«22 возврата на 1,79 млн рублей за 4 минуты. Физически товара нет. Зато претензии — есть. Добро пожаловать в реальность маркетплейс-партнёрства.» — Алексей Махметхажиев
АУРЭК (Ассоциация участников рынка электронной коммерции) официально уведомила руководство Яндекс Маркета о системных взломах кабинетов владельцев ПВЗ (пунктов выдачи заказов). Механика проста и болезненна: злоумышленники получают доступ, оформляют фиктивные возвраты, маркетплейс выставляет претензии — и удерживает деньги через взаимозачёт. Для малого бизнеса это прямой кассовый разрыв.
Что произошло
По данным АУРЭК, атаки происходят после перехода сотрудников ПВЗ по фишинговым ссылкам. Злоумышленники получают удалённый доступ к кабинету и оформляют возвраты без физического сканирования товара.
Кейс предпринимателя Сергея Клоповского (28 декабря 2025 года): 22 возврата на 1,79 млн рублей — за 4 минуты. Автошины, техника, приставка. Товар в ПВЗ физически не поступал. Яндекс Маркет заблокировал аккаунт в день инцидента, но затем перевёл претензии в статус взаимозачёта. Деньги удерживаются из будущих выплат.
- Влияние на воронку/операционку — владелец ПВЗ работает в минус: выплаты заморожены, обязательства перед арендодателем и персоналом остаются.
- Влияние на юнит-экономику: маржу и CAC (стоимость привлечения партнёра) — один инцидент в 1,79 млн рублей при средней марже ПВЗ в 3–7% от оборота означает потери за несколько месяцев работы. Рентабельность уходит в отрицательную зону мгновенно.
- Влияние на операционку и команду — узкое место системы: маркетплейс позволяет оформить возврат без физического сканирования при удалённом доступе к кабинету. Озон и Wildberries декларируют защиту через поведенческую аналитику и обязательное сканирование — у Яндекс Маркета этот барьер, судя по инцидентам, не срабатывает.
Как использовать это в ближайшие 30 дней
Аудит доступов к кабинету ПВЗ прямо сейчас — проверьте все активные сессии, смените пароли, подключите двухфакторную аутентификацию. Метрика успеха: ноль посторонних активных сессий.
Пропишите регламент для сотрудников по фишингу — один инструктаж и письменный запрет переходить по ссылкам из мессенджеров снижают риск первичного взлома. Зафиксируйте подписью каждого сотрудника.
Зафиксируйте в договоре с Яндекс Маркетом порядок оспаривания претензий — если такого пункта нет, направьте письменный запрос в поддержку с требованием разъяснить процедуру досудебного урегулирования. Это создаёт бумажный след до возникновения инцидента.
Вывод
Яндекс Маркет пока изучает ситуацию — это не позиция, это пауза. Механизм взаимозачёта без завершённого расследования перекладывает финансовый риск на слабую сторону. Владельцам ПВЗ на Яндекс Маркете: внедрять защитные меры немедленно, параллельно мониторить развитие позиции платформы. Открывать новые ПВЗ именно на этой площадке — только после публичного ответа с конкретными техническими решениями.
Пока без комментариев. Будьте первым.