Спам-атаки в Україні: як працюють масові розсилки та як захиститися

Підміна номерів, автоматичні дзвінки, куплені бази даних — як працює ринок телефонного спаму та які лазівки використовують компанії.

Щодня мільйони українців стикаються з нав’язливими рекламними дзвінками та смс. Вони надходять з незнайомих номерів, пропонують товари, опитування або навіть азартні ігри. Хоча це виглядає як хаотичний спам, за цим стоїть ціла індустрія з чіткими механіками роботи.

Про це повідомило видання Економічна правда.

Сучасні технології дозволяють компаніям за лічені хвилини розіслати тисячі повідомлень або здійснити масові дзвінки. Для цього використовуються спеціальні платформи, які налаштовують час розсилки, текст повідомлень і навіть голосові сценарії. Часто абоненти отримують не живий дзвінок, а записаний або синтезований голос.

Як працюють легальні компанії

В Україні діє ціла індустрія компаній, які спеціалізуються на масових розсилках дзвінків і повідомлень. Вони пропонують програмні рішення для колцентрів, IP-телефонію для бізнесу та держустанов, а також інструменти для автоматизації комунікацій. Однак не всі з них працюють легально.

«Коли ми підключаємо нового клієнта, то обов’язково перевіряємо організацію, з’ясовуємо мету та обсяги запланованих дзвінків. Усі дзвінки обробляються відповідно до вимог безпеки та законодавства. Ми ведемо повне логування (фіксація подій), білінг (підрахунок вартості цих подій) і запис розмов. У нашому програмному забезпеченні є функція „чорного списку“, завдяки якій можна заблокувати подальші дзвінки на номер, якщо абонент цього не бажає», — зазначила керівниця відділу маркетингу компанії VoIPTime Тетяна Гончар.

«Сірі» гравці на ринку

На відміну від легальних операторів, які діють прозоро, «сірі» гравці часто працюють без ліцензій, використовують нелегальні бази даних, GSM-шлюзи та підміняють номери, маскуючи дзвінки під офіційні.

На найнижчому рівні в цій індустрії знаходяться — шахрайські кол-центри та організовані групи, які масово обдзвонюють абонентів або надсилають SMS для виманювання грошей. Вони легко приховують свою діяльність, зокрема завдяки технології підміни номерів, що ускладнює їх виявлення.

Окрема загроза — телефонний флуд, коли жертва отримує безперервні спам-дзвінки. Навіть якщо людина відхиляє виклик, атака продовжується, повністю блокуючи роботу телефону. Це нагадує DDoS-атаку в кіберпросторі, але стосується мобільного зв’язку.

Аналогічний механізм використовується і з SMS. За допомогою автоматизованих скриптів зловмисники налаштовують автоматичну генерацію запитів на платформах, що розсилають коди підтвердження (наприклад, банки, маркетплейси). В результаті телефон користувача буквально «тоне» у спамі. Так, на початку 2024 року співробітники Forbes Ukraine стали жертвами подібної атаки, отримавши сотні непотрібних SMS за короткий проміжок часу.

Незважаючи на наявність законів, які керують телекомунікаційним сектором в Україні, у них простежуються значні прогалини.

Законодавче регулювання

В Україні наразі не існує єдиного нормативного акта, який би чітко регулював масові дзвінки та SMS-розсилки. Діяльність компаній у цій сфері обмежена лише окремими законами та рішеннями регуляторних органів. Серед них — закони «Про електронні комунікації», «Про рекламу» та «Про захист персональних даних», а також рішення Нацкомісії з електронних комунікацій (НКЕК) та Національного банку, які впливають на діяльність операторів зв’язку та колекторських компаній.

Щоб зрозуміти механізми контролю, варто розглядати масові комунікації через три аспекти:

Факт надсилання повідомлення або дзвінка
Спосіб збирання даних
Зміст повідомлення

За чинним законодавством, компанії мають право телефонувати або надсилати SMS, але лише за наявності чіткої згоди клієнта. Таку згоду часто отримують під час заповнення анкет, оформлення замовлень або реєстрації на сайтах. Однак багато людей не читають умови й автоматично погоджуються, ставлячи відмітку у відповідному полі.

Однак згоди немає або номер був наданий для інших цілей (наприклад, лише для підтвердження доставки), компанія не має права використовувати його для реклами. Закон «Про електронні комунікації» визначає спам як масову розсилку без згоди одержувача. Якщо абонент отримав понад п’ять повідомлень — це вже порушення.

Проте компанії мають право телефонувати клієнтам необмежену кількість разів — це не суперечить закону.

Повідомлення від державних органів — не обмежуються

Повідомлення від державних установ (СБУ, ДСНС) або мобільних операторів не є спамом, оскільки відправляються на підставі офіційних вимог.

Експерти відзначають, що оператори зв’язку іноді зобов’язані розсилати абонентам SMS, зокрема про мобілізацію, що часто викликає скарги. Відомо, що не всі такі SMS ініційовані державою — частина є результатом комерційних угод.

Від 2025 року в Україні діє заборона на рекламу азартних ігор. Але через неоднозначність трактування законів кожен рекламний випадок слід розглядати окремо.

Як держава контролює колекторів

Регулювання колекторської діяльності в Україні здійснюється за участі ключових державних інституцій. Національна комісія, що здійснює регулювання у сфері зв’язку, контролює номерного ресурсу та видачу ліцензій, тоді як Національний банк визначає стандарти професійної етики для представників цієї сфери.

Важливим кроком у захисті прав громадян став прийнятий Верховною Радою 2021 року законодавчий акт, що встановлює чіткі правила роботи з простроченими боргами. Відтепер лише компанії, включені до офіційного реєстру НБУ, мають право надання відповідних послуг.

Закон суворо обмежує методи взаємодії з боржниками:

заборонено здійснювати понад два дзвінки на день;
виключено будь-які форми тиску, маніпуляцій або обробляти особисті дані без згоди;
обмежено комунікацію в неробочий час (свята, вихідні, нічний період);
заборонено розголошувати інформацію про борги третім особам;
заборонено приховувати інформацію про себе;
заборонено вимагати погашення від осіб, що не є стороною кредитного договору;
заборонено вимагати погашення боргу з родичів чи інших осіб, які не несуть відповідальності за його повернення, якщо це не встановлено договором або законом.

Які зміни можуть покращити законодавство

У світі вже давно використовуються ефективні механізми боротьби з цим явищем.

«На державному рівні необхідно запровадити реєстр Do-not-call list — список, у який абоненти можуть добровільно вносити свої номери, щоб не отримувати рекламні дзвінки. Такий механізм давно працює в США, країнах ЄС, Великій Британії і дозволяє ефективно обмежити нав’язливу комунікацію з боку бізнесу», — вважає CEO VoIPTime Богдан Хомин.

Він додав, що ситуацію можна виправити, якщо зобов’язати організації на початку розмови повідомляти свою назву, мету виклику та одразу пропонувати абоненту відмовитися від подальших контактів. Такі зміни зроблять комунікацію прозорішою та дадуть людям більше контролю.

«Ситуація хаотична: номери абонентів переходять з бази в базу, їх продають і перепродають. Контролю або ефективного нагляду немає. Максимальний штраф за порушення — 8,5 тисячі гривень. Навіть його складно стягнути, бо орган, який цим займається — Омбудсмен, — здійснює парламентський контроль і не має повноважень виконавчої гілки влади», — заявила експертка з питань захисту персональних даних Лілія Олексюк.

Народний депутат Олександр Федієнко також додав, що мережі магазинів, АЗС та інші компанії часто продають бази номерів.

«Люди залишають контакти, не замислюючись, що з ними буде далі. Для магазину номер телефону абонента — це ще один товар, як ковбаса. Потім ці профілі потрапляють до SMM-компаній», — зазначив Федієнко.

Олексюк вважає, що Україні потрібен окремий державний орган, який забезпечуватиме ефективний нагляд за дотриманням законодавства у сфері обробки персональних даних.

«Ми живемо в так званій сірій зоні: норми існують, але дієвого контролю немає. Новий закон про захист персональних даних мав би змінити ситуацію, але він поки що не ухвалений (законопроєкти №6177 та №8153 — ЕП). Без цього реального захисту в нас немає», — заявила експертка.

Особливу загрозу становлять бази даних, які активно продаються в даркнеті. Зловмисники використовують їх для шахрайства та нелегальної реклами, а придбати такі дані — надзвичайно просто.

Чи можуть оператори захистити абонентів від спаму?

Представники провідних мобільних операторів України підтверджують, що боротьба зі спамом має свої межі — як технологічні, так і правові. Хоча компанії вживають заходів для захисту абонентів, автоматичне блокування всіх підозрілих номерів залишається неможливим.

Як реагують провідні оператори:

«Київстар» вживає заходів лише після скарг абонентів або при явних порушеннях.

«Як і будь-який інший оператор, ми зобов’язані запобігати зловживанням у мережі. Якщо дії абонента шкодять іншим користувачам або мережі, ми можемо обмежити або призупинити обслуговування», — зазначили представники компанії.
Vodafone Україна зазначає, що спамери постійно міняють номери, що ускладнює їх виявлення.

«Не всі дзвінки можна чітко класифікувати як спам, і ми зобов’язані діяти в межах закону, який гарантує право на зв’язок», — заявили в Vodafone.
В lifecell заявили, що автоматичне блокування номерів неможливе. Водночас компанія розробляє систему фільтрації, яка має відрізняти спам від легальних дзвінків, включаючи міжнародні номери.

«Спамери використовують міжнародні або схожі на знайомі номери, що ускладнює ідентифікацію. Для ефективного блокування потрібні значні інвестиції в технології, зокрема у верифікацію номерів», — йдеться в повідомленні.

Ефективні способи захисту від спам-дзвінків та SMS

Якщо вам телефонують із пропозицією товарів чи послуг, одразу уточніть назву компанії, джерело отримання вашого номера та чітко заявіть про небажання отримувати подальші дзвінки. У разі ігнорування ваших вимог варто звернутися до Держпродспоживслужби — саме цей орган відповідає за дотримання законів про рекламу. Однак якщо дзвінки надходять від нелегальних структур, вплинути на них складніше.

Куди звертатися у разі підозрілих або шахрайських дзвінків?

Мобільний оператор.
Омбудсмен.
Кіберполіція.

За словами Федієнка, скарги на рекламні розсилки приймає Національна комісія з електронних комунікацій (НКЕК). Регулятор передає скаргу оператору, який може заблокувати спам.

«Якщо в пакеті послуг оператора не передбачені рекламні повідомлення, а вони надходять, на це можна і треба скаржитися. НКЕК із задоволенням приймає такі звернення. Чим більше скарг, тим активніше реагуватимуть оператори», — заявив Федієнко.

За словами Федієнка, подібні умови стосуються лише клієнтів на контрактній основі.

«Контрактним користувачам спам надходить рідко. Якщо таке трапляється, а клієнт не замовляв цю послугу, він має право подати скаргу НКЕК. Повірте: реакція буде миттєвою», — додав нардеп.

Що пропонують оператори?

«Київстар» — достатньо звернутися в контакт-центр, щоб відключити рекламні смс.
Vodafone — послуга «Підозрілий номер» (15 грн/міс) блокує більшість невідомих викликів.

Сучасні телефони мають вбудовані функції захисту від спаму:

Для Android

Стандартний захист Google:

Відкрийте застосунок «Телефон».
Перейдіть у Налаштування (три крапки).
Увімкніть «Ідентифікатор абонента та спам» і «Фільтрувати спам-дзвінки».

Для Samsung:

Використовуйте Hiya — увімкніть фільтрацію в налаштуваннях дзвінків або блокування номерів.