Стандартний білий курсор у Windows легко загубити: на світлому тлі документа він майже зливається зі сторінкою, на великому моніторі його доводиться шукати очима, а коли до ноутбука підʼєднано другий екран, вказівник «тікає» за межі робочої області. Windows 11 дає змогу перефарбувати курсор у будь-який колір, збільшити його та ввімкнути підсвічування, яке показує, де він зараз. Усе це робиться штатними засобами системи — без сторонніх програм.

Як змінити колір курсора миші у Windows 11

Налаштування кольору зібрані в розділі спеціальних можливостей — там же, згідно з довідкою Microsoft, змінюється і розмір вказівника.

1. Натиснути Win+U — відкриються «Спеціальні можливості». Інший шлях: «Пуск» → «Параметри» (або Win+I) → «Спеціальні можливості».
2. У групі «Зір» вибрати «Вказівник миші та сенсорне введення».
3. У блоці «Стиль вказівника миші» вибрати один із чотирьох варіантів: білий (стандартний), чорний, інвертований або користувацький — його позначає кольорова стрілка. Щоб зробити курсор чорним, достатньо вибрати другий варіант — на цьому налаштування завершено.
4. Для користувацького стилю вибрати один із рекомендованих кольорів у рядку нижче або натиснути «Вибрати інший колір».
5. У палітрі вказати потрібний відтінок, а повзунком під нею — яскравість. Кнопка «Більше» відкриває поля для точного значення у форматі RGB або HSV. Підтвердити вибір кнопкою «Готово».

Зміни застосовуються одразу — перезавантажувати компʼютер не потрібно. Інвертований стиль корисний тим, хто часто перемикається між світлими й темними вікнами: колір вказівника підлаштовується під тло, тож його видно і на білій сторінці, і в темній темі.

Варто врахувати одну деталь: якщо раніше на компʼютері була встановлена стороння схема курсорів, вибір стилю в «Параметрах» замінить її — у класичних налаштуваннях миші схема зміниться на «(Немає)».

Чому курсор у Word білий і як зробити його чорним

Часта скарга: курсор у формі літери «I», який зʼявляється над текстом, у Word раптом стає білим і повністю зникає на білій сторінці. Користувачі описують на форумі Microsoft, що те саме відбувається в Excel і Outlook — нерідко після чергового оновлення. Окремого налаштування кольору курсора у Word немає: програма використовує системні вказівники Windows, тож і виправляти проблему потрібно в налаштуваннях системи.

Варто діяти по черзі — від найпростішого кроку до складнішого:

1. Вибрати чорний або інвертований стиль. Натиснути Win+U → «Вказівник миші та сенсорне введення» і в блоці «Стиль вказівника миші» вибрати чорний чи інвертований варіант. Інвертований сам підлаштовується під тло, тому видимий і на білій сторінці, і на темній.
2. Замінити вказівник виділення тексту. Якщо стиль не допоміг, натиснути Win+R, ввести cpl і натиснути Enter. На вкладці «Вказівники» у списку вибрати роль «Виділення тексту», натиснути «Огляд», вибрати системний файл beam_r.cur і підтвердити кнопками «Застосувати» та «OK». Цей спосіб радять на форумі Microsoft — системний курсор із чорним контуром не зливається з білим тлом.
3. Увімкнути чорну системну схему. На тій самій вкладці «Вказівники» у списку «Схема» можна вибрати чорну системну схему Windows — вона змінює одразу всі вказівники.
4. Перевірити приховування під час набору. Якщо курсор не білий, а просто зникає, щойно починається введення тексту, на вкладці «Параметри вказівника» варто зняти позначку з пункту про приховування вказівника під час введення.

Ці самі кроки допомагають і тоді, коли курсор зникає в Google Документах чи в текстових полях браузера: там теж використовуються системні вказівники Windows.

Як збільшити курсор миші

Розмір вказівника регулюється на тій самій сторінці «Вказівник миші та сенсорне введення» повзунком «Розмір». Шкала має 15 позицій: 1 — стандартний розмір, 15 — найбільший. Колір і розмір налаштовуються незалежно, тож великий яскравий курсор — найпомітніший варіант для ноутбуків із високою роздільною здатністю екрана та для людей зі зниженим зором.

Як змінити колір текстового курсора

Текстовий курсор — вертикальна риска, яка блимає в полях введення та документах, — налаштовується окремо від вказівника миші. Windows 11 дозволяє зробити його товщим і додати кольоровий індикатор:

1. Натиснути Win+U і вибрати «Текстовий курсор».
2. Увімкнути перемикач «Індикатор текстового курсора» і повзунком задати його розмір.
3. Вибрати колір індикатора серед рекомендованих або через «Вибрати інший колір».
4. За потреби змінити «Товщину текстового курсора» — результат одразу видно в полі попереднього перегляду.

Як швидко знайти курсор на екрані

Навіть яскравий курсор інколи губиться — особливо на кількох моніторах. Для цього у Windows є індикатор миші: після його ввімкнення натискання клавіші Ctrl показує анімоване коло навколо вказівника.

Раніше ця функція ховалася в класичній Панелі керування. Починаючи з оновлення Windows 11 24H2 збірки 26100.4202, що вийшло у травні 2025 року, її разом зі слідами вказівника перенесли в «Параметри»:

1. Натиснути Win+U → «Вказівник миші та сенсорне введення».
2. Увімкнути «Індикатор миші».
3. За бажання на тій самій сторінці ввімкнути «Сліди вказівника миші» і повзунком задати їхню довжину — за курсором тягнутиметься «шлейф», який легко помітити.

Microsoft продовжує вдосконалювати ці інструменти. У вересні 2026 року в експериментальному каналі програми Windows Insider (збірка 26340.9502) компанія почала тестувати нову, плавнішу анімацію індикатора миші та режим, у якому він залишається на екрані до натискання Esc. Тестова версія також дозволяє вибрати спосіб активації — одне або подвійне натискання Ctrl. А в каналі Dev із березня 2026 року випробовують окремий «індикатор вказівника» з перехрестям навколо курсора. У стабільних версіях Windows 11 цих функцій поки немає.

Тим, кому вбудованих можливостей замало, підійде безкоштовний набір утиліт Microsoft PowerToys. Його модуль Mouse utilities містить Find My Mouse — «прожектор», що висвітлює курсор після подвійного натискання Ctrl, — а також підсвічування клацань і перехрестя для точного наведення.

Чи безпечно встановлювати сторонні курсори

Окрім вбудованих стилів, Windows підтримує власні набори курсорів — файли у форматах .cur (статичні) та .ani (анімовані). Таких колекцій в інтернеті тисячі, і саме тут криється ризик.

Обробка файлів курсорів уже ставала вектором атак. У 2007 році в механізмі обробки анімованих курсорів .ani знайшли вразливість, яку зловмисники встигли використати до виходу виправлення, — Microsoft закрила її позаплановим оновленням MS07-017. Сучасні версії Windows від тієї вразливості захищені, проте сам підхід «завантаж красивий курсор» досі використовують для поширення шкідливого ПЗ: набори часто викладають в архівах разом із «встановлювачами» у форматі .exe.

Кілька простих правил:

• Завантажувати курсори лише з відомих сайтів, а не з першого посилання в пошуку.
• Для встановлення курсора достатньо файлів .cur або .ani; програма-«встановлювач» (.exe, .scr, .bat) для цього не потрібна — такий файл краще видалити, не запускаючи.
• Перед розпакуванням перевірити архів антивірусом.
• Звертати увагу на справжнє розширення файлу: «cursor.ani.exe» — це програма, а не курсор.

Готовий набір підключається через класичні налаштування: «Пуск» → пошук «Миша» → «Додаткові параметри миші» → вкладка «Вказівники». Тут для кожної ролі курсора (основний режим, вибір тексту, очікування тощо) кнопкою «Огляд» призначається потрібний файл, після чого набір можна зберегти як власну схему.

Як повернути стандартний курсор

Щоб скасувати всі зміни, достатньо на сторінці «Вказівник миші та сенсорне введення» вибрати білий стиль і перетягнути повзунок розміру на позицію 1. Якщо було встановлено сторонню схему, її прибирають у «Додаткових параметрах миші»: на вкладці «Вказівники» вибрати системну схему Windows за промовчанням і натиснути «Застосувати».

Як змінити колір курсора у Windows 10

Підтримка Windows 10 завершилася 14 жовтня 2025 року: система працює, але більше не отримує оновлень безпеки, тому перехід на Windows 11 варто планувати. Для тих, хто поки залишається на «десятці», налаштування курсора виглядають схоже, але розміщені в іншому місці:

1. Натиснути Win+U — відкриються «Спеціальні можливості».
2. Вибрати розділ «Вказівник миші» (в окремих версіях — «Курсор і вказівник»).
3. У блоці зміни кольору вказівника натиснути кнопку з кольоровим колом і вибрати один із запропонованих кольорів або задати власний.
4. Розмір змінюється повзунком у тому самому розділі — так само від 1 до 15.

Ця стаття Як змінити колір і розмір курсора миші у Windows 11 і Windows 10 раніше була опублікована на сайті CyberCalm, її автор — Побокін Максим

У січні 2021 року OpenAI показала нейромережу DALL·E, яка створювала зображення за текстовим описом: крісло у формі авокадо, редиску в балетній пачці, що вигулює собаку. Тоді це виглядало як дотепний лабораторний експеримент. Менш ніж за шість років генерація зображень стала звичайною функцією чат-ботів, графічних редакторів і навіть пошуку Google, а згенеровані картинки дедалі важче відрізнити від фотографій.

Як саме ШІ «малює», чому він досі помиляється, кому належать права на результат і як не отримати шкідливе ПЗ замість картинки — розбираємося в цьому матеріалі.

Від крісла-авокадо до генераторів, які «думають»

OpenAI представила DALL·E 5 січня 2021 року. За описом компанії, модель була версією GPT-3 з 12 мільярдами параметрів, навченою створювати зображення за текстовими описами на наборі пар «текст — зображення». Назву утворили з імен художника-сюрреаліста Сальвадора Далі та робота ВОЛЛ-І з мультфільму Pixar.

Розробники одразу визнавали обмеження: коли в запиті зʼявлялося більше обʼєктів, DALL·E починав плутати, який колір належить якому предмету, і частка вдалих результатів різко падала. Навіть перефразування запиту рівнозначними за змістом словами могло зіпсувати картинку.

Наступні покоління змінили саму технологію. DALL·E 2, Imagen від Google і Stable Diffusion належать до дифузійних моделей — про цей підхід нижче. У березні 2025 року OpenAI вбудувала генерацію зображень безпосередньо в мультимодальну модель GPT-4o і назвала новий підхід значно потужнішим за серію DALL·E 3.

21 квітня 2026 року компанія випустила ChatGPT Images 2.0 на моделі gpt-image-2. За словами представника OpenAI, нова версія значно краще виконує детальні інструкції, відтворює щільний текст і точніше розташовує обʼєкти, а також підтримує співвідношення сторін від 3:1 до 1:3. У режимі з «мисленням» ChatGPT може шукати інформацію в інтернеті та генерувати кілька зображень з одного запиту.

Google відповіла лінійкою Nano Banana: першу версію випустили в серпні 2025 року, Nano Banana Pro — у листопаді, а наприкінці лютого 2026 року зʼявилася Nano Banana 2 з технічною назвою Gemini 3.1 Flash Image. Вона стала моделлю за замовчуванням у застосунку Gemini, а також генерує зображення в пошуку Google через Lens і AI Mode.

Як ШІ «малює»: пояснення без формул

Генератор не зберігає колекцію готових картинок, з яких вирізає й склеює фрагменти. Під час навчання модель аналізує величезну кількість зображень із підписами й засвоює статистичні звʼязки: як зазвичай виглядає авокадо, чим акварель відрізняється від фотографії, з якого боку падає тінь у вечірньому світлі. Запит користувача модель перетворює на числове представлення й будує зображення, яке йому найкраще відповідає.

Дифузія: картинка, що проступає крізь шум

Робота дифузійної моделі нагадує проявлення фотографії. Генерація починається з випадкового «снігу», схожого на перешкоди на екрані старого телевізора. На кожному кроці модель прибирає частину шуму, щоразу звіряючись із текстовим запитом. Після десятків таких кроків із хаосу проступає крісло, кіт чи пейзаж.

У науковій статті 2022 року дослідники описують цей процес як послідовне застосування «знешумлювальних» автокодувальників. Щоб заощадити обчислення, модель працює не з окремими пікселями, а зі стиснутим представленням зображення, а текст керує генерацією через механізм перехресної уваги (cross-attention).

Моделі, які «думають» перед малюванням

Новітні генератори виходять за межі класичної дифузії. Генерація зображень у ChatGPT вбудована безпосередньо в архітектуру мультимодальної моделі, тож може спиратися на все, що модель «знає» про світ. ChatGPT Images 2.0 OpenAI називає своєю першою моделлю зображень, здатною міркувати перед генерацією: вона планує композицію, шукає дані в інтернеті в реальному часі та перевіряє результат. Nano Banana 2, за даними Google, використовує базу знань Gemini, а також актуальну інформацію й зображення з вебпошуку, щоб точніше відтворювати конкретні обʼєкти.

Чому ШІ досі помиляється

Модель не розуміє світ так, як людина, — вона відтворює найімовірніші закономірності з навчальних даних. Звідси типові помилки: зайві пальці, неправильна кількість предметів, переплутані кольори й деталі, «текст», що лише нагадує літери.

Із текстом прогрес найпомітніший: Google заявляє про точне й розбірливе відтворення написів у Nano Banana 2, OpenAI — про якісний щільний текст у новій моделі. Втім, серед мов, для яких OpenAI окремо відзначила покращення, названо японську, корейську, китайську, гінді та бенгальську — української в цьому переліку немає. Тож написи кирилицею на згенерованих зображеннях варто уважно вичитувати.

Чи копіює ШІ чужі зображення

Коли DALL·E тільки зʼявився, критики питали, чи створює модель щось нове, чи просто перебирає побачене. У 2023 році це питання отримало експериментальну відповідь. Дослідники з Google, DeepMind, Принстонського університету, ETH Zurich і Каліфорнійського університету в Берклі показали, що дифузійні моделі запамʼятовують окремі зображення з навчальних даних і можуть відтворювати їх під час генерації. Із сучасних моделей вдалося видобути понад тисячу навчальних прикладів — від фотографій конкретних людей до логотипів, захищених як торговельні марки. Автори дійшли висновку, що дифузійні моделі значно гірше зберігають приватність навчальних даних, ніж попередні генеративні моделі.

Тому частина компаній робить ставку на «чисті» дані. Adobe стверджує, що навчає моделі Firefly лише на ліцензованому контенті, зокрема з фотобанку Adobe Stock, і на творах, строк охорони яких минув, а авторам Adobe Stock виплачує компенсацію. Компанія також запевняє, що ніколи не навчала Firefly на контенті користувачів.

Кому належать права на згенероване зображення в Україні

З 1 січня 2023 року в Україні діє нова редакція Закону «Про авторське право і суміжні права». Згідно зі статтею 8, неоригінальні обʼєкти, згенеровані компʼютерною програмою, не охороняються авторським правом — на них поширюється право особливого роду (sui generis) за статтею 33. Строк дії такого права становить 25 років.

Субʼєктами цього права можуть бути особи, яким належать майнові права або ліцензійні повноваження щодо програми, яка згенерувала обʼєкт. На практиці багато залежить від умов користування конкретним сервісом, тож перед комерційним використанням згенерованих зображень варто уважно прочитати ліцензійну угоду.

Ризики безпеки, про які мовчать рекламні пости

Фальшиві генератори, що крадуть паролі

Популярність ШІ-генераторів активно використовують кіберзлочинці. У травні 2025 року компанія Morphisec описала кампанію, у якій зловмисники рекламували у Facebook «безкоштовні» ШІ-платформи для створення зображень, відео й логотипів. Сторінки видавали себе за легітимний сервіс Luma Dream Machine; одна з них мала майже 4 тисячі підписників і синю позначку верифікації, а рекламний допис набрав понад 62 тисячі переглядів.

Схема проста: користувач завантажує своє фото, сайт нібито його «обробляє» й пропонує завантажити архів із готовим відео. Усередині — файл Video Dream MachineAI.mp4.exe, тобто програма, замаскована під відео. Після запуску на компʼютер потрапляє інфостілер Noodlophile, який викрадає збережені в браузері облікові дані, файли cookie, дані криптогаманців і токени та пересилає їх зловмисникам через Telegram. У частині випадків разом із ним встановлювався троян віддаленого доступу XWorm.

Від таких схем захищають кілька простих правил:

• Генерувати зображення лише на офіційних сайтах і в офіційних застосунках сервісів, переходячи туди напряму, а не через рекламу в соцмережах.
• Памʼятати, що результат онлайн-генерації — це зображення або відео, але ніколи не програма. Файл .exe, .scr чи .msi в архіві з «картинкою» — ознака атаки.
• Увімкнути в системі показ розширень файлів, щоб подвійне розширення на кшталт .mp4.exe одразу впадало в око.

Що відбувається з фото, завантаженими в генератор

Будь-яке зображення, надіслане в онлайн-генератор, обробляється на серверах компанії-розробника. У ChatGPT розмови можуть використовуватися для навчання моделей OpenAI. Щоб це вимкнути, у налаштуваннях потрібно відкрити розділ Керування даними і деактивувати параметр «Допоможіть покращити модель для всіх» — після цього нові розмови не використовуватимуться для навчання. Для бізнес-тарифів Team, Enterprise та Edu компанія пропонує додаткові налаштування контролю даних.

Навіть із вимкненим навчанням у генератор не варто завантажувати документи, фото дітей, знімки інших людей без їхньої згоди та робочі матеріали з конфіденційною інформацією.

Діпфейки: як перевірити, чи зображення згенероване

Що реалістичнішими стають генератори, то легше створити фальшиве «фото з місця подій» або компрометувальний знімок реальної людини. Для України, яка роками протидіє російській дезінформації, це не абстрактна загроза.

Найпростіший спосіб перевірити зображення — безкоштовний сервіс SynthID Detector, який Google відкрила для всіх на початку жовтня 2026 року. Він шукає в зображеннях, відео й аудіо невидимий водяний знак SynthID, яким позначають контент не лише моделі Google, а й партнери компанії — OpenAI, Nvidia та Kakao; підтримку Apple обіцяють додати згодом. Для входу потрібен акаунт Google, OpenAI або Apple, а інтерфейс поки що доступний лише англійською. За даними Google, SynthID уже містять понад 180 мільярдів зображень і відео.

Та сама перевірка вбудована в пошук Google, браузер Chrome і застосунок Gemini: у ньому достатньо завантажити картинку й запитати, наприклад, «Is this AI-generated?». Зображення Nano Banana 2 також містять метадані стандарту C2PA Content Credentials, які фіксують походження файлу.

Водночас SynthID Detector не є універсальним детектором ШІ: він знаходить лише цей конкретний водяний знак. Зображення з генераторів, які SynthID не використовують, зокрема з відкритих моделей, запущених локально, сервіс не розпізнає. Тож відсутність позначки не доводить, що фото справжнє: варто перевіряти джерело публікації, контекст і наявність знімка в інших надійних медіа.

Генератори з держави-агресора

Окремий ризик — сервіси російських компаній. Завантажені в них фото й запити опиняються під юрисдикцією держави-агресора, тож CyberCalm не рекомендує користуватися такими генераторами за жодних умов.

Де згенерувати зображення: основні сервіси 2026 року

Більшість популярних генераторів мають безкоштовний доступ із лімітами. Усі сервіси нижче розроблені компаніями зі США.

• ChatGPT (OpenAI). Базова модель ChatGPT Images 2.0 доступна всім користувачам, а режим із «мисленням» і вищі ліміти — передплатникам Plus, Pro та Business. Зручний для поступового редагування зображення в діалозі.
• Gemini (Google). Nano Banana 2 — модель за замовчуванням у застосунку Gemini; передплатники Google AI Pro та Ultra можуть перегенерувати зображення моделлю Nano Banana Pro. Згенеровані картинки позначаються SynthID.
• Adobe Firefly. Функції Firefly вбудовані у Photoshop, Illustrator, Adobe Express та інші програми Adobe, а передплати включають щомісячні генеративні кредити. Орієнтований на комерційне використання.
• Midjourney. Популярний серед ілюстраторів і дизайнерів сервіс із виразною «художньою» естетикою.

Окремий варіант — відкриті моделі на кшталт Stable Diffusion, які можна запустити на власному компʼютері з потужною відеокартою. Такий підхід потребує технічних навичок, зате зображення й запити не залишають пристрою.

Як скласти запит, щоб ШІ намалював потрібне

Якість результату значною мірою залежить від запиту — промпту. Ще 2021 року OpenAI зазначала, що успіх DALL·E залежить від формулювання. Сучасні моделі виконують інструкції значно точніше, але принцип не змінився:

• Обʼєкт і деталі. Не просто «кіт», а «рудий кіт спить на підвіконні, за вікном дощ».
• Стиль. Фотографія, акварель, олійний живопис, 3D-рендер, піксель-арт, лінійна ілюстрація.
• Композиція й ракурс. Великий план, вигляд згори, широкий кадр, симетрія.
• Світло й настрій. Мʼяке ранкове світло, контрове освітлення, тепла чи холодна гама.
• Формат. Співвідношення сторін: 16:9 для обкладинки, 9:16 для сторіс, 1:1 для стрічки соцмереж.
• Текст на зображенні. Напис — у лапках, із зазначенням мови; результат обовʼязково вичитати.
• Уточнення в діалозі. Замість нового запиту — правки до готового: «зроби фон світлішим», «прибери людей із заднього плану».

Приклад запиту: «Акварельна ілюстрація: крісло у формі авокадо в затишній вітальні, мʼяке ранкове світло, вигляд збоку, формат 16:9».

Варто уникати запитів з іменами реальних людей і чужими торговельними марками: такі зображення можуть порушувати права третіх осіб, а в контексті дезінформації — завдати реальної шкоди.

ШІ-генератор — потужний інструмент для ілюстрацій, презентацій і творчих експериментів. Безпечним його роблять прості звички: офіційні сервіси, обережність із власними фото й критичне ставлення до кожного «надто реального» зображення в стрічці.

Ця стаття Як малює штучний інтелект: як працюють ШІ-генератори зображень і як користуватися ними безпечно раніше була опублікована на сайті CyberCalm, її автор — Побокін Максим

Розширення файлу — це кілька літер після останньої крапки в назві: у «звіт.docx» це docx, у «фото.jpg» — jpg. За розширенням операційна система визначає тип файлу, застосунок, яким його відкрити, і піктограму, яку показати в Провіднику.

Водночас розширення — один із найпростіших способів обдурити користувача. Windows за замовчуванням не показує розширення відомих типів файлів, і зловмисники роками цим користуються: виконуваний файл «рахунок.pdf.exe» у Провіднику виглядає як «рахунок.pdf».

Що таке розширення файлу

Назва файлу у Windows складається з двох частин, розділених крапкою: імені та розширення. У файлі «витрати.xlsx» імʼя — «витрати», розширення — xlsx. Зазвичай розширення має три-чотири символи, хоча трапляються й коротші (.7z) та довші (.torrent, .sqlite).

Розширення повідомляє системі, який застосунок створив файл або може його відкрити. Файл .docx Windows повʼязує з Microsoft Word: показує піктограму Word і відкриває документ у ньому. Більшість форматів підтримують одразу кілька програм — PDF відкриває і браузер, і Acrobat Reader, а фото JPG — будь-який переглядач зображень.

Формат і розширення — не одне й те саме. Формат описує, як організовані дані всередині файлу, а розширення — лише позначка в назві, яка може й не відповідати вмісту. Тому перейменування «фото.png» на «фото.jpg» не перетворює зображення на JPEG.

Які бувають розширення файлів: таблиця за типами

Розширень існують тисячі, але в повсякденній роботі трапляються кілька десятків. Нижче зібрано найпоширеніші — згруповані за типом даних, які зберігає файл.

Яке розширення мають файли Excel, Word, PowerPoint і Access

Книги Excel зберігаються з розширенням .xlsx, а файли, створені в Excel 2003 і старіших версіях, — з розширенням .xls. Книга з макросами має розширення .xlsm, шаблон — .xltx. Документи Word мають розширення .docx (раніше — .doc), презентації PowerPoint — .pptx (раніше — .ppt), бази даних Microsoft Access — .accdb (раніше — .mdb).

Літера «x» у кінці docx, xlsx і pptx позначає формат на основі XML, який Microsoft запровадила в Office 2007. Файл такого формату — фактично ZIP-архів із набором XML-файлів усередині. Літера «m» (docm, xlsm, pptm) означає, що документ може містити макроси.

Що таке файли .heic

iPhone зберігає фото у форматі HEIF з розширенням .heic. За даними Apple, HEIF стискає зображення ефективніше за JPEG і займає менше місця за тієї ж якості. Якщо файли .heic не відкриваються на іншому пристрої, в iPhone можна змінити формат зйомки: «Параметри» → «Камера» → «Формати» → «Найбільш сумісний». Після цього нові фото зберігатимуться у JPEG.

Як показати розширення файлів у Windows 11 і macOS

Windows 11 за замовчуванням приховує розширення відомих типів файлів. MITRE ATT&CK — база знань про техніки атак — серед заходів захисту прямо рекомендує вимкнути це приховування, бо воно допомагає маскувати шкідливі файли.

Windows 11. У Провіднику потрібно вибрати «Переглянути» → «Показати» → «Розширення імен файлів». Другий спосіб — через «Параметри папок»: у Провіднику натиснути «…» → «Параметри», відкрити вкладку «Вигляд» і зняти позначку «Приховувати розширення для зареєстрованих типів файлів». У нових збірках Windows 11 такий самий перемикач є і в «Настройках»: «Система» → «Додатково» → «Провідник» → «Показувати розширення файлів».

macOS. Розширення вмикаються в налаштуваннях Finder: «Finder» → «Параметри» → «Експертні» → «Показувати розширення імен файлів». Там само варто залишити ввімкненим пункт «Показувати попередження перед зміною розширення». Для окремого файлу розширення можна показати чи приховати у вікні «Отримати інформацію» (Command-I), розділ «Назва та розширення».

Чи можна просто змінити розширення файлу

Перейменувати розширення можна, але формат файлу від цього не зміниться: змінюється лише назва. Якщо перейменувати «coolpic.jpg» на «coolpic.txt», Windows відкриє файл у Блокноті, і замість зображення зʼявиться безладний набір символів. Тому і Windows, і macOS попереджають про зміну розширення та просять підтвердити дію.

Щоб справді змінити формат, файл потрібно конвертувати — зберегти в іншому форматі через застосунок, який працює з обома. Apple наводить приклади: TextEdit перетворює простий текст .txt на .rtf, а Перегляд (Preview) — зображення з одного графічного формату в інший. Так само Word зберігає документ як PDF через «Зберегти як», а графічний редактор — перезберігає PNG у JPG.

Перейменування доречне лише тоді, коли розширення від початку неправильне або відсутнє, а справжній тип файлу відомий напевно — наприклад, коли документ завантажився без розширення.

Як змінити програму, яка відкриває файл

Windows 11. Застосунки за замовчуванням налаштовуються в «Настройках»: «Програми» → «Програми за замовчуванням». У рядку пошуку треба ввести розширення, наприклад .pdf, вибрати його і вказати потрібний застосунок. Щоб відкрити файл в іншій програмі один раз, досить клацнути на ньому правою кнопкою миші й вибрати «Відкрити за допомогою» → «Вибрати іншу програму».

macOS. Потрібно виділити файл у Finder і вибрати «Файл» → «Досьє». У розділі «Відкривати в програмі» слід вибрати застосунок і натиснути «Застосувати до всіх» — тоді всі файли цього типу відкриватимуться в ньому. Без «Застосувати до всіх» налаштування стосуватиметься лише вибраного файлу.

Як macOS і Linux визначають тип файлу

Windows визначає тип файлу майже виключно за розширенням. macOS теж використовує розширення, але зіставляє його з уніфікованими ідентифікаторами типів (UTI), і Apple попереджає розробників, що тип файлу не завжди можна вивести лише з розширення.

Робочі середовища Linux спираються на спільну базу MIME-типів freedesktop.org. Вона визначає тип і за шаблоном назви файлу, і за характерними байтами на початку вмісту — так званими сигнатурами. Практичний висновок однаковий для всіх систем: розширення не гарантує, що всередині файлу саме те, що обіцяє назва.

Небезпечні розширення: як зловмисники маскують файли

Найбільший ризик становлять файли, які система не просто показує, а виконує: програми (.exe, .msi), заставки (.scr), скрипти (.bat, .cmd, .ps1, .js, .vbs, .hta), архіви Java (.jar) і ярлики (.lnk). Ярлик лише виглядає як посилання на файл, але може запускати команди. Щоб користувач відкрив такий файл, зловмисники маскують його під документ або фото.

Подвійне розширення. Файл отримує назву на кшталт «звіт.pdf.exe». Якщо розширення приховані, користувач бачить «звіт.pdf», а справжнім типом є останнє розширення. За даними MITRE ATT&CK, як «прикриття» найчастіше використовують .txt, .doc, .jpg і .gif, а справжнім типом виявляються .exe, .lnk, .hta чи .scr. Шкідливе ПЗ DarkGate, наприклад, маскувало ярлики під PDF за допомогою подвійного розширення .pdf.lnk.

Підміна напрямку тексту. Невидимий символ Unicode RLO (U+202E) змушує систему показувати текст після нього справа наліво. MITRE наводить приклад: заставка Windows «March 25 [RLO]xcod.scr», де [RLO] — цей невидимий символ, відображається як «March 25 rcs.docx». Налаштуваннями системи цей трюк не блокується, тож захищають від нього уважність і антивірусна перевірка.

Документи з макросами. Файли .docm, .xlsm і .pptm можуть містити макроси VBA — їх роками використовують для доставки шкідливого ПЗ і програм-вимагачів. Microsoft змінила поведінку Office: макроси у файлах, отриманих з інтернету, зокрема з пошти, тепер блокуються за замовчуванням. Розблоковувати їх у документах від невідомих відправників не варто.

Домени, схожі на файли. У 2023 році Google Registry відкрила реєстрацію доменів у зонах .zip і .mov. Відтоді «photos.zip» у повідомленні може бути посиланням на сайт, а не архівом: чимало месенджерів і поштових клієнтів автоматично перетворюють такий текст на клікабельне посилання.

Базові правила захисту прості:

• увімкнути показ розширень у Windows і macOS;
• завжди дивитися на останнє розширення в назві файлу;
• не відкривати виконувані файли, скрипти та ярлики, отримані поштою чи в месенджері, навіть від знайомих;
• не вмикати макроси в документах, якщо немає певності щодо джерела;
• перевіряти підозрілі файли антивірусом або сервісом на кшталт VirusTotal перед відкриттям.

Яке розширення файлу найменш небезпечне

Абсолютно безпечних розширень не існує. Найнижчий ризик — у файлів, які лише відображаються і не містять виконуваного коду: простий текст (.txt), зображення (.jpg, .png), аудіо та відео. Проте й такі файли обробляють програми, у яких бувають уразливості, а назва файлу може не відповідати його вмісту.

Середній ризик мають документи — PDF і файли Office: вони можуть містити макроси, скрипти чи фішингові посилання. Найвищий ризик — у виконуваних файлів, скриптів і ярликів. Саме тому головний захист — не памʼятати сотні розширень, а бачити справжнє розширення кожного файлу перед тим, як його відкрити.

Ця стаття Розширення файлів: що це, які бувають і як розпізнати небезпечні раніше була опублікована на сайті CyberCalm, її автор — Побокін Максим

Календар перетворився на повноцінний канал доставки шкідливих посилань. Компанія Sublime Security, яка займається захистом електронної пошти, зафіксувала у серпні 2026 року зростання атак через запрошення на події на 1216% порівняно з липнем, а за підсумками вересня прогнозує ще 2852% до серпня. Сукупно з травня до вересня це приблизно 33 000%. Google Календар дає змогу закрити цей канал кількома налаштуваннями, а у 2026 році компанія додала ще й блокування окремих відправників.

Звідки береться спам у календарі

Запрошення на подію — звичайний лист із вкладеним файлом події. Якщо календар налаштований приймати запрошення від усіх, подія зʼявляється в розкладі одразу, навіть коли сам лист потрапив до спаму або його ніхто не відкривав. Нагадування про таку «зустріч» спрацює у визначений шахраями час, і користувач побачить сповіщення з підозрілим посиланням.

Є ще два джерела. На Android небажані календарі можуть створювати застосунки, яким надано доступ до календаря, — Google окремо описує цей сценарій. На iPhone спам найчастіше приходить через випадкову підписку на сторонній календар: достатньо натиснути кнопку на сумнівному сайті.

Чому календарний спам небезпечніший за звичайний

Запрошення на зустріч — це файл формату .ics, частина стандарту iCalendar. Поштові сервіси Google і Microsoft за замовчуванням додають такі файли до розкладу автоматично, тож подія опиняється в календарі ще до того, як користувач вирішить її прийняти чи відхилити. Sublime називає цю техніку ICS-фішингом і пояснює, у чому її особливість: пошта і календар працюють за різними протоколами, тому запис про «зустріч» часто залишається в розкладі навіть тоді, коли сам лист система захисту відправила в карантин або в спам.

Через це жертва стикається з атакою двічі — у скриньці й у календарі. Більшість атак, за даними Sublime, надсилають через інфраструктуру Google, рідше — Microsoft, з безкоштовних акаунтів, тож вони виглядають довіреними й нічого не коштують зловмисникам.

У розібраному компанією випадку запрошення нібито стосувалося кредиту за рахунком. Посилання з опису події вело на сторінку, створену на безкоштовному конструкторі сайтів, а кнопка «переглянути документ» завантажувала інсталятор, який перетворював легітимний інструмент віддаленого доступу на канал керування зараженим компʼютером. Жодного вкладення в самому листі не було — увесь ланцюжок починався з посилання в календарі.

Як розпізнати шкідливе запрошення

• Адреса відправника не збігається з відображуваним імʼям або організацією, від імені якої надіслано запрошення.
• Тема стосується грошей: нарахування, повернення коштів, рахунок, термін дії домену чи підписки.
• Опис події тисне терміновістю або містить QR-код замість звичайного посилання.
• У списку учасників — знеособлені «Адміністратор», «Технічна підтримка», «Фінансовий відділ», щоб додати ваги.
• Посилання пропонує увійти в акаунт або підтвердити пароль. Справжні запрошення цього не роблять ніколи.

Як заблокувати запрошення від незнайомців: вебверсія

Головне налаштування — те, що визначає, які запрошення календар додає автоматично. Його описує довідка Google:

1. Відкрити Google Календар у браузері на компʼютері.
2. Натиснути значок шестерні у правому верхньому куті й вибрати Налаштування.
3. У лівому меню в розділі Загальні відкрити Налаштування подій.
4. У пункті Додавати запрошення до мого календаря вибрати Лише якщо відправник відомий.

Доступні три варіанти:

• Від усіх — будь-яке запрошення одразу потрапляє в календар. Саме цим і користуються спамери.
• Лише якщо відправник відомий — подія додається автоматично, якщо відправник є в контактах, належить до тієї ж організації або вже листувався з власником календаря. Решта запрошень надходить лише листом.
• Коли я відповідаю на запрошення в листі — жодна подія не зʼявляється в календарі, доки користувач не відповість на лист.

Оптимальний варіант для більшості — другий. Тим, хто майже не отримує запрошень від незнайомих людей, підійде третій: він не додає в календар нічого, доки користувач сам не відповість на лист. Запрошення від нових людей не губляться: вони залишаються в пошті, і достатньо відповісти на лист, щоб подія зʼявилася в календарі. Після взаємодії з відправником його наступні запрошення додаватимуться автоматично. Google попереджає про один нюанс: цей режим може підказати відправникам, що їх немає у ваших контактах. Нові налаштування діють лише для нових запрошень — події, які вже є в календарі, доведеться прибрати вручну.

Якщо доступ до календаря мають інші люди (наприклад, помічник), варто перевірити опцію Дозволити іншим бачити всі запрошення, якщо вони мають дозвіл переглядати або змінювати мої події. Вона визначає, чи бачитимуть вони запрошення, які ще не додано до календаря.

Як заблокувати запрошення на Android

У застосунку Google Календар це налаштування розташоване тут:

1. Відкрити застосунок Google Календар.
2. Торкнутися значка меню у верхньому лівому куті й вибрати Налаштування.
3. Перейти в Загальні → Додавання запрошень → Додавати запрошення до мого календаря.
4. Вибрати Лише якщо відправник відомий.

Аналогічний пункт є і в застосунку Google Календар для iPhone та iPad, а змінене на одному пристрої налаштування достатньо перевірити на інших.

Якщо спам створює застосунок

Коли дивні події продовжують зʼявлятися навіть після зміни налаштувань, джерелом може бути сторонній застосунок. Google радить спершу вимкнути зайві календарі: у меню застосунку Календар зняти позначки з усіх календарів, які власник не створював. Далі варто відкликати доступ підозрілого застосунку: Налаштування телефона → Безпека і конфіденційність → Керування конфіденційністю → Менеджер дозволів → Календар. Назви пунктів відрізняються залежно від виробника смартфона.

Як видалити спам-подію, яка вже зʼявилася

Головне правило — не натискати жодних посилань в описі підозрілої події. Друге правило менш очевидне: на таке запрошення не можна відповідати взагалі, навіть «Ні». Будь-яка відповідь підтверджує зловмисникам, що адреса жива й нею користуються, тож потік запрошень після відмови зазвичай лише зростає. Подію слід не відхиляти, а видаляти.

Позначити як спам

У вебверсії Google Календаря це робиться так: відкрити подію, натиснути Інші дії (три крапки) у правому верхньому куті картки й вибрати Повідомити про спам. Подія зникне з календаря, а Google отримає сигнал для навчання фільтрів.

Заблокувати відправника

У серпні 2026 року Google додала в Календар блокування користувачів. Після блокування поточна подія автоматично видаляється, а нові запрошення від цієї людини більше не надходять. Відправник також потрапляє до загального списку заблокованих у Google-акаунті, тож обмеження діє в усіх сервісах компанії, що його підтримують. Функція поступово стає доступною для всіх, включно з особистими акаунтами; за планом Google розгортання має завершитися до 18 вересня 2026 року.

Блокування в Календарі працює лише для відправників із Google-акаунтом. Запрошення з інших поштових сервісів Google пропонує зупиняти блокуванням адреси в Gmail — це блокує всі листи від відправника, включно з тими, що створюють події.

Спам у стандартному Календарі iPhone

Власники iPhone часто бачать спам не в Google Календарі, а у вбудованому застосунку Календар від Apple. Інструкція Apple пропонує два способи.

Щоб прибрати окрему подію від невідомого контакту:

1. Відкрити подію в застосунку Календар.
2. Торкнутися Повідомити про небажане, а потім Видалити й повідомити про небажане.

Якщо події надходять масово, імовірно, телефон підписаний на спам-календар:

1. У застосунку Календар торкнутися кнопки Календарі.
2. Знайти невідомий календар і торкнутися кнопки інформації поруч із ним.
3. Вибрати Видалити календар або Скасувати підписку й підтвердити дію.

Для організацій: нові обмеження для адміністраторів Workspace

До серпня 2026 року адміністратори Google Workspace могли задати лише стандартне значення, а працівники самостійно повертали режим «Від усіх». Тепер Google дозволяє адміністраторам визначати, які варіанти приймання запрошень взагалі доступні користувачам. За замовчуванням ця політика дозволяє режим «Від усіх», тож без втручання адміністратора нічого не зміниться. Налаштування задається для окремих організаційних підрозділів або груп.

Для особистих акаунтів Google адміністратора немає, тому керувати запрошеннями кожен власник календаря продовжує самостійно.

Що робити, якщо спам не зникає

• Перевірити «відомих» відправників. Якщо спамера випадково позначили як знайомого, його варто прибрати: на google.com відкрити Інші контакти, знайти адресу й видалити її.
• Перевірити збереження контактів. Якщо реальні знайомі й далі позначаються як невідомі відправники, у Google-акаунті має бути ввімкнене збереження контактної інформації під час взаємодії з людьми.
• Переглянути календар у режимі розкладу. Він показує всі майбутні події списком, тож спам, розкиданий на кілька місяців уперед, простіше знайти й видалити.
• Перевірити сторонні підписки та застосунки на всіх пристроях, де підключено той самий акаунт.

Одна зміна налаштувань — режим «Лише якщо відправник відомий» — відсікає більшість календарного спаму. Решту закривають позначки «спам», блокування відправників і регулярна перевірка підписок та дозволів застосунків.

Ця стаття Спам у Google Календарі: як заблокувати запрошення від незнайомців і видалити фейкові події раніше була опублікована на сайті CyberCalm, її автор — Побокін Максим

Смартфон на Android або iPhone може працювати як ключ безпеки для Google-акаунта: вхід підтверджується відбитком пальця, обличчям або PIN-кодом телефона, а пароль і SMS-код стають непотрібними. Технологія називається passkey (ключ доступу).

Google зробив її варіантом входу за замовчуванням для особистих акаунтів ще в жовтні 2023 року, проте багато користувачів досі не налаштували її або не знають, як увійти за допомогою телефона на чужому компʼютері.

Що таке passkey і чому він захищає від фішингу

Passkey — це пара криптографічних ключів. Публічний ключ зберігається на сервері Google, приватний — лише на пристрої користувача і нікуди не передається. Щоб скористатися приватним ключем, потрібно розблокувати пристрій біометрією, PIN-кодом або графічним ключем.

Головна перевага — стійкість до фішингу. Passkey привʼязаний до конкретного сайту чи застосунку, для якого його створено, тож на підробленій сторінці він просто не спрацює. Технологію розробили в FIDO Alliance на основі відкритих стандартів, тому вона працює на Android, iOS, Windows, macOS і в більшості сучасних браузерів.

Чи можна використовувати телефон як FIDO2-ключ

Так. Passkey на смартфоні побудований на тих самих стандартах FIDO2/WebAuthn, що й апаратні USB- чи NFC-ключі на кшталт Titan Security Key. Різниця в тому, де зберігається секрет.

Passkey на смартфоніАпаратний FIDO2-ключ

Для людей із підвищеним ризиком Google пропонує Програму додаткового захисту (Advanced Protection Program) із найсуворішими налаштуваннями безпеки.

Що потрібно для роботи

За даними довідки Google, passkey підтримують:

• телефони з Android 9 і новішим або з iOS 16 і новішим;
• компʼютери з Windows 10, macOS Ventura, ChromeOS 109 і новішими версіями;
• браузери Chrome 109+, Safari 16+, Edge 109+, Firefox 122+;
• апаратні ключі з підтримкою протоколу FIDO2.

Перед налаштуванням потрібно:

• увімкнути блокування екрана на телефоні;
• увімкнути Bluetooth — без нього телефон не зможе підтвердити вхід на компʼютері;
• на iPhone, iPad і Mac — увімкнути  Вʼязку ключів iCloud (iCloud Keychain).

Як створити passkey для Google-акаунта

На Android-смартфоні, де виконано вхід у Google-акаунт, система зазвичай сама пропонує створити passkey під час входу. Щоб зробити це вручну:

1. Відкрити google.com/security у будь-якому підтримуваному браузері.
2. У розділі входу в Google знайти пункт «Ключі доступу й ключі безпеки».
3. Натиснути «Створити ключ доступу».
4. Підтвердити створення відбитком пальця, обличчям або PIN-кодом пристрою.

Passkey, збережені в Google Password Manager, синхронізуються з наскрізним шифруванням і доступні на всіх пристроях, де виконано вхід у той самий акаунт у Chrome або Android. Chrome на macOS зберігає їх у Google Password Manager за замовчуванням, а на iPhone та iPad цю можливість вмикають у системних налаштуваннях.

Двоетапна перевірка для створення passkey не обовʼязкова: passkey замінює одночасно і пароль, і другий фактор. Водночас інші способи входу залишаються доступними як резервні.

Як увійти на компʼютері за допомогою телефона

Цей сценарій і перетворює смартфон на ключ безпеки: passkey лишається на телефоні, а вхід підтверджується на ньому.

1. На сторінці входу Google на компʼютері ввести адресу електронної пошти.
2. Натиснути «Спробувати інший спосіб» і вибрати «Використати ключ доступу».
3. На екрані зʼявиться QR-код — відсканувати його камерою телефона.
4. Підтвердити вхід на телефоні біометрією або PIN-кодом.

Після сканування QR-коду пристрої перевіряють через Bluetooth, що перебувають поруч. Саме тому зловмисник, який надіслав жертві QR-код дистанційно, не зможе ним скористатися. Якщо пристрої вже повʼязувалися раніше, замість QR-коду на телефон може одразу прийти запит на підтвердження.

Якщо passkey зберігається на апаратному FIDO2-ключі, у цьому ж вікні можна вибрати його.

Що робити, якщо телефон втрачено

Злодій не зможе скористатися passkey без розблокування телефона. Проте втрачений пристрій варто одразу прибрати з акаунта:

• з іншого пристрою відкрити google.com/security і видалити passkey втраченого телефона в розділі ключів доступу;
• у списку пристроїв, з яких виконано вхід, завершити сеанс на втраченому телефоні;
• якщо passkey синхронізувалися, на новому телефоні вони зʼявляться після входу в той самий акаунт.

Щоб не втратити доступ зовсім, варто тримати в акаунті щонайменше один резервний спосіб входу. Google радить обирати для двоетапної перевірки підказки Google замість SMS — вони захищають від атак із підміною SIM-картки.

Нюанси та обмеження

• Вихід з акаунта на Android. Після виходу увійти за допомогою passkey на цьому пристрої можна ще протягом 6 годин. Потім знадобиться інший спосіб входу, а під час наступного входу Android створить новий passkey, і старий перестане діяти.
• Сторонні менеджери паролів. На Android 14 і новіших можна зберігати passkey не лише в Google Password Manager, а й у сторонніх менеджерах паролів.
• Спільні пристрої. Не варто створювати passkey на чужому чи публічному компʼютері: будь-хто, хто його розблокує, отримає доступ до акаунта. Для таких випадків і призначений вхід через QR-код із власного телефона.
• Старі апаратні ключі. Якщо FIDO2-ключ додано в акаунт до травня 2023 року, для створення на ньому passkey його, можливо, доведеться видалити й додати знову.

Детальніше про інші способи захисту — у матеріалі про двофакторну автентифікацію на всіх пристроях, а власникам техніки Apple — у гайді про passkey на iPhone, iPad і Mac.

Ця стаття Як використовувати смартфон як ключ безпеки для Google-акаунта: passkey замість пароля раніше була опублікована на сайті CyberCalm, її автор — Побокін Максим

Видалення файлів і навіть форматування не стирають дані — вони лише прибирають запис про них із файлової таблиці. Дослідження Blancco та Ontrack показало: із 159 вживаних дисків, куплених на eBay, 42% містили чутливу інформацію, а 15% — персональні дані попередніх власників, хоча всі продавці були переконані, що очистили носій. Надійне стирання виглядає інакше для жорсткого диска, SSD і флешки, і в кожному випадку правильний метод свій.

Актуальні рекомендації змінилися сильніше, ніж здається. У вересні 2025 року NIST відкликав стандарт SP 800-88 Rev. 1 і замінив його редакцією Rev. 2, яка прибрала описи конкретних технік перезапису й відсилає до галузевого стандарту IEEE 2883. Багатопрохідне затирання, яке десятиліттями вважалося еталоном, більше не є універсальною відповіддю — а для сучасних накопичувачів воно ще й не працює так, як очікує користувач.

Чому видалення й форматування не стирають дані

Коли файл потрапляє в кошик і кошик очищується, операційна система лише позначає відповідні блоки як вільні. Самі дані залишаються на носії, доки їх не перезапишуть новою інформацією. Безкоштовні утиліти відновлення витягують такі файли за кілька хвилин.

Швидке форматування працює так само: воно створює нову файлову таблицю, але не торкається вмісту секторів. Саме тому в дослідженні Blancco більшість дисків із залишковими даними були відформатовані — власники зробили те, що вважали очищенням, і помилилися.

Повне форматування у Windows перезаписує носій нулями, тож для жорсткого диска це вже прийнятний рівень. Для SSD усе складніше — і причина в тому, як влаштована флеш-памʼять.

Три рівні стирання: Clear, Purge, Destroy

Міжнародна практика розрізняє три рівні знеособлення носія. Ця класифікація прийшла зі стандарту NIST і залишилася в редакції Rev. 2:

• Clear — перезапис усього доступного простору звичайними командами. Захищає від відновлення побутовими програмами. Достатньо, якщо носій залишається у власника.
• Purge — команди самого контролера накопичувача (Secure Erase, Sanitize) або крипто-стирання. Захищає навіть від лабораторного відновлення. Це потрібний рівень, якщо пристрій змінює власника.
• Destroy — фізичне знищення носія. Застосовується, коли пристрій несправний, дуже старий або дані критично чутливі.

Для побутового сценарію — продаж, передача родичам, здавання на переробку — цільовий рівень майже завжди Purge. І найпростіший спосіб його досягти взагалі не повʼязаний із перезаписом.

Крипто-стирання: найшвидший надійний метод

Якщо накопичувач зашифрований, для знищення даних достатньо знищити ключ шифрування. Без ключа вміст диска залишається набором нечитних байтів, скільки б часу не витратили на його аналіз. Операція займає секунди замість годин перезапису й однаково добре працює для HDD, SSD і NVMe.

Умова одна: шифрування має бути ввімкнене до того, як на диск потрапили важливі дані. Ввімкнути його безпосередньо перед продажем — теж робочий варіант, але тоді система спершу мусить зашифрувати весь наявний вміст, і це вже займе час, порівнянний із перезаписом.

У Windows за це відповідає BitLocker. Починаючи з версії Windows 11 24H2, Microsoft прибрала частину апаратних вимог до автоматичного шифрування пристрою, тож на багатьох нових компʼютерах воно вмикається саме собою — за умови чистої інсталяції та входу під обліковим записом Microsoft. Перевірити стан можна в «Параметри» → «Конфіденційність і захист» → «Шифрування пристрою».

На macOS ту саму роль виконує FileVault, у Linux — LUKS, на смартфонах шифрування ввімкнене за замовчуванням уже багато років.

SSD і NVMe: команда контролера замість перезапису

Твердотільний накопичувач не дозволяє програмі напряму звертатися до комірок памʼяті. Контролер сам вирішує, куди фізично покласти дані, рівномірно розподіляючи запис по всьому обʼєму, і тримає резервну область, недоступну операційній системі. Через це перезапис «усього диска» насправді не покриває частину комірок — там можуть залишитися старі фрагменти.

Правильний підхід — доручити стирання самому контролеру. Для SATA-накопичувачів це команда ATA Secure Erase, для NVMe — Format NVM або Sanitize. У сучасних дисків із апаратним шифруванням така команда фактично зводиться до знищення внутрішнього ключа й виконується за секунди.

Фірмові утиліти виробника

Виробники дисків постачають власні застосунки, які виконують ці команди без роботи з терміналом: Samsung Magician, Western Digital Dashboard, Crucial Storage Executive, Kingston SSD Manager, SeaTools від Seagate. Потрібну функцію в них зазвичай названо Secure Erase або Sanitize. Диск при цьому має бути підключений напряму до материнської плати й не бути системним.

Найпростіший шлях: Secure Erase із UEFI

Багато материнських плат і ноутбуків уміють подавати цю команду самостійно, без операційної системи й термінала. Потрібно зайти в UEFI (клавіша F2 або Delete під час запуску) і знайти пункт Secure Erase: у плат ASUS він розташований у розділі Tool, у ноутбуків HP — у Security → Hard Drive Utilities, у Lenovo ThinkBook — під назвою Security Erase HDD Data. Спосіб працює навіть із системним диском, бо на момент запуску команди операційна система ще не завантажена.

Функція є не на всіх платах, а старіші реалізації показують лише SATA-накопичувачі й не бачать NVMe. Якщо навпроти диска стоїть статус Frozen, материнська плата заблокувала його під час запуску: для SATA допомагає відʼєднати й знову приєднати кабель даних, не вимикаючи компʼютер.

Linux: hdparm і nvme-cli

Для SATA-накопичувача процедура описана в ArchWiki. Спершу диск не має перебувати в стані frozen:

sudo hdparm -I /dev/sdX | grep frozen

Далі встановлюється тимчасовий пароль і подається команда стирання. Для NVMe використовується окремий інструмент:

sudo nvme sanitize /dev/nvme0 --sanact=2

Застереження. ArchWiki прямо попереджає: подання команди Secure Erase, Format або Sanitize на диск, підключений через USB-перехідник, зовнішню кишеню або RAID-контролер, може вивести накопичувач з ладу назавжди. Диск має бути в SATA-порту материнської плати або в слоті M.2. Якщо накопичувач вилучити з корпусу неможливо — а в багатьох зовнішніх дисках і в усіх флешках USB-контролер розпаяний на платі й SATA-розʼєму немає — цей метод не підходить, і замість нього застосовують крипто-стирання. Крім того, дію Overwrite для NAND-накопичувачів не рекомендують через зайвий знос комірок.

HDD: одного проходу перезапису достатньо

Для магнітного жорсткого диска перезапис працює саме так, як інтуїтивно очікується: кожен сектор фізично отримує нове значення. Уявлення про необхідність семи чи тридцяти пʼяти проходів походить із 1990-х і стосується накопичувачів тієї щільності запису. Для сучасних дисків одного проходу нулями досить, і жоден лабораторний метод не відновлює перезаписаний шар.

У Linux це робиться штатними засобами (докладний огляд — в ArchWiki):

sudo shred -v -n 1 /dev/sdX

Для SSD цей самий інструмент марний: довідкова сторінка shred сама попереджає про неефективність на флеш-памʼяті та журнальованих файлових системах.

Вбудовані засоби операційних систем

Windows 11: «Скинути ПК» з очищенням даних

Найдоступніший варіант для більшості: «Параметри» → «Система» → «Відновлення» → «Скинути ПК» → «Видалити все». На кроці додаткових параметрів слід увімкнути перемикач «Очищення даних» — саме він відповідає за перезапис, а не просто видалення файлів. Процес триває годинами, тому запускати його варто на ніч.

Microsoft, однак, прямо зазначає в документації, що ця функція розрахована на побутове використання й не відповідає державним і галузевим стандартам стирання даних. Для дисків із робочою або справді чутливою інформацією потрібен рівень Purge — Secure Erase або крипто-стирання. Ще одна деталь: якщо диск зашифровано, для скидання може знадобитися ключ відновлення BitLocker, тож його треба мати під рукою заздалегідь.

macOS: «Стерти весь вміст і налаштування»

На компʼютерах Mac з чипами Apple Silicon або T2 достатньо пункту «Системні параметри» → «Загальні» → «Перенесення чи скидання» → «Стерти весь вміст і налаштування». Apple описує цю операцію як знищення ключів у спеціальній області памʼяті, після якого всі дані користувача стають криптографічно недоступними. Це повноцінне крипто-стирання, а не форматування. Разом із даними скидаються відбитки Touch ID, вихід з облікового запису Apple і функція «Локатор».

Зовнішні накопичувачі під цю схему не підпадають — їх треба стирати окремо.

Смартфони

Android і iOS шифрують внутрішню памʼять за замовчуванням, тому заводське скидання на них і є крипто-стиранням. Перед скиданням варто вийти з облікового запису Google або Apple — інакше пристрій залишиться заблокованим для нового власника захистом від крадіжки.

Флешки та картки памʼяті: найскладніший випадок

USB-накопичувачі, картки microSD і дешеві зовнішні SSD — найпроблемніша категорія. Вони побудовані на тій самій флеш-памʼяті, що й SSD, тому перезапис на них ненадійний, але команд Secure Erase чи Sanitize їхні контролери здебільшого не підтримують. Апаратного шифрування там теж зазвичай немає.

Практичний вихід один із двох:

1. Зашифрувати носій повністю (VeraCrypt, BitLocker To Go, LUKS), а потім відформатувати. Навіть якщо частина старих блоків уціліє, вони будуть зашифровані ключем, якого більше не існує.
2. Знищити фізично, якщо на носії була справді чутлива інформація. Флешка коштує дешевше, ніж витік паспортних даних.

Що працює гірше, ніж прийнято вважати

DBAN. Програма роками фігурує в порадах як універсальний засіб, але її розробник Blancco прямо зазначає на офіційному сайті: DBAN працює лише з жорсткими дисками, не виявляє й не стирає SSD і не гарантує повного очищення носія. Для сучасного накопичувача це не інструмент.

Багатопрохідні схеми DoD 5220.22-M і Gutmann. Це спадок епохи, коли щільність магнітного запису була в тисячі разів нижчою. Редакція NIST SP 800-88 Rev. 2 взагалі прибрала описи технік перезапису з тексту стандарту, залишивши посилання на IEEE 2883. На SSD такі схеми не лише зайві, а й шкідливі — вони витрачають ресурс запису, не даючи гарантії.

Утиліти «очищення системи». Застосунки на кшталт CCleaner чи BleachBit прибирають тимчасові файли й кеш. Їхні функції затирання вільного місця розраховані на магнітні диски й не дають рівня Purge на флеш-накопичувачах. Для підготовки пристрою до продажу цього недостатньо.

TRIM. Команду TRIM іноді подають як спосіб стирання. Насправді вона потрібна для продуктивності: операційна система повідомляє контролеру, які блоки більше не використовуються. TRIM ускладнює відновлення видалених файлів, але не є методом знеособлення носія й не покриває резервну область.

Коли лишається тільки фізичне знищення

Якщо накопичувач не визначається системою, не приймає команд контролера або на ньому зберігалися документи, витік яких неприпустимий, єдиний надійний варіант — знищити носій. Для цього не потрібна імпровізація з молотком удома: сервіси утилізації електроніки та ІТ-компанії пропонують шредери, які подрібнюють диск на фрагменти.

Принципова відмінність між типами носіїв: у жорсткому диску дані лежать на магнітних пластинах, у SSD і флешках — на мікросхемах памʼяті. Пошкодження корпусу SSD нічого не дає, якщо чипи памʼяті лишилися цілими. Розмагнічування (дегаусер) працює для HDD і не працює для флеш-накопичувачів узагалі.

Самостійне свердління чи розбивання накопичувача повʼязане з ризиком травми та розлітанням дрібних фрагментів, тому безпечніше передати носій на професійну утилізацію.

Чек-лист перед тим, як віддати пристрій

3. Зробити резервну копію усього потрібного. Після стирання відновити дані буде неможливо — у цьому й полягає сенс операції.
4. Вийти з усіх облікових записів: Microsoft, Google, Apple, месенджери, менеджер паролів. Зняти привʼязку пристрою в налаштуваннях безпеки акаунтів.
5. Вимкнути захист від крадіжки — «Локатор» на пристроях Apple, захист від скидання на Android.
6. Вибрати метод за типом носія: крипто-стирання, якщо диск зашифрований; Secure Erase або Sanitize для SSD і NVMe; один прохід перезапису для HDD.
7. Не забути про другорядні носії: карту памʼяті у смартфоні, зовнішній диск, стару флешку з документами.
8. Перевірити результат — підключити носій і переконатися, що він порожній і не містить розділів зі старими даними.

Ширший перелік кроків для компʼютера, який готують до продажу, зібрано в окремому матеріалі про підготовку старого компʼютера до продажу. А перед стиранням варто оцінити, скільки коштує резервне копіювання і які хмарні сховища підходять для перенесення архіву.

Ця стаття Як безповоротно стерти дані з HDD, SSD і флешки перед продажем чи утилізацією раніше була опублікована на сайті CyberCalm, її автор — Побокін Максим

Клавіатура може відмовити по-різному: інколи мовчить уся панель, інколи «випадає» одна літера чи цифра, а буває, що символи дублюються при кожному натисканні. Сценарії різні — і рішення теж. Нижче зібрано порядок дій, який дозволяє за кілька хвилин відрізнити апаратну поломку від програмного збою, відновити роботу без сервісного центру, а в найгіршому випадку — тимчасово перепризначити зламану клавішу й спокійно дочекатися заміни.

Перші три перевірки, які відсікають половину проблем

Перш ніж перевстановлювати драйвери чи розбирати ноутбук, варто витратити дві хвилини на базову діагностику. Microsoft у офіційній інструкції з усунення проблем із мишею та клавіатурою радить починати саме з фізичного рівня.

1. Перепідключити пристрій. Кабель варто відʼєднати, зачекати кілька секунд, доки Windows вивантажить драйвер, і підключити знову — бажано в інший USB-порт. Якщо між клавіатурою та компʼютером стоїть USB-хаб, його краще прибрати й підключити пристрій напряму.
2. Перевірити живлення. Для бездротових моделей — заряд акумулятора або свіжі батарейки, а також кнопка Reset на самому пристрої чи на USB-приймачі. Приймач іноді достатньо витягнути на 10 секунд і вставити знову.
3. Підключити клавіатуру до іншого компʼютера. Це найшвидший спосіб зрозуміти, у чому річ. Якщо на іншому пристрої проблема повторюється — несправна сама клавіатура. Якщо ні — проблема на боці системи.

Для ноутбука роль «іншого компʼютера» виконує BIOS або UEFI: якщо в меню прошивки клавіші працюють нормально, а в Windows — ні, поломка програмна.

Клавіатура не працює повністю

Коли не реагує жодна клавіша, а перевірки вище результату не дали, залишається кілька програмних причин.

Тимчасове рішення: екранна клавіатура

Щоб не залишитися без вводу під час діагностики, варто увімкнути екранну клавіатуру. За документацією Microsoft, вона викликається комбінацією Win + Ctrl + O або через «Параметри» → «Спеціальні можливості» → «Клавіатура».

Драйвер клавіатури

Найчастіша програмна причина — драйвер, який некоректно оновився або «злетів» після встановлення оновлень. Порядок дій такий:

1. Відкрити «Диспетчер пристроїв» (Win + X → «Диспетчер пристроїв»).
2. Розгорнути розділ «Клавіатури», натиснути на пристрої правою кнопкою миші й вибрати «Видалити пристрій».
3. Перезавантажити компʼютер — Windows встановить стандартний драйвер автоматично.

Альтернативний варіант — вкладка «Драйвер» → «Оновити драйвер» у властивостях пристрою, а також перевірка оновлень у «Параметри» → «Центр оновлення Windows».

Bluetooth-клавіатура

Якщо пристрій підключено по Bluetooth, його варто видалити зі списку в «Параметри» → «Bluetooth та пристрої» й спарувати заново, утримуючи кнопку синхронізації 10–15 секунд.

Не працюють окремі клавіші

Ситуація, коли «випала» одна літера, цифровий блок або пробіл, майже завжди має одну з чотирьох причин.

• Бруд і крихти під ковпачком. Найпоширеніша причина одиночної відмови. Клавіатуру варто перевернути, обережно струсити, продути стисненим повітрям і протерти контакти ізопропіловим спиртом.
• Наслідки залиття. Навіть висохла рідина залишає плівку, яка блокує контакт. Що робити в такому випадку, докладно описано в матеріалі що робити, якщо ви залили ноутбук.
• Вимкнений Num Lock. Якщо не працює лише цифровий блок праворуч — найімовірніше, режим просто вимкнено. На компактних ноутбуках цифри часто активуються комбінацією Fn + Num Lock.
• Fn-Lock. Коли функціональні клавіші F1–F12 замість звичних дій вмикають гучність чи яскравість (або навпаки), режим перемикається комбінацією Fn + Esc або Fn + Shift — залежно від виробника.

Окремий випадок — подвійне спрацювання, коли одне натискання дає два символи. Це або зношений перемикач (типово для механічних клавіатур після кількох років роботи), або наслідок бруду під ковпачком. На механічних моделях із гарячою заміною перемикач можна замінити самостійно, на решті — потрібен сервіс.

Налаштування Windows, які імітують поломку

Дві функції спеціальних можливостей регулярно вводять користувачів в оману, бо вмикаються випадково — від довгого утримання клавіші.

• «Фільтрація вводу» (Filter Keys) змушує систему ігнорувати короткі або повторювані натискання. Вмикається утриманням правого Shift протягом восьми секунд. Саме через неї клавіатура «пропускає» символи при швидкому наборі.
• «Залипання клавіш» (Sticky Keys) дозволяє натискати комбінації по одній клавіші. Вмикається пʼятиразовим натисканням Shift і ламає звичну поведінку модифікаторів.

Обидва перемикачі розташовані в «Параметри» → «Спеціальні можливості» → «Клавіатура» (швидкий виклик — Win + U). Там же варто вимкнути й самі комбінації активації, щоб функції більше не вмикалися випадково.

Ще одна причина «неправильних» символів — розкладка. Якщо замість очікуваних знаків друкуються інші, варто перевірити активну мову введення в мовній панелі та перелік розкладок у параметрах системи.

Як перепризначити зламану клавішу через PowerToys

Якщо клавіша не працює фізично, а нова клавіатура ще в дорозі, її функцію можна тимчасово перекласти на іншу — ту, яка використовується рідко. Для цього Microsoft пропонує безкоштовну утиліту PowerToys із модулем Keyboard Manager.

Згідно з системними вимогами, PowerToys працює на Windows 11 або Windows 10 версії 2004 (build 19041) і новіших, на 64-розрядних процесорах x64 та ARM64. Завантажити застосунок можна зі сторінки релізів на GitHub або з Microsoft Store.

1. Відкрити параметри PowerToys і перейти на вкладку Keyboard Manager. Починаючи з версії 0.100, нові встановлення за замовчуванням відкривають перероблений редактор на WinUI 3 — перемкнутися на класичний можна тумблером «Use the new editor».
2. Натиснути Remap a key — відкриється вікно перепризначення окремих клавіш. Під час першого запуску список порожній.
3. Натиснути Add key remapping, щоб додати новий рядок.
4. У колонці Select вказати зламану клавішу — ту, чию поведінку потрібно змінити. Вибрати її можна зі списку або натиснути Select і ввести клавішу фізично (для підтвердження — утримати Enter, для виходу — Esc).
5. У колонці To send вибрати клавішу, яка виконуватиме роботу зламаної. Наприклад, якщо не працює Esc, її функцію можна віддати рідковживаній Scroll Lock.
6. Натиснути OK. За документацією Microsoft, зміни застосовуються одразу — перезавантаження компʼютера чи самої утиліти не потрібне.

Keyboard Manager попереджає про «осиротілі» клавіші: якщо A перепризначено на B, символ A більше не вводиться жодною клавішею. Щоб цього уникнути, варто додати зворотне правило й фактично поміняти клавіші місцями. Скасувати всі зміни можна, видаливши рядки в тому ж вікні.

Обмеження PowerToys, про які варто знати заздалегідь

Утиліта вирішує проблему лише частково, і про це краще знати до того, як звикнути до нової розкладки.

• Перепризначення діє, лише поки PowerToys запущено у фоні. Якщо закрити застосунок або вимкнути модуль Keyboard Manager, клавіші повернуться до звичайної поведінки.
• На екрані входу в систему та на будь-яких екранах введення пароля перепризначення не працює. Це критично, якщо зламана клавіша входить у пароль.
• Комбінації Win + L і Ctrl + Alt + Del зарезервовані операційною системою й не перепризначаються. Клавіша Fn у більшості випадків також.
• Якщо активне вікно запущено від імені адміністратора, а PowerToys — ні, перепризначення в цьому вікні не спрацює. Утиліту доведеться перезапустити з правами адміністратора.
• В іграх Keyboard Manager використовувати не рекомендовано: перехоплення натискань впливає на частоту кадрів, а частина ігор працює з клавіатурою через API, які утиліта не обслуговує.

Тим, хто після цього захоче ефективніше працювати з клавіатурою, стане в пригоді довідник комбінацій клавіш у Windows 11.

Заміна ковпачка, перемикача або всієї клавіатури

Механічна частина клавіатури складається з перемикача, який замикає контакт, і пластикового ковпачка (keycap) поверх нього. Якщо ковпачок зламався або загубився, а перемикач справний, ковпачок можна переставити з іншої, рідковживаної клавіші такого ж розміру.

Знімати його варто спеціальним знімачем або пластиковою карткою, підважуючи рівномірно з двох боків. Викрутка з плоским жалом теж підходить, але ризик пошкодити механізм вищий. Новий ковпачок ставиться на перемикач і притискається до клацання; невідповідний напис можна закрити наліпкою або замовити окремий набір ковпачків потрібного профілю.

Для настільного компʼютера найпростіше рішення — купити нову клавіатуру й підключити її. З ноутбуком складніше: там клавіатура кріпиться до корпусу десятками защіпок і зʼєднується шлейфом, тож заміна вимагає часткового розбирання. Якщо пристрій на гарантії, самостійне розбирання її анулює.

Коли варто звертатися в сервіс

• Клавіатура не працює в BIOS або UEFI — це майже завжди апаратна несправність.
• Пристрій було залито рідиною, особливо солодкою або газованою.
• Не працює цілий ряд або блок клавіш — типова ознака пошкодження доріжки мембрани чи шлейфа.
• Ноутбук на гарантії: у цьому випадку будь-яке самостійне втручання краще відкласти.

Якщо ноутбук поводиться дивно не лише з клавіатурою, варто перевірити й живлення — можливі причини описано в матеріалі про те, що робити, коли ноутбук підключений до мережі, але не заряджається.

Часті запитання

Чому клавіатура друкує подвійні символи?

Найчастіше через зношений перемикач або бруд під ковпачком: контакт замикається двічі за одне натискання. Спершу варто почистити клавішу, а якщо не допомогло — замінити перемикач (на механічних моделях із гарячою заміною це робиться без паяння) або саму клавіатуру. Програмний обхід — увімкнути «Фільтрацію вводу» в спеціальних можливостях, щоб система ігнорувала повторні натискання.

Як розблокувати клавіатуру?

«Заблокованою» клавіатура найчастіше здається через увімкнені «Залипання клавіш» чи «Фільтрацію вводу» або через режим Fn-Lock. Усе це перевіряється в «Параметри» → «Спеціальні можливості» → «Клавіатура» та комбінацією Fn + Esc. Деякі ноутбуки й ігрові клавіатури мають окремий режим блокування, який вимикається комбінацією з клавішею Fn — точну вказано в інструкції до моделі.

Чому не працюють цифри на клавіатурі?

Якщо йдеться про цифровий блок праворуч — імовірно, вимкнено Num Lock. Якщо не працює верхній ряд цифр, причина інша: бруд, пошкоджена доріжка або збій розкладки. Варто перевірити ті самі клавіші в екранній клавіатурі — якщо там символи вводяться нормально, проблема фізична.

Чи можна перепризначити клавішу без сторонніх програм?

Так, через редактор реєстру та параметр Scancode Map, але цей спосіб не має інтерфейсу, вимагає перезавантаження й помилка в ньому може залишити систему без частини клавіш. Для більшості сценаріїв PowerToys безпечніший і оборотніший.

Ця стаття Не працює клавіатура або окремі клавіші: як полагодити на ПК і ноутбуці раніше була опублікована на сайті CyberCalm, її автор — Побокін Максим

За останній рік ринок менеджерів паролів перебудувався сильніше, ніж за попереднє десятиліття. Bitwarden уперше з моменту запуску підняв ціну преміум-тарифу, 1Password подорожчав на третину, Dashlane узагалі прибрав безкоштовний план, а історія з LastPass дійшла до мільйонного штрафу регулятора і слідів у російській екосистемі відмивання криптовалюти. Розбираємо, який менеджер паролів обрати у 2026 році, кого варто оминути й чому самого лише «надійного пароля» вже недостатньо.

Логіка залишилася незмінною: якщо ви використовуєте той самий пароль у пошті, банківському кабінеті та на форумі, витік бази форуму автоматично відкриває зловмиснику доступ до решти. Менеджер паролів усуває саме цю проблему — він генерує та зберігає окремий складний пароль для кожного сервісу, а вам потрібно памʼятати лише один.

Актуальності темі додає українська статистика. За даними Держспецзвʼязку, у 2025 році CERT-UA опрацювала майже 6 тисяч кіберінцидентів — на 37,4% більше, ніж роком раніше. Значна частина фішингових розсилок надходить зі скомпрометованих облікових записів українських підприємств та організацій — тобто зі справжніх, а не підроблених адрес. Захист облікових даних перестав бути особистою гігієною й став елементом стійкості.

Що змінилося за рік: коротко про головне

• Bitwarden подорожчав. У січні 2026 року вартість преміум-передплати зросла до $1,65 на місяць ($19,80 на рік), сімейного тарифу — до $3,99 на місяць ($47,88 на рік на шість осіб). Безкоштовний план компанія залишила без змін (заява Bitwarden).
• 1Password підвищив ціни наприкінці березня 2026 року. Індивідуальний тариф коштує $3,99 на місяць, сімейний — $5,99 на місяць за річної оплати; знижені $2,99 і $4,49 діють лише для нових клієнтів у перший рік (тарифи 1Password).
• Dashlane остаточно відмовився від безкоштовного тарифу у вересні 2025 року — тепер доступні тільки платні плани та 30 днів на повернення коштів.
• Ключі доступу вийшли на масштаб. FIDO Alliance оцінює їхню кількість у світі у 5 мільярдів; 75% опитаних уже увімкнули ключ доступу щонайменше в одному сервісі (State of Passkeys 2026).
• LastPass отримав штраф £1,2 млн від британського регулятора ICO у грудні 2025 року, а крадіжки криптовалюти з викрадених у 2022 році сховищ тривають і досі.

Як працює менеджер паролів

Менеджер паролів — це зашифроване сховище, доступ до якого відкриває один майстер-пароль. Усередині зберігаються логіни, паролі, ключі доступу, банківські картки, захищені нотатки й документи. Застосунок сам підставляє потрібні дані у форму входу, генерує нові паролі та синхронізує сховище між пристроями.

Практично всі сучасні сервіси побудовані на архітектурі нульового знання: дані шифруються безпосередньо на вашому пристрої, а на сервери компанії потрапляють уже у зашифрованому вигляді. Постачальник не має вашого майстер-пароля й не може розшифрувати сховище — навіть якщо його сервери зламають, зловмисник отримає лише масив нечитабельних даних.

Зворотний бік цієї моделі: якщо ви забудете майстер-пароль, відновити доступ у більшості випадків неможливо. Саме тому майстер-пароль варто зробити довгою парольною фразою, записати її на папері й зберігати в надійному фізичному місці, а також налаштувати аварійний доступ для довіреної особи, якщо тариф це дозволяє.

Важливий нюанс, який добре ілюструє справа LastPass: захист сховища залежить не лише від алгоритму шифрування, а й від стійкості вашого майстер-пароля. Про те, як його скласти, ми писали в окремому матеріалі — парольна фраза чи складна комбінація символів.

Ключі доступу не скасували паролі, але вже змінили правила

У травні 2026 року FIDO Alliance опублікувала звіт State of Passkeys, за яким у світі використовується близько 5 мільярдів ключів доступу. Про технологію знають 90% опитаних, 75% увімкнули її щонайменше в одному сервісі, 49% користуються нею регулярно там, де вона доступна, а 68% організацій уже впровадили або впроваджують ключі доступу для співробітників (FIDO Alliance). Дослідження охопило 11 тисяч користувачів і 1400 керівників у десяти країнах.

Ключ доступу — це пара криптографічних ключів. Приватний залишається на вашому пристрої під захистом біометрії або PIN-коду, публічний зберігає сервіс. Красти нічого: паролю, який можна виманити фішингом чи підібрати, просто не існує.

Проте паролі нікуди не зникли. Більшість сервісів підтримують ключі доступу паралельно зі старим входом, тож менеджер паролів залишається потрібним — тепер уже як сховище одразу для двох типів облікових даних. Детальніше про технологію — у нашому поясненні, що таке ключі доступу.

Чи достатньо менеджера, вбудованого в браузер

Chrome, Firefox, Edge і Safari пропонують збереження паролів безкоштовно, і це однозначно краще, ніж один пароль на всі сервіси. Але у вбудованих сховищ є обмеження, які варто розуміти.

• Приʼязка до екосистеми: паролі, збережені в Safari, не синхронізуються на Android, а сховище Chrome незручно використовувати за межами браузера.
• Слабкий захист на скомпрометованому компʼютері: якщо хтось має фізичний доступ до вашого пристрою та розблокованого профілю, дістатися до збережених паролів значно простіше, ніж до окремого сховища з власним майстер-паролем.
• Немає повноцінного аудиту сховища, безпечного обміну доступами, поштових псевдонімів і зберігання довільних типів даних.

Окремо варто згадати застосунок «Паролі» від Apple: він коректно синхронізується через iCloud, підтримує ключі доступу і для користувача, який живе виключно в екосистемі Apple, є цілком робочим безкоштовним варіантом. Щойно зʼявляється пристрій на Windows або Android, зручність зникає.

Bitwarden — оптимальний вибір для більшості

Bitwarden залишається найзбалансованішим рішенням: відкритий код, регулярні незалежні аудити, застосунки для Windows, macOS, Linux, Android та iOS і розширення для всіх основних браузерів. Безкоштовний тариф дозволяє зберігати необмежену кількість паролів і ключів доступу та синхронізувати їх між необмеженою кількістю пристроїв — умова, якої немає в жодного великого конкурента.

У січні 2026 року компанія оновила платні плани: преміум коштує $1,65 на місяць ($19,80 на рік), сімейний — $3,99 на місяць ($47,88 на рік на шість осіб). Одночасно преміум отримав сповіщення про проблеми у сховищі, підказки щодо заміни слабких паролів, 5 ГБ для вкладень замість 1 ГБ і підтримку до десяти ключів безпеки. Безкоштовний тариф компанія прямо зобовʼязалася не змінювати.

Окрема перевага для тих, хто не хоче довіряти дані чужим серверам, — офіційна можливість розгорнути Bitwarden на власному сервері. Варто памʼятати й про інший бік відкритої екосистеми: у квітні 2026 року npm-пакет Bitwarden CLI став ціллю атаки на ланцюжок постачання. Це не компрометація сховищ, але нагадування, що оновлення варто ставити з офіційних джерел.

Proton Pass — найсильніший безкоштовний тариф

Proton Pass від швейцарської Proton пропонує найщедріший безкоштовний план на ринку: необмежені паролі, необмежені пристрої, підтримка ключів доступу на всіх платформах, генератор паролів, сповіщення про слабкі та повторювані комбінації і 10 поштових псевдонімів, які приховують вашу справжню адресу (тарифи Proton Pass).

Платний Pass Plus додає необмежені псевдоніми, вбудований генератор одноразових кодів, захищений обмін сховищами й окремими записами, моніторинг витоків, вкладення файлів, аварійний доступ та власні домени для псевдонімів. Якщо ви вже користуєтеся Proton Mail або Proton VPN, має сенс дивитися на пакет Proton Unlimited.

Клієнтські застосунки Proton Pass мають відкритий код, компанія працює за швейцарським законодавством про захист даних. Тим, кого цікавлять поштові псевдоніми як окремий інструмент, стане в пригоді наш огляд сервісу одноразових адрес Firefox Relay.

1Password — коли потрібні максимальна зручність і Travel Mode

1Password не має безкоштовного тарифу: доступні 14 днів пробного періоду, після чого індивідуальний план коштує $3,99 на місяць, сімейний на пʼятьох — $5,99 на місяць за річної оплати. Знижені ставки $2,99 і $4,49, які видно на сайті, компанія обмежує першим роком для нових клієнтів. У перерахунку це приблизно $48 на рік за індивідуальний тариф і $72 на рік за сімейний.

Натомість ви отримуєте найдоопрацьованіші застосунки в категорії, підтримку всіх платформ включно з Linux і ChromeOS, інструмент командного рядка, зберігання SSH-ключів та API-токенів, а також моніторинг витоків Watchtower.

Функція, яка в українських реаліях заслуговує на окрему увагу, — Travel Mode. Вона тимчасово видаляє обрані сховища з пристроїв, а після перетину кордону відновлює їх одним натисканням. Для журналістів, волонтерів і всіх, хто регулярно перетинає кордон із робочим ноутбуком чи телефоном, це відчутна перевага: під час перевірки на пристрої фізично немає чутливих даних.

Архітектурна особливість сервісу — Secret Key: окремий згенерований ключ, який використовується разом із майстер-паролем. Це помітно ускладнює перебір, але означає, що частину доступу створили не ви, тож копію «аварійного набору» слід зберігати офлайн. У 2026 році сервіс також додав захист від фішингу.

NordPass, Dashlane і Keeper: коли вони мають сенс

NordPass

Менеджер від Nord Security використовує шифрування XChaCha20 замість поширенішого AES-256 і має охайний інтерфейс. Головний аргумент — пакетна ціна разом із NordVPN та NordLocker для тих, хто вже користується цими сервісами. Головне обмеження — безкоштовний тариф дозволяє лише один активний сеанс: щойно ви входите на телефоні, сеанс на ноутбуці завершується. Преміум коштує близько $2 на місяць за річної оплати, але ціна поновлення зазвичай вища за акційну, тож умови продовження варто перевіряти окремо.

Dashlane

Dashlane пропонує моніторинг витоків, сповіщення про фішингові сайти з підробленими адресами й вбудований VPN, а сімейний тариф охоплює до десяти осіб — більше, ніж у конкурентів. Компанія відмовилася від десктопних застосунків і працює переважно через розширення для браузерів та мобільні застосунки. Безкоштовного тарифу більше немає, індивідуальна передплата коштує близько $5 на місяць, що робить Dashlane одним із найдорожчих варіантів у добірці.

Keeper

Keeper орієнтований на команди й організації: замість окремих сховищ тут використовується структура тек із розподілом прав, схожа на Google Drive, є одноразові посилання для передавання доступів назовні та записи, що самознищуються після відкриття. Для приватного користувача це надлишкова гнучкість, для невеликої компанії чи ІТ-відділу — вагома перевага. Частина функцій, зокрема моніторинг витоків, продається як окремі модулі.

KeePassXC та Enpass — коли сховище має залишатися у вас

Якщо ви принципово не хочете, щоб зашифрована база зберігалася на серверах постачальника, є два перевірені варіанти.

KeePassXC зберігає паролі у локальному зашифрованому файлі, який захищається майстер-паролем, файлом-ключем або обома одночасно. Синхронізацію ви організовуєте самостійно — через будь-яку хмару або власний сервер. Проєкт має відкритий код і застосунки для Windows, macOS і Linux; офіційних мобільних клієнтів немає, розробники рекомендують сторонні застосунки для Android та iOS. Це найгнучкіший і повністю безкоштовний варіант, але він вимагає готовності самостійно розвʼязувати проблеми.

Enpass працює за схожим принципом, але має власні застосунки на всіх платформах і зручні налаштування синхронізації через Dropbox, Google Drive, OneDrive, iCloud, Nextcloud або будь-який сервіс із підтримкою WebDAV. Синхронізувати базу можна й у межах локальної мережі. Enpass не зберігає ваших даних у себе, тож зламувати в компанії просто нічого.

Кого варто оминути у 2026 році

LastPass

11 грудня 2025 року британський регулятор ICO оштрафував LastPass UK на £1,2 млн за витік 2022 року, який зачепив персональні дані до 1,6 млн британських користувачів. У матеріалах розслідування описано механіку злому: спершу зловмисник скомпрометував робочий ноутбук співробітника в Європі, потім — особистий ноутбук інженера у США, встановив там кейлогер і перехопив майстер-пароль, а двофакторну автентифікацію обійшов за допомогою cookie довіреного пристрою. Особистий і робочий сейфи інженера були повʼязані одним майстер-паролем, і це дало доступ до ключів шифрування резервної бази.

Регулятор наголосив, що самі паролі користувачів залишилися зашифрованими. Проблема в іншому: сховища з слабкими майстер-паролями відтоді послідовно зламують офлайн. У 2025 році Секретна служба США вилучила понад $23 млн криптовалюти, зазначивши, що приватні ключі жертв були отримані саме з розшифрованих сховищ менеджера паролів.

Наприкінці 2025 року компанія TRM Labs, що спеціалізується на блокчейн-розслідуваннях, простежила подальший шлях украдених коштів. За її оцінками, понад $28 млн було виведено через Wasabi Wallet наприкінці 2024 — на початку 2025 року, ще близько $7 млн — під час хвилі у вересні 2025 року. Кошти неодноразово виводилися через повʼязані з росією біржі, зокрема Cryptex і Audi6, а цифрові сліди до та після змішування вказують на операційний контроль з боку російської кіберзлочинної екосистеми.

Ключовий висновок для користувача: гроші крадуть не одразу після витоку, а хвилями через роки. Якщо ви колись зберігали в LastPass seed-фрази, приватні ключі або критичні доступи, недостатньо змінити майстер-пароль — потрібно перевипустити самі секрети.

Програмне забезпечення російського та білоруського походження

Менеджер паролів — це категорія, у якій питання юрисдикції розробника не є теоретичним: сервіс отримує повний перелік ваших сервісів і доступів. Показовий приклад — Passwork, розслідування щодо якого виявило спільне коріння та синхронні оновлення з російською компанією, сертифікованою ФСТЕК і ФСБ. Редакція не рекомендує використовувати рішення російського чи білоруського походження для зберігання облікових даних — незалежно від того, де формально зареєстрована юридична особа.

Порівняльна таблиця

Ціни наведено станом на серпень 2026 року в доларах США за річної оплати. Вартість у гривні залежить від курсу, регіону та поточних акцій, а ставка поновлення часто відрізняється від ціни першого року.

Як перейти на менеджер паролів: сім кроків

1. Оберіть сервіс і створіть акаунт. Для більшості читачів достатньо безкоштовного тарифу Bitwarden або Proton Pass.
2. Складіть майстер-пароль. Найпростіший робочий підхід — парольна фраза щонайменше з чотирьох випадкових слів. Запишіть її на папері й покладіть у надійне місце.
3. Увімкніть двофакторну автентифікацію для входу в сам менеджер. Найкращий варіант — апаратний ключ; прийнятний — застосунок-автентифікатор. Автентифікації через SMS варто уникати через ризик підміни SIM-картки.
4. Імпортуйте наявні паролі. Усі великі сервіси підтримують перенесення з браузера або іншого менеджера через файл CSV. Після імпорту цей файл слід видалити остаточно, а не лишати в теці завантажень.
5. Запустіть аудит сховища. Почніть заміну зі слабких, повторюваних і скомпрометованих паролів, рухаючись від пошти та банківських сервісів до менш критичних.
6. Увімкніть ключі доступу там, де вони підтримуються, і збережіть їх у тому самому сховищі.
7. Налаштуйте аварійний доступ для довіреної особи, якщо ваш тариф це дозволяє, і зробіть зашифровану резервну копію сховища.

Окрема порада щодо автозаповнення: залишайте його напівавтоматичним. Повністю автоматичне підставляння даних у форми історично ставало причиною атак через приховані поля на сторінці, тому підтверджувати підстановку вручну — розумний компроміс.

Часті питання

Чи безпечно зберігати всі паролі в одному місці?

Так, за умови архітектури нульового знання, довгого майстер-пароля та увімкненої двофакторної автентифікації. Ризик концентрації даних менший за ризик використання одного пароля на десятках сервісів або зберігання паролів у нотатках і браузері.

Що буде, якщо я забуду майстер-пароль?

У більшості сервісів відновити доступ неможливо — це прямий наслідок того, що постачальник не зберігає ваш ключ. Часткові страховки: аварійний доступ для довіреної особи, коди відновлення й записана офлайн копія майстер-пароля.

Чи вистачить безкоштовного тарифу?

Для більшості приватних користувачів так. Безкоштовний Bitwarden дає необмежену кількість паролів і пристроїв, безкоштовний Proton Pass додає до цього 10 поштових псевдонімів. Платити варто тоді, коли потрібні моніторинг витоків, вбудований генератор одноразових кодів, сімейний доступ або зберігання файлів.

Чи замінять ключі доступу паролі найближчим часом?

Ні. За даними FIDO Alliance, у світі використовується близько 5 мільярдів ключів доступу, але паролі працюють паралельно майже скрізь. Найближчі роки менеджер зберігатиме обидва типи облікових даних одночасно.

Що робити колишнім користувачам LastPass?

Перенести сховище в інший сервіс, змінити паролі до критичних акаунтів і, найголовніше, перевипустити всі секрети, які не зводяться до пароля: seed-фрази криптогаманців, приватні ключі, коди відновлення й API-токени. Зміна майстер-пароля вже не захищає дані, викрадені у 2022 році.

Чи можна довіряти хмарній синхронізації?

Так, якщо шифрування відбувається на пристрої до передавання. Саме так працюють усі сервіси з цієї добірки. Якщо ви не хочете покладатися на чужу інфраструктуру взагалі, є KeePassXC, Enpass або самостійний хостинг Bitwarden.

Що обрати

• Більшості користувачів — Bitwarden: безкоштовний тариф без обмежень за пристроями, відкритий код і найнижча ціна преміуму серед великих сервісів.
• Тим, хто не готовий платити взагалі, — Proton Pass: найширший безкоштовний функціонал і поштові псевдоніми в комплекті.
• Тим, хто цінує зручність і часто перетинає кордон, — 1Password із Travel Mode.
• Командам і невеликим компаніям — Keeper або бізнес-тарифи 1Password.
• Тим, хто хоче контролювати сховище самостійно, — KeePassXC, Enpass або Bitwarden на власному сервері.

Найгірший сценарій — не використовувати менеджер узагалі. Історія LastPass показує не те, що менеджери паролів небезпечні, а те, що навіть у найгіршому випадку зашифроване сховище з довгим майстер-паролем встояло, тоді як сховища зі слабкими паролями зламали офлайн через роки після витоку.

Ця стаття Кращі менеджери паролів у 2026 році: що змінилося на ринку і як обрати сховище раніше була опублікована на сайті CyberCalm, її автор — Побокін Максим

22 липня 2026 року пілотна мережа 5G запрацювала в центральній частині Києва — столиця стала четвертим містом українського пілотного проєкту після Львова, Бородянки та Харкова. Мережею пʼятого покоління вже скористалися майже 1,5 мільйона абонентів, а в країні працюють понад 300 базових станцій. Наступне місто — Одеса, а повноцінне розгортання технології по всій країні залежатиме від завершення воєнного стану.

5G у Києві: де працює мережа та яка швидкість

Про запуск пілотної мережі в столиці повідомив заступник міністра цифрової трансформації Станіслав Прибитько. За його словами, кожен оператор покривав місто по-різному, проте Хрещатик забезпечили сигналом усі компанії. У тестовому режимі мережа доступна на ділянці від Майдану Незалежності до Бессарабської площі, а також на окремих локаціях операторів.

Під час попередніх випробувань у столиці швидкість мобільного інтернету перевищувала 1 Гбіт/с, а середній показник для користувачів становив 600–700 Мбіт/с. Завдання київського пілоту — перевірити роботу мережі в умовах мегаполіса з високою щільністю населення та значним навантаженням — від якості покриття в щільній багатоповерховій забудові до стабільності обладнання при піковому трафіку.

Щоб скористатися мережею, достатньо мати смартфон із підтримкою 5G, перебувати в зоні покриття та увімкнути відповідний режим у налаштуваннях телефону. У Мінцифри нагадують: якщо пристрій працює в режимі енергозбереження, 5G може не вмикатися. Замінювати SIM-картку чи встановлювати додаткове ПЗ не потрібно — сумісні пристрої підключаються автоматично, як це відбувається при перемиканні між 3G та 4G.

Як Україна дійшла до 5G: хронологія пілотного проєкту

Перші випробування технології відбулися ще у травні 2024 року, коли один із мобільних операторів разом із Nokia організував телеміст між Івано-Франківськом, Києвом та Гельсінкі для перевірки якості звʼязку. У липні 2025 року технологію точково протестували в Київському авіаційному інституті. Проте повноцінний пілотний проєкт для звичайних абонентів стартував лише взимку.

12 січня 2026 року перша в Україні пілотна мережа 5G запрацювала у центрі Львова зі швидкістю передавання даних близько 500 Мбіт/с на одного абонента. 28 січня тестову зону відкрили у Бородянці на Київщині, а 14 лютого — у Харкові, де спільне тестування проводять найбільші українські оператори мобільного звʼязку. Київ став четвертою локацією проєкту. За даними Мінцифри, пілотний етап триватиме до грудня 2026 року.

Вибір локацій невипадковий: Мінцифри прагне перевірити технологію в різних умовах — у невеликих громадах із малоповерховою забудовою та у великих мегаполісах, де навантаження на мережу суттєво відрізняється.

Чи готовий ваш смартфон до 5G

За оцінками Мінцифри, оприлюдненими восени 2025 року, майже 22% усіх смартфонів в Україні — це приблизно 9,4 мільйона пристроїв — уже підтримують технологію 5G. Це означає, що приблизно кожен пʼятий користувач не потребуватиме нового телефона після запуску комерційних послуг. Перевірити сумісність можна в характеристиках пристрою або в налаштуваннях мобільної мережі: якщо серед доступних режимів є пункт 5G або NR, телефон готовий до роботи в новій мережі. Власникам сучасних смартфонів із eSIM також не потрібно жодних додаткових дій.

Що дає 5G порівняно з 4G

Пʼяте покоління мобільного звʼязку — це не просто швидший інтернет, а інша архітектура передавання даних.

Що це означає на практиці

Швидкість. Повнометражний фільм у 4K завантажується за лічені секунди замість кількох хвилин, а відеодзвінки без зависань стають нормою.

Наднизька затримка. Критично важливо для систем реального часу — від дистанційних хірургічних операцій до керування безпілотниками: команда виконується практично миттєво.

Масове підключення. 5G здатне одночасно обслуговувати величезну кількість пристроїв на невеликій території — це відкриває шлях до «розумних міст», де датчики, освітлення та транспортна інфраструктура працюють в єдиній мережі.

Що стримує повне розгортання

Повноцінне розгортання 5G по всій країні планують лише після завершення воєнного стану. Головна причина — частотна: діапазони, необхідні для роботи 5G, частково перетинаються із частотами військових систем, тому перед масштабним запуском необхідні додаткові науково-дослідні роботи спільно з представниками сектору оборони.

Серед інших барʼєрів — економічні та регуляторні:

• Ліцензії. Для комерційного запуску держава має провести аукціон з продажу частотного спектра — під час воєнного стану ефективність таких процедур залишається під питанням.
• Інвестиції. Побудова мережі 5G потребує значно щільнішого розміщення базових станцій, ніж 4G, а отже — мільярдних вкладень операторів в умовах, коли частина інфраструктури зруйнована російськими обстрілами.
• Енергетика. Базові станції 5G споживають більше електроенергії, ніж обладнання попередніх поколінь, тому під час тривалих відключень пріоритетом залишатиметься стабільність мереж 2G–4G.

Частково вразливість наземної інфраструктури компенсує супутниковий звʼязок: з листопада 2025 року в Україні — вперше в Європі — працює комерційний сервіс Starlink Direct to Cell, який дозволяє звичайним смартфонам надсилати SMS безпосередньо через супутники, коли наземна мережа недоступна.

3G вимкнуть до 2031 року

Паралельно з розвитком 5G Україна поступово відмовляється від застарілих технологій: 3G планують повністю вимкнути до 1 січня 2031 року. Частоти цієї технології переналаштовують під 4G, який у Мінцифри називають базою для подальшого розгортання мереж пʼятого покоління. Перехід буде поступовим — користувачі не відчують різких змін у якості звʼязку, оскільки старі технології працюватимуть паралельно з новими.

Що далі: Одеса та плани до 2030 року

Наступним містом пілотного проєкту має стати Одеса. Найближчі місяці оператори аналізуватимуть результати тестувань у чотирьох містах, перевірятимуть обладнання та збиратимуть дані для майбутнього масштабування технології. За оцінками Мінцифри, часткове 5G-покриття у великих містах може зʼявитися до 2030 року, а терміни національного розгортання безпосередньо залежатимуть від безпекової ситуації в країні.

Поширені запитання

Де саме в Києві працює 5G?

У тестовому режимі мережа доступна в центральній частині міста — від Майдану Незалежності до Бессарабської площі, а також на окремих локаціях операторів. Хрещатик покрили всі оператори.

Чи потрібно міняти SIM-картку або тариф для 5G?

Ні. Якщо смартфон підтримує 5G, достатньо увімкнути відповідний режим у налаштуваннях мережі та перебувати в зоні покриття. Варто врахувати, що в режимі енергозбереження 5G може не працювати.

Яка швидкість 5G в українських пілотних мережах?

У Києві під час тестувань швидкість перевищувала 1 Гбіт/с за середнього показника 600–700 Мбіт/с. У Львові на старті пілоту швидкість становила близько 500 Мбіт/с на абонента.

Коли 5G зʼявиться в інших містах України?

Наступною в черзі — Одеса. Пілотний етап триватиме до грудня 2026 року, а повноцінне розгортання по всій країні можливе лише після завершення воєнного стану.

Висновок

Запуск 5G у Києві — найпомітніший етап українського пілотного проєкту: технологія вперше працює в умовах мегаполіса з мільйонним населенням. Майже 1,5 мільйона абонентів, які вже випробували мережу, та понад 300 базових станцій свідчать, що 5G в Україні — вже не плани, а робоча інфраструктура. Водночас масштабування залежить від безпекової ситуації, узгодження частот із сектором оборони та готовності операторів інвестувати в щільну мережу базових станцій. До того часу 5G залишатиметься тестовою технологією в окремих локаціях — але вже сьогодні його можна випробувати на Хрещатику.

Ця стаття 5G в Україні: мережа пʼятого покоління запрацювала в Києві — де ловити сигнал і що далі раніше була опублікована на сайті CyberCalm, її автор — Побокін Максим

Двоетапна перевірка — це найпростіший спосіб захистити акаунт у месенджері навіть тоді, коли хтось дізнався ваш пароль або перехопив SMS-код. Кілька хвилин налаштувань — і зловмиснику вже недостатньо самого лише номера телефону, щоб зайти у ваше листування. Нижче — покрокові інструкції для WhatsApp, Telegram, Signal, Viber і Facebook Messenger та пояснення, який спосіб підтвердження надійніший за решту.

Що таке двоетапна перевірка

Двоетапна (або двофакторна) перевірка додає до входу другий крок: окрім пароля чи коду з SMS особу потрібно підтвердити ще одним способом — наприклад, PIN-кодом, який знаєте лише ви. Ідея проста: навіть якщо один із факторів скомпрометовано, самого його для доступу вже недостатньо.

У месенджерах ця функція має свою особливість. Здебільшого йдеться не про код при кожному вході, а про PIN чи пароль, який застосунок запитує, коли ваш номер намагаються зареєструвати на новому пристрої. Саме цей крок зупиняє захоплення акаунта через перевипуск або підміну SIM-картки.

Чому SMS-код — не найнадійніший захист

Найпоширеніший другий фактор — одноразовий код у SMS. Він значно кращий, ніж узагалі нічого, але має слабке місце: код можна перехопити. У межах атаки з підміною SIM-картки (SIM-swapping) зловмисник переконує оператора перевипустити ваш номер на свою картку — і починає отримувати ваші повідомлення, зокрема коди підтвердження.

Через це у спільних рекомендаціях щодо мобільного звʼязку наприкінці 2024 року CISA та ФБР прямо радять не використовувати SMS як другий фактор і надавати перевагу стійкішим до фішингу способам — застосункам-автентифікаторам або апаратним і програмним ключам (технологія FIDO, до якої належать і passkeys).

Простими словами, надійність способів підтвердження зростає так: SMS-код — найслабша ланка; застосунок-автентифікатор — помітно краще; ключ безпеки або passkey — найнадійніше. Скрізь, де месенджер дозволяє обрати спосіб, варто відмовлятися від SMS на користь застосунку чи passkey.

WhatsApp: PIN і сучасніша альтернатива — passkey

У WhatsApp двоетапна перевірка — це шестизначний PIN, який застосунок час від часу запитує та обовʼязково вимагає під час реєстрації номера на новому пристрої.

• Відкрийте «Параметри» (Settings) → «Обліковий запис» (Account).
• Виберіть «Двоетапна перевірка» (Two-step verification) і натисніть «Увімкнути».
• Придумайте та підтвердьте шестизначний PIN.
• За бажанням додайте адресу електронної пошти — вона знадобиться, щоб скинути PIN, якщо ви його забудете.

Докладніше про роботу функції — у довідковому центрі WhatsApp. Крім PIN, WhatsApp підтримує passkey — вхід за відбитком пальця, обличчям чи кодом розблокування пристрою замість пароля. Увімкнути його можна в розділі «Параметри» → «Обліковий запис» → «Ключі доступу».

Telegram: хмарний пароль і вхід за passkey

У Telegram базовий другий фактор — це окремий хмарний пароль, який запитують при вході з нового пристрою на додачу до коду з SMS.

• Відкрийте «Налаштування» → «Приватність і безпека».
• Виберіть «Двоетапна перевірка» і натисніть «Встановити додатковий пароль».
• Двічі введіть надійний пароль і, за бажанням, підказку до нього.
• Додайте резервну адресу пошти — без неї відновити доступ у разі втрати пароля буде складно.

Функцію двоетапної перевірки Telegram запровадив ще у 2015 році; відтоді вона лишається базовим захистом акаунта.

Наприкінці 2025 року Telegram додав вхід за passkey — за біометрією (Face ID, відбиток пальця) чи кодом розблокування пристрою замість SMS-коду. Ключ зберігається на пристрої й може синхронізуватися через менеджери паролів від Apple, Google та інших. Створити його можна в розділі «Налаштування» → «Приватність і безпека» → «Ключі доступу». Важливо: passkey спрощує та захищає вхід, але номер телефону досі лишається основою акаунта — тож зберігайте і його, і хмарний пароль. Докладніша інструкція — в окремому матеріалі.

Signal: PIN і блокування реєстрації

Signal просить створити PIN ще під час реєстрації акаунта — він шифрує ваш профіль, налаштування й контакти. Щоб цей PIN додатково не давав нікому перереєструвати ваш номер, увімкніть окрему опцію «Блокування реєстрації» (Registration Lock).

• Відкрийте «Налашьування» (торкніться фото профілю) → «Акаунт».
• Переконайтеся, що PIN створено; за потреби тут його можна змінити або зробити буквено-цифровим замість числового.
• Увімкніть перемикач «Блокувати реєстрацію» (Registration Lock).

Після цього для реєстрації номера завжди потрібен PIN. Важливо: якщо ввести його неправильно кілька разів поспіль, Signal тимчасово заблокує акаунт — доступ відновиться через сім днів. PIN не можна відновити, тож збережіть його надійно.

Viber: шестизначний PIN і біометрія

У Viber двоетапна перевірка — це шестизначний PIN та підтверджена адреса пошти. PIN запитують під час активації Viber на новому телефоні та за спроби змінити частину налаштувань акаунта.

• Відкрийте Viber і торкніться фото профілю вгорі екрана та оберіть «Параметри».
• Перейдіть до розділу «Конфіденційність» → «Двоетапна перевірка».
• Створіть шестизначний PIN і підтвердьте адресу пошти для його відновлення.

За інструкцією Rakuten Viber, якщо ввести PIN неправильно пʼять разів поспіль під час активації нового телефона, спроби заблокують на пʼять днів. Пізніше Viber додав і підтвердження за біометрією — відбитком пальця чи обличчям.

Facebook Messenger: тепер через Accounts Center

Messenger спирається на захист акаунта Facebook, тож двофакторну автентифікацію налаштовують у спільному центрі облікових записів Meta.

• Відкрийте «Центр облікових записів» (Accounts Center) — через «Налаштування» Facebook або Messenger.
• Виберіть «Пароль і безпека» (Password and security) → «Двоетапна перевірка» (Two-factor authentication).
• Виберіть акаунт і спосіб підтвердження. Рекомендований варіант — застосунок-автентифікатор, а не SMS.

Meta пропонує три способи: застосунок-автентифікатор, SMS та апаратний ключ безпеки; як це працює — у довідці Facebook. У квітні 2026 року компанія почала оновлювати «Accounts Center» до «Meta Account» — єдиного акаунта, що централізує пароль, двофакторну автентифікацію й пошту одразу для Facebook, Instagram і Messenger та додає вхід через passkey.

Який спосіб обрати

Загальне правило — вмикати двоетапну перевірку всюди, де вона є, і не покладатися винятково на SMS. Там, де месенджер дозволяє, обирайте застосунок-автентифікатор або passkey. Не забудьте захистити й поштову скриньку, до якої привʼязане відновлення: якщо зловмисник отримає доступ до неї, він зможе скинути PIN. Тому ввімкніть двофакторну автентифікацію і для самої пошти.

Пароль і навіть двоетапна перевірка рятують не від усіх загроз — наприклад, від атаки «людина посередині». Про те, чому довжина PIN важить менше, ніж здається, ми писали окремо, а зберігати складні паролі допоможе менеджер паролів.

Поширені запитання

Чи захистить двоетапна перевірка, якщо зловмисник уже знає мій пароль?

Так. У цьому й сенс: навіть із паролем чи перехопленим SMS-кодом зайти в акаунт без другого фактора — PIN або пароля, який знаєте лише ви, — не вийде.

Що безпечніше — SMS чи застосунок-автентифікатор?

Застосунок-автентифікатор. SMS-коди можна перехопити через підміну SIM-картки, тож CISA та ФБР радять надавати перевагу застосункам або ключам безпеки. Passkey — ще надійніший варіант там, де він доступний.

Що робити, якщо я забув(ла) PIN або пароль?

Якщо ви заздалегідь додали резервну пошту, більшість месенджерів надішлють на неї посилання для скидання. Без резервної пошти відновити доступ складно, а в Signal за ввімкненого блокування реєстрації доведеться чекати сім днів.

Чи потрібно вмикати двоетапну перевірку в кожному месенджері окремо?

Так. Навіть застосунки однієї компанії (наприклад, Messenger і WhatsApp від Meta) захищають окремо — увімкнення в одному не активує захист в іншому.

Ця стаття Двоетапна перевірка у месенджерах: як налаштувати WhatsApp, Telegram, Signal, Viber і Messenger раніше була опублікована на сайті CyberCalm, її автор — Побокін Максим

Шпигунське ПЗ споживчого класу мовчки читає ваші повідомлення, переглядає фотографії, слухає дзвінки та відстежує місцеперебування в реальному часі — і робить це непомітно. Воно маскується під системні служби, зникає з головного екрана й роками працює у фоні. Ця інструкція допоможе виявити такі програми на Android та iPhone і безпечно їх позбутися.

Що таке сталкерське ПЗ — і чому це масова проблема

Сталкерське ПЗ (від англ. stalkerware), яке також називають «програмами для стеження за подружжям», продають під виглядом застосунків для батьківського контролю чи відстеження працівників. Насправді ним найчастіше користуються, щоб без згоди стежити за партнером, колишнім чи членом родини. Такі застосунки не публікують у Google Play: їх встановлюють на пристрій вручну, маючи фізичний доступ до нього й зазвичай знаючи пароль розблокування.

Масштаб проблеми великий і добре задокументований. У лютому 2025 року дослідник безпеки виявив, що дві майже ідентичні програми-переслідувачі — Cocospy та Spyic — через вразливість зливали дані мільйонів людей: у відкритому доступі опинилися 2,65 млн унікальних електронних адрес тих, хто встановлював ці застосунки. За підрахунком TechCrunch, це лише дві з понад двох десятків операцій стеження, які з 2017 року зламали або які злили чутливі дані своїх жертв і клієнтів через недбалу безпеку. Серед інших гучних прикладів — TheTruthSpy, у базах якого знайшли записи з мільйонів пристроїв, зокрема дитячих.

Висновок простий: ці програми не лише втручаються у приватність — вони ще й самі стають джерелом витоку ваших найінтимніших даних.

Ознаки, що за вами можуть стежити

Сталкерське ПЗ створене так, щоб лишатися невидимим, але повністю приховати свій вплив на пристрій воно не може. Насторожити мають:

• швидке розряджання батареї та відчутне нагрівання телефона навіть у стані спокою;
• помітне зростання витрати мобільного трафіку без очевидної причини;
• телефон гальмує, «зависає» або сам вмикає екран у випадкові моменти;
• співрозмовник знає те, чого ви йому не казали, — деталі листування чи ваші переміщення.

Жодна з цих ознак окремо не є доказом. Але якщо їх кілька одночасно, пристрій варто перевірити — як і акаунти, до яких хтось може мати доступ.

Перш ніж почати — подбайте про власну безпеку

Важливо: видалення шпигунської програми з великою ймовірністю сповістить того, хто її встановив, що застосунок перестав працювати. Якщо за стеженням стоїть агресивний партнер, це може загострити ситуацію. Тому спершу продумайте план безпеки.

• 1547— урядова гаряча лінія з протидії домашньому насильству (цілодобово, безкоштовно, анонімно).
• Національна гаряча лінія «Ла Страда-Україна» — 0 800 500 335 (з мобільного або стаціонарного) або 116 123 (з мобільного) (цілодобово, безкоштовно, анонімно).
• 102— за безпосередньої загрози життю чи здоровʼю.
• Coalition Against Stalkerware пропонує поради для постраждалих (англійською).

Зверніть увагу: ця інструкція допомагає лише виявити та видалити застосунок. Вона не видаляє дані, які вже зібрані й завантажені на сервери. Меню на вашому пристрої може дещо відрізнятися залежно від версії Android та виробника. Усі дії ви виконуєте на власний ризик.

Android: як перевірити й очистити пристрій

1. Швидка перевірка кодом. Для родини Cocospy/Spyic є простий тест: відкрийте застосунок «Телефон», наберіть на клавіатурі ✱✱001✱✱ і натисніть виклик. Якщо така програма встановлена, вона зʼявиться на екрані — цю лазівку розробники зробили для того, хто встановлював застосунок, але нею може скористатися й жертва. Код спрацьовує не з усім шпигунським ПЗ, тож відсутність реакції ще не гарантує, що пристрій чистий.
2. Увімкніть Google Play Захист. Google Play Захист перевіряє застосунки — зокрема встановлені з-поза Google Play — на ознаки шкідливої активності. Коли його вимкнено, захист не працює. Відкрийте Google Play, торкніться свого профілю, перейдіть у Play Захист, переконайтеся, що він увімкнений, і запустіть сканування.
3. Перевірте служби спеціальних можливостей. Сталкерське ПЗ часто зловживає режимом спеціальних можливостей (Accessibility), бо той дає широкий доступ до системи й даних. Якщо ви не користуєтеся такими функціями, у цьому розділі налаштувань не має бути жодного застосунку. Усе незнайоме — надто з назвами на кшталт «Accessibility», «Device Health» чи «Системна служба» — вимкніть і видаліть.
4. Перевірте доступ до сповіщень. Android дозволяє стороннім застосункам читати вхідні сповіщення. Програмі-переслідувачу це дає змогу постійно бачити ваші повідомлення. У налаштуваннях доступу до сповіщень (розділ «Спеціальний доступ застосунків») вимкніть доступ для всього, чого не впізнаєте.
5. Перевірте адміністраторів пристрою. Функції адміністрування пристрою дають ще ширші права. На особистому телефоні їх зазвичай немає. Якщо бачите незнайомий запис із розпливчастою назвою («Системна служба», «Стан пристрою», «Адміністрування пристрою») — це поширений індикатор компрометації. Розділ шукайте в «Налаштуваннях» у блоці безпеки.
6. Перегляньте список застосунків. Навіть без іконки на головному екрані шпигунська програма лишається у списку встановлених застосунків. Перегляньте його повністю, шукаючи незнайомі назви та іконки. Звертайте увагу на застосунки з надмірно широкими дозволами — до камери, контактів, журналу викликів, місцеперебування. Підозрілі примусово зупиніть і видаліть.

iPhone та iPad: окремий вектор загрози

На iPhone усе влаштовано інакше. Класичне сталкерське ПЗ туди майже не встановлюється без джейлбрейка, тож стеження найчастіше йде через ваш обліковий запис Apple: маючи ваші логін і пароль, зловмисник отримує доступ до даних у iCloud — фотографій, резервних копій, листування. Саме так Cocospy та Spyic діяли щодо власників iPhone. Що зробити:

• переконайтеся, що для Apple ID встановлено надійний унікальний пароль (найкраще — збережений у менеджері паролів);
• увімкніть двофакторну автентифікацію для Apple ID, якщо її ще немає;
• перегляньте список пристроїв, привʼязаних до вашого облікового запису, і приберіть усі, які не впізнаєте;
• перевірте «Параметри» → «Загальні» → «VPN і керування пристроєм»: незнайомий профіль конфігурації може бути каналом стеження.

Після видалення — закрийте лазівки

Прибрати застосунок недостатньо: той, хто його встановив, імовірно, має доступ до значно більшого. З безпечного пристрою (не з того, що міг бути скомпрометований):

• змініть паролі до всіх ключових акаунтів, починаючи з електронної пошти — вона зазвичай є засобом відновлення решти;
• увімкніть двофакторну автентифікацію скрізь, де можливо, надаючи перевагу застосунку-автентифікатору, а не SMS (повідомлення могли перехоплювати);
• завершіть усі активні сесії в пошті, соцмережах і хмарних сервісах та приберіть незнайомі пристрої;
• якщо стеження поновлюється або сумніви лишаються, як крайній захід зробіть повне скидання пристрою до заводських налаштувань, а потім встановлюйте застосунки лише з офіційних джерел.

Що робити, якщо нічого не знайдено, але підозри залишились

Ви перевірили все за інструкцією вище, нічого підозрілого не виявили — але поведінка телефона або оточення все одно викликає тривогу. Це не привід заспокоїтися й не привід панікувати. Стеження може йти не через застосунок на пристрої, а іншими каналами — і кожен із них можна перевірити.

Перевірте переадресацію дзвінків і SMS

Зловмисник може налаштувати переадресацію ваших дзвінків або повідомлень на інший номер — без жодного застосунку на телефоні. Перевірте це USSD-кодами:

• *#21# — показує, чи активна безумовна переадресація (тобто всі дзвінки перенаправляються на інший номер);
• *#62# — показує, куди йдуть дзвінки, коли ваш телефон недоступний;
• *#67# — показує, куди переадресовуються дзвінки, коли лінія зайнята;
• ##002# — скасовує всі переадресації.

Якщо побачите незнайомий номер — запишіть його, скасуйте переадресацію й зверніться до оператора.

Перевірте активні сесії хмарних акаунтів

Стеження часто йде не через телефон, а через ваш акаунт: Google, Apple ID, Telegram, Viber, Instagram. Хтось, хто колись знав ваш пароль, може читати листування з іншого пристрою.

• Google: відкрийте myaccount.google.com → «Безпека» → «Ваші пристрої». Видаліть усі пристрої, які не впізнаєте.
• Apple ID: відкрийте «Параметри» → ваше ім’я. Унизу — список пристроїв, прив’язаних до облікового запису.
• Telegram: «Параметри» → «Пристрої». Завершіть усі сесії, крім поточної.
• Viber: перегляньте підключені пристрої в налаштуваннях. Viber дозволяє мати лише один телефон і один десктоп — зайвий пристрій одразу видно.

Після очищення сесій змініть паролі та увімкніть двофакторну автентифікацію — це вже описано в розділі вище.

Перевірте налаштування DNS на роутері

Якщо підозрюєте, що стеження стосується всіх пристроїв у домашній мережі — проблема може бути в роутері. Зловмисник із доступом до адмін-панелі міг змінити DNS-сервер на шкідливий, що перехоплює трафік або перенаправляє на фішингові сайти.

1. Відкрийте адмін-панель роутера (зазвичай 168.0.1 або 192.168.1.1).
2. Знайдіть розділ «DNS» або «Інтернет» / «WAN».
3. DNS-адреси мають бути або від вашого провайдера (автоматичні), або відомими публічними: 1.1.1 (Cloudflare), 8.8.8.8 (Google), 9.9.9.9 (Quad9).
4. Будь-яка інша адреса — привід скинути DNS на автоматичні та змінити пароль адмін-панелі роутера.

Перевірте розширення браузера

На комп’ютері (і на Android у деяких браузерах) шкідливе розширення може читати всі сторінки, перехоплювати паролі та відстежувати дії — при цьому жодного «вірусу» на пристрої не буде.

• Відкрийте список розширень: у Chrome — chrome://extensions, у Firefox — about:addons.
• Видаліть усе, чого не впізнаєте або не пам’ятаєте, навіщо встановлювали.
• Зверніть увагу на розширення з дозволом «Читати та змінювати всі дані на всіх сайтах» — це найширший рівень доступу.

Перевірте, чи не зливає дані стара резервна копія (iPhone)

На iPhone класичне сталкерське ПЗ майже не працює без джейлбрейка. Але якщо хтось має доступ до вашого Apple ID, він може відновити резервну копію iCloud на свій пристрій і отримати ваші фото, контакти, повідомлення iMessage та історію Safari.

• Змініть пароль Apple ID та увімкніть двофакторну автентифікацію (якщо ще ні).
• Перегляньте список пристроїв Apple ID і видаліть незнайомі.
• Перевірте, чи увімкнено «Захист украденого пристрою» (Stolen Device Protection) — ця функція вимагає біометричну автентифікацію для критичних змін у налаштуваннях.

Коли звертатися до спеціалістів

Якщо після всіх перевірок підозри залишаються — особливо якщо стеження може бути пов’язане з домашнім насильством, переслідуванням або погрозами — зверніться до фахівців:

• CERT-UA (cert.gov.ua) — українська команда реагування на кіберінциденти. Приймає звернення від громадян щодо кібератак і шпигунського ПЗ.
• Кіберполіція — подати заяву можна онлайн на ticket.cyberpolice.gov.ua.
• MVT (Mobile Verification Toolkit) від Amnesty International — безкоштовний інструмент для глибокої перевірки пристрою на шпигунське ПЗ державного рівня (Pegasus, Predator). Потребує технічних навичок або допомоги спеціаліста.

Не видаляйте нічого й не скидайте пристрій до заводських налаштувань, поки не зробите резервну копію — спеціалістам потрібні саме сліди роботи шпигунського ПЗ для аналізу.

Як захиститися надалі

• поставте надійний пароль або код розблокування (краще не графічний ключ — його легше підгледіти);
• не передавайте розблокований телефон людям, яким не довіряєте повністю;
• тримайте Google Play Захист увімкненим і вчасно оновлюйте систему та застосунки;
• не встановлюйте програми з невідомих джерел і періодично переглядайте, які дозволи мають ваші застосунки.

Стеження через телефон — це не технічний курйоз, а форма контролю й насильства. Що раніше ви помітите ознаки й перекриєте доступ, то менше даних встигне зібрати той, хто за вами стежить.

Ця стаття Як перевірити телефон на шпигунські програми й видалити їх: інструкція для Android та iPhone раніше була опублікована на сайті CyberCalm, її автор — Побокін Максим

Уявіть звичайний ранок: ви відкриваєте робочу пошту, вводите пароль, підтверджуєте вхід на телефоні — і спокійно беретесь до справ. А в цю саму секунду у вашому акаунті вже хтось інший. Ви все зробили «правильно», навіть двофакторну автентифікацію пройшли — і саме тому атака спрацювала. Це сучасне обличчя загрози, яку класично називають «людина посередині» (man-in-the-middle, MITM). Розберімо, як вона працює сьогодні — і що справді допомагає захиститися.

Що таке атака «людина посередині»

Атака «людина посередині» — це коли зловмисник непомітно вклинюється між вами та сайтом чи застосунком, з яким ви спілкуєтесь. Він або підслуховує обмін даними, або підміняє одну зі сторін так, що ви впевнені: усе йде як зазвичай. Мета — здобути те, що має цінність: логіни й паролі, дані банківських карток, доступ до робочих акаунтів.

Проста аналогія: це наче листоноша, який відкриває ваш банківський лист, переписує реквізити, акуратно заклеює конверт і кладе його у вашу скриньку. Зовні ніби нічого й не змінилося.

Важлива деталь: зловмиснику не обовʼязково сидіти за вашим компʼютером чи бути з вами в одній країні. Іноді достатньо опинитися в тій самій мережі — або змусити вас підключитися до своєї. Фахівці з безпеки, до речі, тепер частіше кажуть «зловмисник посередині» (adversary-in-the-middle, AiTM), бо діяти може не лише людина, а й автоматизований інструмент.

Два обличчя MITM

За останні роки в загрози зʼявилось два дуже різні сценарії. Перший — класичний, мережевий. Другий — новіший, і саме він зараз завдає найбільше шкоди.

Класична атака: підроблений Wi-Fi і спуфінг

Найвідоміший сценарій — відкритий Wi-Fi у людних місцях. Люди бачать напис «безкоштовний Wi-Fi» і підключаються, не замислюючись, хто за ним стоїть. А підняти фальшиву точку доступу простіше, ніж здається: зловмисник дає мережі назву, схожу на назву закладу, лишає її без пароля — і щойно ви підключились, отримує доступ до вашого трафіку. Аеропорти, кавʼярні та бібліотеки — типові місця для таких підроблених точок.

Активніші способи втручання в мережу:

• Підміна ARP— зловмисник привʼязує свою адресу до адреси легітимного пристрою в локальній мережі, і дані, які ви надсилаєте, ідуть до нього.
• Підміна DNS (отруєння кешу) — запит на адресу сайту підмінюється, і ви потрапляєте на копію, що належить зловмиснику.
• Підміна IP— заголовки мережевих пакетів змінюються так, що вас перенаправляє на чужий ресурс.

Хороша новина: цей клас атак помітно ослаб. Колись частина вебу працювала через незахищений HTTP, тож трафік можна було просто читати або «знижувати» зашифроване зʼєднання до відкритого (це називали SSL stripping). Сьогодні переважна більшість сайтів працює через HTTPS, браузери позначають незахищені зʼєднання попередженням, а технології на кшталт HSTS не дають тихо відкотити сайт до HTTP. Старі гучні приклади — троян SpyEye чи атака SSL BEAST на застарілу версію TLS 1.0 — лишились здебільшого в історії.

Сучасна атака: проксі, що краде вашу сесію (AiTM)

А ось де небезпека перемістилась. Сьогодні найпоширеніший сценарій MITM — це не «хтось у вашому Wi-Fi», а фішинг через зворотний проксі. Працює він так: вам надходить переконливий лист із посиланням на «сторінку входу». Сторінка виглядає справжньою — бо насправді зловмисник у реальному часі транслює вам справжній сайт через свій сервер. Ви вводите логін, пароль, проходите двофакторну автентифікацію — усе спрацьовує. Але в цей момент проксі перехоплює не лише пароль, а й сесійний cookie — цифровий «перепустку», яку сайт видає вже після успішного входу.

Маючи цей cookie, зловмисник просто завантажує його у свій браузер — і опиняється у вашому акаунті вже автентифікованим, без жодного запиту пароля чи коду. Готові набори для таких атак (їх продають «під ключ», як-от Evilginx чи Tycoon 2FA) зробили цей сценарій масовим. Головні цілі — пошта, корпоративні акаунти Microsoft 365 і Google Workspace, банки.

Читайте також

Виробник ТВ-приставок вбудував бекдор у 1,3 млн пристроїв: Google знешкодив ботнет XCPE

Логічна бомба: що це, як працює і реальні приклади атак

Новий інфостилер VOLTA залучає Claude, Gemini та Kimi, щоб оцінити, скільки можна заробити на кожній жертві

Злам застосунку «Повітряна тривога»: що відомо про кібератаку?

ФБР повʼязало рекордну крадіжку понад 6 млрд доларів із Binance з північнокорейським угрупованням TraderTraitor

Чому двофакторки вже недостатньо

Багато років нам казали просту річ: увімкніть двофакторну автентифікацію — і вкрадений пароль стане марним. Щодо звичайного фішингу це й досі правда. Але AiTM не намагається «зламати» ваш другий фактор — він чекає, поки ви самі успішно його пройдете, і краде вже результат: готову сесію. SMS-коди, коди з застосунку-автентифікатора і навіть push-підтвердження тут не рятують, бо зловмисник передає їх справжньому сайту замість вас.

Це не означає, що двофакторку треба вимикати — будь-яка MFA краща за її відсутність. Це означає інше: сам лише факт «у мене є двофакторка» більше не дорівнює «я в безпеці».

Як захиститися — від найважливішого до бажаного

1. Перейдіть на passkeys (FIDO2), де це можливо. Це найдієвіший захист саме від AiTM. Passkey криптографічно привʼязаний до конкретного домену: ключ, створений для bank.com, фізично не спрацює на фейковому сайті-копії — навіть якщо ви не помітили підміни. Apple, Google і Microsoft підтримують passkeys на своїх пристроях, а регулятори називають таку автентифікацію «золотим стандартом» захисту.
2. Довіряйте попередженням браузера. Якщо браузер каже, що зʼєднання незахищене або сертифікат недійсний — не «проходьте далі». Часто це єдиний видимий сигнал атаки.
3. Будьте обережні з публічним Wi-Fi. Уникайте відкритих мереж без пароля, а конфіденційні дії (банк, робоча пошта) не виконуйте з кавʼярень і готелів. Якщо без публічної мережі не обійтись — користуйтесь надійним VPN, що шифрує весь трафік. Памʼятайте: VPN захищає канал, але не врятує, якщо ви самі введете дані на фейковій сторінці.
4. Не переходьте за посиланнями з листів на сторінки входу. Відкривайте сайт банку чи пошти вручну — з закладок або набравши адресу. Саме клік із листа — головний вхід для AiTM.
5. Виходьте із сесій і не тримайте вхід «назавжди». Регулярний вихід скорочує цінність украденого cookie.
6. Оновлюйте систему й браузер, перевіряйте розширення. Шкідливе браузерне розширення може стати «людиною у вашому браузері». Видаляйте те, чим не користуєтесь, і стежте за шкідливим ПЗ.

Для власників сайтів: вмикайте HTTPS/TLS на всіх сторінках (не лише на сторінці входу), налаштовуйте HSTS і пропонуйте користувачам passkeys/FIDO2 як спосіб входу.

Три міфи, які варто облишити

• «У мене є двофакторка — отже, я захищений». Проти AiTM цього недостатньо; надійно рятують лише passkeys/FIDO2.
• «VPN захищає від усього». VPN шифрує канал, але не зупинить вас від введення даних на підробленій сторінці.
• «Це загроза лише для відкритого Wi-Fi». Сьогодні більшість успішних MITM-атак починається з листа й фейкової сторінки входу, а не з мережі.

Коротко

MITM-атака — це посередник між вами та сервісом. Класичний варіант (підроблений Wi-Fi, спуфінг) помітно ослаб завдяки HTTPS. Натомість виріс новий — AiTM-фішинг, що краде вашу сесію вже після MFA. Головний сучасний захист — passkeys/FIDO2, привʼязані до домену, плюс здорова звичка не вводити дані за посиланнями з листів.

Поширені запитання

Чи захистить мене VPN від атаки «людина посередині»?

Частково. VPN шифрує ваш трафік і захищає від перехоплення в недовіреній мережі (наприклад, у публічному Wi-Fi). Але він не зупинить AiTM-фішинг: якщо ви самі введете логін і пароль на підробленій сторінці, VPN тут не допоможе.

Якщо в мене ввімкнена двофакторна автентифікація, мене можуть зламати через MITM?

Так. Сучасні AiTM-атаки не ламають другий фактор, а крадуть сесійний cookie вже після того, як ви успішно його пройшли. SMS-коди, коди з автентифікатора і push-підтвердження від цього не захищають. Надійний захист — passkeys/FIDO2.

Що таке passkey і чому він кращий за пароль?

Passkey — це криптографічний ключ, привʼязаний до конкретного сайту й до вашого пристрою. Його неможливо ввести на фейковій сторінці, бо на чужому домені він просто не спрацює. Тому passkeys стійкі до фішингу, на відміну від паролів і кодів.

Як зрозуміти, що я під атакою «людина посередині»?

Явних ознак часто немає. Насторожити мають попередження браузера про недійсний сертифікат чи незахищене зʼєднання, несподіване перенаправлення, дивна поведінка сторінки входу. Найкраща тактика — профілактика, а не виявлення «по факту».

Ця стаття Атака «людина посередині» (MITM): чому двофакторка вже не рятує — і що реально захищає раніше була опублікована на сайті CyberCalm, її автор — Побокін Максим