Як розпізнати фішинг: 8 ознак шахрайського повідомлення

Фішингові повідомлення дедалі частіше імітують листи від банків, державних органів, служб доставки та знайомих людей. Ми зібрали вісім ознак, на які варто звернути увагу перед тим, як перейти за посиланням, надіслати дані або здійснити оплату.

Фішингове повідомлення може виглядати як лист від банку, повідомлення від державного органу, повідомлення служби доставки, технічної підтримки або навіть від знайомої людини. Мета шахраїв зазвичай одна: змусити людину перейти за посиланням, розкрити пароль або банківські дані, встановити небезпечну програму або самостійно переказати гроші.

SocPortal підготував перелік актуальних рекомендацій Національного банку України, Кіберполіції та Держспецзв’язку. Він перевірений 13 вересня 2026 року. Ці пункти не є рейтингом: навіть один із них — привід зупинитися та перевірити повідомлення через офіційний канал.

Деталі

Як складався чек-лист. Ми включили лише ознаки, які людина може перевірити до введення даних, здійснення оплати або встановлення файлу. За основу взято повторювані рекомендації офіційних українських органів щодо платіжної та кібербезпеки. Головний принцип: не довіряти зовнішньому вигляду повідомлення та перевіряти інформацію через офіційний сайт, додаток або номер телефону організації.

Коротка відповідь: не переходьте за посиланням із несподіваного повідомлення, якщо вас кваплять, просять надати секретні дані, пропонують виплату через сторонній сайт, надсилають файл для «перевірки» або перенаправляють до неофіційного бота. Відкрийте потрібний сервіс самостійно та перевірте інформацію там.

1. Вас підганяють і лякають наслідками

Фрази на кшталт «рахунок буде заблоковано», «акаунт видалять сьогодні», «залишилося 10 хвилин», «потрібно негайно підтвердити дані» — типовий прийом соціальної інженерії. Терміновість потрібна для того, щоб людина діяла автоматично й не встигла перевірити відправника.

Що перевірити: чи є в повідомленні тиск, погроза блокування або вимога виконати дію прямо зараз. Якщо так, не використовуйте посилання з повідомлення. Зайдіть у додаток або на офіційний сайт організації вручну.

2. У вас просять пароль, PIN, CVV/CVC або одноразовий код

НБУ радить тримати в таємниці тризначний код на зворотному боці картки, PIN-код, паролі інтернет-банкінгу та одноразові коди підтвердження. Якщо ці дані запитують у листі, месенджері, чаті або за посиланням, повідомлення слід вважати небезпечним.

Що перевірити: чи потрібно надавати дані, за допомогою яких можна увійти в обліковий запис або підтвердити операцію. Для отримання звичайного переказу на картку не потрібні CVV/CVC, PIN-код та банківський пароль.

3. Адреса посилання відрізняється від офіційної хоча б однією деталлю

Фішингові сайти часто копіюють дизайн справжнього сервісу, але використовують схожий домен: зайву літеру, дефіс, інший домен верхнього рівня або довгу комбінацію слів. Кіберполіція окремо попереджає, що навіть переконливий дизайн не підтверджує справжність сайту.

Що перевірити: повну адресу сторінки перед введенням будь-яких даних. Наявність https сама по собі не означає, що сайт справжній: НБУ радить після перевірки протоколу продовжувати перевірку домену.

4. Вас перенаправляють до «офіційного» бота або на сторінку входу прямо з повідомлення

Шахраї створюють боти та сторінки, які імітують банки, державні сервіси та служби підтримки. Назву, логотип і навіть зовнішній вигляд інтерфейсу можна скопіювати.

Що перевірити: чи знайшли ви цей бот або сторінку через офіційний сайт чи додаток організації. Якщо посилання надійшло в розсилці або від невідомого акаунта, безпечніше відкрити офіційний ресурс самостійно і вже звідти перейти до потрібного сервісу.

5. Вам обіцяють виплату, компенсацію або бонус і одразу просять надати банківські реквізити

Одна з поширених схем — повідомлення про соціальні виплати, допомогу від держави чи міжнародних організацій, повернення грошей, бонуси та призи. Користувача перенаправляють на підроблену сторінку, де він вводить дані картки або інтернет-банкінгу.

Що перевірити: чи є інформація про таку програму на офіційному сайті установи, у додатку банку або в «Дії». Якщо про «виплату» відомо лише з повідомлення з посиланням, не вводьте дані.

6. До повідомлення додано файл або пропонують встановити програму

Фішинг не завжди закінчується формою для введення пароля. У травні 2026 року Держспецзв’язку попереджала про листи, які видавали себе за повідомлення CERT-UA і вимагали терміново відкрити вкладення або виконати інструкції для нібито перевірки комп’ютера. Такі файли можуть містити шкідливе ПЗ.

Що перевірити: чи очікували ви цей файл і чи можете підтвердити його походження через інший канал. Не запускайте програми та не встановлюйте засоби віддаленого доступу за інструкцією з несподіваного листа або чату.

7. Відправник виглядає офіційно, але канал зв’язку не збігається з офіційним

Логотип, фото, ім’я співробітника та фірмові кольори не є доказом. Кіберполіція фіксує схеми, в яких шахраї використовують реальні зображення та оформлення державних установ, банків і соцмереж.

Що перевірити: чи збігається адреса електронної пошти, номер телефону, акаунт або бот із контактами на офіційному сайті організації. Якщо є сумніви, припиніть листування та самостійно зателефонуйте за номером, вказаним на офіційному ресурсі.

8. Несподіване посилання або прохання про гроші надходить від знайомої людини

Повідомлення від друга не завжди безпечне: його акаунт могли зламати. НБУ рекомендує не поспішати переходити за несподіваним посиланням навіть від знайомої людини та спочатку зв’язатися з нею іншим способом.

Що перевірити: чи характерне таке прохання для цієї людини та чи підтверджує вона його по телефону або в іншому каналі зв’язку. Особливо будьте насторожі, якщо знайомий раптово просить проголосувати за посиланням, позичити гроші або «терміново допомогти».

Якщо ви вже перейшли за посиланням. Якщо дані не вводили — закрийте сторінку й нічого не завантажуйте. Якщо повідомили пароль — змініть його на офіційному сайті та завершіть незнайомі активні сеанси. Якщо ви розкрили реквізити картки або дані інтернет-банкінгу — негайно зв’яжіться з банком за офіційним номером і заблокуйте картку або доступ до рахунків. Про шахрайство можна повідомити Кіберполіцію.

Чому це важливо

Сучасний фішинг дедалі рідше виглядає як явно неграмотний лист. Шахраї копіюють справжні сайти, використовують знайомі логотипи, правдоподібні теми та актуальні події. Тому перевірка лише орфографії чи зовнішнього вигляду більше не забезпечує надійного захисту.

Цей чек-лист не дозволяє за однією ознакою довести, що повідомлення є шахрайським. Його завдання — зупинити небезпечну дію до того, як людина передасть дані або гроші. Найнадійніша звичка — відокремлювати повідомлення від дії: не входити в обліковий запис і не платити через надіслане посилання, а самостійно відкрити офіційний сайт або додаток.

Якщо критичний пункт не пройдено — наприклад, домен відрізняється, запитуються секретні банківські дані або потрібно встановити невідомий файл — дію краще не продовжувати до незалежної перевірки.