Коротко
- Фішинг — це обман, а не «злам із фільму»: шахрай маскується під банк, пошту, державу чи колегу і просить вас самих віддати пароль, код або гроші.
- Працює через лист, SMS, месенджер, дзвінок або QR-код. Достатньо одного кліку або однієї названої цифри з телефону.
- Головні ознаки: штучна терміновість, дивне посилання, прохання назвати код з SMS, «підтримка» в Telegram, домен, який лише схожий на справжній.
- В Україні найчастіше маскуються під Нову пошту, банки, Дію, операторів і «родича, якому терміново треба на карту».
- Якщо вже натиснули — не чекайте «чи пронесе». Змінюйте паролі з іншого пристрою, блокуйте картки, повідомляйте банк і поліцію.
- Найкращий захист буденний: менеджер паролів, двофакторна автентифікація не через SMS, звичку ніколи не переходити з листа, а заходити в офіційний додаток самостійно.
Ці пункти — робоча шпаргалка. Нижче розкладаю, як саме влаштована атака, на яких схемах падають навіть обережні люди і що робити в перші хвилини після помилки. Матеріал ознайомчий: він не замінює консультацію юриста, працівника банку чи фахівця з кібербезпеки, якщо вже йдеться про викрадені гроші чи зламаний акаунт.
Фішинг — це вид шахрайства, коли вам підсовують довіру замість зламу. Не вірус у класичному сенсі. Не «хакер у капюшоні», який годинами б’ється об ваш файрвол. Звичайне повідомлення, ніби від ПриватБанку, Нової пошти, Дії, податкової чи колеги з бухгалтерії. І одна маленька дія, яку від вас чекають: відкрити вкладення, перейти за посиланням, ввести логін, назвати код з SMS. Далі система вже грає проти вас.
Слово взяли з англійського fishing — риболовля. Написання з ph лишилося ще з 1990-х, від тодішньої хакерської культури й phone phreaking. Логіка та сама, що на озері: наживку кидають багатьом, клює не кожен, зате того, хто клюнув, витягують повністю. Наживка сьогодні — логотип, який ви бачите щодня, тон «терміново, інакше заблокуємо», інколи навіть ваше ім’я і номер замовлення, які злили з іншої бази.
Швидкість тут неприємна. За даними Verizon DBIR, медіанний користувач клікає фішингове посилання за 21 секунду після отримання листа, а повідомляє про нього вже за 28 хвилин. Майже пів години фори. За цей час пароль уже можуть змінити, сесію перехопити, а з рахунку — смикнути перший платіж. Тому розмова «я ж обережна людина» слабка. Обережність без звички перевіряти домен не спрацьовує, коли ви в маршруті, на бігу, з одним оком на повідомлення.
Як фішинг працює насправді
Атака майже завжди складається з чотирьох кроків. Вони прості, і саме тому живуть десятиліттями. Технології змінюються, людська звичка клікати «щоб відчепились» — ні.
- Наживка. Лист, SMS, повідомлення в Viber чи Telegram, дзвінок «зі служби безпеки», лист «від директора».
- Гачок. Посилання, QR-код, вкладення, інструкція «назвіть код, який зараз прийде».
- Підробка. Сайт, який виглядає як ваш банк, форма «оновіть дані», програма віддаленого доступу, шкідливий файл.
- Каса. Викрадені логін і пароль, код 3-D Secure, доступ до пошти, переказ, встановлений троян.
Шахраю не обов’язково «зламувати банк». Банк уже захищений краще за середній смартфон. Йому треба, щоб ви самі відчинили двері. Соціальна інженерія — ось робочий інструмент. Страх (картку заблокують), жадібність (компенсація, виграш), слухняність (наказ керівника), турбота (посилка затримується, дитина просить грошей).
Окремо варто відрізняти фішинг і спуфінг. Спуфінг — це підробка адреси, номера чи сайту: одна літера в домені, кирилична «а» замість латинської, номер, який на екрані виглядає як лінія банку. Фішинг часто стоїть на спуфінгу, але це ширше: це вже сценарій розмови, який має довести вас до дії. Можна отримати ідеально підписаний лист із фейкової адреси і все одно не клюнути, якщо не переходити за посиланням і не віддавати код. І навпаки: навіть «чесний» з вигляду дзвінок без підміни номера може бути фішингом, якщо вас ведуть до SMS-коду.
За спостереженнями, найнебезпечніші листи зараз не кричать червоним. Вони нудні. «Документ на підпис». «Оновлена відомість». «Акт звірки, подивіться до 18:00». Людина, яку навчили боятися тексту «ВАШ РАХУНОК ЗЛАМАНО», якраз на такому спокійному тоні і проколюється. У практиці бачив бухгалтера, яка майже відправила оплату «директору» — той був у відпустці, а в домені відправника була одна зайва літера. Лист виглядав як сотні попередніх. Різниця — у символі, який око не чіпляє, коли ви вже «в потоці».
Чому навіть розумні люди клюють
Не тому, що «дурні». Тому що мозок економить зусилля. Логотип пізнаваний — значить, своє. Прийшло на робочу пошту — значить, робоче. Дзвінять із номеру, схожого на банк — значить, банк. Додайте втому, дедлайн і телефон у одній руці. Перевірка домену вимагає паузи. Фішинг продає відсутність паузи.
Є ще технічний нюанс, про який мало пишуть у популярних статтях. Для української аудиторії він критичний: омографи. Кирилична «а», «е», «р», «о», «с», «і» виглядають як латинські. Сайт рaypal.com чи privatbаnk.ua може виглядати «як завжди», якщо не підсвітити кодування. Менеджер паролів на такому домені мовчить і не підставляє збережений логін. Це, до речі, один із найчесніших сигналів: якщо менеджер раптом «не впізнає» банк, у якому ви сидите роками, зупиніться.
Які бувають види фішингу
Класифікація потрібна не для іспиту. Різні канали — різні звички захисту. Те, що рятує в Gmail, не рятує від дзвінка «служби безпеки».
| Вид | Канал | Що зазвичай хочуть | Кого цілять |
|---|---|---|---|
| Масовий email-фішинг | Пошта | Паролі, дані карток, відкриття вкладення | Усіх підряд |
| Смішинг | SMS, месенджери | Оплату «доставки», перехід у фейковий кабінет | Отримувачів посилок, клієнтів банків |
| Вішинг | Дзвінок, голосове | Код з SMS, встановлення AnyDesk / TeamViewer | Людей, які бояться «блокування рахунку» |
| Квішинг | QR-код | Перехід на підроблену сторінку | Тих, хто сканує «не думаючи» |
| Spear-фішинг і BEC | Пошта, Slack, Teams | Переказ, доступ, документи | Бухгалтерію, керівників, конкретну людину |
Таблиця груба, бо в житті схеми змішують. SMS про посилку веде на сайт, сайт просить картку, а через годину дзвонить «служба підтримки» і просить підтвердити операцію кодом. Один сценарій, три канали.
Листи, які прикидаються банком чи сервісом
Найстаріший і досі робочий формат. Підроблена адреса, логотип, інколи навіть нормальна українська без помилок — генеративні моделі це вже вміють. Раніше радили «шукайте граматичні ляпи». Зараз ця порада слабка. Дивіться не на стиль, а на адресу відправника, домен посилання і на те, чи просять зробити те, чого живий банк у листі не просить.
Типове завдання такого листа — витягти облікові дані або підсунути файл. Файл може бути «актом», «накладною», «повісткою», «рахунком». Макроси в Word і Excel, архів із паролем у тексті листа (щоб антивірус не зазирнув), посилання на «диск із документом». Відкрили — і на машині вже сидить програма, яка краде сесії браузера.
Смішинг, вішинг і QR-коди
Смішинг — це фішинг через SMS. В Україні він часто вдаліший за пошту, бо SMS коротке, екран маленький, рядок адреси майже не видно. «Нова пошта: доплатіть 41 грн за зберігання». «Ваш номер буде заблоковано, перейдіть». «Картку обмежено, оновіть дані». Палець уже їде, бо ви справді чекаєте посилку. Я сам якось отримав таке повідомлення в день, коли реально мав відправлення. Відрізнялося дрібницею: у справжньому додатку трекінг був порожній. Якби перевіряв лише SMS, оплатив би «борг» неіснуючій службі.
Вішинг — голос. Дзвонять «з банку», «з поліції», «з кібервідділу», «від оператора». Спокійний голос, правильні окремі цифри вашої картки (їх могли взяти з витоку), прохання «не кладіть трубку, зараз прийде код». Код — це не «перевірка, що ви живі». Це ключ до кабінету або до підтвердження переказу. Окремий бонус схеми — прохання встановити програму віддаленого доступу, «щоб ми самі подивились, що там у вас». Якщо хтось просить AnyDesk, RustDesk, TeamViewer чи «доступ до екрана» під приводом безпеки, розмова вже не про безпеку.
Квішинг — QR на парковці, на листівці «від податкової», на «меню», навіть на паперовій накладній. Камера телефону не показує домен так само чесно, як рядок браузера на комп’ютері. Перед оплатою через QR варто подивитися, куди він веде, і не сканувати коди з листів, яких не чекали.
Цільовий фішинг і «лист від директора»
Spear-фішинг б’є не «всім клієнтам банку», а в конкретну людину. Зловмисник дивиться LinkedIn, сайт компанії, Facebook, інколи внутрішні розсилки, які хтось переслав на Gmail. Далі пише так, ніби знає контекст: проєкт, відрядження, ім’я керівника. Whaling — те саме, тільки ціль — директор, головний бухгалтер, людина з правом підпису.
BEC, business email compromise, стоїть окремо, бо шкода рахується вже не паролем, а сумою в платіжці. Підміняють листування з постачальником. Або пишуть «з пошти директора»: терміново оплатіть, я на зустрічі, реквізити нові. FBI в звіті Internet Crime Complaint Center за 2025 рік окремо фіксує фішинг/спуфінг як наймасовішу скаргу — 191 561 звернення — і водночас показує, що саме компрометація бізнес-пошти дає мільярдні втрати. Масовий фішинг ловить доступ. Цільовий — одразу гроші.
Для компанії просте правило, яке ламає половину таких атак: жоден новий рахунок, жодна зміна реквізитів, жоден «терміновий переказ» не підтверджуються лише листом. Передзвоніть на відомий номер. Не на той, що в підписі підозрілого повідомлення.
Як розпізнати фішинг за пів хвилини
Ідеальної ознаки немає. Є набір, який разом майже завжди видає гру. Перевіряйте не «чи гарний дизайн», а «чого від мене хочуть і звідки це прийшло».
- Терміновість із карою: «за 10 хвилин заблокуємо», «інакше справа в суді», «посилку знищать сьогодні».
- Прохання пароля, PIN, CVV, коду з SMS, коду «Дія.Підпис», фрази-пароля від інтернет-банкінгу.
- Посилання, яке не збігається з офіційним доменом, скорочувач на кшталт bit.ly, зайвий дефіс, інша зона (.net замість .ua).
- Адреса відправника: privat-support@gmail.com — це не банк. Банк не сидить на безкоштовній пошті.
- Універсальне звертання «Клієнт», «Шановний користувач», хоча сервіс давно знає ваше ім’я.
- Дзвінок або чат, де вас просять нікому не говорити і не класти трубку.
- Файл-архів із паролем, який надіслали «для зручності» в тому ж листі.
Жодна з цих речей окремо не вирок. Рахунок справді може згоріти. Посилка справді може чекати. Але живий банк не просить код підтвердження в листі, а Нова пошта не збирає дані картки через випадкове SMS. Підозра має з’являтися не після крадіжки, а в момент, коли вас женуть.
| Ознака | Схоже на фішинг | Схоже на нормальне повідомлення |
|---|---|---|
| Куди ведуть | Посилання в тексті, QR, «кнопка Увійти» | Ви самі відкриваєте додаток чи набираєте адресу |
| Що просять | Пароль, код, CVV, фото картки з обох боків | Ніколи не просять повний набір секретів |
| Тон | Страх, сором, дедлайн, «нікому не кажіть» | Спокійний сервісний тон, без ультиматуму в секундах |
| Канал | Невідомий номер, Telegram-бот «підтримка» | Офіційний додаток, номер із сайту, який ви знайшли самі |
| Домен | Схожий, але не той; кирилиця в «латиниці» | Точно той, який ви бачите роками в закладках |
Корисний жест, який займає п’ять секунд: наведіть курсор на посилання (на телефоні — натисніть і утримуйте, не відкриваючи) і прочитайте домен до першої похилої риски. Не бренд у піддомені, а основний домен. Саме він вирішує, чи це privatbank.ua, чи privatbank-login.shop.
Які схеми зараз ходять Україною
Набір змінюється щосезону, каркас той самий. Нижче — те, що люди приносять «на розбір» найчастіше. Не тому, що жертви наївні. Тому що схеми підлаштовані під наше повсякденне життя: посилки, картки, війна, державні сервіси.
- Фейкова Нова пошта / Укрпошта. SMS про доплату за зберігання або «митний платіж». Сума маленька, щоб не думалось.
- «Картку заблоковано». Лист або SMS з кнопкою «розблокувати». Далі — копія кабінету банку.
- Дзвінок «служби безпеки банку» або «кіберполіції». Правильно називають кілька цифр картки, просять код.
- Дія, штрафи, виплати, «повістка», «компенсація». Сайт ніби державний, домен — ні.
- «Родич / знайомий на фронті, терміново на карту». Тиск на жалість, голосові, інколи зламаний справжній акаунт.
- OLX і подібні майданчики. «Спочатку перевірте картку», «оплатіть доставку через нашу форму», «менеджер у Telegram».
- Листи «від НБУ» або «від податкової» з вкладенням. Нацбанк неодноразово попереджав: офіційні домени треба звіряти, вкладення з нечеканих листів не відкривати.
- Оператор зв’язку: «номер заблокують», «перевипустіть SIM». Мета — перехопити SMS-коди.
- Робочий лист «оновіть доступ до корпоративної пошти». Після цього — вже листи вашим клієнтам від вашого імені.
Схема з «родичем» окремо зла: вона не про домен. Вона про емоцію. Тут технічні поради слабші за одну звичку — перевірочне слово в сім’ї і дзвінок на відомий номер, а не відповідь у тому ж чаті. Якщо акаунт знайомого зламали, переписка виглядатиме «як завжди», бо це і є його акаунт.
Ще одна українська особливість — довіра до месенджерів. Банк «пише в Telegram», бо так швидше. Підтримка «сидить у Viber». Офіційні установи мають сайти й додатки. Підтримка, яка першою пише вам у месенджер і одразу просить дані, — це не підтримка. У практиці бачив людей, які проходили триступеневу перевірку в чаті, показували фото картки «для ідентифікації» і дивувалися, що рахунок схуд за двадцять хвилин. Їм було не ліньки. Їм було страшно втратити гроші, і цим страхом їх і провели.
Що робити, якщо вже натиснули
Паніка краде час. Краще короткий чекліст і рухатись по ньому, навіть якщо руки тремтять. Не треба чекати, «чи спишуть». Якщо ввели пароль або код — рахуйте, що доступ уже не ваш.
- Закрийте сторінку. Не вводьте дані повторно «щоб виправити».
- Якщо це робочий комп’ютер — вийміть мережевий кабель / вимкніть Wi-Fi і скажіть адміну. Не перезавантажуйте «щоб допомогти», якщо підозрюєте шкідливий файл: спочатку хай подивиться фахівець.
- З іншого пристрою змініть паролі: пошта, банк, Google / Apple ID. Пошта — першою, бо через неї скидають решту.
- Увімкніть або переприв’яжіть двофакторну автентифікацію. Старі сесії в акаунтах — завершити.
- Подзвоніть у банк за номером з офіційного сайту або з заднього боку картки. Заблокуйте картки, скажіть про можливу компрометацію 3-D Secure.
- Перевірте, чи не з’явилися нові збори, кредити, підписки, «додані пристрої».
- Збережіть докази: скрін SMS, заголовки листа, адресу сайту, час. Потім знадобляться в банку й поліції.
- Повідомте людей, яким могли написати від вашого імені.
Якщо встигли поставити програму віддаленого доступу — видаліть її, змініть паролі, перевірте, чи не створили новий обліковий запис Windows / новий користувач у банкінгу. І не слухайте «оператора», який досі на лінії і каже «зараз все відновимо, тільки підтвердіть ще один код». Кладіть трубку.
Гроші, які вже пішли переказом, повернути важко, але не завжди неможливо, якщо банк побачить звернення одразу. Тут години важливіші за «гарно складену заяву ввечері». Спочатку блок і дзвінок, текст заяви — одразу після.
Захист, який не дратує щодня
Можна купити десяток програм і все одно віддати код голосом. Техніка допомагає, коли під неї підкладені дві-три звички. Я навмисно ставлю звички вище за «антифішинговий комбайн».
- Ніколи не заходьте в банк, Дію, пошту чи кабінет оператора з листа. Окремо відкрийте додаток або наберіть адресу самі.
- Коди з SMS, push і «Дія.Підпис» не називайте нікому. Ні «банку», ні «поліції», ні «сину, бо в нього не працює». Живий співробітник банку не просить код підтвердження платежу.
- Менеджер паролів (Bitwarden, 1Password, вбудований у браузер / телефон). Він не підставить пароль на фейковому домені. Це безкоштовний детектор для лінивих, тобто для всіх нас.
- Двофакторна автентифікація. Краще додаток-автентифікатор або апаратний ключ, ніж SMS. SIM можна перевипустити. Додаток на вашому телефоні — важче.
- Окремий телефонний номер для банку, якщо можете. Менше шансів, що його використають після витоку з інтернет-магазину.
- Оновлення системи і браузера. Частина фішингу — це не форма, а файл під уразливість.
- Для бізнесу: правило підтвердження платежів другим каналом, навчання не раз на рік «для галочки», а на свіжих прикладах, заборона переказу «бо директор написав».
Фільтри пошти, Safe Browsing у Chrome, захист посилань у Gmail і Microsoft 365 відсікають масовий мотлох. На цільовий лист від «вашого» постачальника вони можуть не спрацювати. Тому фільтр — це сито, а не бронежилет.
Окремо про HTTPS. Замочок у рядку означає, що з’єднання шифрується. Не те, що сайт чесний. Фішингова сторінка теж часто має сертифікат. Дивіться домен, не лише іконку замка. І не вимикайте захист «бо заважає відкрити рахунок», навіть якщо лист дуже просить.
- Перевіряйте акаунти на відомі витоки (сервіси на кшталт Have I Been Pwned) і змінюйте паролі, які повторювали роками.
- На роботі не пересилайте службові листи на особисту пошту «щоб зручніше» — так розширюєте поверхню атаки.
- Бабусі й батьки: домовтесь, що будь-яке «терміново перекажіть» перевіряється дзвінком на домашній номер. Це не смішно. Це працює.
Помічав, що після короткого інструктажу люди починають ловити листи і водночас розслабляються на дзвінках. Ніби голос «серйозніший» за текст. Для шахрая це зручно: вішинг якраз обходить ту пильність, яку ви натренували на Gmail. Тренуйте обидва канали. Питання одне: «Чого від мене хочуть — і чи просить це офіційний додаток, який я відкрив сам?»
Куди звертатися в Україні
Канали різні, бо різна робота. Поліція фіксує злочин. Банк зупиняє картку. CERT-UA більше про інциденти в організаціях і державних системах, не про «мені списали 800 гривень» як єдиний запит.
- Банк — одразу, за офіційним номером. Блок карток, оскарження операцій, фіксація компрометації.
- 102 або відділ поліції, плюс електронне звернення до Департаменту кіберполіції (офіційна форма на їхньому сайті, також callcenter собачка cyberpolice.gov.ua, контактний центр 0800-505-170).
- Для установ і компаній — CERT-UA, incidents собачка cert.gov.ua, телефон +38 (044) 281-88-25. Пишіть фактами: що сталося, коли, які системи, які листи.
- Оператору — якщо підозра на підміну SIM або дивні переадресації.
- Google / Apple / Microsoft — якщо зламали пошту чи акаунт, з якого тримається все життя.
У заяві знадобляться скріни, час, суми, номери карток (не CVV), адреси сайтів, заголовки листа. Не треба писати роман. Треба хронологія. І не надсилайте ті самі скріни з видимими повними реквізитами в випадкові чати «допомоги» — так інколи грабують вдруге.
Якщо ви в компанії і бачите підозрілу розсилку всередині — не пересилайте її «всім, щоб знали» відкритим листом із живим посиланням. Скиньте файл або скрін адміну, посилання приберіть. Інакше допомагаєте атаці розійтися.
Почніть із трьох речей сьогодні ввечері, не «коли буде час». Увімкніть двофакторку на пошті. Поставте менеджер паролів хоча б на банк і Google. Домовтесь у сім’ї, що коди й «термінові перекази» не живуть у чатах. Це нудні кроки. Вони закривають більшість сюжетів, від яких потім пишуть заяви.
Фішинг не зникне, бо дешевий і грає на довірі, а не на суперкомп’ютері. Ваше завдання скромніше: не бути найзручнішою рибою в цьому ставку. Пауза перед кліком коштує дешевше, ніж дзвінок у банк о півночі. Якщо лист чи дзвінок уже зараз змушує серце битись — не відповідайте в тому ж каналі. Відкрийте офіційний додаток. Або покладіть трубку і наберіть номер, який знайшли самі.
About the Author
