Взломы ПВЗ на Яндекс Маркете: мошенники оформляют возвраты, а владельцы платят миллионы

Владельцы пунктов выдачи заказов «Яндекс Маркета» жалуются на массовые взломы личных кабинетов. Об этом сообщают «Ведомости» со ссылкой на данные Ассоциации участников рынка электронной коммерции (АУРЭК). Злоумышленники, получив доступ к аккаунту, оформляют возврат средств за ранее купленные товары, при этом саму продукцию на склад не возвращают. В результате маркетплейс предъявляет претензию владельцу ПВЗ за якобы утерянный заказ. Разбираемся в деталях и рассказываем, как Selsup помогает защитить бизнес и документировать все операции.

Как действуют мошенники

Схема, с которой столкнулись владельцы ПВЗ, повторяется с пугающей регулярностью. Особенно заметный всплеск атак пришёлся на декабрь 2025 года. Злоумышленники получают доступ к личному кабинету пункта выдачи и оформляют так называемый виртуальный возврат товаров. Система фиксирует возврат, маркетплейс перечисляет деньги покупателю, а с предпринимателя требуют компенсацию стоимости товара, которого фактически никто не возвращал.

Для небольших пунктов выдачи предъявляемые суммы оказываются критичными — многие начинают думать о закрытии бизнеса или о банкротстве. В одном из случаев за четыре минуты было оформлено 22 возврата на общую сумму около 1,8 млн рублей, хотя физически эти товары в ПВЗ не поступали.

Реальный случай: как это происходит

Пострадавший владелец ПВЗ Сергей рассказал о своём опыте. 28 декабря его сотрудник не смог зайти в личный кабинет — система сообщала об отсутствии доступа. Сам владелец также обнаружил, что его учётная запись заблокирована. В техподдержке подтвердили, что заметили подозрительную активность и заблокировали аккаунт.

«Создали новую почту, прошли процедуру перерегистрации, на следующий день провели инвентаризацию и отправили данные. В сумме 22 товара якобы были приняты на возврат за пять минут — физически нереально. В течение месяца переписывались с "Яндексом", а 28 января пришли 22 письма с претензиями на почти 1,8 млн руб. Я направил письмо со скриншотами и видео, объяснив, что взлом произошёл на стороне системы, а моя учётная запись была заблокирована. Но в "Яндексе" заявили, что ответственность за последствия взлома лежит на мне».

Что говорит Яндекс Маркет

В пресс-службе «Яндекс Маркета» заявили, что проблема не носит массового характера — речь идёт лишь о единичных инцидентах. В компании напомнили партнёрам о базовых правилах кибербезопасности: мошенники часто действуют через чаты, выдавая себя за сотрудников, и под разными предлогами вынуждают перейти по фишинговой ссылке или назвать код из SMS.

Однако, как показывает практика, некоторые аккаунты взламывают без участия продавцов. В таких случаях даже соблюдение всех мер предосторожности не гарантирует защиту.

Позиция АУРЭК и юристов

Сопредседатель АУРЭК по правовым вопросам Алексей Васильев отмечает: «В первую очередь важно зафиксировать факт взлома личного кабинета. Стоит обратиться с соответствующим заявлением в полицию, а также незамедлительно уведомить маркетплейс, обратившись в поддержку платформы. "Яндекс", как правило, достаточно оперативно реагирует на подозрительную активность в аккаунтах и самостоятельно инициирует проверку. Однако важно, чтобы одновременно с ней не проходила автоматическая выплата денежных средств покупателям. По закону продавец обязан вернуть деньги в течение 10 дней с момента возврата. Поэтому было бы разумно временно приостанавливать выплаты до завершения проверки».

Заместитель председателя коллегии адвокатов «Сулим и партнеры» Даниил Черных-Аипов считает, что самые высокие шансы на успех будут только при обращении владельцев ПВЗ в суд. По его словам, это киберпреступление — неправомерный доступ к охраняемой информации с использованием электронных средств. Владельцы личных кабинетов выступают потерпевшими и не должны считаться нарушителями договоров с маркетплейсами. Им нужно документально зафиксировать инцидент и как можно скорее обратиться в правоохранительные органы — промедление снижает шансы на расследование и ослабляет позицию в спорах с маркетплейсом.

Параллельно следует направить письменное уведомление маркетплейсу с требованием приостановить финансовые претензии до завершения проверки и сохранить технические данные: журналы доступа, IP-адреса и историю изменения статусов заказов. При грамотном подходе можно оспорить свою вину, так как гражданская ответственность возникает только при наличии вины. Маркетплейс, заблокировав аккаунт, но всё равно выставив претензии, создаёт явное противоречие, которое суд будет обязан оценить.

История проблемы: аналогичные атаки на Ozon

Как сообщает Forbes, подобный вид мошенничества был популярен на Ozon ещё два года назад. Тогда еженедельный доход мошенников достигал миллионов рублей. Проблема не нова, но до сих пор не решена системно. Маркетплейсы внедряют дополнительные меры защиты, но злоумышленники постоянно совершенствуют методы атак.

Как защитить свой бизнес

Владельцам ПВЗ рекомендуется принять срочные меры для защиты учётных записей:

• Включить двухфакторную аутентификацию (2FA). Это значительно усложнит взлом даже при компрометации пароля.
• Регулярно менять пароли. Использовать сложные уникальные пароли для каждого сервиса.
• Мониторить операции возврата. Регулярно проверять подозрительные операции и аномалии.
• Не передавать данные третьим лицам. Ни при каких обстоятельствах не сообщать коды доступа, пароли и технические данные страниц.
• Связаться со службой поддержки только через официальные каналы. Использовать только контакты, указанные на официальных сайтах и в приложениях.
• Обучать сотрудников. Проводить инструктажи по кибербезопасности и правилам поведения при подозрительных обращениях.

Выводы

Ситуация со взломами ПВЗ на Яндекс Маркете требует немедленного внимания как со стороны маркетплейсов, так и со стороны самих предпринимателей. Мошенники используют уязвимости в процессах возврата, чтобы оформлять фиктивные операции на крупные суммы. Маркетплейс, в свою очередь, выставляет претензии владельцам ПВЗ, не дожидаясь результатов расследования, что ставит бизнес на грань выживания.

Чтобы защитить себя, нужно действовать комплексно: соблюдать меры кибербезопасности, фиксировать все инциденты, обращаться в правоохранительные органы и суды. А автоматизация с помощью Selsup поможет сделать бизнес более защищённым и прозрачным.