Поставщик из Китая прислал новые реквизиты: почему такому письму верят и кто отвечает за ушедшие деньги

Письмо о смене реквизитов может прийти в вашей переписке с поставщиком и почти целиком состоять из настоящих сведений. Подменён в нём только счёт получателя. Поэтому одного письма для смены реквизитов недостаточно: просьбу подтверждают по каналу, которым пользовались до её получения, а решение принимают как минимум двое. Если деньги уже ушли, распределение убытков зависит от обстоятельств и договора. Сам факт взлома этот вопрос не решает.

Письмо из настоящей переписки: как выглядит подмена реквизитов

Покупатель одобрил оплату остатка. Товар прошёл инспекцию, счёт на оплату выглядит знакомо. В той же цепочке писем менеджер поставщика сообщает: прежний счёт на ежегодной проверке, оплату за эту партию просят перевести на новый, всё остальное без изменений.

В приложенном счёте есть логотип, адрес, номер заказа, стоимость партии и подпись поставщика. В письме упомянута настоящая задержка производства, которую обсуждали две недели назад. Получателем указана компания, а не частное лицо. Банк находится в Гонконге, где у поставщика, по его словам, и раньше были деловые связи.

Бухгалтерия меняет реквизиты и отправляет перевод. Через три дня настоящий поставщик спрашивает, почему не пришла оплата.

Так выглядит подмена платёжных инструкций внутри настоящей сделки. Для неё не нужна технически сложная атака: счёт на оплату, отгрузка и долг могут быть настоящими, а счёт получателя подменён.

Обычная проверка поставщика может установить, что китайский производитель существует и, судя по доступным сведениям, работает. Но она не подтверждает подлинность реквизитов, которые придут через полгода. Получателя проверяют при каждой оплате.

Откуда посторонний знает о вашей сделке и почему письмо приходит ровно к оплате

Сведения о сделке злоумышленник получает разными путями. Он может взломать почту покупателя, поставщика или посредника: экспедитора, агента по закупкам, инспекционной компании. Иногда достаточно завести похожий почтовый адрес, без взлома. Источником сведений бывают и бывшие сотрудники.

Получив доступ, злоумышленник может неделями читать переписку. В ней есть номера счетов и заказов, этапы оплаты, даты инспекции и отгрузки, валюта и прежние реквизиты. По письмам он выясняет, кто согласует оплату, кто может менять реквизиты в учёте и кто отправляет перевод, запоминает имена и манеру письма этих людей. Ему становятся известны отпуска сотрудников и разница во времени между участниками сделки.

Китайская полиция и валютные органы сами описывали такие атаки против экспортёров, причём в обе стороны. Злоумышленники выдают себя за китайского экспортёра, чтобы перехватить оплату иностранного покупателя, и за иностранного контрагента, чтобы получить деньги с китайской компании.

Чтобы выдать письмо за настоящее, обычно используют один из трёх приёмов.

Взломан настоящий ящик. Письмо приходит с настоящего адреса, а злоумышленник может прятать ваши ответы и уведомления. Поэтому правильный адрес отправителя ничего не доказывает.

Похожий адрес. Отличие от настоящего небольшое, часто в одном-двух знаках. Китайские официальные предупреждения описывают именно замену букв и цифр на похожие.

Совпадает только видимое имя. Имя отправителя прежнее, но сам адрес или адрес для ответа другой. В почте на телефоне полный адрес часто не виден.

Технические проверки подлинности письма могут помочь понять его маршрут, но не доказывают, что его написал уполномоченный человек. Письмо из взломанного настоящего ящика может пройти эти проверки.

Просьба перевести деньги на новый счёт убедительнее всего, когда платёж и так ожидается. Это может быть предоплата после подтверждения заказа, остаток после инспекции или оплата против отгрузочных документов. Подмену могут приурочить к оплате оснастки или остатка за пресс-форму, перевозки или простоя. Подходящий момент возникает и перед китайскими праздниками либо при срочной оплате к сроку отправки груза. В такой ситуации смена реквизитов выглядит обычным рабочим вопросом.

«Счёт на проверке», «платите на гонконгский счёт»: почему объяснения звучат правдоподобно

Объяснения смены счёта повторяются: ежегодная проверка банка, старый счёт временно заморожен, исчерпан валютный лимит, «платите на гонконгский счёт, так быстрее», «завод назначил экспортную компанию». Иногда просят не звонить прежнему менеджеру, потому что тот в отпуске.

Часть таких причин действительно встречается в торговле с Китаем. Бывает, что завод получает экспортную выручку через связанную торговую компанию, гонконгскую компанию или уполномоченного экспортного агента. Это и делает историю убедительной. Однако по-прежнему нужно выяснить, кому принадлежит предложенный счёт и почему эта компания вправе получить ваш платёж.

После зачисления деньги могут быстро уйти дальше. Просьба об отзыве перевода не гарантирует его отмены.

Почему настоящий счёт на оплату и печать на нём не подтверждают новые реквизиты

В поддельный «исправленный» счёт могут скопировать настоящие сведения из оригинала: китайское зарегистрированное наименование поставщика, английское торговое название, единый код социального кредита (统一社会信用代码), адреса, логотип и изображение печати компании (公章). Ваше наименование и адрес, номер заказа, описание товара, количество и цена тоже могут быть настоящими. То же относится к условиям поставки, дате отгрузки, имени менеджера, номеру счёта на оплату и названию банка.

Скан бизнес-лицензии (营业执照) не доказывает ни того, что отправитель управляет компанией, ни того, что новый счёт принадлежит ей.

Счёт компании вместо счёта частного лица тоже не даёт гарантии. Китайская полиция предупреждала, что счета компаний покупают или берут под контроль для отмывания денег от мошенничества.

В платеже участвуют три роли: сторона договора, тот, кто выставил счёт на оплату, и владелец банковского счёта. Безопаснее всего, когда это одно лицо. Расхождение не доказывает обман, но такой платёж уже рассматривают как исключение.

Правила платежа в вашей компании, которые останавливают подмену

Защита от подмены требует правил платежа, которые действуют в компании постоянно.

Одного письма недостаточно. Вносить или менять реквизиты поставщика только на основании письма, сообщения в мессенджере, счёта на оплату, фирменного бланка, изображения печати или копии банковского документа нельзя. Правило действует при любой смене и любой сумме, даже если просьба пришла с настоящего адреса или новый получатель входит в ту же группу компаний.

Платёж на паузе. Любая смена реквизитов сразу приостанавливает платёж. Старые реквизиты сохраняют рядом с новыми.

Подтверждение по прежнему каналу. Смену подтверждают по каналу и номеру, которые были у вас до этой просьбы. Номер из письма, нового счёта или визитки, присланной в том же сообщении, для этого не подходит. Ответ в той же цепочке писем подтверждением не считается. Нельзя полагаться только на вопросы, ответы на которые есть в переписке: номер счёта, дату отгрузки и сумму злоумышленник уже знает.

Решают двое. Один человек не должен выполнять весь процесс: получать просьбу, подтверждать её, вносить новые реквизиты в учёт, одобрять счёт и отправлять платёж. Нужны минимум двое. Сотрудник, который одобряет платёж, должен видеть старые и новые реквизиты и запись о подтверждении. Одной отметки «согласовано» недостаточно.

Бывает, знакомый контакт поставщика подтверждает смену, но не может объяснить, почему деньги должен получить посторонний получатель. В таком случае платёж остаётся на паузе. Давнее знакомство не отвечает на вопрос о праве получателя на эти деньги.

Срочность, праздник, срок отгрузки и ссылка на то, что «поставщик уже давно проверен», правил не отменяют. Пробный платёж тоже не устанавливает владельца счёта: он подтверждает лишь то, что счёт принимает деньги.

После первого платежа на новый счёт поставщику по уже установленному каналу сообщают, куда ушли деньги. Указывают дату, получателя, банк и последние четыре цифры счёта. Так подмену можно заметить, пока есть шанс остановить следующие платежи.

Если сразу после первого успешного платежа просят отправить ещё несколько, это повод остановить все ожидающие платежи.

Если деньги ушли: чего не делать в первые дни

В банк и правоохранительные органы обращаются сразу и параллельно, не откладывая это до внутреннего совещания, ответа поставщика или выяснения, чей ящик взломан. Одно обращение не заменяет другое.

С настоящим поставщиком связываются по проверенному каналу. Выясняют, разрешал ли он использовать этот счёт, взломана ли его почта, получили ли такие письма другие покупатели и узнаёт ли он получателя. Китайский поставщик сам обращается в свой банк и местную полицию, сохраняет банковские записи и свою переписку, в том числе в мессенджерах.

Чего не делать:

• не ограничивать общение подозрительным ящиком;
• не обвинять поставщика, пока не ясно, где был взлом: взломать могли вас, его или посредника;
• не отправлять второй платёж под предлогом того, что «первый счёт заблокирован»;
• не платить «агентам по возврату», которые обещают связи в банке или полиции;
• не считать скриншот «счёт заморожен» доказательством возврата;
• не раскрывать злоумышленнику действия банка и полиции;
• не удалять письма и правила почтового ящика, пока они не сохранены.

Кто несёт убыток и что записать в договор заранее

Однозначного ответа нет, он зависит от обстоятельств. При разборе учитывают применимое право, правила платёжной системы и договор с банком. Выясняют, разрешил ли плательщик платёж, соблюдал ли банк согласованную процедуру и какие предупреждения видел плательщик. Значение имеют также небрежность сторон, условия договора об оплате и то, чьи системы взломали. Учитывают и сумму, которую удалось вернуть с принимающего счёта.

Коммерческий спор может развиваться отдельно от уголовного дела. Поставщик может утверждать, что денег не получил и счёт не оплачен. Покупатель может возражать, что платил по инструкциям, якобы пришедшим от поставщика. Ни сам факт взлома, ни заявление в полицию этот спор автоматически не решают.

Чтобы снизить неопределённость, в договоре заранее указывают:

• исходного согласованного получателя платежа;
• допустимые юрисдикции получателя платежа;
• кто вправе просить смену реквизитов;
• срок уведомления о смене;
• обязательное подтверждение смены звонком;
• почтовые домены, с которых принимаются такие сообщения;
• требование подписанного разрешения;
• порядок для сторонних счетов;
• в какой момент платёж считается исполнением обязательства покупателя;
• кто несёт убыток, если переписку взломали;
• обязанность сразу сообщать другой стороне о подозрении на взлом;
• применимое право и порядок разрешения споров.

Договорные условия не заменяют правил платежа: даже хорошо написанная процедура почти не защищает в момент оплаты, если сотрудники её не выполняют.

Итог

Опасное письмо редко выглядит неправдоподобно: оно связано с реальной сделкой, а счёт на оплату и срок оплаты в нём настоящие.

Бизнес-лицензия, проверка завода, образец и годы удачных заказов не подтверждают новый счёт. Поэтому нужны и проверка поставщика, и контроль платежа. Первая устанавливает, кто ваш контрагент. Второй позволяет выяснить, принадлежит ли счёт контрагенту или назначен ли этот счёт поставщиком именно в тот момент, когда уходят деньги.