Валерий Баулин: в три из пяти финансовых махинаций вовлечены родственники

Три четверти российских компаний хотя бы раз за последние три года стали жертвами экономических преступлений, но мошенники оставляют "цифровые следы", по которым их можно выявить. Как с помощью IT-технологий распознать вывод денег из компании, каков ущерб от финансовых схем в России, и почему биткоин не гарантирует злоумышленникам полную анонимность, в интервью РИА Новости рассказал руководитель лаборатории компьютерной криминалистики международной компании Group-IB Валерий Баулин. Беседовала Мариам Багдасарян.

– Какой примерный объем экономических преступлений зафиксирован в России в 2020 году?

– Ущерб от экономических преступлений в России, по данным МВД, в 2020 году может превысить 450 миллиардов рублей. За этот же период более 300 тысяч экономических преступлений совершались при помощи высоких технологий. Сегодня любое финансовое правонарушение имеет цифровой след, то есть связано с использованием компьютеров, смартфонов, жестких дисков, флеш-накопителей или других IT-устройств, именно поэтому его расследование обязательно должно включать киберкриминалистику и профильную экспертизу.

– То есть для расследования почти всех экономических преступлений нужны IT-навыки?

– Да, все верно. Сегодня расследовать любое финансовое правонарушение без анализа "цифровых следов", которые злоумышленники оставляют на своих устройствах, в переписке по электронной почте, в мессенджерах, где-то еще, невозможно. Как правило, наших экспертов привлекают для решения задач по форензике (компьютерной криминалистике – ред.), для расследований, анализа и юридически правильного закрепления цифровых улик, а также иных доказательств, в том числе для судебных разбирательств.

Раньше мы часто выступали лишь подрядчиком для сбора технической информации, связанной с финансовыми махинациями: анализировали цифровые носители, собирали и документировали различные данные, относящиеся к потенциальному преступлению, и передавали все находки адвокатам, клиентам или правоохранительным органам для дальнейшего расследования. Теперь мы полностью самостоятельны и выдаем весь комплекс таких работ под ключ.

– Как выглядит финансовое расследование с использованием киберкриминалистики сегодня?

– Пострадавшая компания или частное лицо могут пойти двумя путями: написать заявление в МВД о своих подозрениях на совершенное в их отношении финансовое мошенничество либо сделать это, предварительно собрав всю необходимую доказательную базу на коррупционера, нечистого на руку партнера, инвестора, своего же бухгалтера и других. Во втором случае речь идет об eDiscovery (поиск и сохранение электронных данных для использования в качестве улик в судебном процессе – ред.)

Как выглядит процесс финансового расследования? К нам обращается либо сам клиент напрямую, либо его адвокат. Мы начинаем исследовать кейс по нескольким направлениям: киберкриминалистика и собственно финансовое расследование.

Если клиент предоставляет такую информацию, мы изучаем, куда могли уйти деньги с карт, исследуем выписки банка, бухгалтерию, 1C, карточки счетов учета, смотрим договоры, "первичку". В любом случае проверяем контрагентов и оцениваем результаты работ по договору. Здесь важно проверить и факт потенциальной аффилированности контрагентов, например, с главбухом. Или, как вариант,использование родственников в мошеннической схеме.

Дальше, если ресурсы позволяют, идем по пути киберкриминалистики – ищем уже те самые "цифровые следы" как внутри компании (электронная почта, мессенджеры, серверы), так и вне ее периметра, чтобы понять, куда же деньги осели. Здесь очень важное значение имеет правильный сбор и корректное оформление всех найденных доказательств для того, чтобы их приняли и в правоохранительных органах, и в суде. К слову, за все 18 лет нашей работы не было ни одного отвода эксперта в суде.

– Как часто злоумышленники используют родственников и друзей в своих преступных схемах? Кто стоит за ними?

– Довольно часто. В трех из пяти наших расследований в финансовых махинациях были задействованы родственники. Мы сталкивались с ситуацией, когда мошенники выводили активы и на членов семьи, и на родственников, а также на подчиненных, личных водителей или даже на друзей детства.

Как пример: к нам за помощью обратился крупный банк, подозревавший в недобросовестности одного из своих клиентов. Оказалось, что при получении кредита владелец бизнеса предоставил ложные сведения о финансовом положении компании. Часть денег он вывел за границу через цепочку подставных фирм на свои личные счета и счета своих близких. Благодаря OSINT (разведка на основе открытых источников), которую провела Group-IB, стали известны весьма интересные факты: протеже бенефициара стала обладательницей Bentley и квартиры в центре столицы.

В рамках другого расследования владелец компании назначил на пост генерального директора своего сына. Новоиспеченному руководителю, естественно, предоставили право подписи документов, в том числе о распоряжении деньгами. Итог: часть бумаг, на которых стояла подпись нового гендиректора, оказались подложными: бенефициар активно выводил средства за рубеж. Нетрудно догадаться, кто пострадал. К сожалению, нечистые на руку бизнесмены и чиновники редко задумываются о том, во что они втягивают своих близких, когда речь идет о больших деньгах.

– Какие корпоративные преступления чаще всего происходят в российских организациях? Какую долю среди них занимают незаконный вывод активов, хищения, финансовые махинации?

– Рейтинг наиболее распространенных корпоративных правонарушений в России по-прежнему возглавляет незаконное присвоение активов компании. На втором месте — коррупция (дача или получение взятки, откаты), на третьем — мошенничество с финансовой отчетностью.

Важный нюанс: доля рублевых потерь в случае с незаконным присвоением активов на предприятиях, когда ущерб несут сами компании, намного ниже, чем от мошенничества с использованием ложной информации в финансовой отчетности, где пострадавшими оказываются стейкхолдеры. Цепочка преступления такова: одно правонарушение, как правило, тянет за собой другое. Например, вам нужны инвестиции, но трезво оценивая состояние своего бизнеса, вы понимаете, что денег вам не даст ни один банк. Что вы делаете, будучи не совсем честным бизнесменом? Вы "причесываете" финансовую отчетность, попросту говоря, подделываете бумаги о текущем состоянии бизнеса, чтобы выглядеть наиболее привлекательно в глазах инвестора или банка. Если ваша афера сработала, деньги вам дали, вы переводите их как можно скорее по формальным основаниям на личные или подконтрольные счета. А ваш инвестор или ваш банк идет к нам за расследованием, готовясь, например, к суду с вами.

– Какой объем средств злоумышленники выводят из организаций? Как часто средства выводятся на зарубежные счета?

– По нашей статистике, мошенники выводят 40-60% от полученных инвестиций по частям, в течение определенного времени — пары месяцев или даже одного года – полутора лет. Почему? Чтобы не вызывать подозрения. Для маскировки в цепочке участвуют родственники и друзья злоумышленника. К примеру, был такой случай: из 100 миллионов рублей, инвестированных одним из акционеров, мошенник — сотрудник, ответственный за проект, — смог вывести около 45 миллионов рублей. Владелец вложенных средств привлек нас, когда понял, что проект стал проблемным. В итоге мы подтвердили факты неправомерного использования и вывода части денег на личные счета родственника бенефициара. Наша экспертиза помогла пострадавшему усилить переговорную позицию: дело было урегулировано в досудебном порядке.

Насчет вывода денег за границу однозначного ответа нет. Здесь, как правило, включается многофакторная модель поведения, и очень многое зависит от портрета самого мошенника. К примеру, если это человек, имеющий двойное гражданство, имущество и счета за рубежом, то в этом случае да, скорее всего, активы он выведет из российской юрисдикции — у него больше возможностей.

– Как руководители компаний могут заметить и предотвратить экономические преступления внутри организации?

– Есть определенные красные флажки, на которые служба безопасности, кредитор или партнеры должны обратить внимание. К примеру, ухудшение общих показателей бизнеса, недостижение показателей KPI, возросшая долговая нагрузка неясного для бенефициара происхождения, скрытые обязательства, в том числе поручительства за другие компании, залог имущества общества, не отраженный в финансовой отчетности организации. Есть и косвенные признаки. Допустим, у человека появилось новое имущество, хотя уровень его дохода не изменился или хуже того — снизился. Если такие подозрения есть, мы можем провести финансовое расследование, собрать фактуру для клиента и довести дело до финального итога — суда.

– Можно ли отследить финансового преступника, который переводит свои активы в криптовалюты?

– Конечно. С появлением криптовалют, обеспечивающих анонимность и простоту передачи своим владельцам, преступлений с их использованием (как в качестве оплаты за услуги, так и в качестве предмета кражи) мы начали изучать механизмы хранения, передачи, инфраструктурного обеспечения всего, что связано с криптовалютой.

Последние пять лет деньги, полученные преступным путем, выводят не через обналичку, что опаснее, а сразу переводят в криптовалюты, чтобы замести следы. Но если к нам попадут технические объекты, с помощью которых были совершены переводы, мы постараемся обнаружить "цифровые следы" совершения транзакции.

В принципе, можно отследить любую транзакцию с криптой. Есть специализированные сервисы, которые позволяют отследить движение транзакций от криптокошелька к криптокошельку. Все транзакции прописываются в блокчейне и отслеживаются. Многие не знают, но биткоин никогда не был по-настоящему конфиденциальной криптовалютой. Любой BTC-адрес можно связать с IP-адресом и другой информацией при помощи специализированных аналитических сервисов. Но есть криптовалюты, которые сложнее отследить, а порой практически невозможно, так называемые анонимные криптовалюты. Тут важно понимать, в какую именно криптовалюту были выведены средства. Конфиденциальность анонимных валют достигается путем использования криптографических протоколов, усложняющих или делающих полностью невозможным отслеживание транзакций в блокчейне.

– Какой объем преступлений приходится на криптовалюты, и какие криптовалюты чаще всего используются злоумышленниками?

– Это серая зона, оценить объем преступлений в ней всегда сложно. Мошенничествами с криптовалютами занимаются опытные или как они себя сами называют "прошаренные" люди, разбирающиеся в рынке и имеющие нужные связи. Из-за того, что все больше и больше населения начинает вкладывать в крипту как в спекулятивный инструмент, количество преступлений опять-таки будет расти, тем более что, несмотря на громкие скандалы, связанные со взломами криптовалютных бирж и личных кошельков, многие пользователи о безопасности задумываются в последнюю очередь.

Самая популярная криптовалюта это, естественно, биткоин. Его легче купить и перевести, нежели другие альткоины. Но для злоумышленников популярностью пользуются, естественно, анонимные альткоины, например Monero. Также отдается предпочтение альткоинам типа Zcash, Dash, Komodo и другим.

– На сколько, по вашим прогнозам, вырастет число экономических преступлений в 2021 году?

– Число экономических преступлений в России будет расти, в том числе из-за кризиса и пандемии. А среди типов преступлений вывод активов, скорее всего, останется на первом месте. Так как мы все уже давно живем в цифровом мире, киберпреступления также все плотнее будут сращиваться с классическими преступлениями. Компаниям нужно всерьез задуматься об укреплении проактивной киберзащиты своей IT-инфраструктуры, предотвращении атак еще на этапе их подготовки и повышении киберграмотности сотрудников.

Ненадежные пароли, отсутствие двухфакторной аутентификации, посещение подозрительных сайтов, открытие писем и вредоносных вложений к ним, переход по подозрительным ссылкам — все эти ошибки, помноженные на невнимательность сотрудников, открывают киберпреступникам путь в сеть IT-инфраструктуры организации.