Sota Project утверждает, что ФСБ научилась вычислять людей, которые отправляли деньги ФБК. Я в опасности? К сожалению, это возможно — если вы посылали донаты в 2021-2022 годах
Что случилось?
Издание Sota Project опубликовало расследование, из которого следует, что ФСБ научилась вычислять людей, жертвовавших деньги команде Навального через сайт world.fbk.info. Речь идет о периоде с августа 2021-го по март 2022-го: в это время ФБК уже был объявлен «экстремистской» организацией, но еще собирал донаты внутри России.
Чтобы вычислить донатеров, силовики ищут в выписках их лицевых счетов идентификатор V2NI29SJROMGYKY, утверждает Sota Project. Мы понимаем, что завязка этих карточек уже звучит непросто — но все-таки советуем прочитать их до конца, особенно если вы или ваши близкие донатили ФБК в 2021-2022 годах.
Напоминаем, о чем вообще идет речь. 4 августа 2021 года вступило в силу решение суда, который объявил ФБК «экстремистской организацией». С этого момента любое участие в финансировании фонда считается преступлением. На следующий день ФБК перезапустил краудфандинговую кампанию — и начал принимать пожертвования через платежную систему Stripe (запомним это название, оно еще появится в карточках). Этот способ в фонде называли максимально безопасным для жителей России. Stripe перестал работать в РФ с 10 марта 2022 года — из-за ухода Visa и Mastercard.
Sota Project обнаружила такой идентификатор в материалах дела Виктора Левакова и приговоре программисту Антону Зидереру. Про V2NI29SJROMGYKY также пишут на сайте проекта «Поддержка политзаключенных. Мемориал» — правозащитники утверждают, что этот ID упоминается в ряде уголовных дел. Еще несколько аналогичных дел с этим идентификатором нашли журналисты «Медиазоны».
А что это вообще такое — идентификатор V2NI29SJROMGYKY?
В расследовании Sota Project утверждается, что V2NI29SJROMGYKY — это так называемый merchant ID, то есть идентификатор конкретного продавца товаров или услуг при расчетах платежными картами (а для мира платежных систем ФБК и любая правозащитная или благотворительная организация — это тоже «продавец»). Проще говоря, по этому набору букв и цифр теоретически можно понять, что вы отправили деньги ФБК.
Sota Project цитирует показания сотрудника Сбербанка Егора Кузнецова: он объясняет, что такой идентификатор вместе с данными об организации, которая выдала его, якобы позволяет точно установить конечного получателя перевода.
Авторы расследования фактически обвинили ФБК в том, что фонд подставил донатеров — знал о потенциальной проблеме и никак на это не отреагировал.
А ФБК действительно знал об этой проблеме?
Да, но в фонде не считали (и, видимо, не считают), что проблема с merchant ID в принципе существует. Хотя еще в августе 2021 года, через две недели после перезапуска краудфандинга на сайте world.fbk.info, бывший IT-консультант ФБК Владислав Здольников дал вот такой комментарий «Новой газете»:
Как объясняет Владислав Здольников <…> у каждого платежа есть так называемые уникальные идентификаторы — merchant id и terminal id: «Банк не показывает эти идентификаторы в описании платежей, но они существуют и видны российским властям. С их помощью можно отследить, куда направлен платеж».
И как тогда на это отреагировал ФБК?
В сентябре 2022 года Леонид Волков, который в то время занимал пост президента международного ФБК, назвал слова Здольникова «некомпетентной и непрофессиональной чушью».
После публикации расследования Sota Project в феврале 2025-го Здольников и Волков продолжили спор в 𝕏 (бывшем твиттере). Волков заявил, что:
- Stripe (платежная система, которую ФБК начал использовать с августа 2021-го) не присваивает уникальные merchant ID своим клиентам — о чем компания, по словам Волкова, явно пишет у себя на сайте;
- у ФБК никогда не было счета в банке Wells Fargo (именно этот банк упомянут в материалах дела волонтера «Немцова моста» Левакова);
- соответственно, утверждает Волков, нет и никакого «уникального идентификатора» счета ФБК в банке Wells Fargo.
Stripe действительно не присваивает уникальные merchant ID своим клиентам?
Изучив доступные материалы сервиса и устройство всей платежной инфраструктуры, в которой участвует Stripe, мы пришли к выводу, что уникальный идентификатор для каждого клиента все же существует.
На своем сайте Stripe довольно туманно описывает, каким образом сервис работает с merchant ID.
- Нигде в разъяснениях напрямую не утверждается, что клиентам сервиса вовсе не присваивают merchant ID.
- Зато Stripe отмечает, что клиенты «не видят merchant ID и не работают с ним напрямую».
Сервис при этом явно не может использовать один и тот же идентификатор для всех клиентов. Это противоречило бы правилам платежных систем.
Visa и Mastercard — крупнейшие международные платежные системы. Они устанавливают основные правила игры для всех организаций, участвующих в проведении финансовых операций с помощью кредитных или дебетовых карт:
- для торговца, который хочет принимать платежи;
- для банка-эквайера, который обрабатывает поступающие торговцу платежи;
- для банка-эмитента, который выпустил карту покупателя;
- для платежного сервиса, выступающего в роли посредника между продавцом и банком-эквайером (так называемого Payment Facilitator, или PayFac — в нашем случае в этой роли выступал Stripe);
- для разработчика платежных терминалов и программного обеспечения.
Visa и Mastercard важно иметь возможность проследить каждый платеж до конечного торговца для решения самых разных задач. Вроде:
- разрешения споров и возврата денег покупателю;
- контроля соответствия деятельности продавца заявленному виду бизнеса;
- соблюдения требований по противодействию отмыванию денег.
Платежные системы явно оговаривают свое право на мониторинг, аудит, инспекцию и даже расследование в отношении любого торговца. По своему усмотрению и в любое время. Информацию о проблемных («высокорисковых») продавцах заносят в специальную базу данных MATCH. Платежная система может потребовать от эквайера или платежного сервиса разорвать договор с конкретным торговцем.
Кроме того, в этом случае Stripe был бы «черным ящиком» для всех своих контрагентов и регуляторов. А его клиенты не могли бы самостоятельно получить компенсацию от Visa и Mastercard.
В 2024 году, после почти двух десятилетий судебных разбирательств, платежные системы заключили соглашение с американскими торговцами (в том числе использующими платформу давнего партнера Stripe — сервиса электронной коммерции Shopify) — и договорились снизить размер межбанковских комиссий по картам в США за проведение и обработку транзакций. Они также обязались выплатить 5,5 миллиарда долларов компенсаций торговцам, которые в 2004-2019 годах принимали кредитные или дебетовые платежи через Visa и MasterCard.
Чтобы определить размер и получить компенсацию, клиентам Shopify нужно было знать свой merchant ID. Они обнаружили, что его нельзя найти ни в отчетах, ни в панели управления своим онлайн-магазином. Некоторые клиенты платформы связали свои проблемы именно с сервисом Stripe. Оказалось, что единственный способ узнать свой merchant ID — это обратиться в службу поддержки платформы.
В службе поддержки Stripe отдельно отмечали, что компания не может и не будет требовать такой компенсации у Visa и Mastercard от имени клиентов.
Так значит, merchant ID все-таки есть у любого клиента Stripe?
У любого клиента есть уникальный идентификатор — но это не обязательно merchant ID. Речь может идти и о так называемом sub-merchant ID. Такие идентификаторы используют как раз платежные сервисы вроде Stripe. Сейчас мы постараемся объяснить разницу.
Внимание! В расхлопывающихся блоках ниже — в основном технические подробности. Если вам они не нужны, просто листайте до седьмой карточки
Что такое merchant ID и можно ли его скрыть в выписках о транзакциях?
У этого есть важное — и очень техническое объяснение.
Visa и Mastercard, банки и другие платежные системы обмениваются между собой информацией о платежах в соответствии с единым международным стандартом — ISO 8583 «Сообщения, инициируемые картами для финансовых операций».
Первую редакцию этого документа приняли еще в 1987 году, последнюю — в 2023-м.
Этот стандарт довольно старый — и поэтому каждое сообщение кодируется в виде одного очень длинного числа. Основная информация в нем содержится в блоках с данными, каждый из которых имеет собственный номер. Сообщения разного типа состоят из разного набора блоков. В каждом таком наборе некоторые блоки обязательны, а другие — опциональны.
Блок под номером 42 — это так называемый Card Acceptor Identification Code (CAID). Еще в первой редакции ISO 8583 его описывали как код, который идентифицирует конечного получателя перевода с платежной карты — с примечанием «обычно это торговец». Именно этот идентификатор больше известен под другим названием — merchant ID.
И Mastercard, и Visa явно приравнивают CAID к merchant ID. CAID в документах Mastercard прямо называется Acquirer Merchant ID. Visa также говорит, что CAID и Acquirer Merchant ID, как правило, значат одно и то же (а также уточняет, что в данных транзакции в любом случае будет записан CAID).
ISO 8583 требует, чтобы присвоенный продавцу CAID (то есть merchant ID) был виден в транзакциях.
Чем отличается sub-merchant ID и почему в случае «дела ФБК» речь может идти именно об этом идентификаторе?
Если merchant ID торговцу присваивает эквайер, то есть организация, непосредственно обрабатывающая поступающие платежи, то в случае с sub-merchant ID (также известным как sponsored merchant ID) в дело обычно вступает посредник. Его называют Payment Facilitator — или PayFac. Такая компания привлекает торговцев удобным сервисом на своей платежной форме. А эквайеров — тем, что самостоятельно занимается проверкой клиентов и берет на себя часть рисков.
Visa и Mastercard требуют, чтобы в транзакциях таких продавцов одновременно были видны как сам sub-merchant ID (SMID), так и идентификатор выдавшей его организации — Payment Facilitator ID (PFID).
В 2021-2022 годах sub-merchant ID и Payment Facilitator ID не упоминались в актуальной редакции ISO 8583. Но их записывали в такие же финансовые сообщения. Mastercard предписывал использовать для этого блок 48, зарезервированный международным стандартом для частного использования. А Visa — блок 104, который использовался для записи дополнительных данных конкретной транзакции.
Так что следователи нашли в платежках донатеров ФБК — merchant ID или sub-merchant ID?
Сервис Stripe не раскрывает технические детали своей работы. Это принципиальная позиция компании c момента ее основания в 2011 году. Уже тогда сотрудники уклончиво отвечали на вопрос, создают ли они аккаунты своим клиентам как PayFac-посредники:
По сути, мы пытаемся избавить вас от необходимости создавать торговые учетные записи и настраивать отдельные платежные шлюзы. Мы сотрудничаем с [банками] Wells Fargo и First Data, чтобы создать все необходимые аккаунты, чтобы вы могли начать работу немедленно и при этом получить все преимущества полноценного торгового счета.
С другой стороны, в 2020 году в отчете Credit Suisse утверждалось, что у Stripe есть прямые лицензии платежных систем — то есть компания сама могла быть эквайером. А значит, раздавать клиентам merchant ID, а не только sub-merchant ID.
Тогда, может быть, силовики знают только о факте платежа через Stripe — без идентификатора конкретного продавца?
Банк-эмитент в любом случае сразу получает идентификатор продавца. Это работает так:
- Человек, решивший оставить пожертвование, вводит данные своей карты на сайте, нажимает на кнопку «отправить» и тем самым инициирует транзакцию.
- Платежный сервис формирует авторизационное сообщение в формате ISO 8583, которое содержит всю необходимую информацию о транзакции. В том числе данные «продавца» — организации, собирающей пожертвования. Там обязательно должны быть указаны merchant ID или sub-merchant ID.
- Банк-эмитент карты жертвователя получает авторизационное сообщение от эквайера через сеть Visa или Mastercard вместе с идентификатором «продавца». Проводит необходимые проверки (вроде наличия средств на карте клиента) и отправляет ответ. Банк-эмитент либо подтверждает, либо отклоняет запрос.
Только после успешной авторизации стороны приступают к непосредственному переводу денег.
А откуда в «делах ФБК» взялся банк Wells Fargo? Ведь Волков говорит, что у фонда там не было счета
В 2021-2022 годах американский банк точно был эквайером для некоторых клиентов Stripe. Wells Fargo занимался всей технической работой и обработкой безналичных платежей со стороны продавцов.
Это подтверждает дополнение к пользовательскому соглашению Stripe, вступившее в силу в марте 2021 года — оно не менялось как минимум до мая 2022-го.
Wells Fargo автоматически начинал работать с клиентами Stripe в двух случаях:
- если объем транзакций по картам конкретного торговца превышал миллион долларов в течение одного года;
- если клиент считался «субъектом повышенного риска» для брендов Visa, Mastercard или Discover.
Visa, например, автоматически считает такими субъектами определенные категории торговцев (вроде сервисов знакомств, онлайн-казино, букмекерских контор и продавцов криптовалюты).
Почему в Wells Fargo обрабатывались платежи в адрес ФБК, мы достоверно не знаем. Но банк упоминается уже в самом первом деле о донате ФБК, отправленном 5 августа 2021 года — в день старта фандрайзинговой кампании.
Так что в итоге, V2NI29SJROMGYKY — это идентификатор ФБК?
Наш вывод неутешителен: скорее всего — да. Либо merchant ID (CAID), либо sub-merchant ID (SMID).
- С 1987 года максимальная длина CAID изначально была ограничена набором из 15 знаков — цифр, букв и специальных символов; в 2003 году лимит увеличили до 35 знаков.
- SMID в платежных системах Visa и Mastercard не может быть длиннее 15 знаков из цифр и букв.
При этом в зависимости от банка или сервиса, присваивающих CAID или SMID, их длина может быть и меньше. Stripe определяет свой merchant ID как 15-значный идентификатор из цифр и букв. V2NI29SJROMGYKY подходит.
Чтобы независимо подтвердить, что V2NI29SJROMGYKY — это идентификатор ФБК, нам необходимо получить полную выписку доната, который был отправлен фонду через Stripe в 2021-2022 годах. Например, в формате ISO 8583.
Если вы отправляли донаты ФБК через Stripe в 2021-2022 годах и знаете, как раздобыть полную выписку, пожалуйста, напишите нам. Вы можете написать на [email protected] (но ни в коем случае не отправляйте подобную информацию с российских почтовых сервисов, таких как «Яндекс» и Mail.ru, — это небезопасно). Также вы можете написать нам в телеграм @m_needs_you — безопаснее сделать это в «секретном чате». Или использовать еще более безопасный канал связи с «Медузой».
То есть силовики действительно могут с помощью этого идентификатора узнать, что я переводил деньги ФБК?
Вероятно, да — если вы отправляли деньги через российские банки.
По закону банки выдают силовикам справки по операциям, счетам и вкладам клиентов только на основании судебного решения. На практике в 2023 году суды удовлетворили 261 тысячу запросов на проведение подобных оперативно-разыскных мероприятий и отказали менее чем в тысяче случаев.
Официального — пока нет.
В августе 2023 года правительство РФ внесло в Госдуму законопроект о прямом (в том числе удаленном) доступе ФСБ, ФСО, МВД, ГРУ и СВР к базам данных различных организаций с информацией об их клиентах. Для того, чтобы спецслужбы могли редактировать или даже удалять оттуда сведения о кадровых и внештатных сотрудниках. Банки выступили против законопроекта. В том числе из-за неограниченного и неконтролируемого доступа спецслужб к данным обычных клиентов без их согласия и без решения суда. В Минцифры заверили, что силовики получат доступ только к информационным системам, которые «будут включены в специальный реестр».
Непонятно, будет ли у них при этом прямой доступ к самим платежам. Или удалять смогут только персональные данные, а сами платежи силовиков сохранятся, но станут обезличенными — анонимными.
Законопроект был принят в первом чтении в ноябре 2023 года. 13 февраля 2025-го инициатива могла быть принята во втором чтении, но рассмотрение перенесли. Если закон будет принят депутатами, одобрен сенаторами, подписан президентом и опубликован, то он вступит в силу 1 июля 2025 года.
Мы не знаем, как силовики выбирают объекты для преследования. Раздобыли ли они каким-нибудь образом список всех клиентов российских банков, в чьих платежках есть идентификатор V2NI29SJROMGYKY. Или идут по какому-то другому списку потенциальных сторонников ФБК, методично изучая информацию об их банковских операциях.
Что мне грозит, если я отправлял донат ФБК в опасный период?
Штраф, принудительные работы или лишение свободы.
Финансирование «экстремистской» деятельности (без использования служебного положения) — это первая часть статьи 282.3 Уголовного кодекса РФ. Наказывают за такое преступление в диапазоне от штрафа (от 300 тысяч до 700 тысяч рублей) до лишения свободы (от трех до восьми лет).
Можно как-то избежать ответственности?
Разве что уехать из страны. Так сделал первый фигурант дела о донатах ФБК — журналист и сооснователь «Диссернета» Андрей Заякин.
Примечание к статье о финансировании экстремистской деятельности предусматривает освобождение от ответственности: для этого нужно во всем сознаться и каким-то образом помочь властям. Разумеется, мы очень сомневаемся, что вы сможете отделаться явкой с повинной — и, конечно, не рекомендуем сотрудничать с властями.
Примечание. Лицо, впервые совершившее преступление, предусмотренное настоящей статьей, освобождается от уголовной ответственности, если оно путем своевременного сообщения органам власти или иным образом способствовало предотвращению либо пресечению преступления, которое оно финансировало, а равно способствовало пресечению деятельности экстремистского сообщества или экстремистской организации, для обеспечения деятельности которых оно предоставляло или собирало средства либо оказывало финансовые услуги, если в его действиях не содержится иного состава преступления.
Конечно, сценарий отъезда подходит далеко не всем. Если вы оказались в группе риска и не можете покинуть Россию, пожалуйста, будьте максимально осторожны. Пока преследования донатеров ФБК носят скорее единичный характер. Масштаб репрессий не стоит как недооценивать, так и преувеличивать. Берегите себя.
Денис Дмитриев