«Казначей сменил номер»: мошеннические SMS, нацеленные на некоммерческие организации и спортивные клубы

«Привет, это Патрик. Я разбил телефон, пишу тебе с мобильного дочери. Можешь сегодня сделать перевод поставщику футболок? Счёт лежит во вложении у тебя в почте, деньги должны уйти до 17:00, иначе мы потеряем заказ к турниру. Спасибо, потом всё объясню.»

Патрик действительно президент клуба. Казначей, пенсионер, который работает волонтёром уже одиннадцать лет, узнал тон, обращение на «ты», привычную спешку начала сезона. Он перевёл 2 340 € со счёта организации. Настоящий Патрик, до которого удалось дозвониться вечером, никогда не писал этого сообщения.

О смишинге, нацеленном на частных лиц, а с недавних пор и на самозанятых, говорят много. Третья категория жертв остаётся почти незаметной: некоммерческий сектор. Во Франции около 1,5 миллиона действующих общественных организаций, и подавляющее большинство работает без наёмных сотрудников — реальным банковским счётом распоряжаются волонтёры со своих личных телефонов. Ни ИТ-отдела, ни письменных регламентов, а номера мобильных развешаны повсюду: на афишах турниров, на листовках лото, на сайте мэрии.

Почему общественная организация — идеальная цель

Номера руководителей публичны по определению

Организация существует для того, чтобы с ней можно было связаться. Номер президента, секретаря или ответственного за запись находится без всякого взлома:

• на афише осеннего набора в клубы и на листовках школьного праздника;
• в справочнике общественных организаций коммуны, который часто дословно копируется на сайт мэрии;
• на странице клуба в Facebook, в закреплённых публикациях и комментариях;
• в протоколах общего собрания, выложенных в PDF, иногда с полным составом правления;
• в приглашениях в WhatsApp, которые пересылаются из группы в группу, пока не выходят за круг членов организации;
• в официальном журнале общественных организаций (JOAFE) — в регистрационных контактных данных.

Мошеннику не нужна утечка данных. Ему нужны один вечер и поисковик. Он знает, кто президент, кто казначей, и часто — когда состоится следующее общее собрание.

Деньги есть, и они движутся рывками

Вопреки стереотипу о вечно безденежном клубе, спортивная организация средних размеров проводит через свой счёт несколько десятков тысяч евро в год: взносы, субсидии, буфет, лото, местные спонсоры, клубный магазин. Эти потоки нерегулярны — они приходят в сентябре, а затем к каждому мероприятию. Нестандартный перевод на 2 000 € в разгар осеннего набора никого не удивляет.

Управление строится на доверии, а не на процедуре

В компании перевод проходит цепочку согласований. В общественной организации он часто проходит через сообщение: «можешь оплатить, я подтверждаю». Волонтёрство держится на личных отношениях. Именно это и использует социальная инженерия: мошенник атакует не информационную систему, он заимствует доверительные отношения.

Четыре самых распространённых сценария

1. Поддельный президент («мошенничество от имени руководителя» в версии SMS)

Это сценарий из сообщения в начале статьи. SMS с неизвестного номера, от имени президента или члена правления, с тремя почти обязательными маркерами:

• обоснованная смена номера («телефон разбился», «потерял SIM-карту», «я за границей»);
• срочность с конкретным сроком (до 17:00, до закрытия рынка, до окончания приёма заказа);
• правдоподобный и проверяемый повод: футболки, аренда зала, аванс за автобус, взнос за участие в соревнованиях.

Просьба никогда не звучит как «пришли мне денег». Она всегда звучит как «оплати этому поставщику» — это перекладывает ответственность и успокаивает.

2. Поддельный поставщик и смена банковских реквизитов

Более холодный и чрезвычайно эффективный вариант: SMS или письмо, будто бы от кейтеринговой фирмы, типографии, арендодателя микроавтобуса или перевозчика, с сообщением о смене банковских реквизитов. Текст выглядит профессионально, иногда к нему прилагается поддельный документ с правильным бланком. Организация оплачивает реальный счёт… но на чужой счёт.

Банк Франции в отчётах Наблюдательного совета по безопасности платёжных средств (Observatoire de la sécurité des moyens de paiement) уже несколько лет подряд отмечает рост мошенничества с помощью манипуляции — когда жертва сама совершает платёж. Общественные организации полностью попадают в эту категорию, а это самый трудный случай для возврата средств.

3. Поддельный член организации и сбор данных

Другой угол атаки: SMS, адресованное не правлению, а семьям, от имени клуба. «Оформление лицензии: в вашем деле не хватает 18 €, внесите их до воскресенья, чтобы ваш ребёнок был застрахован.» Ссылка ведёт на платёжную страницу, имитирующую известную платформу. Сумма небольшая, эмоциональная ставка высокая (страховка ребёнка), а клуб узнаёт об истории лишь спустя несколько недель.

Чтобы этот сценарий сработал, мошеннику нужен список номеров родителей. Он циркулирует куда шире, чем принято думать: открытые группы в WhatsApp, файлы Excel, отправленные вложением всему правлению, таблица с открытым доступом на чтение, бывший секретарь, который хранит список в личном телефоне.

4. Фальшивая субсидия и фальшивая организация

Последняя классика, набирающая обороты: SMS о том, что заявка на субсидию одобрена, от имени «национального агентства спорта», «фонда развития общественной жизни» или корпоративного фонда. Опознавательный признак: сначала просят документы (уставы, банковские реквизиты, удостоверение личности президента), затем — «сбор за оформление дела». Ни одна государственная программа во Франции не берёт плату за выплату субсидии и ни одна не объявляет о ней по SMS на личный номер.

Правило отбора, которое работает почти всегда: SMS никогда не требует финансового решения. Оно может информировать, напоминать, подтверждать. Как только оно требует действия, его статус меняется: это повод для проверки, а не распоряжение.

Почему волонтёр уязвимее наёмного сотрудника

Складываются три фактора, и ни один из них не связан с уровнем интеллекта.

Фактор	Конкретное следствие
Телефон личный	Нет корпоративной фильтрации, нет MDM, сообщения клуба приходят между двумя сообщениями от родственников
Времени мало	Делами клуба занимаются вечером, в усталости, между другими задачами — в состоянии, когда срочность работает лучше всего
Роли меняются	Новый казначей, избранный в сентябре, ещё не знает реальных привычек президента
Ошибка воспринимается как личная	Страх, что потратил чужие деньги, толкает к молчанию, а значит — к задержке сигнала о проблеме

Последний пункт самый дорогой. В изученных нами случаях средний разрыв между мошенническим переводом и обращением в банк часто превышает 48 часов — именно потому, что волонтёр сначала пытается разобраться сам, а потом не решается сообщить правлению.

Семь мер, которые укладываются в одно заседание правления

Цель не в том, чтобы забюрократизировать клуб игры в петанк. Цель — добавить немного трения в нужных местах.

1. Правило обратного звонка на известный номер

Любая просьба об оплате, о смене банковских реквизитов или о срочном переводе, полученная по SMS, в WhatsApp или по почте, проверяется исходящим звонком на номер, записанный в контактах — никогда на номер, с которого пришло сообщение, и никогда через входящий обратный звонок. Одна фраза, внесённая в протокол общего собрания, обезвреживает мошенничество от имени руководителя.

2. Двойная подпись сверх определённого порога

Установите лимит (например, 500 €), выше которого платёж должны одобрить два члена правления. Большинство банков предлагает двойное подтверждение для счётов общественных организаций; если такой опции нет, согласие можно зафиксировать подтверждающим письмом президента. Мошенник же не может быть двумя людьми одновременно.

3. Журнал кассы, который существует не только в телефоне

Самые организованные клубы, с которыми мы встречались, всегда ведут бумажный дубликат: простой учётный журнал с графами, лежащий в помещении клуба, где каждое поступление и каждый расход вписываются от руки в тот же день. Это не ностальгия: в случае спора это след, независимый от телефона и онлайн-счёта, и он сразу делает заметным нестандартный платёж.

4. Защищайте список членов как чувствительный файл

Список из 200 номеров родителей — это файл персональных данных в смысле GDPR, и организация выступает его оператором обработки. Практически это значит:

• один назначенный хранитель и передача списка преемнику при каждой смене правления;
• никакой отправки вложением всему правлению «для информации»;
• для групповых рассылок использовать функцию рассылки, которая скрывает получателей, а не группу, где все видят все номера;
• зашифрованный носитель для резервных копий — защищённая USB-флешка с аппаратным шифрованием стоит несколько десятков евро и избавляет от ситуации, когда файл с членами организации валяется в личном облаке бывшего секретаря.

CNIL публикует практические памятки специально для общественных организаций по работе с файлами членов: это актуальный ориентир в случае сомнений.

5. Отдельный номер клуба, не совпадающий с личными

Это мера, которая в долгосрочной перспективе меняет больше всего. Выделенная линия — предоплаченная SIM-карта в простом мобильном телефоне или второй номер на устройстве с двумя SIM — становится публичной точкой контакта клуба. Её передают следующему правлению, она впитывает спам и позволяет с первого взгляда отличить «сообщение от клуба» от «сообщения, которое притворяется клубным», на личной линии. Для казначея это также гарантия того, что его личный номер не окажется на афише.

6. Включите антиспам-фильтры в телефоне, а затем сообщайте о мошенничестве

На Android защита от мошеннических сообщений в приложении Messages была усилена во Франции в 2026 году и распознаёт часть вредоносных ссылок. На iPhone фильтрация неизвестных отправителей выносит сообщения от людей вне списка контактов в отдельную вкладку. Эти инструменты не заменяют правило № 1, но снижают объём.

О любом мошенническом SMS следует сообщить по номеру 33700 (официальный бесплатный сервис для сигналов о SMS-спаме), переслав сначала сообщение, а затем номер отправителя. Попытки, приведшие к ущербу, заявляются на платформе Cybermalveillance.gouv.fr, а по уголовной части — через подачу заявления в полицию. Механизм Perceval касается мошеннического использования банковских карт, а не добровольно совершённых переводов.

7. Десятиминутное обучение при каждой смене правления

Семинар не нужен. Четырёх описанных выше сценариев, прочитанных вслух на заседании, достаточно, чтобы «привить иммунитет» большинству волонтёров. Организациям, которые принимают посетителей или работают с несовершеннолетними, полезно держать в помещении практическое руководство по кибербезопасности, чтобы новому секретарю не пришлось в панике искать ответы в интернете поздним вечером.

Если перевод уже ушёл

Первые часы важнее всего остального.

1. Немедленно позвонить в банк по телефону и попросить попытаться отозвать перевод (recall). Стандартный перевод SEPA иногда можно заблокировать, если он ещё не исполнен или если средства ещё находятся на счёте получателя. Мгновенный перевод отозвать нельзя, но сообщить о нём всё равно полезно.
2. Сразу предупредить президента и правление, даже если решение было принято в одиночку. Ущерб нанесён организации, а не волонтёру.
3. Подать заявление в полицию, приложив скриншоты SMS, номер отправителя, платёжное поручение и банковскую выписку. Сохраните оригинальное сообщение в телефоне: полный скриншот с отметкой времени лучше пересылки.
4. Предупредить страховщика организации: некоторые комплексные полисы для общественных организаций включают покрытие «мошенничество» или «растрата», о котором часто не знают.
5. Предупредить членов организации, если их данные могли попасть в чужие руки, а в случае утечки персональных данных — рассмотреть уведомление CNIL в течение 72 часов.

Что следует запомнить

Мошенники не «открыли» для себя общественные организации: просто у них лучшее соотношение между простотой доступа к номерам и реальным наличием денег. Против этого никакая технология не заменит двух управленческих рефлексов: решение о платеже не принимается на основании сообщения и перезванивать всегда нужно на тот номер, который вы уже знаете.

Организация, которая вписывает эти две фразы во внутренний регламент, выделяет отдельный номер для публичных контактов и защищает список своих членов как чувствительный файл, становится заметно менее выгодной целью. А волонтёр снова получает право читать SMS, не задаваясь вопросом, не обойдётся ли оно его клубу в 2 000 €.