Подмена реквизитов в письме: как не отправить деньги мошеннику
Коротко. Схема простая: мошенники получают доступ к почте поставщика или подделывают адрес и присылают «обновлённые реквизиты». Деньги уходят на чужой счёт. Единственная надёжная защита — сверка по телефону, номер которого у вас был раньше, а не взят из письма.
Как выглядит атака
Вы ведёте переписку с поставщиком. Внезапно приходит письмо: «У нас сменился банк, просим оплатить по новым реквизитам». В письме может быть:
- та же подпись, что и раньше;
- цитата предыдущей переписки;
- вложение с «договором» или «счётом»;
- ссылка на «личный кабинет».
Иногда письмо приходит с адреса, отличающегося одной буквой, иногда — с настоящего адреса, если почту поставщика взломали.
Почему это работает
- Люди доверяют знакомому адресу.
- Реквизиты выглядят обыденно, их никто не проверяет.
- Срочность («оплата до конца дня») подавляет критическое мышление.
- Мошенники знают контекст переписки.
Microsoft описывает подобные атаки как business email compromise: злоумышленник не взламывает банк, он убеждает человека сделать перевод добровольно.
Признаки подделки
- Изменился адрес отправителя, пусть и незначительно.
- Письмо пришло вне обычного графика.
- Тема начинается с «Re:» или «Fwd:», хотя обсуждения не было.
- Просят срочно и не звонить.
- Новые реквизиты в другом банке.
- В письме появились ссылки на незнакомые домены.
- Вложение открывается с предложением включить макросы.
Ни один признак не является доказательством, но вместе они дают повод остановиться.
Правило обратного звонка
- Не отвечайте на письмо.
- Не звоните по номеру из письма.
- Найдите номер в договоре, на сайте поставщика или в старой переписке.
- Позвоните и уточните, действительно ли менялись реквизиты.
- Попросите подтверждение на официальном бланке.
Если поставщик подтверждает смену счёта, зафиксируйте это письменно. Если нет — сохраните письмо как доказательство попытки мошенничества.
Что делать, если перевод уже ушёл
- Немедленно свяжитесь с банком.
- Сообщите о мошенничестве и попросите остановить платёж.
- Подайте заявление в полицию.
- Сообщите поставщику, что его почта, вероятно, взломана.
- Сохраните письма, счета и переписку.
Чем быстрее вы обратились, тем выше шанс вернуть деньги. Но гарантии нет: переводы исполняются быстро.
Технические меры
- Включите многофакторную аутентификацию в почте.
- Настройте уведомления о входящих письмах с изменениями реквизитов.
- Проверяйте подлинность домена отправителя.
- Используйте защиту почтового шлюза.
- Ограничьте число сотрудников, которые могут менять платёжные данные.
Технические меры снижают риск, но не заменяют процедуру проверки.
Если взломали почту поставщика
Признаки: приходят письма от его имени, которые он не отправлял; контрагенты получают странные счета; в переписке появились новые адреса.
Что делать: сообщить поставщику по телефону, предупредить коллег и не оплачивать счета до подтверждения.
Чего не делать
- Не менять реквизиты по одному письму.
- Не звонить по номеру из подозрительного письма.
- Не пересылать сканы документов с личными данными.
- Не игнорировать несоответствие домена.
- Не откладывать звонок в банк при подозрении.
Что запомнить
- Смена реквизитов — всегда повод для звонка.
- Номер берите из своих записей.
- Срочность — приём давления.
- Банк нужно предупредить сразу.
- Технические меры дополняют процедуру, а не заменяют её.
Почему проверка реквизитов — обязанность, а не формальность
Даже если вы доверяете поставщику годами, письмо о смене счёта приходит в момент, когда всё выглядит обыденно. Мошенники рассчитывают на привычку: человек видит знакомое имя, знакомую подпись и не перечитывает реквизиты.
В компаниях с бухгалтерией такие письма часто попадают к сотруднику, который не принимал решение о закупке. Он не знает, менялся ли банк, и не может проверить это самостоятельно. Поэтому правило должно быть общим: любое изменение платёжных данных подтверждается вторым каналом.
Как организовать подтверждение
Один сотрудник получает счёт, другой проверяет реквизиты по договору, третий подтверждает платёж. Для небольших сумм достаточно двух шагов, для крупных — трёх.
Полезно вести журнал: дата, контрагент, кто проверял, по какому номеру звонили, что ответили. Если позже возникнет спор, журнал покажет, что компания действовала добросовестно.
Что делать с подозрительным письмом
Не удаляйте его сразу. Сохраните заголовки, адрес отправителя, вложения и ссылки. Передайте в службу безопасности или администратору. Если письмо пришло якобы от поставщика, предупредите его по телефону — возможно, его почта взломана и такие же письма ушли другим клиентам.
Как проверить домен отправителя
Откройте письмо и посмотрите полный адрес, а не только имя отправителя. Имя можно задать любое, адрес — нет.
Обратите внимание на домен после символа @. Если он отличается от домена компании хотя бы одним символом, это повод насторожиться. Похожие домены часто регистрируют специально: заменяют букву, добавляют дефис или используют другое окончание.
Проверьте и адрес для ответа: иногда он отличается от адреса отправителя. Мошенники делают это, чтобы ответы уходили им.
Если домен совпадает, но письмо странное, возможно, почту компании взломали. В этом случае звонок поставщику обязателен.
Что делать, если мошенники использовали ваш адрес
Если от вашего имени уходят письма с поддельными реквизитами, проверьте почту на взлом, смените пароль, включите двухфакторную защиту и предупредите контрагентов.
Сообщите в службу безопасности и сохраните доказательства: заголовки писем, время, адреса. Это поможет и вам, и тем, кто получил поддельное письмо.
Короткая памятка
Перед оплатой: сверьте ИНН и счёт с договором, позвоните по сохранённому номеру, сохраните подтверждение. Если что-то не совпадает — остановите платёж и сообщите в банк.
FAQ
Достаточно ли проверить адрес отправителя?
Нет, адрес могли подделать или взломать почту.
Что если поставщик действительно сменил банк?
Подтвердите это по телефону из договора и попросите документ.
Вернут ли деньги после перевода?
Иногда, если обратиться сразу; гарантии нет.
Опасно ли открывать вложение со счётом?
Да, особенно если предлагают включить макросы.
Как защитить свою почту?
Включите двухфакторную аутентификацию и проверяйте устройства входа.
Нужно ли сообщать в банк о подозрительном письме?
Да, это помогает отслеживать схему.