Платежное мошенничество при приеме платежей (эквайринге): три схемы, которые обходят классическую защиту

Обслуживание платежей (интернет-эквайринг) прочно вошло в повседневную жизнь: банки, платежные агрегаторы и торгово-сервисные предприятия ежедневно проводят миллионы денежных операций (транзакций). Но, как показывает практика, у цифровизации есть не только удобства, но и уязвимости. Недобросовестные участники рынка научились подключаться к системам приема платежей полностью легально, а затем использовать их для отмывания и вывода средств.

В последние годы эксперты F6 фиксируют рост сложности мошеннических схем. Зачастую они выходят за рамки классического понимания мошенничества. В этой статье разбираем три наиболее распространенные в последнее время схемы и то, как выявлять их на ранних стадиях.

Схема №1: Регулярные (рекуррентные) платежи

Суть схемы

Мошенники создают веб-ресурс, имитирующий легальный сервис, например, магазин косметики, сервис проверки кредитной истории или даже благотворительный фонд. Внешне это аккуратная витрина с правильными контактами. На такой ресурс подключается модуль приёма платежей (эквайринговый модуль) — мошенник регистрируется в качестве ТСП в банке, обслуживающем платежи (банке-эквайере), часто проходя упрощенный контроль (упрощенную процедуру комплаенса).

Жертв на такие сайты заманивают невероятно выгодными предложениями — доступом к базе фильмов, скидками или «бесплатной» диагностикой. Условие одно: привязать карту и подтвердить личность небольшим платежом (например, в 1 рубль). Пользователь вводит данные карты и, часто не читая, ставит галочку о согласии с условиями публичной оферты. И тем самым дает согласие на все последующие списания.

Самое интересное начинается в ночи: система запускает серию автоматических списаний. Причем на старте прощупывается почва: со счета списываются небольшие суммы — это проверка баланса и лимитов. Затем списания растут, пока не исчерпают весь доступный баланс.

Важно различать:

Масштаб угрозы

Международный масштаб этой мошеннической схемы подтверждается громкими делами. В 2025 году в Германии раскрыли преступную сеть, на протяжении нескольких лет обманывавшую тысячи жертв. Через фальшивые компании с поддельными сайтами, используя циклическую систему списаний, похитили более 300 млн евро. Причем ежемесячные суммы намеренно удерживались ниже 50 евро — чтобы не привлекать внимания.

Как классическая система защиты от мошенничества (антифрод) пропускает атаку

Традиционные системы защиты в приеме платежей изолированно проверяют каждую операцию списания. Они не видят схему (паттерн): сначала легитимные операции, затем «разведывательные» платежи, а потом — крупные ночные списания. Кроме того, само по себе наличие цифрового «отпечатка» платежных данных, позволяющего проводить последующие списания (рекуррентного токена) не считается аномалией, если он получен с формального согласия пользователя.

Поправки о регулярных платежах в ФЗ

В текущем году вступили в силу поправки в Статью 16.1 Федерального закона от 15.10.2025 № 376-ФЗ «О защите прав потребителей». Ключевые обновления для защиты граждан:

• введен запрет на безакцепты: интернет-сервисы больше не могут использовать для периодических оплат финансовые реквизиты человека, явно выразившего отказ от использования этих средств расчета;
• обязательный прием отказа: сервисы в личных кабинетах пользователей должны внедрить форму отзыва согласия на использование платежных средств, например в виде кнопки «Удалить данные карты/счета».

Если клиент сервиса явно отказался от услуги/подписки, удалил свои финансовые данные, либо его банковская карта была перевыпущена/заблокирована, в этих случаях списывать средства больше нельзя. Такие нововведения осложняют удержание жертвы мошенниками, даже если галочка «Я согласен» проставлена. Однако поправки не решили вопрос первичного подключения мошеннического торгово-сервисного предприятия к приему платежей (эквайрингу) и проблему первичного хищения денег.

Схема №2: Сети нелегитимных продавцов

Архитектура

Киберпреступники все чаще организуют целые паутины фальшивых интернет-магазинов: регистрируют несколько веб-ресурсов, внешне между собой не ассоциированных, но объединенных единым центром управления. У разных точек такой сети — различные юрлица, доменные имена, контакты и реквизиты. Специально непохожими делают и дизайн, и структуру сайтов.

Стратегические преимущества для мошенников

Паутина подставных продавцов дает злоумышленникам ряд стратегических преимуществ. Во-первых, они распределяют финансовые потоки между несколькими площадками — это снижает вероятность быстрого обнаружения по аномальным платежам. Во-вторых, если одна из точек блокируется, остальные продолжают обкрадывать людей.

Кроме того, мошенники смешивают мошеннический трафик с легитимным, используя одну часть веб-порталов для привлечения реальных пользователей, а другую — для криминальных операций. У злоумышленников всегда есть резервные домены, юрлица и платежные реквизиты, позволяющие максимально быстро развернуть новый магазин взамен заблокированного.

Пример из практики

В прошлом году эксперты F6 выявили сеть из десятков Telegram-каналов, жертв через которые заманивали обещаниями дешевой красной икры и других деликатесов. Действовали по единому принципу: сначала 100% предоплата, потом — исчезновение «менеджеров».

В другом случае киберпреступники зарегистрировали веб-ресурс, через который продавали, но не отправляли товары. На основе жалоб потребителей договор на прием платежей с порталом расторгли. Однако специалисты F6 провели углубленную оценку и на основе связей между объектами (графовых связей) выявили целую группу точек продаж. Цифровой отпечаток устройства (Device fingerprint) показал, что все эти формально не связанные между собой интернет-магазины управлялись с одних и тех же устройств. Пересечение IP-адресов подтвердило их общее происхождение.

Схема №3: Подмена трафика

Наиболее сложный сценарий

Подмена платежей (Transaction laundering) — это маскировка мошеннических денежных операций под легитимные платежи добросовестного торгово-сервисного предприятия. В отличие от других схем, здесь продавец на входе абсолютно чист.

Злоумышленник подключает к системе приема платежей внешне добросовестный бизнес: документы в порядке, на сайте — реальные товары или услуги. После накопления положительной истории платежей начинается подмена. Существует два основных сценария.

Первый сценарий: подмешивание трафика от сторонних ресурсов

Мошенники используют несколько сайтов, но платежный модуль подключен только к одному из них — легитимному. Например, ТСП (мерчант) зарегистрирован как магазин электроники, параллельно у преступников действует сайт с азартными играми. В какой-то момент трафик с запретного сайта начинает перенаправляться на легальный платежный модуль. Для системы обслуживания платежей все это выглядит как обычные платежи в магазине электроники. На деле же это операции за запрещенные услуги.

Второй сценарий: замена контента в определенные периоды

Днем на сайте продаются легальные товары. Ночью или в выходные на том же домене появляются азартные игры, взрослый контент или другие нелегальные товары/услуги. Оплата идет через один и тот же платежный модуль.

Почему классическая регистрация ТСП не спасает

При подключении продавца (онбординге) банк или агрегатор проверяют документы, сайт, контакты, политику возврата. Если все в порядке, торгово-сервисное предприятие подключают. При подмене платежей (transaction laundering) мошенники успешно проходят все эти шаги: документы подлинные, сайт заполнен, первые платежи начинают приходить от реальных покупателей. Проблема в том, что подключение — разовое событие. Само мошенничество начинается позже — когда доверие уже сформировано.

Как выявлять мошеннические схемы

Классическая система защиты от мошенничества (антифрод) анализирует отдельно взятые платежи. Такой подход не не показывает связь с другими эпизодами и динамику. Здесь нужен иной подход — непрерывный мониторинг поведения ТСП (мерчанта) на всем жизненном цикле и анализ аномалий в его деятельности.

Ключевые особенности 3 описанных схем

Подходы к выявлению платежного мошенничества

Актуальные подходы к выявлению платежного мошенничества (фрода) строятся вокруг трех принципов.

• Первый — непрерывный мониторинг на всем жизненном цикле продавца. Проверка при подключении — точка входа, а не панацея. Как показывают описанные схемы, проблемы начинаются после подключения, когда уже сформировано доверие. Банкам и агрегаторам важно постоянно отслеживать поведение ТСП, включая динамику среднего чека, частоту и географию платежей, временные последовательности (паттерны) и изменения контента на сайте.
• Второй подход — переход от изолированного анализа платежей (транзакций) к анализу связей. Только оценка пересечений по IP-адресам, устройствам, платежным реквизитам и контактным данным позволяет выявить скрытые кластеры. Анализ связей (графовый анализ) — наиболее эффективный метод для обнаружения сложной преступной инфраструктуры, так как он визуализирует связи между объектами.
• Третий — автоматизация. Ручная проверка сотен и тысяч торгово-сервисных предприятий неэффективна, особенно в условиях роста сложности мошеннических схем. Поведенческий анализ с использованием машинного обучения позволяет выявлять аномалии, которые невозможно заметить при ручном анализе.

На российском рынке представлены различные решения, использующие эти подходы. Выбор инструмента определяется архитектурой бизнеса, масштабом операций и конкретными задачами. Современные платформы мониторинга (например, F6 Fraud Protection) объединяют платежный (транзакционный) анализ, поведенческий анализ и графовые модели для выявления скрытых связей между продавцами. Многие из них используют машинное обучение для адаптации под новые сценарии мошенничества.

Дополнительным источником информации для настройки правил детектирования служит знаний по актуальным схемам мошенничества — F6 Fraud Matrix.

Все это позволяет банкам и агрегаторам сместить фокус с разовых проверок на непрерывный мониторинг поведенческих моделей (паттернов) на всём жизненном цикле ТСП (мерчанта).

Что дальше: тренды и прогнозы

Аналитики F6 ожидают дальнейшего усложнения схем в 2026-2027 годах. Во-первых, будет расти использование искусственного интеллекта для генерации поддельных документов, что усложнит подключение продавцов. Во-вторых, мошенники будут активнее использовать криптовалюты и децентрализованные биржи для вывода средств, а это — новые вызовы для систем защиты от мошенничества.

Платежное мошенничество в приеме платежей (эквайринге) вышло на качественно новый уровень. Регулярные (рекуррентные) платежи, сети нелегитимных ТСП и подмена платежей (transaction laundering) — не единичные случаи, а системные угрозы, с которыми банки и агрегаторы сталкиваются все чаще. Это означает необходимость пересмотра подходов к проверке соответствия (комплаенсу) и мониторингу мошенничества: классические методы больше не работают против системных угроз, а это требует от всех участников рынка новых подходов к защите.