Деньги ушли мошенникам по письму «от облака»: учёт и возврат

Ваша компания две недели переезжает между зонами облака, бухгалтер третий день сверяет счета за резервные мощности, и тут приходит письмо от Yandex Cloud: «из-за срочной миграции откройте вложение» или «аккаунт будет заблокирован, оплатите». Yandex Cloud 14 октября предупредил, что это мошенники и что статус сервисов надо смотреть только на статус-борде и в консоли. Письмо приходит в самое удобное для обмана время, и кто-то обязательно заплатит. Эта статья для тех, у кого уже заплатили: что вернёт банк по закону № 161-ФЗ (компании — почти ничего), как списать убыток в налоге на прибыль (только с постановлением следователя) и почему на УСН убытка не будет вовсе. Плюс порядок действий на первый час, пока деньги ещё не зачислены получателю.

Почему именно сейчас и именно по бухгалтерам

Мошенники не пишут всем подряд, они пишут туда, где горячо. С 7 октября часть IT-компаний живёт в режиме переезда после отключений ЦОД, у многих копятся счета за резервные мощности, а статус сервисов меняется каждый день. Письмо «срочная миграция, откройте вложение» в такой обстановке выглядит рабочим, а не подозрительным. Как устроены оферта и форс-мажор у Yandex Cloud и что должен клиенту сам провайдер, разобрано в статье о новой оферте Yandex Cloud и переезде. Здесь о другом: о письмах, за которыми провайдера нет.

Цифры за 2026 год показывают, что это не единичные случаи. Группа F6 в апреле описала кампанию Hive0117: вредоносные письма получили более 3 000 российских организаций, после заражения компьютера бухгалтера злоумышленники формировали в банк-клиенте зарплатный реестр со счетами дропов. Формально это выглядело как выплата зарплаты, средняя потеря 3 млн ₽, максимальная 14 млн ₽. «Код Безопасности» в августе подвёл итог полугодия: около 400 взломанных рабочих станций бухгалтеров, почти каждая восьмая атака успешна, средний ущерб весной доходил до 10 млн ₽, общие потери превысили 4 млрд ₽. Вложения маскируют под счета, договоры и накладные, а письма приходят от имени руководителей и контрагентов.

У IT-компании есть два дополнительных слабых места. Первое: она платит облакам, хостерам и зарубежным сервисам регулярно и много, поэтому счёт «за продление» никого не удивляет. Второе: после инцидентов у хостеров утекали и ключи, и переписка, а значит, мошенник может знать, с кем вы работаете и сколько платите. Что делать с утёкшими ключами и доступами, разобрано в статье про взлом хостера и утечку ключей.

Один простой тест на эту осень: действующие клиенты Yandex Cloud в октябре пользуются ресурсами бесплатно, в счёте за месяц будут только расходы до 7 октября включительно. Любое письмо «оплатите, иначе отключим» от имени облака в октябре — подделка по определению.

Что банк вернёт компании и чего не вернёт

Здесь главное разочарование, и лучше узнать о нём до инцидента.

Перевод становится безотзывным с момента списания со счёта плательщика (ч. 7 ст. 5 161-ФЗ). «Отозвать платёжку» через час после отправки нельзя: деньги уже у банка получателя.

Закон с 2024 года обязывает банки проверять каждую операцию на признаки перевода без добровольного согласия клиента и приостанавливать подозрительную на два дня (ч. 3.1 и 3.4 ст. 8). Это работает для любых клиентов, включая компании. Но «подозрительной» операция становится, когда получатель есть в базе Банка России о мошеннических переводах или платёж выбивается из обычного профиля. Оплата 480 000 ₽ «за облачные услуги» на счёт ООО с нормальным названием в профиль IT-компании вписывается идеально.

Дальше различие между физлицом и компанией.

Для компании остаётся одно рабочее окно. По ч. 11 ст. 9 клиент обязан сообщить банку о переводе без согласия незамедлительно, не позже дня, следующего за уведомлением об операции. Если компания успела сообщить до зачисления денег получателю, банк плательщика передаёт уведомление банку получателя, тот приостанавливает зачисление на срок до пяти рабочих дней и требует у получателя документы об основании платежа (ч. 11.1 и 11.2). Не представил за пять дней — деньги возвращаются в течение двух рабочих дней (ч. 11.4). Если зачисление уже прошло, банк получателя просто сообщает о невозможности приостановления (ч. 11.5). Обычно между списанием и зачислением минуты, поэтому звонок в банк нужен не «после совещания», а сразу.

Суд против банка возможен, но в узком случае. Верховный суд по делу № А67-1408/2022 взыскал 1,86 млн ₽ с фирмы-клона и банка получателя солидарно: предприниматель перевёл деньги по договору с ООО, указав его ИНН, а счёт принадлежал тёзке-однодневке в другом банке. ВС указал: банк получателя, приняв платёж с ИНН конкретного юрлица, обязан зачислить деньги именно ему или сообщить плательщику о несоответствии. Банк плательщика при этом ответственности избежал. Вывод для компании: когда счёт получателя не совпадает с ИНН в платёжке, шанс есть, а когда вы сами заплатили однодневке по её собственным реквизитам, претензий к банкам нет.

Налог на прибыль: убыток есть, но не сразу

Похищенные деньги признаются внереализационным расходом как убытки от хищений, виновники которых не установлены (пп. 5 п. 2 ст. 265 НК РФ). Условие одно и жёсткое: факт отсутствия виновных должен подтвердить уполномоченный госорган. Минфин повторил это в письме от 30.01.2026 № 03-03-06/1/6548 и добавил, что убыток относится к периоду, в котором произошло хищение.

Какой документ подходит, кодекс не говорит: перечня нет, подтвердил Минфин в письме от 20.08.2019 № 03-03-06/1/63646. На практике со времён письма от 02.06.2009 № 03-03-06/2/110 принимают копию постановления следователя о приостановлении предварительного следствия в связи с неустановлением лица, подлежащего привлечению в качестве обвиняемого (п. 1 ч. 1 ст. 208 УПК). Следствие по уголовному делу длится два месяца и продлевается, поэтому постановление появляется не раньше чем через несколько месяцев после заявления.

Цепочка для бухгалтера выглядит так:

1. Заявление о преступлении по ст. 159 УК (ст. 141 УПК), талон-уведомление в папку.
2. Постановление о возбуждении дела: без него не будет и постановления о приостановлении.
3. Постановление о приостановлении следствия по п. 1 ч. 1 ст. 208 УПК: с этого момента убыток подтверждён.
4. Признание расхода в периоде хищения. Если декларация за этот период уже сдана, уточнёнка с уменьшением налога, которая по ст. 81 НК РФ ваше право, а не обязанность.

Нет заявления в полицию — нет убытка в налогах. Компании иногда не заявляют «чтобы не светиться», и это решение стоит им 25% от суммы, а IT-компании на льготной ставке 5%.

УСН и НДС: тут хуже

На УСН «Доходы минус расходы» убытков от хищений в перечне ст. 346.16 НК РФ нет, перечень закрытый, и Минфин в письме от 19.12.2016 № 03-11-06/2/76035 прямо отказал в учёте похищенных денег. Свежих писем с другой позицией нет. Никакое постановление следователя здесь не поможет: документ подтверждает убыток, но не создаёт основания для расхода.

С НДС та же логика: вычет даётся по счёту-фактуре реального продавца за реально принятые услуги (п. 2 ст. 171, п. 1 ст. 172 НК РФ). Поддельный счёт «за продление облака» операцией не является, вычета по нему нет, а если бухгалтер успел его принять, восстанавливать придётся с пенями.

Считаем на примере

IT-компания с выручкой 60 млн ₽ в год, бухгалтер по письму «от облака» оплатил 2,4 млн ₽ «за резервные мощности на квартал». Деньги ушли на счёт ООО, которое ликвидировалось через месяц.

Замечание к первой строке: ставка 5% делает налоговую экономию символической. Для IT-компании на льготе вся защита в процедурах, а не в кодексе.

В бухгалтерском учёте сумму на дату обнаружения относят на счёт 94 «Недостачи и потери», затем, пока идёт следствие, держат на 76 как претензию к получателю, а после постановления о приостановлении списывают в прочие расходы на 91.2. Если виновник установлен и это сотрудник, долг переносится на 73 в пределах, которые разрешает Трудовой кодекс. Отдельная проверка: не заблокирует ли банк сам счёт компании после «странных» операций и как быстро его открыть, разобрано в статье о блокировке счёта IT-компании.

Бухгалтер виноват?

Соблазн переложить потерю на сотрудника большой, закон его ограничивает. По умолчанию работник отвечает в пределах среднего месячного заработка (ст. 241 ТК РФ). Полная материальная ответственность наступает только в случаях ст. 243 ТК: умысел, преступление, установленное приговором, договор о полной ответственности, которого с бухгалтером по безналичным деньгам обычно нет. Взыскание в пределах среднего заработка оформляется приказом в течение месяца после определения ущерба, всё сверх того только через суд (ст. 248 ТК).

И вопрос, который суд задаст первым: был ли в компании регламент проверки платежей, с которым бухгалтера ознакомили под подпись. Если платёж на новый счёт на сумму выше 300 000 ₽ по регламенту требовал подтверждения директора голосом, а бухгалтер его не получил, это его нарушение. Если регламента не было, нарушать было нечего.

Что грозит, если сделать неправильно

• Списать убыток без постановления следователя: снятие расхода, доначисление налога, пени и штраф 20% по ст. 122 НК РФ. Для компании на 25% это ещё 120 000 ₽ штрафа на 2,4 млн ₽ убытка.
• Принять вычет по поддельному счёту: восстановление НДС с пенями, а при явных признаках фиктивности вопросы по ст. 54.1 НК РФ.
• Не сообщить в банк в день обнаружения: по ч. 14 ст. 9 161-ФЗ банк не возмещает ничего, окно ч. 11.1–11.4 закрывается с зачислением.
• Не подать заявление в полицию: нет документа для убытка, нет шанса найти дропа, нет аргумента для суда с получателем.
• Удержать с бухгалтера всю сумму приказом: восстановление удержанного через суд с процентами по ст. 236 ТК и штраф по ст. 5.27 КоАП.

Что сделать на этой неделе

Если ничего не случилось, это лучшая неделя, чтобы потратить два часа. Если случилось, порядок тот же, только с первого пункта и бегом.

1. Регламент платежей на одной странице. Новый получатель, смена реквизитов, сумма выше порога — подтверждение по второму каналу (звонок директору или контрагенту по номеру из договора, а не из письма). Ознакомить бухгалтера под подпись.
2. Белый список получателей в банк-клиенте для облаков, хостеров, зарплаты и налогов, остальные платежи с подтверждением двумя подписями.
3. Проверка писем от провайдера: домен отправителя, личный кабинет вместо вложения, статус-борд вместо письма. В октябре от Yandex Cloud счетов за продление нет.
4. Карточка инцидента на случай беды: телефон банка для уведомления по ч. 11 ст. 9 161-ФЗ, шаблон заявления в полицию, список, что отключить и какие ключи отозвать.
5. Если уже заплатили: банк в течение часа, заявление в полицию в тот же день, претензия получателю, письмо с заголовками и журнал банк-клиента в отдельную папку, сумма на счёт 94.

Собственник решает про регламент и пороги, бухгалтер исполняет и собирает документы для убытка. Если бухгалтерия у вас на аутсорсе, спросите подрядчика, есть ли у него регламент подтверждения платежей и кто отвечает за перевод по поддельному письму: в бухгалтерском обслуживании IT-компаний мы такой регламент согласовываем с клиентом в первый месяц, потому что переписывать его после инцидента дороже.

Ставки и нормы в статье проверены по состоянию на 22 октября 2026 года: предупреждение Yandex Cloud о письмах мошенников — пост от 14.10.2026; данные F6 о кампании Hive0117 — пресс-релиз от 06.04.2026, данные «Кода Безопасности» за первое полугодие 2026 года — Anti-Malware.ru от 10.08.2026; безотзывность перевода — ч. 7 ст. 5, приостановление подозрительных операций на два дня — ч. 3.1 и 3.4 ст. 8, возмещение физлицам — ч. 3.13 ст. 8 и ч. 15 ст. 9, уведомление и приостановление зачисления — ч. 11–11.5 ст. 9, возмещение после уведомления и при отсутствии уведомления — ч. 12–14 ст. 9 Федерального закона от 27.06.2011 № 161-ФЗ; убытки от хищений — пп. 5 п. 2 ст. 265 НК РФ, письма Минфина от 30.01.2026 № 03-03-06/1/6548, от 20.08.2019 № 03-03-06/1/63646 и от 02.06.2009 № 03-03-06/2/110; приостановление следствия — п. 1 ч. 1 ст. 208 УПК РФ; УСН — п. 1 ст. 346.16 НК РФ и письмо Минфина от 19.12.2016 № 03-11-06/2/76035; вычет НДС — п. 2 ст. 171 и п. 1 ст. 172 НК РФ; материальная ответственность работника — ст. 241, 243, 248 ТК РФ; определение ВС РФ по делу № А67-1408/2022; ставка налога на прибыль аккредитованных IT-компаний 5%, общая 25%.