Дима открыл ПВЗ год назад. Вложил около 400 тысяч, взял помещение, нанял двух девочек на смены. По цифрам всё выглядело разумно: стабильный поток, комиссия с каждой выдачи, минимум головной боли. Классический «почти пассивный доход».
В один из четвергов он зашёл в личный кабинет и увидел минус 340 тысяч рублей.
Никаких предупреждений. Никаких звонков. Просто — минус. И длинный список возвратов, которые он не принимал.
То, что произошло с Димой, сейчас называют одной из самых быстрорастущих схем в e-commerce. И суть её обидно проста.
Злоумышленники получают доступ к личному кабинету ПВЗ — через фишинговую ссылку, поддельную «поддержку маркетплейса» или просто потому, что пароль написан на стикере у монитора (это не шутка, это быт). Попав внутрь, они в течение нескольких минут оформляют десятки возвратов по дорогим позициям: iPhone, ноутбуки, фены Dyson. Система фиксирует: «ПВЗ принял товар обратно, деньги покупателю возвращены». Товара нет, денег нет — зато есть долг, который маркетплейс выставит владельцу точки.
Красиво и цинично.
Откуда вообще такая уязвимость? В большинстве интерфейсов маркетплейсов есть режим ручного подтверждения возврата — на случай, если сканер не читает штрихкод. Задумывалось как удобство. Оказалось — как форточка для входа. Физического присутствия товара система не требует. Фото не нужно. Подпись сотрудника — тоже.
При этом сам рынок ПВЗ вырос стремительно и хаотично. Только за последние три года количество пунктов выдачи в России увеличилось в разы. Порог входа низкий, обучение минимальное, а значит — культура безопасности у большинства точек на уровне «один логин на всех сотрудников» и «пароль не меняли с открытия».
Это не вина конкретных людей. Это системная слепота.
Среди тех, кто уже столкнулся с подобным, — не только небольшие точки в регионах. Зафиксированы случаи в Москве, Екатеринбурге, Краснодаре. Суммы — от 80 тысяч до полутора миллионов рублей с одного пункта. Некоторые владельцы месяцами переписываются со службой безопасности маркетплейса, нанимают юристов и пытаются доказать, что операции совершал не они.
Доказать сложно. Оферта написана так, что площадка имеет право списать деньги за «недостачу» — и до выяснения обстоятельств именно владелец ПВЗ считается виновным по умолчанию.
Схожая история уже происходила с продавцами на тех же платформах несколько лет назад — тогда речь шла о фиктивных заявках на возврат от покупателей, которые получали деньги обратно, не возвращая товар. Площадки долго не реагировали, пока волна жалоб не стала слишком громкой. Похоже, история повторяется — только теперь удар идёт по другому звену цепочки.
Что реально можно сделать прямо сейчас, если у тебя или у кого-то из близких есть ПВЗ: отдельный логин для каждого сотрудника, двухфакторная аутентификация там, где она есть, видеофиксация зоны приёма возвратов и привычка сверять баланс каждый день — не раз в неделю. Это не параноя, это минимальная гигиена.
Но положа руку на сердце — это полумеры. Потому что пока маркетплейс позволяет подтверждать возврат дорогого товара без фото, без скана и без физической верификации, окно для злоупотреблений остаётся открытым. Вопрос не в том, насколько внимательным должен быть владелец ПВЗ. Вопрос в том, кто вообще решил, что такая система — нормальная.
Пока одни спорят о зонах ответственности, другие уже потеряли деньги, нервы и желание вести этот бизнес. И, судя по темпу, с которым схема масштабируется, таких историй, как у Димы, будет становиться больше.