Новая схема бьёт по пунктам выдачи: товар уходит, а долг остаётся владельцу
Пункт выдачи заказов долго продавали как идеальный малый бизнес: касса капает с маркетплейса, риск почти нулевой, вложился один раз и стриги купоны. Так вот, эту вывеску только что переписали заново, причём чужими руками.
Схема простая до неприличия. Мошенник заходит в личный кабинет пункта — через фишинговую ссылку, поддельную «поддержку», перехваченную сессию или пароль, который сотрудник заботливо приклеил к монитору. Внутри он оформляет возвраты уже выкупленных товаров. Дорогих: техника, электроника, одежда. Пачками, десятки позиций за считанные минуты.
Дальше начинается фокус, за который в цирке брали бы деньги. Система честно фиксирует: пункт возврат принял, покупателю средства вернули. Товара на складе нет. Денег на балансе нет. А вот долг — есть. И висит он на владельце, который в этот момент, возможно, пил чай и ни сном ни духом.
Почему рвануло именно сейчас — вопрос не к хакерам, а к арифметике. Пунктов развелось много, собственники в основном новые, персонал набирают потоком, а вся культура безопасности часто умещается в один логин на смену и пароль на жёлтом стикере. Мишень мечты: массовая, слабо защищённая и с деньгами на счету.
Помогает и сам интерфейс. Во многих системах возврат разрешено подтвердить вручную — на случай, «если сканер не работает». Гуманно. И совершенно не привязано к тому, приехал товар физически или существует только в воображении оператора. Штрихкод, вес, QR — всё это внезапно становится опциональным, когда операцию очень надо провести.
Масштаб давно не гипотетический. Предприниматели рассказывают о сериях возвратов на сотни тысяч, а по отдельным пунктам счёт дошёл до полутора миллионов рублей. Это не сбой системы. Это стык трёх дыр разом: хлипкая защита точки, гибкий процесс возврата и договор, где партнёр виноват по умолчанию.
Про договор — отдельная песня. Оферта нередко написана так, что площадка оставляет за собой право списать сумму за недостачу или «ошибочную» операцию, а доказывать взлом собственного аккаунта предстоит самому владельцу. Презумпция невиновности здесь работает ровно наоборот: сначала минус на балансе, потом переписка, юристы и месяцы разбирательств.
И вот тут меняется главное — не размер убытка, а сам риск-профиль актива. Раньше пункт выдачи впаривали как «почти безрисковый денежный поток от маркетплейса». Теперь это бизнес с полноценной киберугрозой в фундаменте. Инвестор, считавший такую точку скучной облигацией, внезапно обнаружил у неё волатильность стартапа.
Чинить это в одиночку бесполезно: дыра сидит на стыке. Разумный минимум лежит на стороне площадок — лимиты на ручные возвраты, алгоритм, который видит аномальную серию и жмёт стоп до проверки, обязательная двухфакторка и разные права для кассира, управляющего и владельца. Плюс внятная процедура, при которой в случае взлома списания замораживают, а не наоборот.
Пока этого нет, владелец пункта остаётся крайним в конфликте между «возврат в два клика для покупателя» и безопасностью, которую никто не оплатил. Сузить окно для мошенника он может. Закрыть его целиком — нет.
Кто, по-вашему, должен платить за эту дыру. Площадка, которая ради удобства покупателя ужала всё до одного клика. Владелец, у которого пароль жил на стикере. Или скидываются все, а цену в итоге несёт покупатель на кассе. Если разбираться лень — просто черкните цифру: 1, 2 или 3.