Содержание
Что такое вишинг?
Киберполиция определяет вишинг как вид телефонного мошенничества, при котором используют социальную инженерию, чтобы выманить реквизиты банковских карт или другую конфиденциальную информацию. Социальная инженерия здесь означает, что счет никто не взламывает: человек сам называет коды.
По данным НБУ, в 2025 году убытки от мошенничества с платежными картами выросли почти на четверть (на 24 %) и достигли 1,4 млрд грн. Социальная инженерия стала причиной 90 % этой суммы, в 2024 году было 84 %. Но социальная инженерия бывает не только телефонной, поэтому читать 90 % как «все это вишинг» нельзя.
Как мошенники звонят «из банка»?
Обычно они представляются службой безопасности банка и сообщают о якобы подозрительных операциях по вашей карте. Дальше, по описанию НБУ, вам могут:
- сказать, что кто-то получил доступ к вашему счету;
- попросить перевести деньги на временный «безопасный счет», который на самом деле принадлежит мошеннику;
- попросить установить программу удаленного доступа «для усиления защиты»;
- предложить установить «новое приложение» банка.
Назваться мошенник может кем угодно, не только банком. НБУ предупреждает, что он может представиться сотрудником НБУ, Пенсионного фонда или налоговой. Номер на экране тоже не доказательство: его могут подделать (это называют спуфингом), и телефон покажет украинский номер банка, мобильного оператора или полиции.
Когда нужно сразу положить трубку?
Кладите трубку, если собеседник:
- спрашивает срок действия карты, трехзначный код на обороте (CVV), пароли, коды из СМС или кодовые слова;
- просит сфотографировать карту и прислать фото;
- пугает, что карту заблокировали, а злоумышленники взломали счет;
- управляет вашими действиями во время разговора;
- просит установить программу для удаленного доступа;
- просит перевести деньги на «безопасный» счет.
Настоящий банк не спрашивает CVV, PIN и коды из СМС. А чтобы получить деньги на карту, отправителю достаточно 16 цифр ее номера.
Если сомневаетесь, скажите, что перезвоните сами, и наберите официальный номер с оборота карты. Не перезванивайте на номер, который вам продиктовали во время разговора.
Что делать, если данные уже назвали?
Действуйте по порядку и не теряйте времени.
- Немедленно заблокируйте карты, счета и доступ к интернет-банкингу: через горячую линию с оборота карты или в приложении банка.
- Узнайте, в котором часу и какого числа банк принял ваше сообщение. Закон обязывает банк это зафиксировать.
- Сохраните доказательства: номер, с которого звонили, время разговора, сообщения и ссылки, выписку с операциями.
- Подайте заявление в киберполицию через онлайн-форму: ticket.cyberpolice.gov.ua.
Онлайн-форма и есть основной способ подать заявление. Телефон киберполиции 0 800 50 51 70 (пн–чт 9:00–18:00, пт 9:00–17:00) на ее сайте отмечен как справочный по электронным обращениям.
Кто отвечает за деньги: банк или вы?
Закон о платежных услугах делит ответственность по моменту, когда вы сообщили банку.
| Когда | Кто несет риск убытков |
|---|---|
| До того, как вы сообщили банку, что карта или коды попали к чужим | Вы |
| С момента, когда вы сообщили банку | Банк (за ненадлежащие операции после сообщения) |
Поэтому первым делом звоните в банк, а уже потом подавайте заявление в полицию. Банк обязан бесплатно принимать такие сообщения в любое время.
Есть оговорка. Закон освобождает банк от ответственности, если пользователь не соблюдал требования защиты платежной информации, например сам назвал коды. Поэтому банк может отказать в возмещении, и гарантировать возврат денег нельзя: это решает банк, а в случае спора суд.
Требовать возмещения по ненадлежащей операции можно, если вы сообщили о ней банку в течение 90 календарных дней с даты списания. Но закон требует сообщать немедленно, как только вы узнали, поэтому не ждите.
Обратите внимание
Закон обязывает пользователя не разглашать коды и пароли, а об их утрате немедленно сообщать банку. Каждая минута до звонка в банк работает на мошенника.
Какая ответственность грозит мошенникам?
Такие действия квалифицируют как мошенничество по статье 190 Уголовного кодекса. Мошенничество в крупных размерах или путем незаконных операций с электронно-вычислительной техникой наказывается лишением свободы от трех до восьми лет. Отдельно закон выделяет мошенничество в условиях военного положения, причинившее потерпевшему значительный вред.
Что делать сейчас
- Никому не сообщайте CVV, PIN, коды из СМС и кодовые слова.
- Сохраните в телефоне номер горячей линии с оборота карты.
- Положите трубку, если вас пугают блокировкой и торопят.
- Перезвоните сами на номер с оборота карты.
- Не устанавливайте программы и не открывайте ссылки по просьбе того, кто звонит.
- Если данные уже назвали, блокируйте карту, а потом подавайте заявление в киберполицию.
Если после такого звонка выяснилось, что на вас оформили заем, читайте материал кредит оформили на меня. А если финансовую компанию, которая пишет или звонит, вы не знаете, проверьте ее в реестре. Если звонят якобы от МФО, сверьте название со справочником МФО с лицензией НБУ.
Частые вопросы
Может. Разница в том, что он не спрашивает CVV, PIN и коды из СМС. Если сомневаетесь, перезвоните сами по номеру с оборота карты.
Это не гарантировано. Если вы сами раскрыли коды, банк может отказать в возмещении. Но с момента вашего сообщения риск новых списаний несет банк, поэтому блокируйте карту немедленно.
Сообщить банку нужно немедленно, как только вы узнали об операции. Требовать возмещения можно, если вы сообщили в течение 90 календарных дней с даты списания.