Мошенники пишут сотрудникам от имени директора: как работает схема и как её остановить

Мошенники от имени директора пишут сотрудникам именно тогда, когда руководитель в отъезде, на совещании или просто не берёт трубку, — и бухгалтер, привыкший выполнять поручения быстро, переводит деньги за двадцать минут. Схема держится не на технике, а на привычке подчиняться и на слове «срочно». Хорошая новость в том, что её останавливают три-четыре простых внутренних правила. Ниже — как выглядит такое сообщение, какие правила ввести в компании уже на этой неделе и что делать в первые минуты, если деньги всё-таки ушли.

Кто пишет. Я занимаюсь продвижением и техническим сопровождением сайтов с 2005 года и регулярно вижу, как бизнес теряет деньги и репутацию на подделках: копии сайтов, фальшивые аккаунты, чужие объявления от имени компании. Специалистом по информационной безопасности и юристом я не являюсь, поэтому схемы описываю только на уровне распознавания, а порядок действий при переводе — по официальным материалам Банка России и банков.

Как выглядит схема глазами сотрудника

Сбербанк в материале для предпринимателей описывает её так: мошенники заводят в Telegram или WhatsApp фейковый аккаунт руководителя, ставят фото из открытых источников, звонят бухгалтеру и сразу сбрасывают, а потом, ссылаясь на плохую связь, переходят в переписку. Дальше — требование как можно скорее провести платежи, потому что «вопрос критичный», а документы обещают прислать позже.

На практике у сообщения есть узнаваемый набор черт:

• новый аккаунт или новый номер с фотографией директора — «старый телефон сломался», «пишу с другого»;
• срочность: «до конца дня», «пока банк не закрылся», «сделка сорвётся»;
• секретность: «никому не говори», «главному бухгалтеру пока не сообщай», «это конфиденциально»;
• невозможность созвониться: «на переговорах», «плохая связь», «могу только писать»;
• необычный получатель или сумма: новый контрагент, счёт физлица, «предоплата партнёру»;
• странная манера: руководитель всегда пишет «Добрый день, Ольга Петровна», а тут «срочно сделай».

Как отмечает Сбербанк, нетипичные суммы и получатели сами по себе должны вызывать подозрение, как и нестандартная манера общения и излишняя спешка.

Вариации: не только перевод денег

Прямая просьба перевести деньги — самая очевидная версия. Есть варианты, где сотрудник сначала не понимает, что участвует в схеме.

«Оплати счёт, пришлю позже». В почту или мессенджер приходит счёт «от поставщика» с просьбой директора оплатить сегодня. Реквизиты подменены. Сбербанк отдельно описывает вариант, когда мошенники взламывают корпоративную почту и направляют в бухгалтерию или контрагентам счета с подменными реквизитами от лица руководителя.

«Пришли код». «Директор» просит продиктовать код из СМС, «чтобы подтвердить доступ» к банку, Госуслугам или рабочему кабинету. Банки прямо предупреждают: их сотрудники никогда не запрашивают логин, пароль и код из СМС. Руководителю такой код тоже не нужен.

«Тебе позвонят из органов». Сообщение «от директора» готовит почву: «сейчас с тобой свяжутся из проверяющего ведомства, сделай всё, что скажут, и никому не говори». Потом звонит якобы сотрудник полиции, ФСБ или Банка России. В памятках Сбербанка сказано, что сотрудники полиции, ФСБ и других госорганов, как правило, не решают вопросы по телефону, а Банк России в своих предупреждениях подчёркивает, что не открывает счета и не работает с гражданами.

Если сотрудник видит хотя бы два признака из списка выше — это уже основание остановиться и проверить. Не «отказаться от поручения», а именно проверить.

Почему это работает даже в толковых коллективах

Схема бьёт не по глупости, а по корпоративной культуре. Там, где руководитель привык ставить задачи в мессенджере и ругать за медлительность, сотруднику страшнее переспросить, чем ошибиться. Поэтому защита начинается не с антивируса, а с того, что директор сам, вслух и письменно, разрешает — и требует — перепроверять его.

Вторая причина — материал для подделки лежит в открытом доступе. Фото руководителя на сайте, в карточке компании и в соцсетях, ФИО главного бухгалтера в открытых данных, рабочие телефоны сотрудников в объявлениях. Отказываться от всего этого не нужно: клиенту тоже важно видеть живых людей. Нужно, чтобы внутри компании подделка не срабатывала.

Внутренние правила, которые останавливают схему

Ниже набор, который я советую владельцам малого бизнеса. Это не юридический регламент, а рабочий минимум; оформлять документально — с юристом или бухгалтером.

Правило 1. Любая просьба о деньгах — перепроверка звонком

Звонок по номеру, который уже записан в телефоне сотрудника или в справочнике компании, а не по номеру из сообщения. Сбербанк даёт ту же рекомендацию: свяжитесь с руководителем по телефону или уточните при личной встрече, действительно ли он направлял поручение. Не дозвонились — платёж ждёт.

Правило 2. Реквизиты из мессенджера не принимаются

Новый получатель попадает в оплату только через обычный порядок: договор, счёт из известного источника, проверка контрагента. Как быстро проверить компанию по открытым данным, я описывал в статье о том, что видят о вас при проверке контрагента — тот же приём работает и в обратную сторону.

Правило 3. Два человека на платёж

Если в компании больше трёх человек, платежи выше оговорённой суммы подтверждают двое: например, бухгалтер готовит, владелец подтверждает. Узнайте в своём банке, какие настройки прав и подтверждения платежей доступны в интернет-банке для бизнеса, — названия и возможности у банков разные.

Правило 4. «Срочно и секретно» — повод остановиться

Прямо напишите в правилах: руководитель никогда не просит перевести деньги срочно и тайно через мессенджер. Если такое сообщение пришло — это по определению проверка, а не поручение. Сотрудник, который задержал платёж и перезвонил, поступил правильно, даже если сообщение оказалось настоящим.

Правило 5. Кодовое слово

Для маленькой компании это простая и рабочая мера: слово или вопрос, который знают только свои и который не пишется в мессенджерах. Если «директор» с нового номера не может ответить — разговор окончен.

Правило 6. Короткий инструктаж раз в полгода

Пятнадцать минут на планёрке: показать пример сообщения, напомнить правила, сказать, кому звонить в случае сомнений. Новичку — в первый день работы.

Регламент для сотрудника: ситуация и действие

Эту таблицу можно распечатать и повесить у бухгалтерии и администратора.

Ситуация	Что делает сотрудник
«Директор» пишет с нового аккаунта или номера	Не отвечает по существу, звонит руководителю на известный номер
Просьба срочно перевести деньги или оплатить счёт	Не платит до подтверждения голосом или лично, сообщает второму подписанту
Реквизиты прислали в мессенджере	Не вносит их в платёж, запрашивает документы обычным порядком
Просят продиктовать или переслать код из СМС	Отказывает всегда, никому, независимо от того, кто просит
«Сейчас позвонят из органов, сделай, что скажут»	Кладёт трубку, сообщает руководителю по известному номеру
Просят сохранить в тайне от коллег	Сразу рассказывает ответственному — это главный признак схемы
Руководитель недоступен, а «горит»	Ждёт. Сорванный платёж дешевле украденного
Деньги уже переведены	Немедленно звонит в банк, затем руководителю; не удаляет переписку

Если деньги уже ушли: что делать сразу

Здесь счёт идёт на минуты, поэтому порядок такой.

1. Звонок в банк. Банк России в разделе вопросов об информационной безопасности советует как можно скорее позвонить в банк по официальному номеру, сообщить о мошеннической операции и заблокировать карту. Для расчётного счёта компании — звоните по номеру поддержки бизнеса с официального сайта банка или из договора, не по номеру из сообщений. Чем быстрее банк узнает, тем больше шансов остановить операцию.

2. Письменное заявление. По рекомендации Банка России нужно обратиться в банк, получить выписку и написать заявление о несогласии с операцией, сохранив копию с отметкой о приёме. По материалам ЦБ, банк рассматривает такое заявление в течение 30 дней, а по международной операции — в течение 60 дней. Для операций без согласия клиента закон устанавливает срок уведомления банка — не позднее дня, следующего за днём получения уведомления об операции, об этом напоминает и прокуратура.

3. Заявление в полицию. Банк России называет это в числе первых шагов: обратиться в правоохранительные органы с заявлением о хищении.

4. Сохранить всё. Скриншоты переписки с именем аккаунта и номером телефона, время сообщений, платёжное поручение, реквизиты получателя. Ничего не удалять, аккаунт мошенника не блокировать до того, как всё сохранено.

Важная оговорка про возврат. Банк России пишет, что банк обязан возместить деньги, если операция произошла не по вине клиента и он не сообщал мошенникам свои данные и коды; если же клиент сам перевёл деньги, банк не обязан их возвращать. С 25 июля 2024 года банк также должен вернуть деньги, если не приостановил на два дня перевод на счёт из базы данных Банка России о мошеннических операциях. Эти правила ЦБ описывает прежде всего для граждан. Как они применяются к расчётному счёту вашей компании и что сказано в договоре с банком, уточняйте у банка и юриста. Горячая линия Банка России для консультаций — 300 с мобильного или 8 800 300-30-00.

Отдельный риск после такого инцидента — ограничения по счёту со стороны банка, если деньги ушли на счёт, который банк считает мошенническим. Как устроена блокировка и что делать — отдельная тема; на всякий случай держите под рукой документы по всем платежам.

Как уменьшить материал для мошенников без паранойи

Убрать директора с сайта и отовсюду — плохая идея: для клиента живое лицо и настоящие контакты повышают доверие. Разумнее вот что.

• Разделить публичное и внутреннее. Общий телефон и почта компании — на сайте. Личные мобильные бухгалтера и директора — не в открытом доступе.
• Закрыть в мессенджерах видимость номера для посторонних у тех, кто работает с деньгами.
• Не публиковать структуру «кто платит»: должности и ФИО финансовых сотрудников в соцсетях компании не нужны клиенту.
• Защитить аккаунты руководителя облачным паролем и двухфакторной защитой: если взломают настоящий аккаунт директора, никакая проверка «нового номера» не сработает.
• Следить за своим брендом в поиске и мессенджерах: подделки аккаунтов часто идут вместе с подделками сайтов и страниц компании. Как это выглядит на практике, я разбирал в статье о том, как мошенники продают ваши кейсы от вашего имени, а общую механику подмены — в старом материале про фишинг.

Когда нужен специалист

Правила из статьи закрывают типичную схему «поддельный аккаунт плюс срочная просьба». Привлекайте специалиста по информационной безопасности и юриста, если:

• сообщение пришло с настоящего аккаунта или настоящей почты руководителя — значит, взломан сам аккаунт, и проблема шире;
• мошенники знали внутренние детали: суммы, имена контрагентов, даты платежей — возможна утечка из почты или бухгалтерской программы;
• переводов было несколько или сумма значимая для бизнеса;
• банк ввёл ограничения по счёту после инцидента.

При краже денег или данных обращайтесь в полицию и в свой банк сразу, не дожидаясь внутренних разбирательств. При сомнениях в дальнейших шагах — к юристу или специалисту по информационной безопасности.

Частые вопросы

Можно ли отменить платёж, если заметили через десять минут?

Зависит от банка и от того, успел ли платёж уйти. Шанс есть только при немедленном звонке в банк. Поэтому номер поддержки бизнеса должен быть записан у бухгалтера заранее.

Наказывать ли сотрудника, который перевёл деньги?

Это решение работодателя и вопрос к юристу. С практической стороны: если в компании не было правила перепроверки, сотрудник действовал по привычке, которую сформировал сам бизнес. Сначала правила, потом спрос.

Нас уже пытались так обмануть, но никто не перевёл. Сообщать куда-то?

Предупредите сотрудников и контрагентов, что появился фальшивый аккаунт руководителя. Пожаловаться на аккаунт можно через функцию жалобы в самом мессенджере. Если мошенник успел прислать реквизиты для перевода, сообщите о них в свой банк по официальным контактам.

Руководитель правда часто пишет с разных номеров. Как быть?

Договориться, что поручения о деньгах приходят только одним способом — например, через интернет-банк на подтверждение или голосом. Удобство здесь уступает безопасности.

Помогает ли двухфакторная защита от этой схемы?

От поддельного аккаунта — нет, его создают с нуля. От взлома настоящего аккаунта директора — да, поэтому она нужна обязательно, но основную работу делают внутренние правила.

Коротко

• Схема: новый аккаунт «директора», срочность, секретность, просьба перевести деньги, оплатить счёт или прислать код.
• Главное правило: любая просьба о деньгах перепроверяется звонком по известному номеру; не дозвонились — не платим.
• Реквизиты из мессенджера не принимаются, платежи выше порога подтверждают двое.
• Коды из СМС не передаются никому, «звонок из органов» после сообщения директора — признак схемы.
• Деньги ушли: сразу банк, затем письменное заявление о несогласии с операцией и заявление в полицию; всё сохранить.
• Фото руководителя на сайте убирать не нужно — нужно, чтобы внутри компании подделка не срабатывала.

Поддельные аккаунты — одна из форм атаки на бренд, и сайт, почта, домен и рекламные кабинеты компании под той же угрозой. На консультации проверю доступы и уязвимые места сайта и рекламных кабинетов: у кого ключи, какие контакты опубликованы, где клиенты могут перепутать вас с подделкой. Техническое состояние сайта можно посмотреть в рамках бесплатного аудита, а исправления поручить через доработку сайта. Когда официальный сайт компании уверенно находится по названию бренда, клиенту проще отличить вас от подделки — на этом строится продвижение компании в Яндексе. Порядок действий при переводе в статье сверен с разъяснениями Банка России и материалом Сбербанка для предпринимателей.