Більшість матеріалів про інтернет-шахрайство влаштовані однаково: перелік актуальних схем із поясненням, як кожна працює. Проблема в тому, що такий текст помирає за півроку. Схеми змінюються постійно - з'являється новий сервіс, і за тиждень навколо нього виникає нова афера.

Тому цей матеріал побудований інакше. Тут не про конкретні схеми, а про механіку, яка лишається незмінною. Бо шахраї експлуатують не діри в програмному забезпеченні, а особливості людської психіки - а вони не оновлюються. Якщо ви зрозумієте принцип, то впізнаєте й ту схему, яку вигадають через три роки.

Головне, що треба зрозуміти

Практично все сучасне онлайн-шахрайство - це соціальна інженерія. Не злом, не віруси, не технічна магія. Це розмова, у якій вас переконують зробити щось самостійно.

Кіберполіція називає трьома найпоширенішими категоріями продаж неіснуючих товарів, фішинг і дзвінки «з банку». Зверніть увагу: у жодній із них жертву не зламують. Вона все робить своїми руками - переказує гроші, вводить дані картки, диктує код із SMS. Це і є ключ. Шахрай не може забрати ваші гроші. Він може лише переконати вас їх віддати.

П'ять важелів, на які тиснуть завжди

Незалежно від того, яка схема перед вами, у ній буде щонайменше один із цих елементів. Зазвичай кілька.

1. Терміновість. «Рахунок буде заблоковано протягом години». «Залишилось два місця». «Підтвердіть зараз, інакше втратите доступ».

Це найважливіший маркер із усіх. Мета - не дати вам часу подумати й перевірити. Жодна легітимна організація не вимагає ухвалити фінансове рішення за п'ять хвилин. Банк не заблокує ваш рахунок, поки ви передзвонюєте йому за офіційним номером.

Правило: чим терміновіше - тим повільніше треба діяти.

2. Авторитет. Співрозмовник представляється банком, поліцією, службою безпеки сервісу, податковою, керівництвом компанії. Мета - вимкнути ваш скептицизм, бо з представником влади сперечатись незручно.

Тут працює просте: справжня установа не образиться, якщо ви покладете слухавку й передзвоните самі за номером з офіційного сайту. Шахрай - образиться і почне тиснути.

3. Ізоляція. «Не кажіть нікому, це конфіденційно». «Ваш чоловік не зрозуміє». «Це закрита інформація для розслідування».

Прохання не розповідати про розмову третім особам - це майже стовідсоткова ознака шахрайства. Легітимні процедури не вимагають від вас таємниці від рідних.

4. Незвичний спосіб оплати. Переказ на картку фізичної особи замість рахунку компанії. Криптовалюта. Поповнення через термінал. Подарункові картки.

Ці способи об'єднує одне: гроші неможливо повернути. Саме тому їх і просять.

5. Занадто добра пропозиція. Товар удвічі дешевший за ринок. Інвестиція з гарантованою дохідністю. Виграш у розіграші, в якому ви не брали участі.

Тут працює найстаріше правило: якщо щось виглядає занадто добре, щоб бути правдою, - так воно і є.

Одна звичка, яка закриває 90% випадків

Якщо ви запам'ятаєте з цього тексту лише одне, нехай це буде наступне. Ніколи не переходьте за посиланням і не передзвонюйте за номером, які надіслав вам співрозмовник. Завжди виходьте на організацію самостійно: наберіть номер із зворотного боку банківської картки, відкрийте застосунок вручну, зайдіть на сайт, набравши адресу в браузері. Фішинг працює саме тому, що люди клікають на надіслане. Підроблена сторінка може виглядати ідентично справжній — інтерфейс копіюється повністю, включно з логотипами й дизайном. Різниця тільки в адресі, і вона може відрізнятись однією літерою. Свіжий приклад цієї механіки: шахраї розсилають повідомлення нібито від служби безпеки OLX із вимогою терміново підтвердити номер телефону. Перехід за посиланням закінчується крадіжкою профілю й банківських даних. Особлива підступність тут у тому, що шахрай ініціює справжню дію на сервісі - і вам приходить справжній код від OLX. Це створює відчуття легітимності, хоча запит ініціювали не ви. Звідси друге правило: перевіряйте не тільки те, звідки прийшло SMS, а й те, чи ви самі починали цю дію. Якщо ви не натискали «увійти» - код не для вас.

OLX окремо наголошує, що їхні представники не просять надсилати коди підтвердження в чатах чи соцмережах і не надсилають посилань для верифікації. Цей принцип універсальний для будь-якого сервісу.

Код із SMS - це те саме, що ключі від квартири

Одноразовий код підтвердження не можна називати нікому. Ніколи. Ні представнику банку, ні службі підтримки, ні поліції, ні покупцю на маркетплейсі. Легітимні служби ніколи не питають цей код, бо він створений саме для того, щоб підтвердити, що дію виконуєте ви особисто. Питання «продиктуйте код» означає рівно одне: людина на тому боці намагається зайти у ваш акаунт або провести платіж. Те саме стосується CVV-коду з зворотного боку картки, ПІН-коду і повних даних картки. Для того щоб вам надіслати гроші, достатньо номера картки. Усе інше - це дані для того, щоб гроші зняти.

Особлива категорія: коли перевірка підтверджує брехню

Раніше порада «просто загугліть цю людину» працювала. Зараз уже не завжди.

Показовий випадок стався у США: чоловік роками видавав себе за професійного футболіста, будуючи легенду в соцмережах. Коли жертви шукали інформацію про нього, пошукові системи індексували створені ним фейкові сторінки, а ШІ-зведення на верхівці видачі синтезувало з них твердження, що він справді професійний спортсмен. Шахрай почав використовувати скриншоти цих відповідей як доказ. Механіка тут така: звичайна видача показує список джерел, і ви бачите, що інформація походить з інстаграм-акаунта. ШІ-зведення видає готовий висновок без видимої ієрархії джерел - і читач сприймає його як факт.

Висновок: перевіряйте твердження там, де воно зафіксоване офіційно. Соцмережі, LinkedIn і зведення пошукових систем не є первинними джерелами. Вони лише переказують те, що людина написала про себе сама.

Швидкий чеклист

Перед тим як переказати гроші або ввести дані, поставте собі шість питань:

  1. Мене підганяють?
  2. Мене просять нікому не розповідати?
  3. Я перейшов за надісланим посиланням чи відкрив сайт сам?
  4. Я сам ініціював цю дію, чи мені про неї повідомили?
  5. Гроші йдуть на рахунок компанії чи на картку фізособи?
  6. Чи можу я перевірити цю організацію в офіційному реєстрі?

Якщо хоча б на одне питання відповідь тривожна - зупиніться. Втратити годину на перевірку дешевше, ніж утратити гроші.

Якщо вже сталося

Негайно зателефонуйте в банк за номером на картці й заблокуйте картку. Якщо переказ щойно пройшов, є шанс його зупинити - але вікно вимірюється хвилинами. Змініть паролі до скомпрометованих акаунтів і увімкніть двофакторну автентифікацію. Зателефонуйте 102, якщо шахрайство відбувається просто зараз - цілодобова лінія приймає повідомлення й запускає оперативне реагування. Подайте заяву до кіберполіції через офіційний сайт cyberpolice.gov.ua. Кіберполіція аналізує цифрові сліди й запитує дані в банків і провайдерів. Збережіть усе: скриншоти листування, номери телефонів, реквізити рахунків, час і суму переказу. Без цього розслідування майже неможливе. І окремо: не соромтесь. Сором - головна причина, чому люди не звертаються в поліцію. Через це шахраї працюють роками з тими самими схемами. Ваша заява — це не визнання власної дурості, а внесок у те, щоб цю групу зупинили.

Найважливіше - про близьких

Найвразливіша категорія - літні люди. Не через наївність, а через те, що вони виросли в середовищі, де телефонний дзвінок від установи справді був способом комунікації.

Що реально працює:

Домовтесь із батьками про просте правило: будь-яка розмова про гроші - це привід зателефонувати вам, перш ніж щось робити. Не «подумати», а саме зателефонувати. Це знімає з людини необхідність самій оцінювати ситуацію під тиском. Розкажіть їм не про схеми, а про ознаки. Схему вони забудуть, а «мене підганяють - значить, це шахраї» - запам'ятають. І найголовніше: зробіть так, щоб вони не боялись вам зізнатись. Людина, яка боїться осуду, мовчатиме - і втратить більше.

Підсумок

Схеми змінюватимуться. З'являться нові сервіси, нові приводи, нові технології - вже зараз шахраї використовують згенеровані голоси й відео. Але механіка залишиться тією самою: вас поспішатимуть, вам представлятимуться кимось поважним, від вас вимагатимуть таємниці й просили б переказати гроші способом, який неможливо відкотити. Тому найнадійніший захист - не знання конкретних афер, а одна звичка: перед будь-якою дією з грошима чи даними зупинитись і перевірити самостійно, через незалежний канал. Хвилина паузи коштує дешевше за все інше.


Джерела: Департамент кіберполіції Національної поліції України, Кабінет Міністрів України, пресслужба OLX.