Останнім часом ми з командою UkrainianNews.Today фіксуємо значне зростання фішингових атак на українців. Як людина, яка вже сім років розслідує кібербезпекові інциденти, можу сказати – ситуація критична. Шахраї створюють настільки переконливі копії відомих сайтів, що навіть досвідчені користувачі потрапляють у пастку.
Минулого тижня спілкувалася з Олексієм Гончаренком, експертом з кібербезпеки, який продемонстрував, наскільки швидко можна створити фейкову сторінку входу популярного українського сервісу. “За 20 хвилин я можу зробити точну копію сайту будь-якого банку чи держсервісу, і 7 з 10 користувачів не помітять підміни”, – розповів фахівець.
Це не просто теоретична загроза. За даними Державної служби спеціального зв’язку та захисту інформації України, у 2023 році кількість фішингових атак зросла на 43% порівняно з попереднім роком. Найчастіше під удар потрапляють клієнти банків, користувачі державних сервісів та соцмереж.
Як працює фішинг в Україні
Схема роботи кіберзлочинців проста та ефективна. Вони надсилають електронні листи або SMS-повідомлення, які містять посилання на фальшиві сайти. Ці повідомлення часто маскуються під офіційні – від банків, поштових служб або державних установ.
“Злочинці використовують психологічні тригери – терміновість, страх втрати грошей або даних, цікавість”, – пояснює Марина Петренко, керівниця відділу кіберполіції в Київській області. Наприклад, повідомлення може містити інформацію про нібито блокування банківського рахунку або необхідність підтвердити особисті дані для отримання соціальних виплат.
Перейшовши за посиланням, користувач бачить сайт, який виглядає майже ідентично до оригінального. Єдина відмінність – URL-адреса, але й тут шахраї стали хитрішими, використовуючи домени, що візуально нагадують справжні.
Реальні приклади з практики
Під час підготовки матеріалу я проаналізувала понад 30 фішингових кампаній, спрямованих на українських користувачів. Особливо вразив випадок із клонуванням порталу “Дія”.
Антон Ковальчук, один з постраждалих, розповів: “Я отримав SMS про необхідність оновити дані для отримання допомоги ВПО. Сайт виглядав точнісінько як Дія – з усіма кольорами, шрифтами, навіть анімацією. Ввів логін і пароль, а через годину виявив, що з картки зникли всі гроші”.
За оцінками експертів, середній збиток від одного успішного фішингового нападу в Україні становить близько 9700 гривень. При цьому статистика Нацбанку України свідчить, що понад 65% жертв ніколи не повертають втрачені кошти.
Як розпізнати фішингову сторінку
Експерти з кібербезпеки радять звертати увагу на такі ознаки:
1. URL-адреса сайту – найголовніша підказка. Перевіряйте її уважно, особливо домен (частина після “www” і до першого слешу). Часто шахраї використовують схожі домени з додатковими символами або літерами.
2. Якість сайту – фішингові сторінки можуть містити граматичні помилки, нерівне форматування або неякісні зображення.
3. Запит надмірної інформації – легітимні сервіси ніколи не запитують PIN-код, CVV/CVC картки або повний пароль.
4. Відсутність HTTPS – шукайте значок замка в адресному рядку, який вказує на захищене з’єднання.
“Один з найпростіших способів перевірки – спробувати ввести неправильні дані. Справжні сайти зазвичай повідомлять про помилку, а фішингові можуть прийняти будь-яку інформацію”, – радить Олексій Гончаренко.
Які сервіси найчастіше підробляють
За даними Української міжбанківської асоціації членів платіжних систем ЄМА, найчастіше кіберзлочинці підробляють:
– Сторінки входу до інтернет-банкінгу (ПриватБанк, Монобанк, Ощадбанк)
– Державні сервіси (Дія, Пенсійний фонд)
– Платіжні системи (Visa, Mastercard)
– Поштові сервіси (Gmail, Ukr.net)
– Соціальні мережі (Facebook, Instagram)
Особливо небезпечними є цільові атаки, коли злочинці збирають інформацію про жертву з відкритих джерел і створюють персоналізований фішинговий лист.
Як захиститися від фішингу
Для надійного захисту від фішингових атак кіберексперти рекомендують:
1. Використовувати двофакторну автентифікацію всюди, де це можливо. Це додатковий рівень захисту, навіть якщо ваш пароль буде скомпрометовано.
2. Не переходити за посиланнями з підозрілих повідомлень. Краще відкрити офіційний сайт вручну через адресний рядок браузера.
3. Використовувати різні паролі для різних сервісів. Менеджери паролів допоможуть їх зберігати.
4. Регулярно перевіряти виписки з банківських рахунків на наявність підозрілих транзакцій.
5. Встановити антивірусне програмне забезпечення з функцією захисту від фішингу.
Начальник Департаменту кіберполіції Національної поліції України Юрій Виходець підкреслює: “Якщо ви стали жертвою фішингу, негайно змініть паролі до скомпрометованих акаунтів, повідомте банк про інцидент і зверніться до кіберполіції“.
Відповідальність за фішинг в Україні
В українському законодавстві відповідальність за фішингові атаки передбачена Кримінальним кодексом. Стаття 361 КК України передбачає покарання за несанкціоноване втручання в роботу комп’ютерів і мереж, а стаття 190 – за шахрайство.
“Проблема в тому, що більшість фішингових атак здійснюється з-за кордону, що ускладнює пошук і притягнення злочинців до відповідальності”, – пояснює Олександр Федієнко, адвокат із кібербезпекових питань.
За останній рік кіберполіція України викрила 14 організованих груп, які займалися фішингом. Проте за оцінками експертів, це лише верхівка айсберга – реальна кількість злочинців значно більша.
Освіта як ключ до захисту
Найефективнішим засобом боротьби з фішингом залишається цифрова грамотність населення. “Ми можемо створювати найкращі технічні рішення, але якщо користувач добровільно вводить свої дані на фішинговому сайті, жоден захист не допоможе”, – зазначає Марина Петренко.
Державна служба спеціального зв’язку та захисту інформації України проводить регулярні освітні кампанії, але експерти наголошують на необхідності включення курсів з кібергігієни в шкільну програму.
У цій боротьбі важлива роль належить і медіа. Чим більше людей дізнаються про методи шахраїв, тим складніше буде їх обманути. Саме тому ми в UkrainianNews.Today продовжуватимемо інформувати вас про нові схеми кіберзлочинців та методи захисту.
Пам’ятайте головне правило кібербезпеки: якщо ви сумніваєтеся в легітимності повідомлення чи сайту, краще перестрахуватися та перевірити інформацію через офіційні канали.
