Мошенничество против селлера: схемы и защита

У продавца на маркетплейсе есть сразу несколько вещей, интересных мошеннику: остаток на балансе площадки, доступ в кабинет с платёжными реквизитами, товар на складе и репутация, которой можно шантажировать. Плюс уязвимость: бизнес завязан на площадку, и угроза «вас заблокируют» бьёт по самому больному.

Второй фактор — скорость. Селлер работает в режиме постоянной срочности: слоты, отгрузки, акции, отмены. В таком темпе сообщение «срочно подтвердите, иначе карточки снимут» не вызывает подозрения, а вызывает действие. Именно поэтому все схемы построены на дефиците времени.

Отдельно про выкупы: даже когда предложение выглядит как «продвижение», это тот же риск, что и самовыкупы — разбор последствий в статье самовыкупы на Wildberries: риски.

Проверять каждое сообщение долго. Работает набор быстрых признаков — если срабатывает хотя бы два, дальше можно не разбираться.

• Канал. Официальные уведомления живут в кабинете. Мессенджер, личная почта или звонок — уже повод насторожиться
• Срочность. «Ответьте в течение часа, иначе заблокируем» — приём давления, а не регламент
• Домен и адрес отправителя. Смотрите не на подпись, а на адрес: подделки отличаются одной буквой или доменной зоной
• Ссылка на вход. Авторизацию делайте только через свою закладку или ручной ввод адреса кабинета — никогда по ссылке из письма
• Запрос доступа. Пароль, код из СМС, API-ключ, приглашение в кабинет — законных причин запрашивать это извне не существует
• Оплата на карту физлица или просьба «не сообщать в поддержку» — исчерпывающий признак

Большая часть тяжёлых потерь начинается не с перевода денег, а с переданного доступа. Кабинет с чужими руками внутри — это и смена платёжных реквизитов, и слив базы, и испорченные карточки.

1. Раздавайте роли, а не общий логин. У каждого сотрудника — свой доступ с минимальными правами
2. Включите двухфакторную аутентификацию везде, где она есть, включая почту, на которую зарегистрирован кабинет
3. API-ключи — отдельные под каждый сервис и с минимальным набором прав. Там, где сервису достаточно чтения, ключ на запись выдавать не нужно
4. Отзывайте ключи и доступы сразу после окончания работы с подрядчиком или увольнения сотрудника
5. Никогда не передавайте ключ «менеджеру площадки» — площадке ваш ключ не нужен, у неё и так есть все данные
6. Проверяйте платёжные реквизиты в настройках раз в неделю: их подмена — тихая и самая дорогая операция

Как устроены ключи и что означают уровни доступа — в статьях как получить API-ключ Wildberries и интеграции и API для селлера. Кстати, это тот случай, где ограничение прав ничего не стоит: Я Селлер подключается к кабинетам по официальному API с доступом только на чтение — сервис показывает продажи, удержания и выплаты, но не может ничего изменить в вашем магазине. Посмотреть, как это выглядит, можно в демо-кабинете /demo-login.

1. Смените пароли от кабинета и от почты, к которой он привязан — начиная с почты
2. Отзовите все API-ключи и выпустите новые только для сервисов, которыми реально пользуетесь
3. Проверьте список пользователей и ролей в кабинете: лишние доступы удаляются немедленно
4. Проверьте платёжные реквизиты и настройки выплат — это первое, что меняют при захвате доступа
5. Зафиксируйте всё: переписку, номера телефонов, реквизиты, куда переводили деньги, скриншоты
6. Сообщите в поддержку площадки через кабинет — и отдельным обращением, если менялись реквизиты
7. Обратитесь в банк по платежу и в полицию с заявлением: без заявления шансов вернуть перевод практически нет

Если после инцидента с баланса ушли деньги или появились непонятные начисления, отдельно разбирается ситуация списания денег без внятного основания, а готовые формы обращений и претензий лежат в шаблонах документов.

Схема выглядит так: приходит сообщение с требованием денег и обещанием волны негативных отзывов, массовых возвратов или потока жалоб на карточку. Иногда это конкурент, иногда просто вымогатель, проверяющий десятки магазинов подряд.

• Не платить. Оплата подтверждает, что канал работает, и приводит следующих
• Зафиксировать переписку целиком, с профилем отправителя и датами
• Сообщить площадке через кабинет с приложением скриншотов
• Работать с отзывами штатно: публичные, спокойные ответы по существу гасят эффект негатива — работа с негативными отзывами
• Следить за рейтингом и всплесками возвратов, чтобы отличить кампанию от естественного фона — рейтинг продавца

Схема бьёт по успешным магазинам: пока название не зарегистрировано, его может зарегистрировать кто угодно — а потом потребовать денег или заблокировать ваши карточки претензией правообладателя. Это не мошенничество в бытовом смысле, а формально законный ход, и защищаться от него постфактум дорого.

• Регистрируйте товарный знак до того, как бренд станет заметным — регистрация товарного знака
• Проверяйте название на занятость до запуска, а не после первых продаж
• Держите доказательства использования названия: даты запуска карточек, договоры, макеты
• Если претензия уже пришла — действуйте по процедуре: жалоба правообладателя на карточку и как защитить бренд

Пока магазин ведёт один человек, всё держится на его внимательности. С появлением сотрудников нужен простой писаный порядок — три правила закрывают большинство рисков.

1. Любой запрос денег или доступов проверяется в кабинете и подтверждается владельцем — без исключений и «это срочно»
2. Платежи новым контрагентам проходят через одного ответственного и только по реквизитам из договора
3. Доступы выдаёт и отзывает один человек, а список активных доступов пересматривается раз в квартал

Как в принципе распределять роли и ответственность в небольшой команде — в статье работа в команде, а регулярные проверки удобно вписать в чек-лист ежедневных задач.