Фішинг: що це таке і як захистити свої гроші

Щороку українці втрачають мільйони гривень через фішинг — і більшість із них у момент обману були впевнені, що спілкуються з банком або держструктурою. Ця стаття пояснює, як саме працює схема, за якими ознаками її впізнати й що робити, якщо гроші вже пішли з рахунку.

Що таке фішинг і чому він спрацьовує

Фішинг (від англ. phishing — “рибна ловля”) — це спосіб виманити у людини конфіденційні дані: номер картки, CVV-код, PIN, логін і пароль до банківського застосунку. Шахраї не зламують банківські сервери — вони змушують вас самостійно передати їм потрібну інформацію.

Схема працює, бо грає на емоціях: страху (“вашу картку заблоковано”), жадібності (“вам нарахована виплата”), поспіху (“підтвердіть протягом 10 хвилин”). Коли людина перебуває в стресі, вона рідше перевіряє деталі.

Чим фішинг відрізняється від звичайного шахрайства

Звичайне шахрайство — це коли вас обманюють при особистому контакті. Фішинг — завжди дистанційний: через SMS, email, месенджер, підроблений сайт або телефонний дзвінок. Головна відмінність: жертва сама вводить або повідомляє дані, не усвідомлюючи, що потрапила в пастку.

Основні види фішингових атак

Шахраї постійно вигадують нові варіації, але більшість схем зводиться до кількох типів.

Email- і SMS-фішинг

Найстаріший і досі найпоширеніший формат. Ви отримуєте лист або повідомлення нібито від банку, податкової, Укрпошти, “Нової пошти” чи навіть від друга. У ньому — посилання на сайт, який виглядає як справжній, але насправді збирає ваші дані.

Типові приклади:

• “Ваша посилка затримана, сплатіть 17 грн митного збору” → посилання веде на підроблений сайт з формою введення картки
• “Ваш акаунт заблоковано, підтвердіть особу” → фейкова сторінка банку
• “Вам нарахована субсидія — заповніть форму для отримання”

Голосовий фішинг (вішинг) і підроблені дзвінки

Шахрай телефонує й представляється співробітником служби безпеки банку. Говорить впевнено, знає ваше ім’я і навіть частину номера картки (ці дані купують у зламаних базах). Потім просить “підтвердити особу” — назвати повний номер, CVV або код із SMS.

Важливо знати: жодний справжній банк ніколи не запитує CVV-код, термін дії картки та одноразовий пароль із SMS одночасно. Якщо вас про це питають — це шахраї, незалежно від того, наскільки переконливо вони звучать.

Фішинг через месенджери та соцмережі

Вам пише “друг” у Viber або Telegram з проханням позичити гроші або перейти за посиланням. Насправді акаунт вашого знайомого зламано, і за ним стоїть шахрай. Поширена схема: “Я беру участь у конкурсі, проголосуй за мене — просто введи свій номер телефону”. Після введення номера у вас крадуть акаунт.

Підроблені сайти-клони

Шахраї створюють копії популярних сайтів — банків, маркетплейсів, платіжних систем, сайтів держпослуг. Адреса відрізняється на одну літеру: наприклад, замість privatbank.ua — privatbank-ua.com або privat-bank.ua. Якщо ввести там дані — вони одразу потрапляють до злочинців.

Як розпізнати фішинг: конкретні ознаки

Навіть добре підроблений фішинг має характерні сліди — якщо знати, де дивитися.

Перевіряйте адресу сайту й відправника

• Справжня адреса банку завжди одна й та сама — перевірте її на звороті картки або в офіційному застосунку
• Адреса підробленого сайту часто містить зайве слово, дефіс або нестандартний домен (.xyz, .online, .info замість .ua або .com)
• В email перевіряйте не ім’я відправника, а саму адресу: support@privat-bank-secure.com — це не Приватбанк
• Наявність “https” і замка в адресному рядку — не гарантія безпеки. Шахраї теж можуть отримати SSL-сертифікат для свого фейкового сайту

Аналізуйте зміст повідомлення

Тривожні ознаки фішингу:

• Тиск на терміновість: “підтвердіть протягом 24 годин”, “ваш рахунок буде закрито”
• Несподівана “виплата” або “виграш” без вашої участі в чомусь
• Прохання повідомити CVV, PIN або код із SMS — це завжди шахрайство
• Граматичні помилки, незвичне формулювання, суміш мов
• Посилання, яке не збігається з назвою організації

Що робити, якщо ви все ж таки потрапили в пастку

Швидкість реакції визначає, чи вдасться зупинити втрати.

Перші кроки після виявлення шахрайства

1. Негайно заблокуйте картку — через застосунок банку, гарячу лінію або банкомат
2. Зателефонуйте до банку за офіційним номером (він на звороті картки або на офіційному сайті) — повідомте про інцидент і попросіть зупинити транзакції
3. Зберіть докази — зробіть скриншоти переписки, повідомлення, сайту, назв акаунтів
4. Подайте заяву до поліції — онлайн через портал police.gov.ua або у відділенні. Номер заяви знадобиться для банку
5. Повідомте CERT-UA — Урядова команда реагування на комп’ютерні надзвичайні події приймає звернення на cert.gov.ua

Чи можна повернути гроші

Чесно: складно, але іноді можливо. Якщо транзакція ще не завершена або кошти перебувають на рахунку посередника — банк може ініціювати їх повернення (процедура chargeback). Але якщо ви самостійно ввели дані або підтвердили платіж через OTP-код, банк може відмовити у відшкодуванні — адже формально операцію підтвердили ви.

Саме тому профілактика важливіша за будь-яке лікування.

Ризики та на що звернути увагу

Фішинг небезпечний не лише прямими фінансовими втратами. Є ризики, про які рідко говорять.

Крадіжка особи. Якщо шахраї отримали ваші паспортні дані та ІПН, вони можуть оформити кредит на ваше ім’я. Перевірте свою кредитну історію через Українське бюро кредитних історій — якщо з’являться незнайомі запити, діяйте негайно.

Повторні атаки. Якщо ви одного разу “клюнули”, ваш номер телефону або email потрапляє до баз “довірливих” жертв, яких продають іншим шахраям.

Соціальна інженерія через скомпрометовані дані. Навіть якщо гроші не вкрали, отримані дані (ім’я, місто, банк) використовують для більш персоналізованих атак у майбутньому.

Обмеженість захисту законом. Якщо ви самостійно передали реквізити, довести шахрайство юридично складніше. Закон про платіжні послуги (ЗУ №1591-IX) захищає споживачів, але лише за певних умов — зокрема, якщо клієнт не порушив правила безпечного користування платіжними засобами.

Практичні інструменти захисту від фішингу

Захистити себе можна без технічних знань — достатньо кількох звичок.

Налаштування, які варто увімкнути вже сьогодні

• Двофакторна автентифікація (2FA) у банківському застосунку та в усіх важливих акаунтах — навіть якщо пароль вкрали, без другого фактора не увійдуть
• Сповіщення про всі транзакції — SMS або push-повідомлення на кожну операцію дозволяє помітити незнайому транзакцію миттєво
• Окрема картка для онлайн-покупок з лімітом на суму, яку не страшно втратити
• Антивірус і перевірка посилань — браузери Chrome і Firefox блокують відомі фішингові сайти; не відключайте цей захист
• Перевірка сайтів через Google Safe Browsing (transparencyreport.google.com/safe-browsing/search) — можна вставити посилання і перевірити до переходу

Правила, яких варто дотримуватись

• Ніколи не вводьте дані картки за посиланням із SMS або email — заходьте на сайт банку самостійно
• Не встановлюйте застосунки за посиланнями від незнайомців
• Якщо дзвонять “із банку” — скажіть, що передзвоните самі, й наберіть номер з офіційного сайту
• Регулярно перевіряйте витяг по рахунку — хоча б раз на тиждень

Часті запитання

Чи може фішинг відбутися, якщо я нічого не вводив?

Так, у деяких випадках. Перехід за посиланням може автоматично завантажити шкідливе програмне забезпечення (drive-by download), яке фіксує ваші дії або отримує доступ до пристрою. Тому важливо не лише не вводити дані, а й взагалі не переходити за підозрілими посиланнями.

Я отримав SMS із кодом, який не замовляв. Що це означає?

Скоріш за все, хтось намагається увійти у ваш акаунт або авторизувати транзакцію. Нікому не повідомляйте цей код, навіть якщо зателефонує “представник банку”. Негайно зайдіть у застосунок і перевірте активні сесії, а також змініть пароль.

Чи несе банк відповідальність за фішинг?

Залежить від обставин. Якщо несанкціонована транзакція сталася через вразливість банківської системи — так. Якщо ви самостійно передали реквізити або підтвердили платіж OTP-кодом — банк найчастіше знімає з себе відповідальність. Рішення можна оскаржити через НБУ або суд, але результат не гарантований.

Як перевірити, чи не витекли мої дані в мережу?

Скористайтеся сервісом haveibeenpwned.com — введіть email і побачите, чи потрапляв він до відомих зламаних баз. Якщо так — негайно змініть паролі на всіх пов’язаних акаунтах і увімкніть 2FA.

Що буде, якщо подати заяву до поліції — це реально допоможе?

Заява до поліції потрібна з кількох причин: по-перше, вона може допомогти розслідуванню (особливо якщо таких заяв багато від різних людей); по-друге, без неї банк рідко погоджується навіть розглядати претензію; по-третє, якщо шахраї оформили щось на ваше ім’я, заява є юридичним підтвердженням, що ви — жертва. Очікувати швидкого результату не варто, але не подавати її — помилка.

Висновок

Фішинг — це атака на уважність, а не на технології. Шахраї розраховують на поспіх і страх, тому найефективніший захист — зупинитися на кілька секунд і перевірити деталі перш ніж діяти. Окрема картка для онлайн-розрахунків, увімкнені сповіщення та правило “ніколи не повідомляти CVV нікому” — ці три речі вже суттєво знижують ризик. Якщо підозрілий контакт усе ж стався — блокуйте картку і телефонуйте до банку самостійно, не покладаючись на номер, який вам назвали.

Матеріал має інформаційний характер і не є фінансовою консультацією. Умови продуктів уточнюйте у надавача послуг.

Джерело: Укрінформ

: Закон України “Про платіжні послуги” №1591-IX (zakon.rada.gov.ua); НБУ — рекомендації з кібербезпеки (bank.gov.ua); CERT-UA (cert.gov.ua); Google Safe Browsing (transparencyreport.google.com)

Останні новини:

Спільний чи роздільний бюджет у сім’ї: як обрати модель

Як закрити ФОП без боргів: покрокова інструкція

Дострокове погашення кредиту: чи справді вигідно

Більше корисної інформації знайдеш ТУТ