Новая угроза для всех, кто жертвовал деньги ФБК в России после запрета. Что об этом известно

Предыстория. В июне 2021 года Московский городской суд объявил Фонд борьбы с коррупцией Алексея Навального экстремистской организацией. С этого момента пожертвования фонду стали уголовно наказуемы (статья о финансировании экстремистской деятельности). 

ФБК перестал принимать донаты, а спустя два месяца, в августе 2021 года, объявил, что нашел «безопасный способ» для сбора денег с российских карт через американский платежный сервис Stripe. 

Вскоре после этого выяснилось, что задуманной анонимности не вышло, а в некоторых платежах ФБК все же упоминался — в назначении было написано: THANKS, WORLD.FBK.IN US. Так как платежи отправлялись с российских банковских карт, это было известно и силовикам. 

Тогда в фонде заявили, что эта уязвимость существовала «несколько часов».

Первая информация об уголовных делах за переводы в адрес ФБК появилась в конце августа 2022 года, а первым известным обвиняемым по такому делу стал журналист и сооснователь «Диссернета» Андрей Заякин. 

К февралю 2024 года «Медиазоне» было известно о 15 таких делах, в 2025 году их стало еще больше. Мы подробно писали о них и вели онлайны с судов. 

До сих пор мы считали, что под угрозой уголовного дела были лишь те, кто попал в промежуток незащищенных платежей в первые часы или дни после 5 августа 2021 года. Но, судя по всему, это не так.

Что нового мы узнали из текста SOTA. Накануне очередного судебного заседания по одному из обвиняемых в донатах ФБК — волонтера «Немцова моста» Виктора Левакова — издание SOTA выложило часть материалов его уголовного дела. 

Из этих материалов следует, что силовики доказывали переводы денег ФБК не первым (незащищенным) платежом с упоминанием фонда, а номером мерчант-счета (счета продавца, на который ушли деньги). Его видит российский банк и, соответственно, видят силовики по запросу. По версии следствия, счет с идентификатором V2NI29SJROMGYKY принадлежит самому ФБК.

Как и в других делах, слово FBK было в выписке только по первому платежу от 5 августа 2021 года. Дальше ФБК периодически менял назначение платежа и телефон получателя, но мерчант-счет оставался постоянным.

Ранее о такой логике силовиков известно не было. Нам удалось получить лишь материалы к избранию меры пресечения Андрею Заякину, в которых Merchant ID не упоминался вовсе. В приговоре Всеволожского городского суда от июля 2024 года упоминается идентификатор V2NI29SJROMGYKY — но без полных материалов дела понять, что он оставался неизменным для всех транзакций, а не только для скомпрометированного перевода, где упомянут ФБК, невозможно.

После публикации SOTA мы изучили новые материалы уголовных дел и действительно нашли упоминания мерчант-счета (и доказывание переводов через него) в еще как минимум трех делах о пожертвованиях ФБК.

Так, в материалах дела против уехавшего из России активиста Константина Котова есть документ о «наведении справок в отношении подконтрольного сотрудникам экстремистской организации ФБК мерчант-счета». Там указан тот же счет, что у Левакова. Далее в материалах дела следует ответ из Росфинмониторинга, что Котов действительно делал переводы на этот счет. 

Аналогичный документ из ФСБ про наведение справок о мерчант-счете «Медиазона» нашла и в еще одном уголовном деле. В третьем деле следователь прямо пишет про «Merchant ID, принадлежащий ФБК».

И этот мерчант-счет фигурирует во всех транзакциях вплоть до отключения России от международных платежей из-за войны с Украиной в 2022 году.

При этом сервис Stripe в правилах обслуживания пишет, что не создает новый мерчант-счет для каждого клиента — и все они пользуются общим:

«Нашим пользователям не нужно открывать счет торговца самостоятельно, поэтому им не присваивается номер Merchant ID. <..> Поскольку Stripe предоставляет функционал коммерческого счета, у пользователей есть общий идентификатор (account ID), который соответствует их счету, но нет отдельного коммерческого идентификатора (merchant ID)». 

Проще говоря, это может означать, что в выписках указан номер счета самого Stripe, который един для всех, кто пользуется этой системой. Cудя по описанию принципа работы Stripe на сайте SecureGlobalPay, вообще все платежи — не только ФБК — поступают на счет самого Stripe, а он сам распределяет их внутри себя.

Косвенно это доказывает обсуждение Google Payments API, где один из пользователей Stripe спросил, как подключить систему к Google — тот требует Merchant ID, хотя Stripe их не выдает. В инструкциях от самого Stripe тоже упоминается это.  

То же самое в сервисе Stripe сказали представителям ФБК в 2022 году, рассказал «Медиазоне» Леонид Волков: «Они однозначно нам сказали, что никаких уникальных ID своим клиентам не присваивают и никуда не передают». Волков настаивает, что ФБК никакого отношения к этому мерчант-счету не имеет. 

Из справок в материалах дела неясно, запрашивались ли переводы в отношении широкого круга лиц или только по каждому фигуранту в каждом деле отдельно. Но в каждом деле оперативник ФСБ как под копирку сначала пишет, что он ищет информацию по мерчант-счету, а потом ссылается на ответ из Росфинмониторинга с очередной фамилией подозреваемого и списком транзакций. Это, как показала SOTA на примере дела Левакова, происходит до того, как суд выдает разрешение на официальный запрос в банк.

Вместе с мерчант-счетом силовики ссылаются и на банк-получатель платежа — Wells Fargo. В суде над Леваковым даже выступал эксперт, объяснявший, что именно комбинации мерчант-счета и банка является уникальной, а не только сам счет. Упоминается Wells Fargo и в материалах Заякина, Котова и многих других. 

Волков в комментарии Медиазоне заявил, что у ФБК никогда не было счета в этом банке.

В интернете нетрудно обнаружить многочисленные упоминания того, что именно этот банк используется Stripe для платежей. Например, Wells Fargo сохранился в пользовательском соглашении Stripe в кэше Google за 2019 год и за 2022 год. 

В 2024 году, судя по публикациям СМИ, партнерство Stripe и Wells Fargo прекратилось, поэтому на данный момент упоминание банка пропало с сайта Stripe, а мерчант-счет платежей в адрес Stripe мог с тех пор измениться.

Почему все плохо. На самом деле не так важно, принадлежит ли этот счет конкретно ФБК или всему Stripe. Важно то, что силовики (а за ними и суды) считают его таковым и выносят приговоры на основе этой информации. Хотя нам пока неизвестно о каких-либо претензиях к обычным пользователям Stripe. 

В руках у силовиков есть еще один козырь для поиска людей, переводивших деньги ФБК. После того, как фонд раскрыл назначение одного платежа, в последующих эти данные были изменены на нейтральные, которые никак не связаны с соратниками Навального. Однако эти платежи были скомпрометированы после первого же задержания человека, который попал под незащищенную транзакцию.

ФБК не отменили эту транзакцию, а сам человек не отписался и продолжил совершать платежи с той же карты. Это значит, что после его задержания у силовиков был список платежей в адрес Stripe/ФБК, который начинался с упоминания ФБК и затем менялся на что-то нейтральное. Помимо назначения платежа силовики узнали еще одно уникальное для ФБК поле — это номер телефона, который тоже менялся вместе с назначениями. Используя эту информацию вместе силовики могут находить других доноров ФБК, в платежах у которых были такие же, казалось бы, «нейтральные» значения.

В день публикации этого текста стало известно о еще двух приговорах за пожертвования ФБК. В одном из них жителя Тольятти Юрия Бобкова осудили за переводы, которые начались в сентябре 2021 года — то есть, через полтора месяца после объявления ФБК об устранении уязвимости. Это первое известное подобное дело, в котором гарантировано нет скомпрометированной транзакции: во всех предыдущих доступных материалах, в которых были даты платежей, либо была транзакция от 5 августа с упоминанием ФБК в назначении платежа, либо аналогичная транзакция от 6 августа, несмотря на утверждения Волкова, что «уязвимость» была исправлена в первые часы. 

При этом «Медиазона» пока не видела материалы дела о сентябрьском донате из Тольятти. Мы постараемся получить их, чтобы детальнее выяснить, как в этом случае работали силовики.

Теоретически все описанное выше ставит под угрозу вообще всех жертвователей ФБК из России в период с августа 2021 по февраль 2022 года. Часть 1 статьи 282.3 УК подразумевает штраф 300-700 тысяч рублей или от трех до восьми лет колонии.

Редактор: Максим Литаврин