Одного дня на пошту приходить лист від «Приватбанку». Все виглядає серйозно: логотип, офіційний тон, прохання терміново підтвердити дані картки. Людина переходить за посиланням, вводить номер картки — і за кілька хвилин з рахунку зникають усі гроші. Це і є фішинг.
Щороку тисячі українців втрачають гроші саме так. Не через злам, не через вірус — а через один необережний клік. У цій статті розберемо, що таке фішинг, як він працює і як себе захистити.
Що таке фішинг простими словами
Фішинг — це вид інтернет-шахрайства, коли зловмисники маскуються під банки, держустанови або відомі сервіси, щоб виманити ваші дані або гроші.
Назва походить від англійського fishing — риболовля. Шахрай закидає «вудку» у вигляді листа чи SMS, а жертва сама «заковтує гачок», вводячи свої дані на підробленому сайті.
Мета завжди одна — отримати доступ до ваших паролів, номерів карток або банківських акаунтів.
«Фішинг — це не технічна атака на комп’ютер. Це атака на людину. І найкращий захист тут — не антивірус, а уважність.»
За даними Асоціації українських банків (ЕМА), 88% заблокованих шахрайських ресурсів в Україні — це фішингові сайти, які експлуатують бренди Ощадбанку, OLX, Rozetka та сервісів доставки.
Види фішингових атак
Фішинг — це не лише підозрілі листи на пошту. Шахраї давно навчилися атакувати через різні канали.
Email-фішинг
Найпоширеніший вид. Зловмисники надсилають листи нібито від банку, Нової Пошти, податкової або популярного інтернет-магазину. У листі — посилання на підроблений сайт або прохання відповісти з персональними даними.
Типовий сценарій: лист із темою «Ваш рахунок буде заблоковано» змушує людину діяти швидко, не думаючи. Саме на цьому і побудована вся схема.
SMS-фішинг (смішинг)
Повідомлення про посилку, яка «затримується на митниці», або про виграш у конкурсі. Далі — посилання, де треба ввести дані картки для «отримання призу» або «сплати доставки».
Смішинг особливо небезпечний, бо SMS-повідомлення люди читають уважніше, ніж електронні листи, і більше їм довіряють.
Голосовий фішинг (вішинг)
Дзвінок від «служби безпеки банку». Голос серйозний, інформація про вас — точна (ім’я, останні операції). Вас просять назвати код з SMS або дані картки «для підтвердження особи».
Жоден банк ніколи не запитує PIN-код або CVV по телефону. Ніколи.
Сайти-дублікати (фармінг)
Шахраї створюють копії відомих сайтів — банків, маркетплейсів, держпорталів. Адреса виглядає майже однаково: наприклад, privatbank.ua замінюється на prіvatbank.ua (де «і» — українська літера замість латинської).
Ця техніка називається typosquatting. Різниця в один символ — а наслідки катастрофічні.
| Тип атаки | Канал | Типова приманка |
|---|---|---|
| Email-фішинг | Електронна пошта | Блокування рахунку, підтвердження даних |
| Смішинг | SMS | Посилка, виграш, знижка |
| Вішинг | Телефонний дзвінок | Служба безпеки банку |
| Фармінг | Підроблений сайт | Копія банку, OLX, держпорталу |
| Спірфішинг | Email / месенджер | Лист нібито від колеги або керівника |
Як розпізнати шахрайський лист
Більшість фішингових листів має характерні ознаки. Варто знати їх напам’ять.
Ось на що звертати увагу в першу чергу:
- підозріла адреса відправника — домен відрізняється від офіційного або містить зайві символи;
- тиск і терміновість — «негайно», «протягом 24 годин», «рахунок буде заблоковано»;
- прохання ввести пароль, PIN або дані картки — жоден легітимний сервіс цього не робить у листах;
- граматичні помилки або дивний стиль — особливо якщо лист нібито від великої компанії;
- посилання, яке не збігається з офіційним сайтом — наведіть курсор, не клікаючи, і побачите реальний URL;
- лист у вигляді зображення — замість тексту вставлена картинка з усім вмістом;
- лист, якого ви не очікували — виграш у конкурсі, де ви не брали участі.
Якщо хоча б один із цих пунктів збігається — не переходьте за посиланням і не відповідайте на лист.
Як виглядають сайти-дублікати
Підроблений сайт може виглядати ідеально. Той самий дизайн, той самий логотип, ті самі кольори. Але кілька деталей завжди видають обман.
Перевіряйте адресний рядок браузера перед тим, як вводити будь-які дані. Зверніть увагу на:
- Доменне ім’я — чи збігається воно з офіційним сайтом до останньої літери.
- Протокол — наявність HTTPS не гарантує безпеки, але відсутність — це вже тривожний сигнал.
- Незвичні домени верхнього рівня — .xyz, .cc, .ml замість звичних .ua, .com, .gov.ua.
- Відсутність реквізитів компанії — на справжніх сайтах завжди є юридична інформація.
- Дивний дизайн або застарілий вигляд — шахраї рідко оновлюють копії вслід за оригіналом.
Найпростіший спосіб перевірити посилання — навести на нього курсор і подивитися в нижній рядок браузера. Реальна адреса відобразиться там ще до кліку.
Реальні приклади фішингу в Україні
Шахраї в Україні добре знають, які бренди викликають довіру. Найчастіше вони маскуються під Нову Пошту, Приватбанк, OLX та Ощадбанк.
Ось три типові сценарії, з якими стикаються українці:
Перший — SMS від «Нової Пошти» з повідомленням, що посилка затримується і треба підтвердити адресу. Посилання веде на сайт-копію, де просять ввести дані картки «для верифікації».
Другий — лист від «Приватбанку» про підозрілу активність на рахунку. Прохання терміново увійти в кабінет і підтвердити особу. Сайт — підроблений, дані — одразу потрапляють до шахраїв.
Третій — повідомлення в Telegram нібито від знайомого: «Привіт, позич 500 гривень на картку, завтра поверну». Акаунт знайомого зламаний, а гроші підуть шахраю.
«Шахраї не зламують банківські системи — вони зламують людську довіру. Саме тому фішинг залишається найефективнішим інструментом кіберзлочинців у всьому світі.»
Що робити якщо натиснули на фішингове посилання
Головне — не панікувати, але діяти швидко. Кожна хвилина тут має значення.
- Відключіть пристрій від інтернету — вимкніть Wi-Fi або мобільні дані одразу.
- Не вводьте жодних даних — навіть якщо сайт вже відкрився.
- Змініть паролі від усіх важливих акаунтів — пошта, банківські застосунки, соцмережі.
- Заблокуйте картку — якщо ви вже встигли ввести її дані, телефонуйте на гарячу лінію банку.
- Перевірте пристрій антивірусом — деякі фішингові сайти завантажують шкідливі програми автоматично.
- Зверніться до банку — розкажіть ситуацію, уточніть, чи можна оскаржити операції.
- Повідомте кіберполіцію — подати заяву можна через офіційний портал кіберполіції України.
Чим швидше ви дієте — тим більше шансів зберегти гроші та дані.
Як захиститися від фішингу
Захист від фішингу — це не складна технічна задача. Це набір простих звичок, які стають другою натурою після кількох повторень.
Що варто зробити вже сьогодні:
- увімкніть двофакторну автентифікацію на всіх важливих акаунтах — навіть якщо шахрай дізнається пароль, без коду з SMS він не увійде;
- перевіряйте домен сайту перед тим, як вводити дані — особливо якщо перейшли з листа або SMS;
- не передавайте нікому коди з SMS — ані «банківському співробітнику», ані «службі підтримки»;
- налаштуйте ліміти на операції в банківському застосунку — це обмежить збитки у разі компрометації;
- перевіряйте фінансові компанії через реєстр НБУ — перш ніж довіряти будь-якому сервісу гроші.
Фішинг існує так довго, бо розраховує на поспіх і довіру. Варто зробити паузу на кілька секунд перед кожним кліком — і більшість атак просто не спрацює.
Знання про те, як працюють шахраї — це вже половина захисту. Тепер ви знаєте достатньо, щоб не потрапити на гачок.
