Данные клиента, тип товара, объём заказа и часть коммерческих деталей изменены для сохранения конфиденциальности. Логика разбора сохранена.
письмо, которое пришло очень вовремя
Клиент — импортёр домашнего текстиля — оплачивал вторую партию через платёжного агента: маршрут отработан, первая партия прошла без приключений, комплект документов в порядке. Сумма поручения — эквивалент 2,4 млн ₽, дедлайн по брони производства — вечер того же дня.
За час до планового перевода в переписку упало письмо от «менеджера агента»: китайский получатель «обновил счёт — старый на лимите по валютным операциям», реквизиты во вложении, «просьба провести сегодня, чтобы не слетела очередь на отправку». Имя менеджера — настоящее, тон — обычный рабочий, история переписки — на месте.
Единственное, что отличало письмо от настоящего, — одна буква в домене отправителя. Но заметили её не сразу и не по ней остановили платёж: сработало другое — правило «новый получатель = новая проверка юрлица», которое клиент забрал с разбора первой сделки.
В новых реквизитах стояло незнакомое юрлицо — не тот экспортный агент фабрики, на которого уходил первый платёж. Формально это ничего не доказывало: у платёжных цепочек получатели действительно меняются. Поэтому вместо паники запустили штатную процедуру — проверку нового получателя по номеру USCC из присланных реквизитов.
почему платёж «не туда» почти невозвратен?
Особенность агентской схемы в том, что агент честно доводит деньги до тех реквизитов, которые ему передали. Если в цепочку попадает подменённый счёт, формально все звенья отработали правильно — а деньги ушли мошеннику. Отозвать международный платёж после зачисления практически невозможно: со счёта-прокладки его выводят за часы.
Получатель платежа — это юрлицо, а не строчка в письме. Юрлицо проверяется в реестре — до перевода, а не после.
Принцип проверки TovianЗадача стояла простая и срочная: за оставшийся до дедлайна час понять, кому на самом деле уходят 2,4 млн ₽, — и либо спокойно платить, либо останавливать сделку и разбираться с каналом связи.
Риск бездействия был бинарным: либо потеря всей суммы без реальных шансов на возврат, либо срыв брони производства на несколько дней. Второе неприятно; первое — фатально для оборотки сезона.
анатомия атаки на платёж
Подмена реквизитов — не экзотика, а конвейерная схема: злоумышленник получает доступ к переписке одной из сторон (чаще — через фишинг почты), неделями читает её молча и выходит на сцену в самый денежный момент — перед крупным платежом.
Атака бьёт не в технологии, а в привычки. Письмо приходит в живой тред, от знакомого имени, с правдоподобной причиной — «лимит по валютным операциям», «банк обновил кор-счёт», «финансовый отдел перевёл расчёты на другое юрлицо группы». Каждая формулировка звучит как обычная операционная рутина расчётов с Китаем.
Второй элемент — дедлайн. Смена реквизитов всегда «совпадает» с моментом, когда платить нужно срочно: очередь на отправку, окно брони, курс «только сегодня». Спешка выключает процедуры — на это и расчёт.
Третий — домен-двойник: адрес отправителя отличается одной буквой или зоной. В мобильном клиенте почты разница не видна вовсе. Полагаться на «внимательность к адресу» бессмысленно — нужна процедура, которая не зависит от зоркости уставшего человека в конце дня.
сорок минут до стоп-платежа
Порядок действий — штатный протокол смены реквизитов, без импровизаций.
заморозили платёж по умолчанию
Правило протокола: любая смена реквизитов автоматически ставит перевод на паузу — пока смена не подтверждена по независимому каналу.
прогнали получателя по USCC
Открыли карточку нового юрлица в госреестре КНР по номеру из реквизитов: дата регистрации, капитал, вид деятельности, представитель, связи.
сверили связь со сделкой
Проверили, фигурирует ли компания в контракте, инвойсе, переписке или в структуре экспортного агента фабрики — хоть где-нибудь.
позвонили агенту по номеру из договора
Не ответили на письмо, а набрали телефон из агентского договора. Менеджер о «новых реквизитах» слышал впервые.
После звонка сравнили адреса отправителей в треде — и только тогда увидели домен-двойник. Проверка юрлица поймала атаку раньше, чем глаз заметил подделку: так и должно работать — процедура страхует внимание, а не наоборот.
четыре факта о «новом получателе»
Каждый факт по отдельности — серый флаг; вместе — однозначный портрет счёта-прокладки.
юрлицу семь недель
Дата регистрации — меньше двух месяцев до платежа. Для «расчётной компании группы» — неправдоподобно свежая.
профиль не про экспорт
Вид деятельности — «консалтинг и управление», минимальный капитал, один учредитель-физлицо. Ни лицензий, ни персонала.
ноль связей со сделкой
Компания не упоминается ни в контракте, ни в инвойсе, ни в переписке; с фабрикой и её экспортным агентом не связана.
домен-двойник в адресе
Письмо о «новых реквизитах» ушло с домена, отличавшегося одной буквой от настоящего домена агента.
Настоящий получатель меняется документом с печатью и звонком, а не письмом «проведите сегодня». Спешка — это не контекст платежа, это его симптом.
Показательно, что сам агент оказался добросовестным: его юрлицо, договор и первый платёж были в полном порядке. Атаковали не агента и не клиента — атаковали канал связи между ними. Это важный сдвиг оптики: проверка контрагентов не отменяет проверку каждого конкретного платежа.
когда платёж нужно останавливать?
Любой пункт списка — пауза и проверка; два и больше — почти наверняка атака.
- Реквизиты меняются незадолго до платежа. Чем ближе к дедлайну — тем подозрительнее «обновление».
- Новый получатель не фигурирует в документах сделки. Ни в контракте, ни в инвойсе, ни в поручении.
- Причина смены счёта непроверяема. «Лимит», «блокировка», «банк обновил» — слова без документа.
- Письмо давит срочностью. «Только сегодня», «очередь слетит», «курс уйдёт» — классические ускорители.
- Просьба не звонить, «менеджер на выезде». Отрезают независимый канал подтверждения.
- Юрлицо получателя моложе сделки. Компания зарегистрирована позже, чем начались ваши переговоры.
Зеркальное правило для процессов: если смена реквизитов у вас не вызывает остановки платежа — протокола нет, есть везение. Везение заканчивается на сумме, которую жалко.
что было бы, уйди платёж?
Первое — деньги. 2,4 млн ₽ на счёте-прокладке живут часы: к моменту, когда подмена вскрылась бы по неполучению денег фабрикой (дни), выводить было бы уже нечего.
Второе — сделка. Фабрика денег не получила, бронь производства слетела, сезонная партия опоздала бы к окну продаж — каскад потерь поверх украденной суммы.
Третье — разбирательства без перспектив. Агент формально не виноват: платёж он не проводил, реквизиты не менял. Банк исполнил поручение клиента. Полицейское дело о трансграничном фишинге — это годы и проценты вероятности, а не возврат.
И четвёртое — паралич доверия. После такой потери компании нередко откатываются к «безопасным» серым схемам или замораживают направление целиком. Цена ошибки измеряется не только суммой платежа, но и сломанной траекторией бизнеса. При этом сам инструмент ни в чём не виноват: агентская схема остаётся рабочим маршрутом расчётов — опасна не схема, а отсутствие протокола вокруг неё.
деньги целы, протокол стал жёстче
Платёж провели в тот же день — по прежним, подтверждённым реквизитам, после звонка агенту и его письменного подтверждения с печатью, что получатель не менялся. Бронь производства не пострадала: «страшный дедлайн» из письма существовал только в сценарии атакующего.
Агент по итогам инцидента подтвердил компрометацию переписки на стороне одного из почтовых ящиков, сменил домен-политику и разослал клиентам регламент: реквизиты — только в поручении, любые изменения — допсоглашением плюс подтверждение голосом.
Клиент зашил проверку в процесс: каждый новый получатель в цепочке — автоматический прогон по USCC, каждый новый маршрут — тестовый платёж малой суммой. Стоимость протокола — минуты; страхуемая сумма — вся оборотка.
платёж спасла не бдительность, а процедура: новый получатель = проверка юрлица по USCC + подтверждение по независимому каналу
протокол смены реквизитов: пять пунктов
Протокол занимает меньше часа и не требует специальных знаний — только дисциплины.
- Стоп по умолчанию. Любая смена реквизитов ставит платёж на паузу — без исключений для «срочных» случаев.
- Подтверждение по независимому каналу. Звонок по номеру из договора, а не ответ на письмо в тред.
- Проверка юрлица получателя. Карточка в госреестре КНР по USCC: статус, возраст, профиль, представитель.
- Связь со сделкой документом. Письмо поставщика или агента с печатью о том, кто и почему получает деньги.
- Тестовый платёж на новый маршрут. Малая сумма — подтверждение зачисления — и только потом основная.
Быстрая проверка юрлица — проверка компании по USCC: статус, возраст, капитал, представитель и суды в одном отчёте. Как устроена сама агентская схема и её документы — в разборе платёжный агент для оплаты в Китай, красные флаги счетов — в материале оплата на другой счёт. И помните про зеркальную гигиену: ваша собственная почта — такой же вектор атаки, как и почта агента: двухфакторная аутентификация и отдельный ящик для платёжных вопросов закрывают половину сценариев подмены ещё до протокола.
главное из этой истории
Атаковали не компанию и не агента — атаковали момент между ними. Защитила не интуиция, а скучная процедура, выполненная в неудобный момент.
- Смена реквизитов = стоп-платёж — всегда, независимо от срочности.
- Получатель проверяется по USCC — юрлицо, возраст, профиль, связь со сделкой.
- Подтверждение — голосом по номеру из договора — не ответом в тот же тред.
- Спешка — симптом атаки — честный контрагент переживёт паузу в несколько часов.
Если вынести одну привычку — пусть будет эта: реквизиты — часть договора, а не переписки. Всё, что меняет договор, оформляется как договор.
как устроена проверка компании в tovian?
Инструмент собирает досье юрлица по номеру USCC или китайскому названию — по тем же источникам, по которым сверяет контрагентов банковский комплаенс.
- Идентификация. Точное название иероглифами, номер USCC, статус в госреестре — компания существует и действует.
- Профиль. Дата регистрации, капитал, вид деятельности, законный представитель — портрет вместо вывески.
- Риски. Чёрные списки, судебные дела, исполнительные производства — история поведения юрлица.
- Связи. Учредители и аффилированные компании — чем получатель связан с вашим поставщиком.
- Итог. Отчёт с выводом: платить, уточнять или останавливать.
Быстрый скрининг продавца по ссылке на магазин делает онлайн-проверка поставщика, юридическое досье получателя денег — проверка по USCC: два инструмента одного протокола.
Проверка делается до перевода и повторяется при любой смене реквизитов — так «письма от менеджера» перестают быть способом увести ваш платёж.
Кейсы основаны на практике проверки контрагентов и платёжных цепочек
Каждое досье — реальная методика Tovian в действии: проверка юрлица по госреестрам КНР, сверка получателя платежа со сделкой, протоколы защиты расчётов. Названия компаний и детали сделок изменены, суть разбора и выводы сохранены.
