АУРЭК и Яндекс.Маркет оптимизируют защиту ПВЗ от мошенников

В марте 2026 года продавцы и владельцы пунктов выдачи заказов (ПВЗ) обратились в Яндекс.Маркет по причине участившихся случаев взлома личных кабинетов. Злоумышленники, получив доступ, оформляют возвраты ранее приобретенных товаров на значительные суммы без фактического возврата продукции. В результате маркетплейс предъявляет владельцам ПВЗ претензии относительно якобы утерянных товаров.

Жалоба на частые взломы

Мошенники создают фиктивные возвраты, а предприниматели сталкиваются с претензиями от Яндекс.Маркета. Претензии достигают миллионов рублей из-за ложных возвратов. Эксперты рекомендуют временно скорректировать практики маркетплейса и не списывать средства с ПВЗ до окончания расследования.

Ассоциация участников рынка электронной коммерции (АУРЭК), представляющая продавцов и владельцев ПВЗ, в марте 2026 года направила обращение в Яндекс.Маркет из-за жалоб предпринимателей на взломы личных кабинетов и фиктивные возвраты. Об этом указано в письме председателя совета АУРЭК Евгении Черницкой генеральному директору маркетплейса Роману Маресову. Представитель компании подтвердил получение документа и сообщил о его изучении.

С начала 2026 года ассоциация зафиксировала множество обращений по подобным ИТ-инцидентам. По словам владельцев ПВЗ, злоумышленники, получив доступ к личным кабинетам, удаленно оформляют возвраты дорогостоящих товаров без их фактического возврата. После этого маркетплейс выставляет претензии за якобы утерянные товары или задержку отгрузки.

В письме АУРЭК подчеркивается, что иногда служба поддержки маркетплейса самостоятельно обнаруживает подозрительную активность и блокирует аккаунт ПВЗ. Тем не менее, позже предпринимателям все равно предъявляют финансовые претензии.

Стандартный процесс возврата требует личного присутствия покупателя в ПВЗ с QR-кодом из приложения маркетплейса. Сотрудник проверяет товар и подтверждает возврат в системе. По мнению АУРЭК, оформление более двадцати возвратов за несколько минут в системе Яндекс.Маркета одним работником технически неосуществимо.

Пример мошенничества

В качестве иллюстрации представители АУРЭК описали инцидент с предпринимателем Сергеем Клоповским. 28 декабря 2025 года в его личном кабинете за четыре минуты (с 16:19 до 16:24) было оформлено 22 возврата на сумму 1,79 млн рублей. В системе они отображались как принятые, но фактически товары не поступали в пункт выдачи. Среди товаров числились автомобильные шины, бытовая техника и игровая приставка.

Сергей Клоповский сообщил, что в день инцидента служба поддержки уведомила его о подозрительных действиях и заблокировала учетную запись. Затем ему предложили создать новый аккаунт и провести инвентаризацию. Проверка выявила, что 22 возврата существовали только в системе, а на складе ПВЗ этих товаров не было. Аудитор, посетивший пункт, также подтвердил фиктивность возвратов. Однако 28 января 2025 года предпринимателю выставили претензию на оплату товаров. Позже требования преобразовали во взаимозачет, и сумма может быть удержана из будущих выплат.

Владелица одного из пунктов выдачи заказов Яндекс Маркета столкнулась с необычной схемой в 2025 году. Сотрудник ПВЗ написал в группу маркетплейса в Telegram, прося ускорить реакцию поддержки. В ответ ему пришло личное сообщение от аккаунта, названного "Яндекс Маркет Поддержка" и отмеченного знаком верификации. Псевдоподдержка предложила помощь, выслав инструкцию с просьбой передать технические данные браузера: программный код для доступа к пользовательской сессии. На следующий день, по словам владелицы, вход в личный кабинет ПВЗ оказался заблокирован. Служба поддержки маркетплейса подтвердила факт несанкционированных действий. Доступ восстановили после смены паролей. Однако в системе обнаружилось 15 товаров примерно на 600 000 руб., якобы принятых на возврат и ожидающих курьера. Фактически этих позиций в пункте не было, а записи камер видеонаблюдения не убедили на первых порах. Разбирательство, как заявляет предприниматель, длилось около двух с половиной месяцев. В итоге все претензии сняли, но потребовалось привлечение юриста.

Новые подходы

Ассоциация компаний цифровой экономики выступила с инициативой скорректировать текущие процедуры: при выявлении признаков кибервзлома или несанкционированного доступа не удерживать деньги с партнерских пунктов выдачи до завершения расследования ИТ-происшествия. Также предлагается создавать совместные рабочие группы с представителями маркетплейсов и владельцами ПВЗ для детального разбора инцидента. Анализ будет включать проверку журналов доступа, IP-адресов, данных аутентификации и историю смены статусов заказов.

Обсуждаются дополнительные шаги для усиления информационной безопасности: введение лимитов на выполнение операций во внеурочные часы работы пунктов выдачи; внедрение строгого контроля над массовым изменением статусов товаров.

В письме подчеркивается готовность ассоциации привлечь государственные органы, если предложения не найдут конструктивного отклика.

Экспертная оценка ситуации

Руководитель Института развития предпринимательства Артур Гафаров уточняет: любые споры о возвратах и денежных претензиях со стороны маркетплейсов серьезно угрожают владельцам ПВЗ. Он поясняет: логистика пунктов выдачи — низкомаржинальное направление. После периода поддержки от платформы партнер выходит на самоокупаемость, зарабатывая лишь комиссию с оборота.

Игорь, председатель совета по противодействию технологическим правонарушениям Координационного совета НСБ России, констатирует: схема с фальшивыми возвратами не нова, ею активно пользовались на Ozon еще в 2024 г. Распространение информации привело к усилению защитных мер платформ и предпринимателей, снизив привлекательность подобных мошенничеств.

Заместитель председателя Ассоциации Алексей Васильев информировал, что именно партнерские пункты выдачи Яндекс Маркета стали мишенью хакеров 13 марта 2026 г. Он пояснил: кибератака зачастую начинается с фишинговых писем или сообщений: владелец переходит по фальшивой ссылке, предоставляя преступникам доступ к своему аккаунту.

Устойчивость рынка

Компания Ozon подтвердила осведомленность о таких схемах на рынке и постоянный мониторинг новых угроз. Для защиты используется передовая поведенческая аналитика, позволяющая компаниям своевременно выявлять подозрительные действия в пользовательских аккаунтах.

Представители Wildberries чётко заявили: подтверждённых сообщений о таких ИТ-сбоях не поступало! В компании уверенно подчеркнули важный факт: оформить возврат товара в их системе абсолютно невозможно без обязательного сканирования вещи прямо в пункте выдачи. Это ключевая мера безопасности.

Специалисты маркетплейса добавили позитивный момент: их система надёжно защищена. Многие инциденты, по их словам, связаны с уловками социальной инженерии. Иногда сотрудники ПВЗ сами передают злоумышленникам свои данные для входа. В подобных случаях вся ответственность, к счастью, лежит на владельце пункта выдачи или его персонале.

Источник: biz.cnews.ru