Застосунок став частиною щоденного життя мільйонів людей, і разом із цим навколо нього накопичилося дві категорії тверджень, тобто реальні ризики, про які варто знати, і чутки, які регулярно розлітаються мережею. Розберемо обидві, а почнемо з того, як воно взагалі влаштоване, оскільки з цього випливає більшість практичних висновків.

Що застосунок робить і чого не робить

Дія не зберігає ваші документи у своїй пам'яті, а відображає дані з державних реєстрів. Тобто доступ залежить від роботи реєстрів і від наявності інтернету, а самі документи фізично лежать не у вашому телефоні. З цього випливає перший практичний висновок. Застосунок є зручним інструментом для щоденного використання, але власним архівом він не є, тому копії важливих документів варто мати окремо, і про це я писав у матеріалі про цифровий архів. Другий висновок стосується безпеки. Слабким місцем тут є не сам застосунок, а телефон і людина, оскільки основна частина реальних інцидентів відбувається через соціальну інженерію, а не через технічний злам.

Головне правило

Застосунок встановлюється виключно з App Store або Google Play. Це формулювання належить офіційній команді сервісу, і воно з'явилося після конкретного випадку. У червні 2026 року шахраї створили сайт із доменом, схожим на офіційну адресу державного порталу, і пропонували відвідувачам встановити нібито оновлений застосунок прямо через браузер. Вектор був нетиповим, оскільки замість звичного повідомлення з посиланням використали саме підроблений сайт з правдоподібною адресою. Практичне правило звучить просто. Жоден державний сервіс не просить встановлювати щось через браузер або за стороннім посиланням, і будь-яка така пропозиція означає спробу встановити на ваш телефон шкідливу програму.

Найнебезпечніша схема

Окремої уваги заслуговують маніпуляції навколо електронного підпису, оскільки їх наслідки найважче скасувати. Механіка виглядає так. Під приводом перевірки особи або підтвердження заявки людину спрямовують на підроблену сторінку біометричної верифікації, після проходження якої на її ім'я оформлюють кредит. Особлива підступність полягає в тому, що людина справді проходить процедуру, тобто дивиться в камеру й підтверджує особу, просто робить це не там, де думає. Через це варто запам'ятати кілька речей. Проходьте біометричну верифікацію лише в самому застосунку, який ви відкрили самостійно, а не за посиланням, надісланим вам будь-ким.

Ніколи не проходьте таку перевірку на прохання співрозмовника в месенджері, навіть якщо він представляється банком, фінансовою компанією чи держустановою. Якщо вас просять підтвердити особу для чогось, чого ви самі не ініціювали, це шахрайство незалежно від пояснень.

Фейкові боти й канали

Основним полем для фішингу зараз стали месенджери, і схема тут стандартна. Шахраї створюють канали й боти з назвами відомих компаній, додаючи до них слова на кшталт офіційний, бот або промо, після чого намагаються отримати від людини код із SMS або реквізити картки. Тут корисно пам'ятати принцип, який працює завжди. Легальні фінансові установи ніколи не запитують одноразові паролі через месенджери. Той самий принцип поширюється й на державні сервіси, оскільки код підтвердження існує саме для того, щоб підтвердити, що дію виконуєте ви особисто, а отже прохання назвати його комусь означає спробу увійти замість вас.

Про чутки

Показовим прикладом стало поширення неправдивої інформації про нібито надсилання повісток через застосунок, і в міністерстві зазначили, що джерелом цієї інформації виявився фейковий сайт, не пов'язаний із державними органами. Механізм тут той самий, що й у будь-якій інформаційній маніпуляції, тобто твердження запускається з ресурсу, який виглядає офіційно, після чого розлітається месенджерами вже без згадки про джерело. Практичний захист полягає в перевірці первинного джерела, і про те, як це робити, я писав в окремому матеріалі про розпізнавання фейків. Для державних сервісів правило просте, оскільки офіційна інформація публікується на державних сайтах у зоні gov.ua та в офіційних каналах відомств, а не на ресурсах зі схожими назвами.

Безпека застосунку є безпекою телефона

Оскільки застосунок захищений кодом або біометрією, доступ до нього означає доступ до вашого телефона, і навпаки. Тому базові речі мають значення більше, ніж будь-які налаштування всередині сервісу. Встановіть надійний код блокування екрана, оскільки без нього біометрія не є повноцінним захистом. Не давайте свій розблокований телефон стороннім людям. Не встановлюйте застосунки з невідомих джерел, оскільки шкідлива програма з відповідними дозволами здатна перехоплювати те, що відбувається на екрані. Оновлюйте систему, бо саме оновлення закривають вразливості, через які можливе зараження. Увімкніть функцію пошуку пристрою заздалегідь, і про повний порядок дій при втраті телефона я писав окремо.

Як перевірити, чи не оформили на вас кредит

Оскільки основна мета описаних схем полягає саме в цьому, перевірка має практичний сенс.

Дізнатися про несанкціоновану позику на своє ім'я можна через Українське бюро кредитних історій, де доступна відповідна послуга. Робити таку перевірку варто після будь-якого підозрілого випадку, а також періодично, оскільки про оформлений кредит людина зазвичай дізнається із запізненням, коли починаються дзвінки щодо заборгованості. Якщо кредит справді виявився, потрібні заява до поліції та письмове звернення до самої фінансової установи, і зафіксований факт шахрайства з конкретною датою є вашим основним аргументом.

Чого офіційні сервіси не роблять ніколи

  1. Не просять встановити застосунок за посиланням із повідомлення.
  2. Не просять назвати код із SMS.
  3. Не просять пройти біометричну перевірку за посиланням у месенджері.
  4. Не вимагають негайних дій під загрозою втрати виплат, документів чи доступу.
  5. Не пишуть вам першими з приватних акаунтів у месенджерах.
  6. Не просять перерахувати кошти на будь-який рахунок для перевірки чи розблокування.


Джерела: Департамент кіберполіції Національної поліції України, Міністерство цифрової трансформації, публікації Speka, Судово-юридична газета, Українське бюро кредитних історій