Содержание
Что такое фишинг?
Национальный банк (НБУ) определяет фишинг как вид мошенничества в интернете, который позволяет выманить персональные данные и завладеть вашими средствами. Слово происходит от английского «рыбалка»: вам бросают приманку и ждут, что вы клюнете.
Мошенники охотятся за реквизитами карты, номером телефона, паспортными данными, идентификационным кодом, логинами и паролями от онлайн-банкинга. Часто и взламывать ничего не приходится: данные человек вводит сам.
НБУ оценивает ущерб от мошенничества с платежными картами в 2025 году в 1,4 млрд грн, это на 24 % больше, чем в 2024 году. Социальная инженерия, то есть обман, когда человек сам отдает данные, обусловила 90 % этой суммы. Через интернет прошло 83 % мошеннических операций. Читать это как «90 % ущерба дал фишинг» нельзя: в эти 90 % входят и телефонные звонки.
Откуда приходит фишинг?
Ссылку на поддельную страницу мошенники рассылают везде, где вы читаете сообщения. НБУ называет мессенджеры, SMS и e-mail, а еще сайты-клоны, поддельные боты и QR-коды.
| Канал | Что выдает мошенничество | Что сделать |
|---|---|---|
| SMS и мессенджер | «Вам начислена выплата» и ссылка «для зачисления средств» | Не открывать. О выплате сообщают в приложении банка или в Дии |
| Письмо «от компании» с «долгом» или «проверкой» | Проверить домен отправителя, незнакомые вложения не открывать | |
| Поиск | Сайт-клон в выдаче | Выбирать результат без пометки о платном размещении, адрес сверять |
| Telegram-бот | «Банковский» бот, который предлагает оформить помощь | Не вводить данные карты, ссылку на бот брать только с сайта или из приложения банка |
| QR-код | Код на табличке или в общественном месте | После сканирования сверить адрес сайта, прежде чем вводить данные |
| Сообщение от друга | «Проголосуй за меня», «займи до завтра» | Позвонить другу, аккаунт могли взломать |
Какие схемы фишинга сейчас распространены в Украине?
Об этих схемах предупреждали НБУ, киберполиция и Нова пошта.
- «Социальные выплаты». SMS и сообщения о выплатах «єПідтримки», помощи от ЕС, ООН или Красного Креста. Киберполиция 19 октября 2026 года предупредила, что на фоне государственной кампании «Зимняя поддержка» мошенники распространяют ложные сообщения о денежной помощи и доплатах к пенсиям и имитируют государственные ресурсы. О настоящей выплате сообщают в приложении банка или в Дии, а не по ссылке.
- «OLX-доставка». «Покупатель» говорит, что оплатил товар, и присылает ссылку, где «продавец получит деньги». Сайт похож на настоящий, а просит данные карты. Чтобы получить перевод, нужен только 16-значный номер карты.
- Поддельный банк в Telegram. Бот или группа, которые выглядят официально, обещают оформить денежную помощь. Просят ввести данные карты, после чего деньги могут исчезнуть.
- Письма от имени почтового оператора. Нова пошта сообщала о поддельной рассылке о «задолженности» (декабрь 2024) и о поддельных письмах с «налоговой проверкой» (июль 2026). Отдельно компания пишет, что не отправляет сообщений об услуге «Надійна покупка» и ссылок на формы для данных карты. Настоящие письма приходят только с официальных доменов компании.
- Подмененные QR-коды. Мошенники подменяют коды на официальных табличках или размещают свои в общественных местах, чаще всего там, где платят за парковку, проезд, мероприятия или благотворительные взносы.
- Взлом аккаунта. Ссылка на «голосование», «конкурс» или «работу в интернете», после чего друзьям рассылают просьбу одолжить деньги.
Как проверить сайт перед вводом данных?
Прежде чем вводить данные карты, пройдите пять проверок.
- Прочитайте адрес буква за буквой. Адрес клона может отличаться одним символом.
- Не переходите по ссылке из сообщения. Название сайта введите в поиске сами.
- Государственные сайты должны заканчиваться на gov.ua. Остальные домены не подходят.
- Пометка https, то есть замочек возле адреса, не гарантирует честность сайта. Это лишь минимум, проверять нужно дальше.
- Не открывайте вложения с расширениями .exe, .vbs и .scr.
Если сайт предлагает заем, а компанию вы не знаете, проверьте ее в реестре НБУ.
Что делать, если вы ввели данные карты на поддельном сайте?
Немедленно звоните в банк по номеру с оборота карты и заблокируйте карту. Не ждите утра и не ищите номер в сообщении: от минуты вашего звонка зависит, кто отвечает за новые списания. Как работает ответственность банка и срок в 90 дней, расписано в материале про вишинг. Что делать после списания шаг за шагом, читайте в материале мошенники сняли деньги.
Если после фишинга на вас оформили заем, смотрите кредит оформили на меня.
Какая ответственность грозит мошенникам?
По статье 190 Уголовного кодекса мошенничество путем незаконных операций с использованием электронно-вычислительной техники наказывается лишением свободы на срок от трех до восьми лет, а отдельная часть статьи касается мошенничества в условиях военного положения, причинившего потерпевшему значительный ущерб. Военное положение продлено с 31 октября 2026 года на 90 суток.
Что делать сейчас
- Не вводите данные карты на страницах по ссылкам из сообщений.
- Открывайте сайты банков и госуслуг сами, через поиск или закладку.
- Никому не называйте CVV, PIN и коды из SMS.
- Внесите в контакты телефона номер банка с оборота карты.
- Если данные ввели, блокируйте карту, а потом обращайтесь в киберполицию.
Частые вопросы
Вишинг происходит по телефону, фишинг через ссылки, сайты, боты и QR-коды. Цель одна: выманить данные карты или коды.
Не обязательно. По словам НБУ, https лишь повод продолжить проверку: у клона тоже может быть замочек.
Не открывайте ссылок и вложений. Если письмо якобы от компании, найдите ее сайт сами через поиск, а сообщения от «государства» ищите в приложении банка или в Дии.