Зміст
Що таке фішинг?
Національний банк (НБУ) визначає фішинг як вид шахрайства в інтернеті, що дає змогу виманити персональні дані й заволодіти вашими коштами. Слово походить від англійського «риболовля»: вам кидають приманку й чекають, що ви клюнете.
Шахраї полюють на реквізити картки, номер телефону, паспортні дані, ідентифікаційний код, логіни й паролі від онлайн-банкінгу. Часто й зламувати нічого не доводиться: дані людина вводить сама.
НБУ оцінює збитки від шахрайства з платіжними картками у 2025 році в 1,4 млрд грн, це на 24 % більше, ніж у 2024 році. Соціальна інженерія, тобто обман, коли людина сама віддає дані, спричинила 90 % цієї суми. Через інтернет відбулося 83 % шахрайських операцій. Читати це як «90 % збитків дав фішинг» не можна: у ці 90 % входять і телефонні дзвінки.
Звідки приходить фішинг?
Посилання на фальшиву сторінку шахраї розсилають усюди, де ви читаєте повідомлення. НБУ називає месенджери, SMS і e-mail, а ще сайти-клони, підроблені боти й QR-коди.
| Канал | Що видає шахрайство | Що зробити |
|---|---|---|
| SMS і месенджер | «Вам нараховано виплату» і посилання «для зарахування коштів» | Не відкривати. Про виплату сповіщають у застосунку банку або в Дії |
| Лист «від компанії» із «боргом» чи «перевіркою» | Перевірити домен відправника, незнайомі вкладення не відкривати | |
| Пошук | Сайт-клон у видачі | Вибирати результат без позначки про платне розміщення, адресу звіряти |
| Telegram-бот | «Банківський» бот, що пропонує оформити допомогу | Не вводити дані картки, посилання на бот брати лише з сайту чи застосунку банку |
| QR-код | Код на табличці чи в громадському місці | Після сканування звірити адресу сайту, перш ніж вводити дані |
| Повідомлення від друга | «Проголосуй за мене», «позич до завтра» | Зателефонувати другові: акаунт могли зламати |
Які схеми фішингу зараз поширені в Україні?
Про ці схеми попереджали НБУ, кіберполіція і Нова пошта.
- «Соціальні виплати». SMS і повідомлення про єПідтримку, допомогу від ЄС, ООН чи Червоного Хреста. Кіберполіція 19 жовтня 2026 року попередила, що на тлі державної кампанії «Зимова підтримка» шахраї поширюють неправдиві повідомлення про грошову допомогу й доплати до пенсій та імітують державні ресурси. Про справжню виплату сповіщають у застосунку банку або в Дії, а не посиланням.
- «OLX-доставка». «Покупець» каже, що оплатив товар, і надсилає посилання, де «продавець отримає гроші». Сайт схожий на справжній, а просить дані картки. Щоб отримати переказ, потрібен лише 16-значний номер картки.
- Фальшивий банк у Telegram. Бот чи група, що виглядає офіційно, обіцяє оформити грошову допомогу. Просить ввести дані картки, після чого гроші можуть зникнути.
- Листи від імені поштового оператора. Нова пошта повідомляла про фальшиву розсилку про «заборгованість» (грудень 2024) і про фальшиві листи з «податковою перевіркою» (липень 2026). Окремо компанія пише, що не надсилає повідомлень про послугу «Надійна покупка» та посилань на форми для даних картки. Справжні листи приходять лише з офіційних доменів компанії.
- Підмінені QR-коди. Шахраї підмінюють коди на офіційних табличках або розміщують свої в громадських місцях, найчастіше там, де платять за паркування, проїзд, заходи чи благодійні внески.
- Злам акаунта. Посилання на «голосування», «конкурс» чи «роботу в інтернеті», після чого друзям розсилають прохання позичити гроші.
Як перевірити сайт перед введенням даних?
Перед тим як вводити дані картки, пройдіть пʼять перевірок.
- Прочитайте адресу літера за літерою. Адреса клона може відрізнятися одним символом.
- Не переходьте за посиланням з повідомлення. Назву сайту введіть у пошуку самі.
- Державні сайти мають закінчуватися на gov.ua. Решта доменів не підходить.
- Позначка https, тобто замочок біля адреси, не гарантує чесності сайту. Це лише мінімум, перевіряти треба далі.
- Не відкривайте вкладення з розширеннями .exe, .vbs і .scr.
Якщо сайт пропонує позику, а компанію ви не знаєте, перевірте її в реєстрі НБУ.
Що робити, якщо ви ввели дані картки на фальшивому сайті?
Негайно телефонуйте в банк за номером зі звороту картки й заблокуйте картку. Не чекайте ранку й не шукайте номер у повідомленні: від хвилини вашого дзвінка залежить, хто відповідає за нові списання. Як працює відповідальність банку й строк у 90 днів, розписано в матеріалі про вішинг. Що робити після списання крок за кроком, читайте в матеріалі шахраї зняли гроші.
Якщо після фішингу на вас оформили позику, дивіться кредит оформили на мене.
Яка відповідальність загрожує шахраям?
За статтею 190 Кримінального кодексу шахрайство шляхом незаконних операцій з використанням електронно-обчислювальної техніки карається позбавленням волі на строк від трьох до восьми років, а окрема частина статті стосується шахрайства в умовах воєнного стану, що завдало значної шкоди потерпілому. Воєнний стан продовжено з 31 жовтня 2026 року на 90 діб.
Що робити зараз
- Не вводьте дані картки на сторінках за посиланнями з повідомлень.
- Відкривайте сайти банків і держпослуг самі, через пошук чи закладку.
- Нікому не називайте CVV, PIN і коди з SMS.
- Внесіть у контакти телефону номер банку зі звороту картки.
- Якщо дані ввели, блокуйте картку, а потім звертайтеся до кіберполіції.
Часті питання
Вішинг відбувається телефоном, фішинг через посилання, сайти, боти й QR-коди. Мета однакова: виманити дані картки чи коди.
Не обовʼязково. За словами НБУ, https лише привід продовжити перевірку: клон теж може мати замочок.
Не відкривайте посилань і вкладень. Якщо лист нібито від компанії, знайдіть її сайт самі через пошук, а повідомлення від «держави» шукайте у застосунку банку чи в Дії.