежу.