Подмена реквизитов в счёте или деловой переписке
Отзыв в банке — в первые часы, письмо — с заголовками, реквизиты — голосом
В этой схеме мошенник встраивается в реальную сделку. Путей два: домен, отличающийся от адреса контрагента одним символом, либо взлом настоящего почтового ящика одной из сторон. Переписка выглядит привычно, счёт — как обычно, и только банковские реквизиты в «уточнённой версии» уже чужие.
Взломанный ящик может молчать неделями: мошенник читает переписку, изучает стиль и ждёт крупного счёта. В почте появляется правило пересылки, которое прячет ответы контрагента, — стороны переписываются с посредником, не подозревая об этом. Обман вскрывается, когда поставщик спрашивает, где оплата.
Дальше счёт идёт на часы: шансы остановить или отследить перевод зависят от скорости обращения в банк. Но параллельно нужно сохранить технический след письма — иначе канал подмены останется рабочим и следующий счёт уйдёт туда же.
Где могла произойти подмена
- домен отправителя отличается от настоящего одним символом или зоной
- реквизиты «уточняются» в последнем письме перед самой оплатой, часто со ссылкой на «смену банка»
- в ящике обнаруживается чужое правило пересылки или фильтр, скрывающий ответы
- стиль переписки чуть «плывёт»: другое время отправки, несвойственные обороты, новая подпись
- письмо давит на срочность оплаты и просит не звонить: «бухгалтер в отпуске, вопросы письменно»
Что делать со счётом, письмом и переводом
Запросите у банка процедуру отзыва
Позвоните в свой банк сразу, как обнаружили подмену: назовите сумму, дату, банк и счёт получателя, скажите прямо — «платёж по подменённым реквизитам, прошу инициировать отзыв». Получите номер обращения и продублируйте всё письменно. Каждый час здесь имеет значение: пока деньги не ушли дальше, шансы есть.
Сохранить: Платёжное поручение, регистрационный номер обращения в банк.
Сверьте реквизиты по независимому каналу
Позвоните контрагенту по номеру, известному вам до этой переписки, — не по телефону из подписи подозрительного письма. Сравните реквизиты из оплаченного счёта с настоящими и установите, в каком письме они изменились. Попросите письменное подтверждение правильных реквизитов.
Сохранить: Обе версии счёта и письменное подтверждение контрагента.
Сохраните оригинал письма с заголовками
Экспортируйте подменённое письмо целиком — в формате с техническими заголовками, вложениями и адресом для ответа. Обычная пересылка «специалисту» затирает маршрут доставки, поэтому сначала сохраните исходный файл, а потом уже делитесь копиями. Обратите внимание на поле Reply-To: часто именно там прячется чужой адрес.
Сохранить: Файл исходного письма с полными заголовками маршрутизации.
Проверьте почту обеих сторон
В своём ящике завершите все сессии, смените пароль и просмотрите правила пересылки и фильтры — чужое правило вида «пересылать и удалять» встречается в таких инцидентах постоянно. Проверьте делегированный доступ и подключённые приложения. Попросите контрагента сделать то же самое у себя.
Сохранить: Журнал входов, список найденных и удалённых правил пересылки.
Свяжите обращения и предупредите команду
Соберите в один журнал номера обращений в банки и заявлений в полицию или милицию с обеих сторон сделки. Предупредите всех, кто оплачивает счета в компании: до конца разбора реквизиты каждого ожидающего платежа сверяются с контрагентом голосом. Одной подменой такие группы обычно не ограничиваются.
Сохранить: Журнал инцидента с номерами обращений, перечень счетов на перепроверке.
Что сохранить из почты и платёжных документов
- оригинал письма с техническими заголовками
- старая и подменённая версии счёта
- платёжное поручение и реквизиты фактического получателя
- журнал входов и найденные правила пересылки почты
- письменное подтверждение реквизитов от контрагента по независимому каналу
Частые вопросы
Как понять, чей ящик взломали — наш или контрагента?
По техническим заголовкам и журналам входов обеих сторон. Если письмо пришло с похожего домена — взлома могло не быть вовсе, только имитация адреса. Если с настоящего адреса контрагента — проверять нужно его ящик, а заодно и свой: правила пересылки ставят и жертве, и её партнёру.
Почему нельзя просто переслать письмо специалисту?
При обычной пересылке технические заголовки заменяются данными вашей пересылки — маршрут оригинала теряется. Сначала экспортируйте письмо в исходном виде или воспользуйтесь функцией «показать оригинал», сохраните файл, и только копию отправляйте на разбор.
Банк обязан вернуть деньги, если реквизиты подменили?
Нет: платёж формально отправили вы, по указанным вами реквизитам. Банк может запустить процедуру отзыва и запросить банк получателя, но исход зависит от того, успели ли вывести средства. Поэтому обращение в первые часы и заявление в полицию или милицию — обязательная пара действий.
Контрагент говорит, что письма с новыми реквизитами не отправлял. Кто тогда платит за товар?
Это типичный спор после BEC: платёж ушёл мошеннику, а обязательство перед поставщиком формально не закрыто. Решается переговорами или судом, и здесь важны доказательства: заголовки письма, версии счетов, номера обращений. Чем полнее ваш след, тем понятнее, на чьей стороне была компрометация.
Официальные источники
- INTERPOL — Business Email Compromise →Общая механика подмены деловой переписки
- UK NCSC — business payment fraud →Реагирование на платёж и компрометацию почты
- FBI IC3 — Business Email Compromise →Срочное банковское обращение и технические следы