Как отследить несанкционированные движения товаров в ЕГАИС и найти скрытые списания

← На главную

Ситуации, когда розничный магазин внезапно получает уведомление от Росалкогольрегулирования (РАР) о движении продукции, к которой он не имеет отношения, встречаются в практике автоматизации торговли. Это может быть как техническая ошибка контрагента, так и результат компрометации системы (взлом УТМ или кража ключа RSA). Разберем по шагам, как проанализировать ситуацию, найти «невидимые» накладные и защитить организацию от штрафов.

Анализ входящих документов через сервис Check1

Первым делом проанализируем, какие документы фактически проходили через ваш FSRAR_ID. Даже если в учетной системе (например, в 1С:Розница или 1С:Управление торговлей) нет никаких следов, данные в системе ЕГАИС сохраняются. Рассмотрим использование общедоступного сервиса check1.fsrar.ru.

Разберем, как получить список накладных, если номер ТТН неизвестен:

Перейдем на сайт check1.fsrar.ru.
Выберем вкладку «Запрос по FSRAR_ID».
Введите ваш идентификатор FSRAR_ID и проверочный код.
Система выведет список всех входящих и исходящих документов за последние 30–90 дней.

В этом списке мы сможем увидеть ту самую накладную от «ООО Ромашка», о которой сообщил РАР. Если накладная есть в списке, значит, она действительно была отправлена на ваш транспортный модуль. Если же ее нет — возможно, данные были поданы через другого контрагента или произошла ошибка в самом уведомлении РАР.

Проверка журнала продаж в Личном кабинете ЕГАИС

Если возникло подозрение, что товар был не только получен, но и реализован (списан), проанализируем электронный журнал продаж. Рассмотрим подробнее, как это сделать через Личный кабинет на портале service.egais.ru:

В разделе «Отчеты» нам доступны два критически важных инструмента:

Выгрузка списка чеков: позволяет получить Excel-файл со всеми розничными продажами. Проанализируем время продажи. Если чеки пробивались в ночное время или в моменты, когда магазин был закрыт — это явный признак взлома.
Информация из ЕГАИС по данным организации: здесь можно запросить остатки на конкретную дату в прошлом. Сравним эти остатки с данными в 1С. Разберем ситуацию: если в 1С остаток 10 единиц, а в ЕГАИС на ту же дату — 0, значит, списания проводились мимо учетной системы.

Технический аудит УТМ и поиск следов взлома

Часто «взлом» оказывается следствием открытого порта 8080. УТМ (Универсальный Транспортный Модуль) по умолчанию не имеет пароля. Если ваш системный администратор «пробросил» этот порт на роутере для удаленного доступа, любой человек в интернете, узнав ваш IP, может отправить в ваш УТМ запрос на списание или подтверждение накладной.

Проанализируем лог-файлы УТМ, чтобы найти IP-адрес отправителя. Даже если база УТМ была очищена, логи часто сохраняются в текстовом виде. Перейдем в папку: C:\UTM\transporter\logs и найдем файл transport_info.log.

Посмотрим на пример того, что мы ищем в логах:


2023-08-15 14:20:10,555 INFO  ru.fsrar.utm.transport.Service - Входящий запрос на отправку документа (Ticket) от IP: 192.168.1.50
2023-08-15 14:21:05,123 INFO  ru.fsrar.utm.transport.Service - Получен документ типа ActWriteOff (Акт списания)

Если в логах фигурирует внешний IP-адрес, который не принадлежит вашей локальной сети, значит, доступ был осуществлен извне. В этом случае необходимо немедленно закрыть порт 8080 на брандмауэре и настроить доступ только с localhost.

Запрос истории движений по регистрам

В ЕГАИС существует возможность запросить детальную историю движений. Хотя общего отчета «за дату по всему товару» нет, мы можем действовать точечно. Выясним причину изменений, используя специальные XML-запросы.

Рассмотрим два типа запросов:

Запрос движений между регистрами 1 и 2 (QueryHistoryRestShop): этот отчет покажет все перемещения товаров в торговый зал и акты списания с него. Если вино было списано в день получения, скорее всего, оно «улетело» именно со второго регистра актом списания с причиной «Реализация».
Запрос по форме Б (QueryFormBHistory): если нам известен номер справки 2 (Б) из накладной «Ромашки», мы можем запросить полную историю этой справки. ЕГАИС вернет документ, в котором будет указано, каким актом и когда эта конкретная партия была списана.

Пример структуры запроса QueryHistoryRestShop (упрощенно):


<query:QueryHistoryRestShop>
  <query:Parameters>
    <query:Parameter>
      <query:Name>Месяц</query:Name>
      <query:Value>08</query:Value>
    </query:Parameter>
  </query:Parameters>
</query:QueryHistoryRestShop>

Проблема «зеркальных» продаж и RSA-ключей

Самый сложный случай — это использование дубликата вашего RSA-ключа. Если злоумышленники получили доступ к вашему ключу (например, скопировали его с носителя Jacarta или Rutoken, если это технически было возможно на старых моделях), они могут запустить свой УТМ в другом городе под вашим FSRAR_ID.

В этом случае в вашем локальном УТМ и в ваших логах не будет вообще никаких записей, так как документы уходили через другой экземпляр программы. Единственный способ это выявить — сопоставить отчет «Список чеков» из Личного кабинета ЕГАИС со своей базой 1С. Если вы видите продажи, которых нет в 1С, и при этом ваш компьютер был выключен — ваш ключ скомпрометирован.

Рекомендация: В такой ситуации необходимо немедленно перевыпустить RSA-ключ в Личном кабинете ЕГАИС. Старый ключ станет недействительным, и «зеркальный» УТМ перестанет работать.

Как составить официальное обращение в РАР

Если вы обнаружили, что накладные от «ООО Ромашка» фиктивны, не ограничивайтесь письмами на электронную почту техподдержки. Разберем правильный алгоритм действий:

Соберите доказательства: выгрузку из ЕГАИС, отсутствие этих товаров на складе (акт инвентаризации), логи УТМ.
Зайдите в электронную приемную ФСРАР.
Направьте официальное заявление о факте несанкционированных действий третьих лиц. Укажите ID ТТН и даты операций.
Попросите аннулировать данные операции в связи с их мошенническим характером.

Это действие критически важно для защиты от штрафа по статье 14.19 КоАП РФ (нарушение порядка учета алкогольной продукции), так как вы официально фиксируете инцидент безопасности до того, как к вам пришла проверка.

Резюме и меры профилактики

Подведем итог. Для решения проблемы мы должны:

Проверить реальность накладных через Check1.
Сравнить остатки и продажи через Личный кабинет ЕГАИС.
Изучить transport_info.log на предмет сторонних IP-адресов.
Заблокировать порт 8080 для внешнего мира.
В случае подтверждения взлома — перевыпустить RSA-ключ и подать жалобу в МРУ РАР.

Помните, что безопасность ЕГАИС — это не только настройки 1С, но и правильная конфигурация сетевого экрана вашего предприятия.