Що таке вішинг і як розпізнати дзвінок шахраїв

Що таке вішинг?

Кіберполіція визначає вішинг як вид телефонного шахрайства, коли за допомогою соціальної інженерії виманюють реквізити банківських карток або іншу конфіденційну інформацію. Соціальна інженерія тут означає, що рахунок ніхто не зламує: людина сама називає коди.

За даними НБУ, у 2025 році збитки від шахрайства з платіжними картками зросли майже на чверть (на 24 %) і сягнули 1,4 млрд грн. Соціальна інженерія спричинила 90 % цієї суми, у 2024 році було 84 %. Але соціальна інженерія буває не лише телефонною, тож читати 90 % як «усе це вішинг» не можна.

Як шахраї дзвонять «з банку»?

Зазвичай вони видають себе за службу безпеки банку й повідомляють про нібито підозрілі операції з вашою карткою. Далі, за описом НБУ, вам можуть:

• сказати, що хтось отримав доступ до вашого рахунку;
• попросити перерахувати гроші на тимчасовий «безпечний рахунок», який насправді належить шахраєві;
• попросити встановити програму віддаленого доступу «для посилення захисту»;
• запропонувати встановити «новий застосунок» банку.

Назватися шахрай може ким завгодно, не лише банком. НБУ попереджає, що він може видати себе за працівника НБУ, Пенсійного фонду чи податкової. Номер на екрані теж не доказ: його можуть підробити (це називають спуфінгом), і телефон покаже український номер банку, мобільного оператора чи поліції.

Коли треба одразу класти слухавку?

Кладіть слухавку, якщо співрозмовник:

1. питає термін дії картки, тризначний код на звороті (CVV), паролі, коди з СМС чи кодові слова;
2. просить сфотографувати картку й надіслати фото;
3. лякає, що картку заблоковано, а злочинці зламали рахунок;
4. керує вашими діями під час розмови;
5. просить встановити програму для віддаленого доступу;
6. просить переказати гроші на «безпечний» рахунок.

Справжній банк не питає CVV, PIN і коди з СМС. А щоб отримати гроші на картку, відправнику досить 16 цифр її номера.

Якщо сумніваєтеся, скажіть, що передзвоните самі, і наберіть офіційний номер зі звороту картки. Не передзвонюйте на номер, який вам продиктували під час розмови.

Що робити, якщо дані вже назвали?

Дійте за порядком і не гайте часу.

1. Негайно заблокуйте картки, рахунки й доступ до інтернет-банкінгу: через гарячу лінію зі звороту картки або в застосунку банку.
2. Запитайте, о котрій годині й якого числа банк прийняв ваше повідомлення. Закон зобовʼязує банк це зафіксувати.
3. Збережіть докази: номер, з якого дзвонили, час розмови, повідомлення й посилання, виписку з операціями.
4. Подайте заяву до кіберполіції через онлайн-форму: ticket.cyberpolice.gov.ua.

Онлайн-форма і є основним способом подати заяву. Телефон кіберполіції 0 800 50 51 70 (пн–чт 9:00–18:00, пт 9:00–17:00) на її сайті позначено як довідковий щодо електронних звернень.

Хто відповідає за гроші: банк чи ви?

Закон про платіжні послуги ділить відповідальність за моментом, коли ви повідомили банк.

Тому насамперед дзвоніть у банк, а вже потім подавайте заяву до поліції. Банк зобовʼязаний безоплатно приймати такі повідомлення в будь-який час.

Є застереження. Закон звільняє банк від відповідальності, якщо користувач не дотримав вимог захисту платіжної інформації, наприклад сам назвав коди. Тож банк може відмовити у відшкодуванні, і гарантувати повернення грошей не можна: це вирішує банк, а в разі спору суд.

Вимагати відшкодування за неналежною операцією можна, якщо ви повідомили про неї банк протягом 90 календарних днів з дати списання. Але закон вимагає повідомляти негайно, щойно ви дізналися, тож не чекайте.

Яка відповідальність загрожує шахраям?

Такі дії кваліфікують як шахрайство за статтею 190 Кримінального кодексу. Шахрайство у великих розмірах або через незаконні операції з електронно-обчислювальною технікою карається позбавленням волі від трьох до восьми років. Окремо закон виділяє шахрайство в умовах воєнного стану, яке завдало потерпілому значної шкоди.

Що робити зараз

1. Не кажіть нікому CVV, PIN, коди з СМС і кодові слова.
2. Збережіть у телефоні номер гарячої лінії зі звороту картки.
3. Покладіть слухавку, якщо вас лякають блокуванням і підганяють.
4. Передзвоніть самі на номер зі звороту картки.
5. Не встановлюйте програм і не відкривайте посилань на прохання того, хто телефонує.
6. Якщо дані вже назвали, блокуйте картку, а потім подавайте заяву до кіберполіції.

Якщо після такого дзвінка зʼясувалося, що на вас оформили позику, читайте матеріал кредит оформили на мене. А якщо фінансову компанію, яка пише чи телефонує, ви не знаєте, перевірте її в реєстрі. Якщо дзвонять нібито від МФО, звірте назву з довідником МФО з ліцензією НБУ.