Шахрайство і безпека
Фішинг: що це простими словами
Фішинг - підроблений сайт, лист, SMS чи бот, який видає себе за банк, державу, службу доставки або знайомого, щоб людина сама ввела дані картки, пароль чи код. Назва походить від англійського fishing, риболовля: шахрай закидає «наживку» і чекає. Це різновид соціальної інженерії, тобто обману, на який у 2025 році припало 90% збитків від шахрайства з картками в Україні (НБУ).
Як виглядає фішинг
Фішингове повідомлення веде на сторінку, де треба щось ввести. Найчастіші приводи у 2026 році, за даними кіберполіції і НБУ:
- «Штраф» чи «борг». SMS про «штраф МВС за перегляд сайтів» (кіберполіція, 03.10.2026), лист «від податкової» про борг з посиланням на оплату (08.09.2026).
- «Виплата» чи «допомога». Бот з логотипом банку «оформлює грошову допомогу» і просить ввести картку. Назву, логотип і навіть «синю галочку» з емодзі шахраї копіюють (НБУ).
- «Проголосуй за малюнок». Сайт просить «увійти через Telegram» і краде акаунт (кіберполіція, 21.09.2026).
- «Посилку затримано». SMS з проханням доплатити кілька гривень за доставку.
- QR-код на паркоматі чи в транспорті, наклеєний поверх справжнього.
- «Безкоштовний застосунок» через Telegram-бота, що отримує доступ до SMS і банку (кіберполіція, 09.10.2026).
Усі ці схеми з прикладами повідомлень зібрані в розділі «Шахрайство», наприклад фішинг у SMS і фейкові боти.
Що таке фішинговий сайт і як його розпізнати
Фішинговий сайт копіює вигляд справжнього, але має іншу адресу. НБУ радить перед введенням картки чи пароля перевірити адресу сайту: будь-яка відмінність означає підробку.
| Адреса | Що не так |
|---|---|
| mybank.ua | Справжня адреса банку |
| mybank-ua.top | Зайвий дефіс і чуже закінчення |
| mybamk.ua | Одна літера замінена: m замість n |
| mybank.ua.bonus-pay.com | Справжній сайт тут - bonus-pay.com, «mybank.ua» лише на початку |
| http://mybank.ua | Без «s» у http: НБУ називає такий протокол ненадійним |
Дивіться на частину адреси перед першою скісною рискою «/». Власник сайту - два останні слова перед нею: mybank.ua, bonus-pay.com.
Замок і «https» на початку адреси - ще не доказ. НБУ пише: якщо https, «потрібно продовжити перевірку». Сертифікат може отримати і шахрайський сайт.
Сайти держави працюють лише на домені gov.ua. «Штраф МВС» за посиланням на іншому домені - підробка.
Що таке фішинговий лист і SMS
Фішинговий лист чи SMS має три частини: відомий відправник, страх або вигода і посилання. Шахраї вміють підмінити ім'я відправника: за даними НБУ, SMS шахрая може «підтягнутися» в ланцюжок справжніх повідомлень від банку. Тому ім'я відправника - не доказ.
- Повідомлення квапить: «до кінця дня», «за 10 хвилин».
- Лякає штрафом, боргом, блокуванням картки.
- Обіцяє виплату, виграш, знижку.
- Посилання веде на сторінку, де треба ввести картку, пароль або код.
Підозрілий лист можна надіслати на перевірку Національній команді реагування на кіберінциденти CERT-UA: [email protected] (радить кіберполіція, 08.09.2026).
Фішинг: як захиститися
- Не відкривайте посилання з SMS, листів і повідомлень від незнайомих. Посилання від друга теж перевірте дзвінком: його акаунт могли вкрасти (НБУ).
- Банк, пошту, Дію відкривайте лише через застосунок або закладку.
- Не вводьте дані картки в чат-ботах (НБУ).
- Для покупок в інтернеті тримайте окрему віртуальну картку з невеликою сумою.
- Увімкніть двофакторну перевірку в пошті, месенджерах і банку. Детальніше: кібербезпека грошей для родини.
Власникам криптовалюти: фішинг там виманює ще й фразу відновлення гаманця. Переказ у блокчейні не скасувати, тому фразу відновлення (сид-фразу) не вводять ніде, крім свого пристрою (стаття «Фішинг і шахраї»).
Ввели дані на фішинговому сайті: що робити
- Картку чи код з SMS - одразу дзвінок у банк за номером на звороті картки, блокування і перевипуск картки.
- Пароль від пошти чи месенджера - змініть його з іншого пристрою, завершіть чужі сеанси, увімкніть двофакторну перевірку.
- Встановили застосунок - вимкніть інтернет на телефоні, дзвоніть у банк з іншого телефона.
- Подайте заяву на ticket.cyberpolice.gov.ua і додайте скрін повідомлення з адресою сайту.
Повний план: що робити, якщо обдурили шахраї.
Часті питання
Фішинг - це вірус?
Ні. Фішинг - обман: людина сама вводить дані на фейковій сторінці. Але фішингове посилання може запропонувати встановити застосунок, і тоді на телефоні з'являється шкідлива програма.
Чим фішинг відрізняється від соціальної інженерії?
Соціальна інженерія - будь-який обман, коли людину змушують самій віддати дані чи гроші, зокрема дзвінком. Фішинг - її різновид через підроблені сайти, листи, SMS і боти.
Чи можна потрапити на фішинг через пошук Google?
Так. Шахраї купують рекламу, і підроблений сайт може стояти вище за справжній. Банк і біржу відкривайте із закладок або через застосунок.
Що таке фішингова атака?
Масова розсилка однакових повідомлень з посиланням на фейковий сайт. Шахраю досить, щоб відгукнулася мала частина людей.
Я лише відкрив посилання, але нічого не вводив. Це небезпечно?
Якщо нічого не вводили і нічого не встановлювали, ризик невеликий. Закрийте сторінку, не завантажуйте файлів, оновіть браузер і систему телефона.
Куди поскаржитися на фішинговий сайт?
Заява в кіберполіцію на ticket.cyberpolice.gov.ua. Підозрілий лист можна надіслати на [email protected].
Джерела: НБУ, «Стоп шахрайство»: платіжна безпека, спуфінг, фейкові боти · НБУ, шахрайство з картками у 2025 році (17.04.2026) · Кіберполіція, 08.09.2026: листи «від податкової», [email protected] · Кіберполіція, 21.09.2026: «голосування за малюнки» · Кіберполіція, 03.10.2026: «штраф МВС» · Кіберполіція, 09.10.2026: «безкоштовний навігатор»
Це навчальний матеріал. Інвестиційних порад тут немає: рішення про свої гроші і ризик за них приймаєте ви. Як ми пишемо і перевіряємо факти.
Спробуйте тут
Фішинг чи ні? 5 повідомлень
Прочитайте повідомлення чи адресу і вирішіть, чи це фішинг.
Завантажую…
У розділі «Шахрайство» - 58 схем з прикладами повідомлень і тренажер, де треба відрізнити шахрайське повідомлення від чесного.