Найвразливіше місце будь-якої системи захисту — людина, яка нею користується. На цьому й побудована соціальна інженерія. Зловмисники не зламують шифрування і не шукають вразливостей у коді. Вони переконують жертву самостійно відчинити двері: назвати код із SMS, переказати гроші чи запустити шкідливий файл.
Масштаб проблеми добре видно з цифр. За даними Національного банку України, у 2025 році 90% усіх збитків від шахрайства з платіжними картками спричинили саме схеми соціальної інженерії. Загальна сума втрат за рік зросла на 24% — до 1,4 млрд грн. У світі картина схожа: у звіті Verizon Data Breach Investigations Report 2026 людський чинник фігурує у 62% підтверджених витоків даних.
Що таке соціальна інженерія
Соціальна інженерія (також трапляється калька «соціальний інжиніринг») — це методи психологічного маніпулювання, за допомогою яких зловмисник змушує людину розкрити конфіденційну інформацію, надати доступ до системи або виконати дію на його користь. Технічний злам атакує програмне забезпечення, а соціальна інженерія — поведінку. Жертва сама передає пароль, сама переказує гроші, сама встановлює шкідливе ПЗ.
Мета соціальної інженерії у хакерів зазвичай одна з чотирьох:
- облікові дані: паролі, коди підтвердження, доступ до сеансів;
- гроші: переказ на «безпечний рахунок» чи оплата фальшивого рахунку;
- доступ до корпоративної мережі;
- встановлення шкідливого ПЗ.
Часто атака має кілька етапів. Спершу зловмисник збирає відомості про жертву з відкритих джерел: соцмереж, сайтів компаній, злитих баз даних. Потім використовує їх, щоб звучати переконливо.
Хто такий соціальний інженер
Соціальний інженер, або «соціальний хакер», не обовʼязково є технічним фахівцем. Його головні інструменти — знання людської психології, вміння грати роль і ретельна підготовка. Він вивчає внутрішній жаргон компанії, імена керівників, графіки й процедури. Це дає змогу в потрібний момент видати себе за колегу, працівника банку, техпідтримки чи правоохоронця.
Сьогодні частину цієї роботи автоматизує штучний інтелект. ФБР у звіті про інтернет-злочинність за 2025 рік уперше окремо відстежило скарги, повʼязані з ШІ. Їх надійшло понад 22 тис., а збитки сягнули майже 900 млн доларів.
Психологічні важелі: на чому тримається маніпуляція
Методи соціальної інженерії різняться, але спираються на одні й ті самі людські реакції:
- Авторитет. Повідомлення від «керівника», «служби безпеки банку» чи «СБУ» знижує бажання ставити запитання.
- Терміновість. «Картку заблокують за 10 хвилин», «платіж треба провести сьогодні»: брак часу не дає подумати.
- Страх. Погрози кримінальною справою, штрафом, втратою грошей чи акаунта.
- Вигода й цікавість. Виграш, компенсація, «безкоштовний» подарунок або файл із назвою «Премії_2026».
- Довіра й бажання допомогти. Прохання від «колеги», якому терміново потрібен доступ, або від «родича», що потрапив у біду.
- Соціальний доказ. «Усі вже проголосували», «колеги вже підтвердили»: людина орієнтується на поведінку інших.
Основні методи соціальної інженерії
Фішинг і цілеспрямований фішинг
Фішинг — це масова розсилка листів чи повідомлень від імені банку, служби доставки, державного сервісу або соцмережі. У повідомленні є посилання на підроблену сторінку. Цілеспрямований фішинг (spear phishing) — прицільний різновид цієї атаки. Зловмисник заздалегідь вивчає конкретну людину або компанію й складає лист, який виглядає як частина звичного робочого листування. Як змінювалася ця загроза, CyberCalm розповідав у матеріалі про історію фішингу.
Вішинг: телефонні дзвінки
Вішинг (від voice phishing) — це шахрайство телефоном. Найпоширеніший в Україні сценарій — дзвінок від «служби безпеки банку». Жертві повідомляють про підозрілу операцію чи блокування картки й просять назвати дані картки або код із SMS. Кіберполіція радить у разі сумнівів самостійно перетелефонувати до банку за офіційним номером.
Інший сценарій — дзвінки від імені СБУ чи поліції. Як попередила поліція Києва, зловмисники телефонували пенсіонерам і звинувачували їх у фінансуванні держави-агресорки через нібито куплені російські ліки. Вони надсилали в месенджерах фальшиві повістки, а під час відеодзвінка вимагали показати, де вдома зберігаються гроші. Правоохоронці наголошують: працівники поліції та СБУ не проводять слідчих дій телефоном і не вимагають переказувати кошти.
Смішинг і атаки в месенджерах
Смішинг — та сама схема, але в SMS: «посилку не доставлено», «отримайте виплату», «сплатіть штраф». Дедалі частіше атаки переходять у месенджери. Типові приклади — прохання «проголосувати» за дитину в конкурсі, яке закінчується втратою акаунта, або повідомлення від зламаного профілю знайомого з проханням позичити гроші.
Під час війни месенджери стали ще й інструментом шпигунства. Google Threat Intelligence Group зафіксувала, як повʼязані з росією угруповання розсилали шкідливі QR-коди українським військовим. Коди маскували під запрошення до груп Signal або під сторінки військового застосунку «Кропива». Сканування такого коду привʼязувало акаунт жертви до пристрою зловмисників, і ті отримували доступ до листування.
Квішинг: шкідливі QR-коди
Квішинг — фішинг через QR-коди: на паркувальних автоматах, у листах, на фальшивих рахунках. QR-код приховує адресу, тому людина не бачить, куди насправді переходить. Докладніше — у статті про квішинг.
Претекстинг
Претекстинг — це атака за заздалегідь продуманим сценарієм, тобто претекстом. Зловмисник видає себе за аудитора, нового співробітника, представника підрядника чи техпідтримки й поступово виманює потрібну інформацію. Такий сценарій може тривати днями. Звіт Verizon за 2026 рік, як зазначають аналітики NINJIO, окремо описує схему, в якій зловмисники надсилають працівникам зовнішні запити на чат у Microsoft Teams.
Компрометація ділової пошти (BEC)
BEC (Business Email Compromise) — атака на компанії. Зловмисник видає себе за керівника, бухгалтера чи постачальника й просить терміново оплатити рахунок або змінити реквізити. Це одна з найдорожчих схем у світі: за даними ФБР за 2025 рік, лише в США компанії втратили через BEC понад 3 млрд доларів.
Дипфейки і клонування голосу
Генеративний ШІ дає змогу підробити голос і обличчя людини на основі публічних відео- та аудіозаписів. Найвідоміший випадок — атака на британську інженерну компанію Arup. Працівник її гонконзького офісу взяв участь у відеоконференції, де «фінансовий директор» і «колеги» виявилися дипфейками. Після цього він переказав шахраям близько 25 млн доларів у 15 транзакціях. Той самий прийом використовують і проти приватних осіб: дзвінок «родича» з клонованим голосом, який просить терміново переказати гроші.
Атака втомою від запитів (MFA fatigue)
Навіть двофакторна автентифікація не рятує, якщо людину вдається вмовити підтвердити вхід. У 2022 році зловмисник, повʼязаний із групою Lapsus$, раз за разом намагався увійти в акаунт підрядника Uber, і той отримував запити на підтвердження. Зрештою підрядник підтвердив один із них, і нападник потрапив у внутрішні системи компанії. Висновок простий: неочікуваний запит на підтвердження входу — ознака атаки, а не технічний збій.
ClickFix і фальшиві перевірки
Новий різновид соціальної інженерії маскується під технічну процедуру. Сайт показує фальшиву «перевірку, що ви не робот» або повідомлення про помилку й просить скопіювати та виконати команду у вікні «Виконати» чи в терміналі. Насправді ця команда завантажує шкідливе ПЗ. Як працює ClickFix, CyberCalm детально розбирав в огляді браузерних атак 2026 року. Свіжий приклад — попередження CERT-UA про понад 100 зламаних сайтів із фальшивою перевіркою Cloudflare.
Офлайн-методи: бейтинг і тейлгейтинг
Соціальна інженерія існує і поза мережею. Бейтинг (від англ. bait — приманка) — це, наприклад, підкинута біля офісу флешка з написом «Премії». Цікавість змушує вставити її в робочий компʼютер. Тейлгейтинг — проходження в захищене приміщення слідом за працівником, який притримав двері «колезі з повними руками».
Як розпізнати атаку соціальної інженерії
Ще кілька років тому головною ознакою фішингу вважали граматичні помилки. Сьогодні це ненадійний орієнтир. Як зазначає ФБР, зловмисники використовують ШІ, щоб створювати переконливі фішингові листи, синтетичні відео та клонувати голоси. Тому варто оцінювати не форму повідомлення, а зміст запиту. Ознаки, які мають насторожити:
- Тиск часом: вимога діяти негайно, «поки не пізно».
- Запит на чутливі дані: код із SMS, CVV, PIN, пароль, дані для входу в онлайн-банкінг. Банки, поліція та державні органи таких даних не запитують.
- Прохання зберігати таємницю: «нікому не кажіть», «це конфіденційна операція».
- Зміна каналу: розмову переводять із телефону в месенджер або з корпоративної пошти в особисту.
- Нестандартний спосіб оплати: переказ на «безпечний рахунок», криптовалюта, подарункові картки, нові реквізити постачальника.
- Невідповідності в деталях: домен відправника відрізняється від справжнього на одну літеру, номер не збігається з офіційним, звертання не таке, як зазвичай.
- Неочікувані запити: підтвердити вхід, якого людина не ініціювала, або встановити програму віддаленого доступу.
- Пропозиція, надто вигідна, щоб бути правдою.
Як захиститися від соціальної інженерії
Більшість атак ламається на простому правилі: зупинитися й перевірити. Нижче — базові звички, які знижують ризик для кожного користувача, і кілька правил для організацій.
Для кожного користувача
- Брати паузу. Будь-яке повідомлення, що вимагає негайних дій із грошима чи даними, — привід завершити розмову й усе обдумати.
- Перевіряти через незалежний канал. Перетелефонувати до банку за номером на звороті картки чи на офіційному сайті, написати «керівникові» в інший месенджер, зателефонувати родичеві напряму.
- Нікому не повідомляти коди з SMS, CVV, PIN і паролі, навіть «працівникам банку».
- Домовитися з рідними про кодове слово. Воно допоможе розпізнати дзвінок із клонованим голосом.
- Увімкнути двофакторну автентифікацію, а де можливо — ключі доступу (passkeys), які неможливо виманити на фішинговому сайті. Не підтверджувати запити на вхід, яких не ініціювали самостійно.
- Регулярно перевіряти повʼязані пристрої та активні сеанси в Telegram, WhatsApp, Signal і пошті.
- Обмежити публічну інформацію про себе: дату народження, місце роботи, імена дітей, плани поїздок.
- Не виконувати команди, скопійовані із сайтів, і не встановлювати програми віддаленого доступу на прохання незнайомців.
Для бізнесу
- Запровадити подвійне підтвердження платежів і зміни реквізитів: зворотний дзвінок за відомим номером, а не за номером із листа.
- Перейти на стійку до фішингу автентифікацію (апаратні ключі, passkeys) або принаймні на запити з підтвердженням числа замість простих push-сповіщень.
- Регулярно навчати працівників і проводити тренувальні фішингові розсилки.
- Створити простий канал для повідомлень про підозрілі листи й дзвінки і не карати за помилки, щоб працівники не боялися звертатися.
Що робити, якщо атака вдалася
- Негайно звʼязатися з банком за офіційним номером і заблокувати картку, якщо йдеться про гроші.
- Змінити паролі скомпрометованих акаунтів з іншого, чистого пристрою й завершити всі сторонні сеанси.
- Якщо на прохання зловмисника встановлено програму, відключити пристрій від мережі та перевірити його на шкідливе ПЗ.
- Повідомити поліцію за номером 102 або 112 і подати заяву до кіберполіції.
- Попередити знайомих, якщо зламано акаунт у месенджері чи соцмережі: від імені жертви зловмисники часто розсилають прохання про гроші.
- Організаціям — повідомити про інцидент CERT-UA.
Соціальна інженерія змінюється разом із технологіями: листи стають грамотнішими, голоси й обличчя — переконливішими. Але її механіка лишається незмінною. Атака завжди потребує, щоб людина діяла поспіхом і не перевіряла. Пауза і дзвінок за офіційним номером досі зупиняють більшість таких схем.
