Чорна пʼятниця у 2026 році припадає на 27 листопада, а Кіберпонеділок — на 30 листопада. Проте українські й закордонні магазини запускають розпродажі заздалегідь, і фактично сезон знижок триває весь листопад. Разом із покупцями активізуються й шахраї: фейкові магазини, підробні домени відомих брендів, SMS «від служби доставки» та знижки, яких насправді немає.

Нижче — як розпізнати основні схеми, перевірити магазин перед оплатою і що робити, якщо гроші вже відправлено шахраям.

Чому під час розпродажів шахраїв більше

Розпродажі — ідеальне прикриття: покупці готові до великих знижок, поспішають і менше перевіряють сайти. Check Point Research у звіті за листопад 2025 року зафіксувала, що у жовтні зʼявилося 158 нових доменів, повʼязаних із Чорною пʼятницею, — на 93% більше, ніж у середньому за місяць того року. За перші десять днів листопада таких доменів зареєстрували понад 330, і кожен 11-й із них виявився шкідливим.

Ще одна тенденція — підробка великих маркетплейсів. Серед нових доменів зі згадкою Amazon, AliExpress чи Alibaba загрозу становив кожен 25-й. Дослідники також знайшли мережу однотипних фейкових магазинів зі «знижками», які посилалися на відомі бренди, зокрема H&M, Mango та Columbia. Детальніше про ці дані — у новині CyberCalm «Шахрайські домени Black Friday: експерти попереджають про різке зростання фейкових сайтів».

Фейкові магазини і підробні домени

Шахрайський магазин часто майже не відрізняється від справжнього: офіційний логотип, якісні фото товарів, знайомий дизайн. Так, підробний сайт кросівок HOKA, який описала Check Point, використовував логотип і фото бренду, а домен для нього зареєстрували 24 жовтня 2025 року — за місяць до розпродажу. Мета таких сайтів — отримати дані картки й облікові записи під час фальшивого оформлення замовлення.

Насторожити мають такі ознаки:

• адреса поєднує назву бренду, слова black friday, рік чи назву країни — як-от 2025germanyblackfriday[.]com зі звіту Check Point;
• адреса відрізняється від справжньої однією літерою чи доменною зоною — це тайпсквотинг, розрахований на помилку під час введення адреси;
• ціни нижчі за ринкові в рази, а таймер на сторінці підганяє з оплатою;
• немає контактів, даних про продавця, умов доставки й повернення;
• оплата лише переказом на картку або «за реквізитами».

Значок замка в адресному рядку не гарантує безпеки: сертифікат HTTPS безкоштовно отримує будь-який сайт, зокрема шахрайський. Замок означає лише, що зʼєднання зашифроване, але не те, що на іншому боці чесний продавець.

Найнадійніше переходити до магазину не за рекламою чи посиланням із листа, а ввівши адресу вручну або через закладку. Незнайомий сайт варто перевірити сканером безпеки CyberCalm. Він безкоштовно показує, коли зареєстровано домен, чи попереджають про сайт Google і Cloudflare, чи є він у переліку шахрайських сайтів Асоціації «ЄМА» і чи не схожа адреса на підробку відомого магазину. Домен, якому кілька тижнів, — серйозний привід відмовитися від покупки. Водночас сканер не перевіряє чесність продавця, тож відгуки й контакти варто дивитися окремо.

Шахрайська реклама і сторінки в соцмережах

Значна частина фейкових магазинів живе не на окремих сайтах, а в соцмережах. Кіберполіція попереджає: шахраї копіюють фото й описи справжніх продавців, додають вигадані відгуки та обіцяють «знижки лише сьогодні». Після передоплати продавець зникає, а сторінку видаляють уже за кілька тижнів і створюють нову під іншою назвою.

Перед покупкою через сторінку в соцмережі варто подивитися, коли її створено, скільки на ній публікацій і живих коментарів. Якщо реклама веде на «офіційний магазин» бренду, краще знайти сайт бренду самостійно й порівняти адресу та ціну.

Фішингові SMS і листи «від служби доставки»

У сезон розпродажів майже кожен чекає на посилку, і шахраї цим користуються. Восени 2025 року Нова пошта попереджала про SMS із невідомих номерів із текстом «Вашу посилку затримано через неправильний індекс». Посилання в такому повідомленні нібито веде на підтвердження адреси, а насправді збирає особисті й банківські дані.

Правило просте: статус посилки варто перевіряти лише в застосунку чи на сайті перевізника, ввівши номер накладної вручну. Те саме стосується листів від імені магазинів з «ексклюзивними промокодами» чи проханням «підтвердити замовлення»: справжню акцію можна знайти на сайті магазину без переходу за посиланням.

Фальшиві знижки

Не кожна знижка — шахрайство, але не кожна знижка — справжня. Поширений прийом — підняти ціну за кілька тижнів до розпродажу, а потім «знизити» її до звичайного рівня. Перевірити це допомагає історія цін на агрегаторах на кшталт hotline.ua.

У магазинах Європейського Союзу є додатковий запобіжник: за статтею 6a директиви про зазначення цін продавець мусить вказувати поруч зі знижкою найнижчу ціну за 30 днів до неї. Якщо ця ціна дорівнює «акційній» або нижча за неї, знижка фіктивна. Як це виглядає на практиці і як порахувати реальну вигоду з урахуванням доставки й мита — у статті «Як вигідно купувати онлайн в Україні та за кордоном».

Як платити безпечно

• Без переказів на особисту картку. Справжні магазини приймають оплату через платіжну сторінку, Apple Pay чи Google Pay або післяплату. Переказ «на картку менеджера» — головна ознака шахрайства, і повернути такі гроші найважче.
• Окрема віртуальна картка. Для онлайн-покупок варто мати окрему віртуальну картку й поповнювати її лише на суму покупки. Навіть якщо дані картки викрадуть, основні кошти залишаться недоступними.
• Сервіси, які не передають магазину номер картки. Apple Pay, Google Pay чи PayPal зменшують ризик витоку даних картки з сайту продавця.
• Жодних кодів нікому. Коди з SMS чи пуш-повідомлень банку не потрібні ні продавцю, ні «службі доставки», ні «службі безпеки банку».

Що робити, якщо вже потрапили на шахраїв

Що швидше діяти, то більше шансів повернути гроші й захистити рахунки.

• Заблокувати картку в застосунку банку або за номером гарячої лінії, вказаним на картці чи офіційному сайті банку.
• Звернутися до банку з заявою про шахрайську операцію. Якщо оплата була карткою, варто запитати про процедуру оскарження операції (chargeback): чи вона можлива, залежить від способу оплати й правил платіжної системи.
• Зберегти докази: скриншоти сайту чи сторінки продавця, листування, квитанції про оплату, адресу сайту.
• Повідомити поліцію: за номером 102 або через кіберполіцію. Банки часто просять підтвердження звернення до поліції.
• Змінити паролі, якщо на фішинговому сайті вводилися логін і пароль, і ввімкнути двофакторну автентифікацію там, де вона ще не ввімкнена.

Варто також попередити рідних, особливо старших, про схему, з якою довелося зіткнутися: вони часто стають наступною ціллю тих самих шахраїв.

Ця стаття Чорна пʼятниця: як не натрапити на фейкові магазини, фішинг і фальшиві знижки раніше була опублікована на сайті CyberCalm, її автор — Олена Кожухар

Той самий товар в українському магазині, на польському маркетплейсі та на офіційному сайті бренду в іншій країні може коштувати дуже по-різному. Щоб ця різниця стала реальною економією, а не зайвими витратами чи втраченими грошима, порівнювати варто не лише цінники, а й доставку, митні платежі, кешбек і надійність продавця.

Особливо актуально це перед сезоном розпродажів: 11 листопада, Чорна пʼятниця 27 листопада та Кіберпонеділок 30 листопада. Саме в цей час зʼявляється найбільше фальшивих знижок і шахрайських магазинів. Нижче — покрокова схема, яку редакція CyberCalm перевірила на власних покупках.

Визначитися з потребою, а не зі знижкою

Перший крок — чітко сформулювати, що саме потрібно: конкретну модель, характеристики, розмір, колір. Чим точніший запит, тим легше порівнювати пропозиції і тим менша спокуса купити щось зайве лише через яскравий цінник. Для ноутбука, наприклад, варто заздалегідь вирішити, що важливіше — продуктивність чи вага.

Якщо є можливість, товар корисно побачити наживо: приміряти одяг і взуття, щоб визначитися з розміром і кольором, потримати в руках гаджет, оцінити якість матеріалів. Ціни в офлайн-магазинах часто вищі через витрати на оренду й персонал, але інколи саме там трапляється уцінка. Якщо ж ні — з точною моделлю й розміром можна переходити до онлайн-пошуку.

Порівняти ціни в Україні

Для порівняння цін в українських магазинах зручні агрегатори на кшталт hotline.ua: вони показують пропозиції різних продавців на одну модель. Перевагу варто віддавати відомим магазинам із відгуками, контактами й зрозумілими умовами повернення. Невідомий продавець із ціною, помітно нижчою за ринкову, — привід насторожитися, а не радіти.

OLX: тільки через OLX Доставку

На OLX часто трапляються нові речі зі знижкою: комусь не підійшов розмір або подарунок. Найбезпечніше купувати там через OLX Доставку: покупець оплачує товар не на картку продавця, а через сервіс, продавець отримує гроші після отримання товару, а в разі відмови посилка безплатно повертається. Річ можна оглянути у відділенні й відмовитися, якщо вона не відповідає опису.

Головне правило — жодної передоплати на картку незнайомого продавця. Якщо продавець відмовляється від OLX Доставки й пропонує «скинути на картку, щоб не платити комісію», від такої покупки краще відмовитися, хоч би якою вигідною вона здавалася. Варто памʼятати й про те, що OLX не надсилає SMS чи повідомлень у месенджерах: уся інформація про угоду є лише в профілі на сайті чи в застосунку. Посилання «для отримання оплати» або «оформлення доставки» від іншої сторони угоди — типова фішингова схема.

Перевірити ціни за кордоном

Якщо українські ціни не влаштовують, наступний крок — офіційні сайти брендів у різних країнах. Часто вигідніше купувати в країні походження бренду або там, де він проводить найщедріші акції: американську техніку — на сайті для США, одяг європейських марок — у країні, де бренд має найбільшу мережу. Для цього достатньо змінити країну в налаштуваннях сайту й порівняти, наприклад, іспанську версію сайту ZARA чи Massimo Dutti, американську Levi’s або турецьку LC Waikiki.

Для Польщі є власний аналог hotline — ceneo.pl. Одяг, техніку й товари для дому з польських магазинів нерідко вигідніше замовити навіть з урахуванням доставки, яка з Польщі зазвичай недорога.

Наприклад, той самий двобортний блейзер H&M (однаковий артикул, колір і розмір) в українському інтернет-магазині бренду коштує 2599 грн, а на польському сайті H&M — 134,99 zł, тобто приблизно 1555 грн за курсом НБУ на 29 жовтня 2026 року (11,52 грн за злотий). Сама річ у Польщі дешевша на 40%, але остаточний висновок можна зробити лише після підрахунку доставки.

Важливо: на закордонному сайті варто обирати валюту країни магазину. Ціни, автоматично перераховані в гривні чи долари, можуть суттєво відрізнятися через курс конвертації самого сайту.

Порахувати доставку і митні платежі

Доставка

Знайдена за кордоном ціна ще не остаточна. До неї треба додати доставку до складу посередника чи поштового оператора в країні покупки (частина магазинів робить її безплатною) і міжнародну доставку в Україну. Розрахувати останню можна в калькуляторах сервісів доставки із закордонних магазинів, як-от NP Shopping чи Meest. Варто також перевірити, чи немає в оператора акцій на доставку з певної країни: інколи вигідніше купити той самий товар там, звідки доставка зараз дешевша.

Перед замовленням корисно переглянути на сайті оператора перелік заборонених і обмежених до пересилання товарів, а також обмеження за вагою та габаритами.

Мито: як діє зараз

Зараз посилки вартістю до 150 євро не оподатковуються, а вартість доставки до цієї суми не враховується. Якщо замовлення дорожче, податки нараховують лише на суму перевищення: 10% мита і 20% ПДВ із перевищення разом із митом. За розрахунком Безоплатної правничої допомоги, для посилки за 200 євро це 5 євро мита й 11 євро ПДВ — разом 16 євро.

Кількість посилок до 150 євро не обмежена. Але якщо кілька посилок приходять одночасно від одного відправника одним замовленням і разом коштують понад 150 євро, митні платежі доведеться сплатити. Тож розбивати велике замовлення в одному магазині на кілька частин — ненадійний спосіб заощадити.

Що зміниться з 2027 року

22 жовтня 2026 року Президент підписав закони №5025-IX та №5026-IX. За розʼясненням Мінфіну, ПДВ на імпорт товарів у міжнародних поштових та експрес-відправленнях застосовуватиметься з 0 євро. Нараховувати й сплачувати його буде маркетплейс, тож 20% ПДВ автоматично включатимуть у ціну під час покупки, а процедура отримання посилки не зміниться. Без ПДВ залишаться некомерційні посилки між фізичними особами вартістю до 45 євро.

Нові правила набудуть чинності не раніше 1 липня 2027 року і лише після окремого рішення уряду. Тож розпродажі цієї осені й зими ще проходять за чинними правилами з порогом 150 євро.

Порівняти повну вартість покупки

Коли відомі всі складові, залишається порівняти два сценарії: покупку в Україні і замовлення з-за кордону. На прикладі того самого блейзера H&M розрахунок виглядає так.

• Україна: 2599 грн за блейзер + 169 грн доставки = 2768 грн.
• Польща: 134,99 zł за блейзер + 9,90 zł доставки до складу NP Shopping у Польщі = 144,89 zł, або близько 1669 грн. До цього додається міжнародна доставка через NP Shopping: 7,48 євро, або 380 грн. Разом — приблизно 2049 грн.
• Мито: не нараховується, бо вартість блейзера — близько 30 євро, що значно менше порогу в 150 євро.

Економія становить близько 720 грн, або чверть вартості. Варто врахувати, що банк списує гроші за власним курсом, який зазвичай трохи вищий за курс НБУ, тож реальна різниця буде дещо меншою. До того ж польська ціна в цьому прикладі акційна, а українська — звичайна: після завершення розпродажу різниця скоротиться.

Окремо варто зважити ризики. Повернути товар у закордонний магазин складніше й дорожче: для одягу, який може не підійти за розміром, це вагомий аргумент спершу приміряти модель в офлайн-магазині. Гарантія виробника на техніку, придбану за кордоном, може не діяти в Україні, тож для дорогої електроніки різниця в кілька сотень гривень не завжди виправдовує ці ризики.

Додати кешбек, бонуси й промокоди

Банківські застосунки, зокрема monobank і Приват24, пропонують кешбек на окремі магазини чи категорії товарів. Перед оплатою варто перевірити, чи є кешбек для потрібного магазину, і за потреби активувати його. Категорії в банків різні, тож інколи вигідніше платити карткою іншого банку.

Додаткову знижку можуть дати програми лояльності: Fishka, бонусні програми мобільних операторів, а також програма Укрзалізниці «Залізні друзі», у якій за поїздки нараховують «обіймашки» й обмінюють їх на знижки в партнерів. Пошук промокоду займає кілька хвилин, а заощадити може десятки чи навіть сотні гривень. Усі купони й кешбеки варто застосувати до того, як натиснути «Купити».

Чорна пʼятниця і розпродажі: як відрізнити справжню знижку

Найбільші розпродажі року — 11 листопада, Чорна пʼятниця (у 2026 році — 27 листопада) і Кіберпонеділок (30 листопада). Багато магазинів запускають акції заздалегідь, тож список бажаних покупок і поточні ціни на них варто зафіксувати ще до старту розпродажів.

Перекреслена ціна і «−70%» самі по собі ще не означають вигоди. Перевірити знижку допомагає історія цін: hotline.ua і ceneo.pl показують, як змінювалася ціна моделі з часом. Якщо перед розпродажем ціна різко зросла, а потім «впала» до звичайного рівня, це не знижка.

Для магазинів у Європейському Союзі діє додатковий запобіжник. Згідно зі статтею 6a директиви про зазначення цін, у будь-якому оголошенні про знижку продавець мусить вказати попередню ціну — найнижчу, яку він застосовував щонайменше за 30 днів до акції. Польський регулятор UOKiK перед Чорною пʼятницею радить насамперед дивитися саме на цю ціну, а у січні 2026 року наклав штрафи на Zalando і Temu за неправильне інформування про найнижчу ціну перед знижкою. Якщо найнижча ціна за 30 днів дорівнює «акційній» або нижча за неї, знижка фіктивна.

Саме так виглядає кошик польського H&M із прикладу вище: під акційною ціною 134,99 zł магазин указує найнижчу ціну за 30 днів перед знижкою — 209,99 zł. Отже, знижка реальна й становить близько 36%.

Ще одна порада для замовлень із-за кордону: у пікові тижні розпродажів обробка й доставка посилок можуть тривати довше, тож подарунки до свят краще замовляти із запасом.

Як розпізнати фейковий інтернет-магазин

Під час розпродажів шахрайських сайтів і сторінок у соцмережах стає більше. Кіберполіція попереджає: шахраї копіюють фото й описи справжніх продавців, додають вигадані відгуки та обіцяють «знижки лише сьогодні». Після повної чи часткової передоплати продавець зникає, а сторінку видаляють уже за кілька тижнів і створюють нову під іншою назвою. Насторожити мають такі ознаки:

• сторінку чи сайт створено нещодавно, публікацій і коментарів мало;
• продавець погоджується лише на передоплату на особисту картку;
• немає контактів, даних про продавця й умов повернення;
• ціна значно нижча, ніж в інших продавців;
• просять повідомити коди з SMS від банку чи сервісів входу.

Окремий ризик — фішингові сторінки «оформлення доставки» або «безпечної угоди», які копіюють дизайн відомих сервісів: введені там дані картки потрапляють до зловмисників.

Перш ніж вводити дані на незнайомому сайті, його адресу варто перевірити сканером безпеки CyberCalm. Він безкоштовно й без реєстрації показує, чи попереджають про сайт Google або Cloudflare, чи є він у переліку шахрайських сайтів Асоціації «ЄМА», чи не схожа адреса на підробку банку, служби доставки чи відомого магазину і коли зареєстровано домен. Остання ознака особливо важлива перед розпродажами: шахрайські магазини часто живуть лише кілька тижнів. Сканер також показує, куди насправді веде коротке посилання, не відкриваючи саму сторінку.

Водночас сканер не оцінює чесність продавця і реальність товарів, тож відгуки, контакти й умови повернення варто перевіряти окремо. Безпечніше обирати оплату при отриманні або сервіси із захистом покупця.

Оплатити безпечно

Розраховуватися краще у валюті магазину, щоб уникнути подвійної конвертації. Для європейських магазинів зручна картка в євро, якщо вона є.

Для онлайн-покупок варто мати окрему віртуальну картку й тримати на ній лише суму для конкретної покупки. Навіть якщо дані картки викрадуть із сайту магазину, зловмисники не дістануться основних коштів, адже навіть великі й відомі магазини не застраховані від зламів. Ще надійніше платити через Apple Pay, Google Pay або PayPal: у такому разі магазин не отримує повних реквізитів картки.

Коди підтвердження з SMS чи пуш-повідомлень банку не можна повідомляти нікому — ні «продавцю», ні «службі доставки», ні «службі безпеки банку». Справжньому продавцю вони для отримання оплати не потрібні.

Порядок дій коротко

Вигідна й безпечна онлайн-покупка складається з послідовних кроків: визначити точну модель, порівняти ціни в Україні та за кордоном, порахувати доставку й мито, додати кешбек і промокоди, перевірити справжність знижки та надійність продавця і лише потім оплатити окремою карткою. Це забирає трохи більше часу, ніж імпульсивне натискання «Купити», але саме так розпродаж приносить економію, а не розчарування.

Ця стаття Як вигідно купувати онлайн в Україні та за кордоном: ціни, доставка, мито і безпека раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Підозра, що хтось стежить через вебкамеру, зазвичай зʼявляється після дивної дрібниці: індикатор біля обʼєктива спалахнув без причини, програма для відеодзвінків повідомила, що камера «зайнята», або на пошту прийшов лист із погрозами. Віддалений доступ до камери справді можливий — для цього зловмисникам потрібне шкідливе ПЗ на пристрої або вразливість у самій камері. Проте значно частіше тривога виявляється хибною. Нижче — ознаки, на які варто зважати, і способи перевірити компʼютер на Windows і macOS, смартфон на Android та iPhone, а також браузер.

Як зловмисники отримують доступ до камери

Для ноутбука чи смартфона типовий шлях — шкідлива програма з функціями віддаленого керування або шпигунське ПЗ. Воно потрапляє на пристрій разом із піратськими програмами, «кряками», вкладеннями з листів чи шкідливими розширеннями браузера. Отримавши доступ, така програма може вмикати камеру й мікрофон і передавати зображення та звук зловмиснику — зберігати записи на самому пристрої їй для цього не потрібно.

Окремий випадок — камери відеоспостереження, підключені до інтернету напряму. Їх зламують через стандартні паролі та незакриті вразливості, і в Україні це питання не лише приватності, а й безпеки (докладніше — у розділі про захист камери). І третій, найпоширеніший сценарій — злому немає взагалі, а є шахрайський лист із вимогою викупу.

Ознака 1. Індикатор камери вмикається без причини

Найпомітніша ознака — світлодіод біля обʼєктива, який загоряється, коли жодна програма камерою не користується. На ноутбуках MacBook індикатор апаратно повʼязаний із камерою: за словами Apple, камера не може ввімкнутися так, щоб не засвітився й індикатор. Якщо ж пристрій із Windows не має світлодіода, система, за даними Microsoft, показує сповіщення щоразу, коли камера вмикається або вимикається.

Водночас світлодіод — не абсолютна гарантія. На конференції POC 2024 дослідник безпеки Андрій Коновалов показав, як перепрошити вбудовану вебкамеру ноутбука ThinkPad X230 через USB і керувати індикатором окремо від камери — тобто знімати з вимкненим світлом. Дослідник припускає, що подібний підхід може спрацювати й на інших ноутбуках, де камера підключена всередині корпусу через USB. Тож відсутність світла ще не доводить, що камера неактивна, і варто перевірити інші ознаки.

У macOS, iOS та Android поверх апаратного індикатора працює ще й системний — зелена крапка в рядку меню чи рядку стану. Як ним користуватися, описано нижче.

Ознака 2. Камера «зайнята», хоча всі програми закриті

Якщо застосунок для відеодзвінків повідомляє, що камеру вже використовує інша програма, спершу варто закрити все, що могло її захопити: Zoom, Teams, браузер із відкритою відеоконференцією, системну програму «Камера». Часто камеру тримає застосунок, який лише згорнули в область сповіщень.

Якщо повідомлення не зникає й після цього, слід зʼясувати, хто саме використовує камеру, — способи для Windows і macOS наведено нижче. Невідомий процес, що звертається до камери, — вагомий привід перевірити пристрій на шкідливе ПЗ.

Ознака 3. Серед програм із доступом до камери є незнайомі

У Windows 11 перелік відкривається так: «Пуск» → «Параметри» → «Конфіденційність і захист» → «Камера» (інструкція Microsoft). Розділ «Нещодавні дії» показує, які програми зверталися до камери, з датою й часом. Інструкції в статті наведено для Windows 11: підтримка Windows 10 завершилася 14 жовтня 2025 року.

Варто враховувати обмеження, про яке пише сама Microsoft. Класичні настільні програми не можна вимкнути поодинці — лише всі разом перемикачем «Дозволити класичним програмам доступ до камери». До того ж деякі з них можуть звертатися до камери, навіть коли ці налаштування вимкнено, тож порожній перелік ще не гарантує безпеки. Окремий виняток — Windows Hello: вхід за обличчям користується камерою навіть тоді, коли доступ програм до неї заборонено.

У macOS аналогічний перелік розміщено в «Системних параметрах» → «Приватність і безпека» → «Камера». Доступ для незнайомих програм слід вимкнути, а програми, встановлення яких користувач не памʼятає, — видалити.

Не кожен незнайомий запис означає злам. Месенджери, банківські застосунки чи фоторедактори часто мають функцію відеодзвінків або сканування документів і отримали дозвіл під час першого запуску. Підозрілими є програми без зрозумілого призначення, з дивною назвою або такі, яких на компʼютері не мало б бути взагалі.

Ознака 4. Індикатор вмикається разом із браузером

Якщо камера оживає одразу після запуску браузера, причиною може бути сайт, якому колись надали дозвіл, або розширення. Дозволи сайтів легко перевірити: у Chrome — «Налаштування» → «Конфіденційність і безпека» → «Налаштування сайтів» → «Камера» (довідка Google), у Edge — «Налаштування» → «Конфіденційність, пошук і служби» → «Дозволи сайтів» → «Усі сайти» (довідка Microsoft). Дозволи для незнайомих сайтів варто видалити.

Якщо сайтів із дозволом немає, а індикатор однаково вмикається, слід вимкнути всі розширення й вмикати їх по одному, щоб знайти проблемне. Як розпізнати шахрайські доповнення, CyberCalm розповідав в окремому матеріалі. Коли й це не допомагає, браузер варто повністю перевстановити.

Варто також памʼятати, що програми для відеоконференцій можуть вмикати камеру одразу після запуску. Це налаштування самої програми, а не ознака злому.

Як знайти процес, який використовує камеру

Windows: Process Explorer

Найточніший спосіб для Windows — безкоштовна утиліта Process Explorer з набору Sysinternals від Microsoft. Вона працює у Windows 11 і вміє шукати процеси, що тримають відкритими певні системні обʼєкти, зокрема камеру.

1. Відкрити «Диспетчер пристроїв», розгорнути розділ «Камери» (або «Пристрої обробки зображень»), клацнути правою кнопкою миші на камері й вибрати «Властивості».
2. На вкладці «Відомості» у списку «Властивість» вибрати «Імʼя обʼєкта фізичного пристрою» і скопіювати значення — рядок вигляду \Device\000000…
3. Запустити Process Explorer від імені адміністратора, відкрити меню Find → Find Handle or DLL (Ctrl+F), вставити скопійоване імʼя й натиснути Search.
4. Переглянути результати: у переліку будуть процеси, які зараз використовують камеру.

Завершувати знайдений процес (правою кнопкою → Kill Process) варто лише після перевірки. Багато легітимних програм, зокрема системні компоненти Windows, мають незрозумілі назви процесів. Надійніше спершу знайти назву файла в пошуковику й перевірити його антивірусом.

macOS: «Центр керування»

Коли камера активна, у рядку меню поруч із піктограмою «Центру керування» зʼявляється зелений індикатор (помаранчевий означає мікрофон). Якщо відкрити «Центр керування», угорі видно, яка програма користується камерою чи мікрофоном, а в macOS 13.3 і новіших — ще й вікно «Приватність» із подробицями (довідка Apple).

Як перевірити смартфон: Android та iPhone

Android

Починаючи з Android 12, система показує в рядку стану індикатор, коли застосунок використовує камеру або мікрофон. Ця функція обовʼязкова для всіх виробників: індикатор має бути зеленим, розташовуватися завжди в тому самому місці, а натискання на нього показує назву застосунку.

Історію звернень до камери можна переглянути на панелі конфіденційності — назва й розташування пункту залежать від виробника, найчастіше він у розділі налаштувань «Безпека та конфіденційність». У швидких налаштуваннях Android 12 і новіших також є перемикачі, які блокують камеру й мікрофон для всіх застосунків одразу, разом із вбудованими.

iPhone

На iPhone з iOS 14 і новішими зелена крапка в рядку стану означає, що працює камера (або камера разом із мікрофоном), помаранчева — лише мікрофон (довідка Apple). Якщо відкрити «Пункт керування», угорі видно, який застосунок користувався ними нещодавно.

Детальнішу картину дає «Звіт про приватність програм» в iOS 15.2 і новіших: «Параметри» → «Приватність і безпека» → «Звіт про приватність програм». Після ввімкнення він показує, скільки разів і коли кожен застосунок звертався до камери, мікрофона та інших датчиків за останні 7 днів. Дані збираються лише з моменту ввімкнення, тому одразу звіт буде порожнім.

Камера не працює у відеодзвінку: злам чи налаштування?

Протилежна ситуація — камера підключена, але у відеодзвінку замість зображення чорний екран — майже ніколи не свідчить про злам. Найчастіші причини такі:

• у налаштуваннях приватності Windows чи macOS вимкнено загальний доступ до камери або дозвіл для конкретної програми;
• браузер заблокував камеру для сайту відеозвʼязку — дозвіл змінюють через значок ліворуч від адреси сайту або в «Налаштуваннях сайтів»;
• закрита фізична шторка або камеру вимкнено функціональною клавішею, яка є на багатьох ноутбуках;
• камеру вже захопила інша програма;
• у програмі для відеозвʼязку вибрано не ту камеру, або драйвер потребує оновлення.

Microsoft нагадує, що в Windows мають бути ввімкнені і загальний доступ до камери, і доступ для конкретної програми. Якщо ж зображення зникло раптово, без жодних змін у налаштуваннях, варто паралельно переглянути «Нещодавні дії», описані вище.

Лист «я зламав вашу камеру»: шантаж без відео

Найпоширеніша «атака на вебкамеру» насправді обходиться без камери. Шахраї масово розсилають листи, у яких стверджують, що зламали компʼютер, записали адресата через камеру під час перегляду сайтів для дорослих і розішлють відео всім контактам, якщо не отримають викуп у біткоїнах. Щоб налякати, у лист часто вставляють справжній, хоч і старий, пароль адресата.

Федеральна торгова комісія США (FTC) пояснює, що погрози про доступ до компʼютера чи камери в таких листах — порожні слова. Пароль шахраї, найімовірніше, взяли з бази даних, що витекла під час одного з минулих зламів онлайн-сервісів. Рекомендація FTC проста: нічого не платити й видалити лист. Якщо згаданий пароль досі десь використовується, його слід негайно змінити — на всіх сервісах, де він повторюється.

Типові ознаки такого листа: жодних доказів, крім пароля; жорсткий дедлайн у кілька годин чи днів; оплата лише криптовалютою; загальні фрази, які підходять будь-кому. Інша річ — справжній шантаж, коли зловмисник має реальні інтимні фото чи відео (наприклад, отримані в листуванні). Тоді платити теж не варто: слід зберегти листування й звернутися до кіберполіції.

Що робити, якщо злам підтвердився

1. Закрити камеру шторкою або наліпкою, а зовнішню USB-камеру відʼєднати від компʼютера.
2. Відключити пристрій від інтернету, щоб перервати звʼязок шкідливої програми із сервером зловмисника.
3. Видалити незнайомі програми й розширення браузера, виявлені під час перевірки.
4. Запустити повну перевірку антивірусом. У Windows 11 є вбудований Microsoft Defender із режимом автономної перевірки, яка виконується до завантаження системи.
5. Встановити всі оновлення системи, браузера та програм.
6. З іншого, чистого пристрою змінити паролі до пошти, банківських застосунків і соцмереж та ввімкнути двофакторну автентифікацію.
7. Якщо шкідливе ПЗ не вдається видалити або ознаки зараження повертаються, скинути пристрій до заводських налаштувань чи перевстановити систему, попередньо зберігши важливі файли.

Як захистити камеру надалі

Найпростіший захист від підглядання — шторка або непрозора наліпка на обʼєктиві; багато сучасних ноутбуків мають вбудовану механічну шторку. Для MacBook є застереження: Apple попереджає, що через малий зазор між екраном і клавіатурою кришку з накладкою, товщою за 0,1 мм (приблизно аркуш офісного паперу), закривати не можна — це може пошкодити дисплей. Зовнішню USB-камеру найпростіше відʼєднувати, коли вона не потрібна.

Шторка не захищає від прослуховування: мікрофон вона не вимикає. Тому не менш важливі звичні правила — встановлювати програми лише з офіційних джерел, вчасно оновлювати систему, не відкривати несподівані вкладення й періодично переглядати дозволи на камеру та мікрофон. Детальніше про налаштування захисту — у матеріалі про захист камери й мікрофона від злому.

Для камер відеоспостереження, підключених до інтернету, обовʼязкові заміна стандартного пароля, оновлення прошивки й вимкнення хмарного доступу, якщо він не потрібен. В Україні це ще й питання безпеки: у січні 2024 року СБУ заблокувала в Києві дві онлайн-камери, які зламали російські спецслужби, щоб стежити за роботою ППО та обʼєктами критичної інфраструктури. За даними СБУ, від початку повномасштабного вторгнення її кіберфахівці заблокували близько 10 тисяч IP-камер, які ворог міг використати для коригування ударів.

Справжній злам вебкамери — нечастий, але реальний сценарій, і помітити його здебільшого допомагають вбудовані засоби системи. Перегляд індикаторів і переліку дозволів займає кілька хвилин, а шторка на обʼєктиві знімає більшу частину ризику підглядання.

Ця стаття Як перевірити, чи не зламали вебкамеру: ознаки на компʼютері та смартфоні і що робити раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Ключі доступу (passkeys) поступово витісняють паролі: вхід в акаунт зводиться до дотику до сканера відбитків пальців або погляду в камеру смартфона. Проте за цією зручністю стоїть питання, яке мало хто ставить собі заздалегідь: що буде з усіма акаунтами, захищеними ключами доступу, якщо телефон раптово вийде з ладу, загубиться чи його вкрадуть? Відповідь залежить передусім від того, де саме зберігаються ключі, — і здебільшого вона цілком заспокійлива.

Смартфон — не обовʼязково єдине сховище ключів

Якщо ключ доступу створено на Android-смартфоні й збережено в Google Password Manager, він не залишається «замкненим» у телефоні. Менеджер паролів шифрує ключі доступу та синхронізує їх через акаунт Google, тож вони стають доступними на інших підтримуваних пристроях, де виконано вхід у той самий акаунт.

Отже, зламаний телефон не забирає ці ключі з собою. Щоб повернути синхронізовані ключі на новому пристрої, потрібно увійти в акаунт Google і підтвердити особу способом розблокування екрана, який використовувався на Android-пристрої, — PIN-кодом, паролем або графічним ключем. Сам старий телефон для цього не потрібен: достатньо памʼятати його код. Інший варіант — PIN-код Google Password Manager, якщо його було налаштовано.

Apple працює за схожим принципом: ключі доступу синхронізуються між схваленими пристроями через iCloud Keychain. Для відновлення звʼязки ключів на новому пристрої використовуються акаунт Apple, SMS на довірений номер телефону та код-пароль пристрою. Ще один шлях — контакт для відновлення облікового запису, якщо його додано заздалегідь: він допоможе повернути доступ, навіть коли забуто пароль акаунта Apple чи код-пароль пристрою. Оскільки стандартна процедура відновлення спирається на SMS, такий контакт особливо цінний у разі одночасної втрати телефона й SIM-картки.

Сторонні менеджери паролів, що синхронізують ключі доступу, забезпечують аналогічне резервування. Тож знати, де саме зберігаються ключі, означає позбавити себе неприємних здогадок у момент, коли телефон уже розбився об асфальт.

Чому сайт тут не допоможе

Водночас сайт, на який виконується вхід, сам відновити ключ доступу не може. Під час реєстрації операційна система створює унікальну криптографічну пару ключів: сервіс зберігає лише відкритий ключ, яким перевіряє користувача, а закритий залишається в постачальника ключів доступу або на пристрої. Якщо закритий ключ утрачено й постачальник не може його повернути, сайт, як правило, не здатен його відтворити. Тоді доведеться скористатися іншим способом відновлення акаунта, а потім зареєструвати новий ключ доступу.

Ключі, привʼязані до пристрою, справді зникають разом із ним

Заспокійлива відповідь вище має суттєве застереження: ключі доступу бувають синхронізованими або привʼязаними до конкретного пристрою (device-bound). Останні на інші пристрої не синхронізуються.

Альянс FIDO використовує цей термін для облікових даних, які не можуть залишити пристрій, що їх видав, — зокрема ключів доступу на апаратних ключах безпеки. Microsoft застосовує той самий підхід до ключів доступу Microsoft Entra для робочих і навчальних облікових записів: вони зберігаються в локальному контейнері Windows Hello й не синхронізуються між пристроями. Якщо такий пристрій — єдине місце, де існує ключ доступу, то з утратою пристрою зникає і ключ.

Доступ до акаунта все ще можна повернути — через інший зареєстрований ключ доступу, апаратний ключ безпеки, код відновлення, пароль або процедуру відновлення, яку пропонує сервіс. Після цього варто створити новий ключ доступу. Складність у тому, що кожен сервіс організовує відновлення по-своєму, тож наявність одного ключа доступу ще не гарантує однакової страховки всюди.

QR-код не замінить робочий телефон

Хибне враження можуть створювати й входи через QR-код. Крос-пристроєва автентифікація дає змогу компʼютеру показати QR-код, а смартфону з ключем доступу, що лежить поруч, — підтвердити вхід. Для цього телефон має бути поруч і розблокований, а Bluetooth — увімкнений: через нього пристрої перевіряють, що перебувають близько один до одного. Смартфон зі згорілою материнською платою в цій схемі вже не бере участі.

Для акаунтів, утрата яких неприпустима, доцільно зареєструвати додатковий автентифікатор, якщо сервіс це дозволяє. Апаратний ключ безпеки може зберігати власний ключ доступу — і це шлях назад в акаунт, який не залежить від того самого телефона.

Як підготуватися, поки всі пристрої працюють

Головний висновок не в тому, що ключі доступу ненадійні. Синхронізовані ключі значно спрощують повернення в акаунти після втрати телефона. Але питання відновлення не варто залишати на волю випадку. Для кожного акаунта, втрата якого була б болісною, варто заздалегідь виконати кілька перевірок.

1. Зʼясувати, де зберігається ключ доступу. У Google Password Manager чи в застосунку «Паролі» від Apple? У сторонньому менеджері паролів? Чи він існує лише на одному автентифікаторі?
2. Переконатися, що доступ до самого постачальника ключів можна відновити. Менеджер паролів нерідко є «вхідними дверима» до десятків акаунтів, тож його налаштування відновлення варто перевірити до того, як ці двері зачиняться.
3. Мати більше ніж один автентифікатор. Не варто робити ставку на єдиний пристрій: якщо сервіс дозволяє зареєструвати другий ключ доступу на іншому автентифікаторі, цим слід скористатися.
4. Зберегти резервні коди. Якщо сервіс пропонує резервні коди або інший запасний механізм, їх слід тримати в надійному місці.
5. Не покладатися лише на SMS. Текстове повідомлення мало чим допоможе, якщо разом із телефоном утрачено й доступ до номера. Там, де сервіс дозволяє, варто мати незалежний спосіб відновлення, — тим паче що є й інші вагомі причини відмовитися від двофакторної автентифікації через SMS.

Що зробити після відновлення доступу

Повернувшись в акаунт, варто видалити втрачений пристрій або повʼязаний із ним ключ доступу. Google, наприклад, дає змогу переглянути зареєстровані ключі доступу в налаштуваннях акаунта, а ключі, які Android створив автоматично, прибрати, вийшовши з акаунта на відповідному пристрої в розділі керування пристроями. Варто також урахувати, що новим ключем доступу Google іноді можна скористатися лише через сім днів після створення. Пришвидшити цей процес допомагає вже наявний довірений ключ доступу або апаратний ключ безпеки.

Резервний шлях має бути деінде

Зламаний телефон — лише половина проблеми, до якої варто підготуватися. Значно гірший сценарій — одночасна втрата смартфона, SIM-картки та доступу до акаунта, через який синхронізуються ключі доступу. В умовах війни, коли телефон можна втратити під час евакуації чи обстрілу, такий сценарій зовсім не теоретичний. Тому резервний варіант повинен вести назад в акаунти шляхом, який не залежить від того самого пристрою, що вже зник.

Ця стаття Що станеться з ключами доступу, якщо смартфон зламається чи загубиться раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Щоб отримати доступ до чужого банківського рахунку, пошти чи соцмережі, зловмисникам не обовʼязково знати пароль. Достатньо викрасти файл cookie активної сесії — і сайт сприйме їх як власника акаунта, який уже увійшов. Цей тип атаки називають перехопленням сесії (session hijacking).

За даними дослідження NordVPN, з 9 червня 2025 року по 8 червня 2026 року в даних, зібраних інфостилерами, виявили понад 52,4 млрд викрадених файлів cookie. Це в 4,6 раза більше, ніж усіх інших типів викрадених даних разом, — паролів, записів автозаповнення, файлів і платіжних карток.

Файли cookie стали головною мішенню хакерів.

Ідеться про кількість записів, а не постраждалих: з одного зараженого пристрою зловмисники забирають одразу багато файлів cookie. Найбільшу частку становлять рекламні та трекінгові, однак серед них є й сесійні — саме вони відкривають прямий доступ до чужих акаунтів.

Як працює сесійний файл cookie

Під час входу на сайт — наприклад, в онлайн-банк — браузер отримує унікальний файл cookie з ідентифікатором сесії. Він зберігається на пристрої й дозволяє переходити між сторінками без повторного введення логіна та пароля. Такий файл називають сесійним, і після виходу з акаунта він втрачає силу.

Проблема в тому, що поки сесія активна, cookie можна викрасти. А активною вона залишається і після завершення роботи — якщо на сайті вибрано опцію «Запамʼятати мене» або акаунт не було закрито належним чином.

Уявіть сесійний файл cookie як цифровий ключ, який уже повернули в замку. Поки ви залишаєтеся в акаунті, саме він тримає двері відчиненими. Якщо хакер викраде активний cookie, він фактично стає вами.

Йому не потрібен пароль, вхід не запускає жодних сповіщень, а багатофакторну автентифікацію (MFA) часто вдається обійти.

Звідки зловмисники беруть файли cookie

Файли cookie викрадають безпосередньо з пристрою. Здебільшого це наслідок того, що користувач несвідомо завантажив шкідливе ПЗ — так званий інфостилер.

Щойно шкідливе ПЗ потрапляє на пристрій, воно одразу звертається до бази даних браузера, забирає всі активні сесійні файли cookie й надсилає їх хакеру. По суті, зловмисники залазять у цифрову кишеню і витягують ключі, поки власник не дивиться.

Як зазначають дослідники NordVPN, інфостилери найчастіше потрапляють на пристрої через небезпечні завантаження, фальшиві оновлення програм, шкідливу рекламу, фішингові посилання, зламані застосунки, чити для ігор та заражені вкладення в листах. Майже чотири з пʼяти викрадених cookie (79,8%) повʼязані лише з трьома сімействами шкідливого ПЗ — Lumma-C2, RedLine і Vidar.

Як розпізнати атаку

Зовні нічого не видає крадіжку: це звичайна сесія, під час якої користувач увійшов в акаунт із паролем і, можливо, підтвердив вхід через MFA. Про атаку жертва часто дізнається лише тоді, коли акаунт уже використали.

Наслідки залежать від того, який саме сервіс зламали:

• соцмережа або пошта — зловмисники розсилають від імені власника шахрайські повідомлення його контактам;
• онлайн-банк — шахраї отримують доступ до рахунку або використовують знайдені дані для схем, у яких видають себе за банк чи іншу організацію;
• інтернет-магазин — зловмисники змінюють адресу доставки й оплачують замовлення збереженою карткою.

Сигналом може стати сповіщення від самого сервісу — наприклад, запит на підтвердження зміни даних, якої власник акаунта не ініціював.

Як захиститися

• Обережно встановлювати розширення та програми. Саме в них найчастіше ховаються інфостилери.
• Стежити за ознаками зараження. Серед тривожних сигналів Маріюс Брідіс називає раптове гальмування пристрою на простих завданнях, надто швидке розряджання батареї, часті збої, а також дивну поведінку браузера: переадресації, спливні вікна чи змінену домашню сторінку.
• Не входити в акаунти через незахищений публічний Wi-Fi. Імовірність викрадення cookie через такі мережі невелика, проте обережність не завадить.
• Виходити з акаунтів вручну. «Закриття вкладки не завершує сесію, — наголошує Брідіс. — Потрібно вручну вийти з акаунта, щоб анулювати cookie і зробити його марним для злодія».
• Перенести паролі з браузера в менеджер паролів. Інфостилери викрадають не лише cookie, а й паролі, збережені в браузері: у вибірці NordVPN їх налічили 607,9 млн.
• Регулярно очищати файли cookie. Це зменшує обсяг даних, які можна викрасти, хоча після очищення доведеться заново входити в акаунти.
• Не відмовлятися від MFA. Попри можливість обходу, багатофакторна автентифікація все одно захищає краще, ніж сам лише пароль.

Антивірус потрібен, але сам по собі не гарантує захисту. Дослідники NordVPN знаходили викрадені cookie й на пристроях із захисним ПЗ: серед журналів інфостилерів, де воно було зафіксоване, 96,3% припадало на Windows Defender, решта — на комерційні антивіруси.

Якщо є підозра, що пристрій скомпрометовано, варто перевірити його антивірусом, вийти з акаунтів на всіх пристроях (більшість сервісів мають функцію завершення всіх інших сеансів) і змінити паролі. Також варто переглянути історію активності акаунта, список підключених пристроїв, способи відновлення доступу та збережені платіжні методи — і видалити все незнайоме. Про підозрілі платежі слід негайно повідомити банк.

Ця стаття Крадіжка файлів cookie: як зловмисники входять в акаунти без пароля і MFA раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

11 жовтня 2026 року о 14:00 за UTC (17:00 за київським часом) кореневу зону DNS — вершину системи доменних імен — почав підписувати новий криптографічний ключ KSK-2024. Це лише друга заміна так званого «головного ключа Інтернету» відтоді, як корінь DNS захистили підписами у 2010 році. За повідомленням ICANN, заміну завершено за планом, хоча організація ще перевіряє повідомлення про проблеми на окремих системах. Більшість людей нічого не помітили — і саме так усе мало відбутися.

Що таке ключі захисту Інтернету

Коли йдеться про «ключі захисту Інтернету» чи «ключі від Інтернету», найчастіше мають на увазі одну конкретну річ — кореневий ключ DNSSEC, офіційно Root Zone Key Signing Key (KSK). Його також називають «якорем довіри» (trust anchor): саме з нього починається перевірка справжності адрес у мережі.

DNS працює як довідник Інтернету: перетворює зрозумілі людині адреси на кшталт cybercalm.org на IP-адреси серверів. Спочатку ця система не мала захисту від підробки: відповідь DNS можна було підмінити, і користувач потрапляв на фальшивий сайт, навіть правильно ввівши адресу. Розширення DNSSEC (Domain Name System Security Extensions) додає до записів DNS криптографічні підписи. Завдяки їм резолвер — сервер, який шукає адреси замість користувача, — може перевірити, що відповідь справжня і її не змінили в дорозі.

Підписи утворюють ланцюжок довіри згори донизу. KSK підписує інший ключ — ключ підписування зони (Zone Signing Key, ZSK), а вже ZSK підписує дані кореневої зони, зокрема записи доменів верхнього рівня, які своєю чергою ручаються за домени нижче. Якщо резолвер не довіряє ключу на самій вершині, він не зможе перевірити жодної відповіді під ним. Ролі розподілені між двома організаціями: ICANN є оператором KSK, а компанія Verisign — оператором ZSK.

Що сталося 11 жовтня 2026 року

Того дня кореневу зону почав підписувати KSK-2024 з ідентифікатором (key tag) 38696, а KSK-2017 з ідентифікатором 20326 перестав її підписувати. Попередній ключ виконував цю роботу вісім років — з 11 жовтня 2018-го.

Заміна не була раптовою. Новий ключ згенерували 26 квітня 2024 року, а з 11 січня 2025-го його відкрита частина вже перебувала в кореневій зоні. Майже два роки резолвери в усьому світі мали, щоб «познайомитися» з ним. Механізм RFC 5011 дозволяє резолверу автоматично додати новий ключ до довірених, якщо той протягом 30 днів спостерігається в зоні підписаним чинним ключем. Уже за місяць після публікації більшість резолверів почали довіряти KSK-2024, а приблизно за 500 днів частка тих, що його прийняли, перевищила 95%.

Після перемикання наслідки проявляються не одразу: кешована копія кореневого набору ключів зберігається в резолверах два дні, тому справжня перевірка готовності тривала до 13 жовтня.

Чи все пройшло гладко

Вимірювання APNIC, оприлюднені 21 жовтня, свідчать: масштабного збою DNS не сталося, а глобальна частка перевірок DNSSEC навіть зросла — з 39,7% до 40,6%. Проте середні цифри приховують локальні проблеми. Великого індійського провайдера встигли попередити 9 жовтня, і він вчасно виправив налаштування; з бразильськими провайдерами звʼязатися не вдалося, і частка валідації в Бразилії впала з 54% до 50%. Загалом дослідники нарахували 660 мереж, де рівень перевірки DNSSEC після заміни знизився на 10% і більше.

Для користувача такий збій виглядає неочевидно: резолвер без нового ключа не може визначити жодного домену — ні підписаного, ні непідписаного — і масово повертає помилку SERVFAIL. Сайти працюють, але їхні імена раптом перестають «відкриватися». Саме так сталося, наприклад, із власниками роутерів OpenMPTCProuter, які встановили прошивку менш ніж за 30 днів до заміни: 12 жовтня в них перестали визначатися зовнішні адреси.

ICANN продовжує моніторинг: процес заміни ще не завершено.

Що далі

• 11 січня 2027 року KSK-2017 опублікують із позначкою відкликання (REVOKE), щоб резолвери, які підтримують RFC 5011, перестали йому довіряти.
• 22 березня 2027 року KSK-2017 видалять з кореневої зони.

Хронологія: від незахищеного DNS до третього кореневого ключа

Як часто змінюються ключі

Кореневих ключів два типи, і живуть вони по-різному. ZSK змінюють кожні 90 днів — це рутина, яку ніхто не помічає. KSK змінюють значно рідше. Спершу йому відводили пʼять років, але перший ключ прослужив набагато довше — вісім.

Тепер IANA планує ідеалізований трирічний цикл: новий ключ приблизно два роки перебуває в кореневій зоні в режимі очікування, а наступника генерують після кожної заміни. Такий інтервал, за поясненням IANA, — баланс: процедури й програмне забезпечення залишаються готовими до нових ключів, а надто часті заміни не ускладнюють роботу. Довгий період очікування до того ж дає змогу прискорити заміну, якщо виникне потреба.

Хто насправді тримає «ключі від Інтернету»

Популярна історія про «сімох людей, які володіють ключами від Інтернету», — спрощення. ICANN пояснює: безпосередньо в церемоніях задіяно близько пʼятдесяти експертів, частину з них поділено на три групи по сім осіб — звідси й міф про «сім ключів».

Ці люди — Trusted Community Representatives (TCR), довірені представники інтернет-спільноти. Їх обирають із заявок технічної спільноти; людина, повʼязана з PTI, ICANN чи Verisign, стати TCR не може. Станом на жовтень 2026 року до складу входять 14 криптоофіцерів — по сім для кожного з двох обʼєктів, — 7 власників часток ключа відновлення та 12 резервних представників. Криптоофіцери й власники часток представляють 17 країн — від Австралії та Чилі до Зімбабве та Ісландії. Представників України серед них немає.

Криптоофіцери (Cryptographic Officers)

Щоб апаратний модуль безпеки працював під час церемонії, потрібно активувати 3 із 7 смарт-карт, виданих для цього HSM. ICANN намагається, щоб на кожній церемонії було щонайменше четверо криптоофіцерів — на випадок, якщо хтось не зможе виконати свою роль.

Важливе уточнення: смарт-карта — не «шматочок» кореневого ключа, а лише засіб увімкнути модуль, у якому ключ зберігається. Самі по собі ці фізичні ключі (металеві або смарт-карти) не дають доступу до кореневого ключа: для цього представникам довелося б опинитися всередині захищеного обʼєкта, а сейф із резервними картами мав би бути відчинений.

Власники часток ключа відновлення (Recovery Key Share Holders)

ICANN тримає по два HSM на кожному обʼєкті, а на найнеймовірніший випадок — зашифровану резервну копію кожного кореневого ключа в сейфі на кожному обʼєкті. Власники часток ключа відновлення беруть участь у процесах генерації та резервного копіювання ключа — їхня роль потрібна саме для сценарію, коли ключ доведеться відновлювати з резервної копії.

Як відбувається церемонія ключа

Церемонії KSK зазвичай проводять чотири рази на рік у захищених приміщеннях. Під час типової церемонії ключем підписують матеріал, який використовуватимуть у DNSSEC протягом наступних місяців. Обʼєктів два, і обидва розташовані в США: Root Zone Key Management Facility East у Калпепері (Вірджинія) та Root Zone Key Management Facility West в Ель-Сегундо (Каліфорнія). Кожна церемонія триває від трьох до восьми годин.

Головний принцип — прозорість. Церемонії публічні: їх транслюють онлайн, а після завершення оприлюднюють записи та матеріали. Наприклад, для церемонії 62 опубліковано записи трьох аудиторських камер, анотований сценарій, журнали підписування й навіть образ операційної системи підписувального компʼютера.

Спрощено церемонія виглядає так:

1. Учасники проходять контроль доступу до захищеного приміщення. Дії виконуються строго за сценарієм, а внутрішній свідок фіксує будь-які відхилення від нього.
2. Із сейфів дістають апаратний модуль безпеки та смарт-карти криптоофіцерів.
3. Криптоофіцери активують HSM своїми картами — потрібно щонайменше 3 із 7.
4. Кореневим ключем підписують ключі ZSK на наступний квартал. Сам ключ при цьому не залишає HSM: це не файл, а цифровий ключ, який зберігається всередині апаратного модуля.
5. Обладнання повертають у сейфи, а записи й журнали церемонії публікують.

Церемонія, яка підготувала заміну

Церемонія 62 відбулася 12 серпня 2026 року в Ель-Сегундо: на ній підписали ZSK на четвертий квартал 2026 року та знищили два старі апаратні модулі — 5W і 6W. Саме в цьому кварталі відбулося перемикання на KSK-2024, тож підписи, які почали діяти 11 жовтня, створили ще в серпні. Серед оприлюднених журналів — підписи як для переходу до нової фази заміни ключа, так і для резервних сценаріїв її відкату.

Наступну, 63-тю церемонію заплановано на 12 листопада 2026 року в Калпепері — на ній підпишуть ZSK на перший квартал 2027 року.

Що станеться, якщо ключ викрадуть

Загроза реальна, але її часто перебільшують. Компрометація KSK дала б змогу створювати «правильні» з погляду DNSSEC підписи для будь-якого домену. Утім між викраденим ключем і масштабною атакою — кілька серйозних перешкод:

• Підроблену відповідь ще треба доставити жертві. Для цього зловмисник має опинитися на шляху трафіку або атакувати кеш резолвера — самого ключа для цього замало.
• За оцінкою APNIC, лише близько 40% користувачів у світі працюють через резолвери, що перевіряють DNSSEC. Для решти підписи взагалі не перевіряються, тож підробити для них DNS можна й без кореневого ключа.
• HTTPS додає окремий рубіж: підмінена адреса сама по собі не дає зловмиснику дійсного сертифіката для чужого домену, тож браузер попередить про проблему.
• ICANN наголошує: Інтернет — це значно більше, ніж DNSSEC, а контроль над одним аспектом не дає контролю над іншими.

У разі компрометації довелося б провести позапланову заміну ключа. Тривалий період, протягом якого наступний ключ заздалегідь перебуває в кореневій зоні, передбачено зокрема для того, щоб у разі потреби пришвидшити заміну. Але навіть тоді частині операторів довелося б оновлювати якорі довіри вручну, а це означає тимчасові збої для користувачів їхніх мереж.

Як захищено ключ

• Апаратне зберігання. Кореневий ключ — не файл, а цифровий ключ усередині апаратного модуля безпеки.
• Дублювання. Два обʼєкти, по два HSM на кожному, плюс зашифровані резервні копії в сейфах.
• Розподіл повноважень. Для роботи модуля потрібні 3 із 7 смарт-карт, а їхніми власниками не можуть бути люди, повʼязані з ICANN, PTI чи Verisign.
• Публічність. Церемонії транслюють, записи й журнали публікують, а процеси керування ключем проходять сертифікацію незалежним аудитором.

Що це означає для користувачів і адміністраторів

Для більшості — нічого. Домашні користувачі, які покладаються на DNS провайдера або великого публічного резолвера, не мали робити жодних дій.

Більшість користувачів Інтернету не помітять жодних змін, однак операторам DNS-програм варто заздалегідь переконатися, що їхні системи правильно налаштовані й довіряють новому ключу

Перевірка потрібна тим, хто сам підтримує резолвер із перевіркою DNSSEC: на сервері компанії, домашньому сервері чи роутері (наприклад, з Unbound або BIND). Порядок дій такий:

1. Переконатися, що серед якорів довіри є ключ з ідентифікатором 38696. Типові файли: bind.keys (ISC BIND), root.key (Unbound і PowerDNS Recursor), root.keys (Knot Resolver).
2. Якщо ключа немає — перевірити, чи ввімкнено автоматичне оновлення якорів довіри і чи має процес резолвера право запису до каталогу з ключами. ICANN радить не вважати, що автоматичне оновлення спрацювало, а перевірити це.
3. Перевірити довіру до нового ключа на практиці можна механізмом KSK Sentinel: запит до імені виду root-key-sentinel-is-ta-38696 має повертати відповідь, а до root-key-sentinel-not-ta-38696 — помилку SERVFAIL.
4. Якщо збій уже стався, ICANN пропонує тимчасово вимкнути перевірку DNSSEC або налаштувати для кореня негативний якір довіри (RFC 7646), а потім якнайшвидше встановити KSK-2024 і знову ввімкнути перевірку.

Усе це варто зробити до 11 січня 2027 року, коли KSK-2017 офіційно відкличуть.

А що з доменом .UA

Українська доменна зона пройшла цей шлях раніше за багатьох. Зону .UA підписали DNSSEC у березні 2012 року, а в квітні її запис зʼявився в корені. У 2019 році адміністратор зони — компанія Hostmaster — перевів ключ .UA на алгоритм ECDSA P-256 і запровадив DNSSEC для реєстраторів у публічних доменах — тобто власник домену в .ua може попросити свого реєстратора підписати його зону.

Майбутнє: ECDSA, а потім постквантова криптографія

Ані під час першої заміни у 2018 році, ані під час нинішньої алгоритм кореневого ключа не змінювався — корінь DNS досі підписують RSA. Це наступний крок. У лютому 2026 року ICANN винесла на публічне обговорення план: згенерувати новий кореневий ключ на ECDSA P-256 у 2027 році й вивести RSA-ключ з ужитку до 2030-го. На час переходу обидва алгоритми працюватимуть паралельно, а розмір RSA-ключа ZSK заздалегідь зменшать з 2048 до 1536 біт, щоб відповіді DNS рідше доводилося обрізати й повторно передавати через TCP. Комітет ICANN із безпеки та стабільності (SSAC) підтримав перехід.

ECDSA дає компактніші ключі й підписи, але не є постквантовим алгоритмом. Досвід зміни алгоритму на вершині DNS знадобиться пізніше — учасники обговорення вже просять ICANN врахувати його для майбутніх постквантових переходів. Детальніше про те, чому квантові компʼютери загрожують сучасній криптографії, — у матеріалах про постквантову криптографію та квантово-захищене шифрування.

Висновки

Заміна кореневого ключа DNS у жовтні 2026 року показала, як має працювати критична інфраструктура: майже два роки підготовки, публічні церемонії, вимірювання на кожному етапі — і подія, яку більшість людей навіть не помітили. «Ключі від Інтернету» — не чарівний вимикач у руках кількох людей, а ретельно розподілена система довіри, у якій жодна людина чи організація не може діяти одноосібно.

Проте ланцюжок довіри настільки міцний, наскільки міцна його найслабша ланка. Для більшості користувачів нею є не кореневий ключ, а налаштування їхнього провайдера, роутера чи корпоративного DNS-сервера. Саме тому наступні етапи — відкликання старого ключа в січні 2027-го та перехід на ECDSA — потребуватимуть такої самої уваги адміністраторів, як і 11 жовтня.

Ця стаття Ключі захисту Інтернету: хто їх контролює, як у 2026 році змінили кореневий ключ DNS і що буде, якщо його викрадуть раніше була опублікована на сайті CyberCalm, її автор — Олена Кожухар

Людина з технічним досвідом зазвичай одразу розпізнає фішинговий лист чи дзвінок «зі служби безпеки банку». Батьки, бабусі й дідусі, а часто й друзі, які рідко мають справу з технологіями, такого досвіду не мають — і саме на них шахраї розраховують найбільше.

За даними НБУ, у 2025 році 90% від загальної суми збитків від шахрайства з платіжними картками спричинила соціальна інженерія, а самі збитки зросли на 24% — до 1,4 млрд грн. Інакше кажучи, гроші здебільшого не «зламують»: людина сама переказує їх або повідомляє коди, повіривши вдало розіграній історії.

Найкращий захист від соціальної інженерії — не антивірус, а кілька спокійних розмов із близькими. Їх можна провести за сімейною вечерею, під час відеодзвінка чи поїздки за місто. Нижче — вісім тем, з яких варто почати, і готові фрази для кожної.

1. «Бути підозрілим — це нормально»

Більшість людей змалку вчили бути ввічливими й довіряти тим, хто говорить упевнено та від імені установи — банку, поліції, Пенсійного фонду чи служби доставки. Соціальна інженерія експлуатує саме цю звичку: шахрай не зламує систему, а переконує людину самостійно зробити потрібну йому дію.

Тому першу розмову варто присвятити дозволу на підозрілість. Літнім родичам важливо почути, що покласти слухавку посеред розмови з «працівником банку» — не грубість, а нормальна реакція. Справжня установа не образиться, якщо їй передзвонять.

Найкраще працюють реальні приклади. Варто зберігати скриншоти шахрайських SMS, повідомлень у месенджерах і фішингових листів — власних або з сімейних чатів — і разом розбирати, що їх видає: поспіх, погрози блокуванням, прохання перейти за посиланням чи назвати код.

Фраза для початку: «Якщо хтось телефонує і квапить — це вже привід насторожитися».

2. «Банк ніколи не питає коди»

Дзвінки «зі служби безпеки банку» залишаються однією з найпоширеніших схем телефонного шахрайства. Сценарій зазвичай схожий: «з вашої картки намагаються списати гроші», «потрібно терміново перевести кошти на захищений рахунок», «назвіть код, який зараз надійде». Іноді шахраї просять установити «застосунок для захисту» — насправді програму віддаленого доступу до смартфона.

Рідним варто запамʼятати кілька незмінних правил:

• банк ніколи не просить назвати CVV-код, PIN-код, пароль від інтернет-банкінгу чи код із SMS;
• «безпечних», «резервних» чи «захищених» рахунків, на які нібито треба переказати гроші, не існує;
• справжній працівник банку не просить установлювати застосунки під час дзвінка;
• у разі сумніву розмову завершують і самі телефонують на номер, вказаний на звороті картки чи в офіційному застосунку банку — саме так ФБР радить перевіряти будь-які дзвінки від імені організацій.

Фраза для початку: «Якщо дзвонять „з банку“ — кладеш слухавку й передзвонюєш на номер з картки».

3. «Якщо „син“ дзвонить із чужого номера і просить гроші»

Друга класична схема — «родич у біді». Телефонує чи пише «син», «онука» або «друг», який нібито потрапив у ДТП, загубив телефон чи терміново потребує грошей. Раніше шахраї покладалися на поганий звʼязок і паніку співрозмовника.

Тепер вони можуть підробити голос близької людини за допомогою ШІ. У своєму попередженні ФБР радить домовитися в родині про секретне слово чи фразу, щоб перевіряти особу того, хто телефонує. Таке слово не повинно траплятися в соцмережах і не має вгадуватися з контексту.

Те саме стосується повідомлень у месенджерах. Якщо «знайомий» раптом просить позичити гроші, проголосувати за посиланням чи переслати код, найімовірніше, його акаунт зламали. Перевірити просто: зателефонувати цій людині на звичний номер.

Фраза для початку: «Якщо я колись подзвоню й попрошу гроші — спитай наше слово».

4. «Код із SMS — це ключ від твого акаунта»

Акаунти в Telegram, Viber чи WhatsApp найчастіше втрачають не через складні атаки, а тому, що власник сам повідомив код підтвердження. Приводи шахраї вигадують різні: «підтвердити участь у голосуванні», «отримати виплату», «вам помилково надіслали код». Рідним варто пояснити: код із SMS чи повідомлення від сервісу не можна називати нікому — ні «оператору», ні «другу», ні «працівнику пошти».

Другий рубіж захисту — двоетапна перевірка, яку краще ввімкнути разом:

• у Telegram — додатковий пароль у розділі «Конфіденційність і безпека» → «Двоетапна перевірка»;
• у WhatsApp — PIN-код у розділі «Акаунт» → «Двоетапна перевірка».

Навіть якщо шахрай виманить код із SMS, без цього пароля чи PIN-коду увійти в акаунт він не зможе. Пароль варто зберегти в менеджері паролів — про це наступна розмова.

5. «Ось твій новий менеджер паролів»

Пояснити, чому не можна мати один пароль на все, значно легше, коли поруч уже є інструмент, що знімає потребу їх запамʼятовувати. Менеджер паролів варто не лише порадити, а налаштувати разом, на пристрої родича. Вибір залежить від того, якими пристроями людина користується:

• iPhone, iPad і Mac — вбудований застосунок «Паролі». Він зʼявився в iOS 18 і macOS Sequoia, а спільна група в ньому дає змогу безпечно ділитися паролями й ключами доступу з родиною. Як ним користуватися — у окремій інструкції.
• Android — Менеджер паролів Google. З травня 2024 року в ньому можна ділитися паролями з учасниками сімейної групи Google.
• Змішані родини, де є і Android, і iPhone, і компʼютер на Windows, — кросплатформні менеджери, наприклад 1Password чи Bitwarden.

Головна мета — щоб людина перестала вводити паролі вручну й записувати їх на папірці біля монітора.

6. «Будь ласка, перестань використовувати цей пароль»

Ця розмова буває незручною, але вона необхідна. Багато хто має «свій» пароль: кличку першого собаки з роком народження, номер телефону чи дату весілля. Такий пароль легко вгадати, а якщо він повторюється на кількох сайтах, один витік відкриває доступ до всіх.

Змінювати все за один вечір не потрібно. Достатньо разом знайти в менеджері паролів один слабкий або повторюваний пароль, замінити його на надійний і показати, що надалі менеджер згенерує й запамʼятає такий пароль сам.

Там, де сервіс це підтримує, ще краще перейти на ключі доступу. Вхід відбувається за відбитком пальця, Face ID чи PIN-кодом пристрою, тож пароль, який можна виманити телефоном, просто зникає.

7. «Які акаунти для тебе найважливіші?»

Не всі облікові записи однаково цінні. Варто разом скласти короткий список тих, злам яких завдасть найбільшої шкоди: основна електронна пошта (через неї відновлюють доступ до решти сервісів), банківські застосунки, Дія, месенджери, акаунт Google або Apple ID.

Для кожного з них варто перевірити три речі:

• чи пароль унікальний і чи збережений він у менеджері паролів;
• чи ввімкнена двофакторна автентифікація — бажано через застосунок-автентифікатор або ключ доступу, а не лише SMS;
• чи актуальні резервний номер телефону та пошта для відновлення доступу.

Після такої перевірки варто окремо відзначити, наскільки захищенішими стали найважливіші акаунти. Це мотивує більше, ніж будь-які попередження.

8. «Тут ніхто нікого не засуджує»

Навіть технічно обізнані люди, втомлені чи неуважні, стають жертвами вправних шахраїв. Якщо це сталося з літнім родичем, найгірша реакція — докори. Людина, якій соромно, наступного разу може приховати проблему, а час у таких випадках критичний.

Тому варто заздалегідь домовитися: якщо щось пішло не так, родич одразу повідомляє, а не намагається розібратися сам. І мати під рукою простий план дій, який радить кіберполіція:

1. негайно звернутися до банку, щоб заблокувати картку та доступ до онлайн-банкінгу;
2. зателефонувати до поліції за номером 102 або 112;
3. повідомити про злочин кіберполіцію, зокрема через онлайн-форму звернення;
4. зберегти повідомлення, посилання, скриншоти, контакти шахраїв і платіжні документи — вони допоможуть встановити обставини.

«Я завжди поруч, щоб допомогти»

Безпека — це не разова лекція, а процес. Інтерфейси застосунків змінюються, шахраї вигадують нові приводи, тож покрокові інструкції на стікері біля монітора швидко застарівають. Набагато важливіше, щоб рідні розуміли принцип: не поспішати, перевіряти через інший канал і нікому не повідомляти коди. Знаючи «чому», а не лише «як», людина впорається й зі схемою, про яку ще ніхто не попереджав.

До цих розмов варто час від часу повертатися: розповідати про свіжі схеми, перевіряти налаштування після оновлень і нагадувати, що з будь-яким дивним дзвінком чи повідомленням можна звернутися по пораду — без страху здатися наївним.

Ця стаття Як навчити батьків і літніх родичів кібербезпеці: 8 розмов, які вбережуть від шахраїв раніше була опублікована на сайті CyberCalm, її автор — Семенюк Валентин

Інтернет-магазин, де колись купили один подарунок, форум, сервіс доставки, застосунок, встановлений заради разової знижки, — більшість таких облікових записів створюються за хвилину і забуваються назавжди. Дані в них при цьому нікуди не зникають: адреса електронної пошти, номер телефону, адреса доставки, іноді збережена банківська картка і старий пароль, який, можливо, досі використовується деінде. Саме тому покинуті акаунти — одна з найзручніших цілей для кіберзлочинців.

Чому старі акаунти стають проблемою

Обліковий запис живе довше, ніж інтерес до сервісу. За даними NordPass, у 2024 році середній користувач мав 168 паролів до особистих акаунтів і ще 87 — до робочих. Опитування 2026 року показало зниження до 120 особистих і 67 робочих паролів. У компанії пояснюють це не тим, що акаунтів стало менше, а тим, що дедалі більше людей входять у нові сервіси через Google, Apple чи Facebook або користуються ключами доступу. Загальна кількість облікових записів, за оцінкою NordPass, продовжує зростати — просто частина з них тепер не має окремого пароля і не потрапляє до жодного списку.

Покинутий акаунт ніхто не перевіряє. Google, пояснюючи свою політику щодо неактивних облікових записів, зазначає: забуті акаунти часто захищені старими або повторно використаними паролями, які могли вже потрапити до зловмисників, на них рідко налаштована двофакторна автентифікація, а власник не помічає підозрілої активності. За внутрішнім аналізом компанії, у покинутих акаунтах двоетапну перевірку вмикають щонайменше вдесятеро рідше, ніж в активних.

Як зловмисники отримують доступ до неактивних акаунтів

Зламувати кожен обліковий запис окремо кіберзлочинцям не потрібно — облікові дані вони отримують масово.

• Шкідливе ПЗ для викрадення даних (інфостілери). Такі програми витягують із заражених пристроїв збережені в браузері паролі, файли cookie сесій і токени доступу. За даними Flashpoint, у 2024 році зловмисники скомпрометували понад 3,2 мільярда облікових даних, і 75% з них — 2,1 мільярда — зібрали саме інфостілери. У першій половині 2026 року, згідно з піврічним звітом компанії, інфостілери заразили 7,4 мільйона пристроїв і зібрали 1,7 мільярда облікових даних.
• Витоки баз даних. Коли зламують сам сервіс, на продаж або у відкритий доступ потрапляють бази з адресами пошти, іменами користувачів і хешами паролів. Старі й невеликі сервіси нерідко зберігають паролі без надійного захисту, тож розшифрувати їх простіше.
• Підстановка облікових даних (credential stuffing). Пари «логін — пароль» з витоків автоматично перевіряють на десятках інших сайтів. Якщо пароль колись використовувався повторно, разом зі старим акаунтом зловмисник отримує доступ і до нових.
• Підбір паролів. Короткі й прості паролі, створені багато років тому, піддаються автоматичному перебору значно швидше, ніж довгі й унікальні.

Що роблять зі зламаним старим акаунтом

• Розсилають шахрайські повідомлення контактам. Зламана стара пошта чи сторінка в соцмережі виглядає для знайомих справжньою: від імені власника просять позичити гроші, надсилають фішингові посилання або шкідливі файли.
• Збирають особисті дані. Імʼя, телефон, адреса доставки та історія замовлень допомагають складати переконливі фішингові листи «від сервісу» або використовуються для шахрайства з особистими даними.
• Користуються збереженими банківськими картками. Якщо термін дії картки не минув, нею можуть розрахуватися просто в інтерфейсі сервісу.
• Продають акаунт. На тіньових майданчиках є попит на облікові записи з накопиченими бонусами, балами програм лояльності чи авіамилями, про які власник давно забув.
• Виводять кошти. Забутий криптогаманець, акаунт на біржі чи в платіжному сервісі — це пряма фінансова втрата.
• Використовують як ключ до інших акаунтів. Особливо небезпечна стара електронна пошта: через функцію відновлення пароля вона відкриває доступ до всіх сервісів, зареєстрованих на цю адресу.

Коли забутий акаунт відкриває двері компанії

Для бізнесу неактивні облікові записи — службові, тестові, акаунти звільнених працівників — ще небезпечніші, бо ведуть просто в корпоративну мережу.

Colonial Pipeline, 2021. Атака програми-вимагача, через яку на сході США виникли перебої з пальним, почалася з VPN-профілю, яким компанія вже не користувалася, але не вимкнула. Як свідчив у Сенаті США гендиректор Colonial Pipeline Джозеф Блаунт, цей профіль був захищений лише паролем, без багатофакторної автентифікації. Згодом пароль від нього виявили серед злитих облікових даних у даркнеті — ймовірно, працівник використовував його і для іншого акаунта, який раніше зламали.

Лондонське боро Гекні, 2020. Під час атаки програми-вимагача зловмисники отримали доступ до 440 тисяч файлів і зашифрували їх; постраждали щонайменше 280 тисяч мешканців і працівників. Британський регулятор у сфері захисту даних ICO в рішенні 2024 року встановив, що однією з причин став неактивний обліковий запис із ненадійним паролем, який досі мав доступ до серверів ради. В ICO окремо наголосили, що не можна допускати таких простих помилок, як неактивні акаунти з однаковими логіном і паролем. Рада Гекні з висновками регулятора не погодилася.

АТБ, 2026. Угруповання DataSuckers, яке на початку жовтня заявило про злам сайту і застосунку мережі, стверджувало, що отримало доступ до даних 7,9 мільйона клієнтів, зокрема адрес електронної пошти та хешів паролів. За версією самих зловмисників, одним з етапів атаки став старий пароль від службового доступу, знайдений у мобільному застосунку. В АТБ атаку підтвердили, але заперечили витік персональних даних.

Які сервіси самі видаляють неактивні акаунти

Частина великих платформ уже автоматично закриває облікові записи, якими не користуються.

• Google. Особистий акаунт, у який не входили щонайменше два роки, може бути видалений разом із вмістом Gmail, Диска, Документів і Google Фото. Перед цим компанія надсилає кілька попереджень на основну та резервну адреси. Активністю вважається будь-яка дія після входу — від читання пошти й перегляду відео на YouTube до входу через Google на сторонньому сайті. Акаунти з активною підпискою Google не зачіпає, а облікові записи з опублікованими відео на YouTube наразі видаляти не планує. Політика не поширюється на корпоративні й навчальні акаунти.
• Microsoft. Згідно з політикою активності, в обліковий запис Microsoft потрібно входити щонайменше раз на два роки, інакше його вважають неактивним і закривають.
• X. Правила платформи радять входити щонайменше раз на 30 днів і попереджають, що через тривалу неактивність акаунт може бути остаточно видалений, проте конкретного терміну не називають.
• Telegram. За замовчуванням видаляє акаунт після шести місяців без входу — разом з усіма повідомленнями, медіафайлами і контактами. Термін можна змінити в налаштуваннях конфіденційності.

Покладатися на автоматичне видалення не варто. Багато інтернет-магазинів, форумів і невеликих сервісів таких правил не мають або не оприлюднюють, а дані, які вже потрапили у витік, закриття акаунта звідти не прибере.

Як знайти забуті облікові записи

Пошук у поштовій скриньці

Кожна реєстрація залишає слід у пошті. Варто перевірити всі свої адреси, зокрема старі, за запитами «ласкаво просимо», «підтвердіть адресу», «дякуємо за реєстрацію», «пробний період», «відновлення пароля», а також англійськими welcome, verify, confirm your account і password reset.

Менеджер паролів і збережені паролі браузера

Список паролів у менеджері паролів або браузері — фактично готовий каталог акаунтів. Менеджер паролів Google та аналогічні функції інших браузерів і менеджерів паролів також показують, які паролі скомпрометовані, слабкі або використовуються повторно, — з таких акаунтів варто почати.

Входи через Google, Apple і Facebook

Акаунти, створені кнопкою «Увійти через…», не мають окремого пароля і тому не потрапляють до менеджера паролів. Їх видно в налаштуваннях основного облікового запису:

• Google: Обліковий запис Google → Безпека → Ваші підключення до сторонніх застосунків і сервісів;
• Apple: Параметри → [імʼя користувача] → Вхід і безпека → Вхід з Apple;
• Facebook: Налаштування й конфіденційність → Налаштування → Програми та вебсайти.

Там само можна відкликати доступ у сервісів, якими більше не користуються.

Перевірка в базах витоків

Безкоштовний сервіс Have I Been Pwned показує, у яких відомих витоках фігурувала адреса електронної пошти. Перелік сервісів у результатах часто нагадує про акаунти, про які давно забули, — і підказує, де пароль потрібно змінити насамперед.

Як правильно закрити непотрібний акаунт

• Зберегти потрібне: фото, документи, чеки чи історію замовлень.
• Прибрати особисті дані: видалити збережені банківські картки, адреси доставки, документи з профілю.
• Скасувати платні підписки, інакше списання можуть тривати й після того, як про акаунт забули.
• Скористатися функцією видалення облікового запису в налаштуваннях. Якщо такої функції немає, — звернутися до служби підтримки із запитом на видалення акаунта і персональних даних. У політиці конфіденційності варто перевірити, чи сервіс справді видаляє дані, а не лише деактивує профіль.
• Якщо видалити акаунт неможливо, — залишити в профілі мінімум даних, а пароль замінити на довгий унікальний, згенерований менеджером паролів.

Як захистити акаунти, які варто залишити

• Унікальний пароль для кожного сервісу. Найпростіше досягти цього з менеджером паролів.
• Двофакторна автентифікація, а де можливо — ключі доступу (passkeys), стійкі до фішингу і підбору.
• Актуальні дані для відновлення: резервна адреса пошти і номер телефону, якими користуються зараз.
• План на випадок неактивності. Менеджер неактивних облікових записів Google дозволяє заздалегідь вирішити, що станеться з акаунтом і даними після періоду неактивності до 18 місяців: передати файли довіреним людям, увімкнути автовідповідь у Gmail або видалити акаунт.
• Регулярний аудит. Раз на рік переглядати список акаунтів, підключених сервісів і активних сесій.

Окремо варто зважати на повідомлення про «блокування акаунта», «борг» чи «неактивність, через яку профіль буде видалено»: це типові приводи для фішингових листів. Переходити за посиланнями з таких повідомлень не слід — стан акаунта безпечніше перевірити, відкривши сервіс напряму.

Висновок

Кожен забутий акаунт — це копія частини особистих даних, яку ніхто не охороняє. Година на пошук і видалення непотрібних облікових записів зменшує кількість місць, звідки ці дані можуть витекти, а унікальні паролі й двофакторна автентифікація на решті акаунтів не дадуть одному давньому витоку перетворитися на злам усього цифрового життя.

Ця стаття Забуті акаунти: чим небезпечні старі облікові записи і як їх знайти та видалити раніше була опублікована на сайті CyberCalm, її автор — Олена Кожухар

Підлітки проводять онлайн більшу частину вільного часу, дедалі частіше мають власні банківські картки, а їхні акаунти — від Telegram до ігрових профілів із рідкісними предметами — мають реальну цінність. Шахраї підлаштовують схеми саме під інтереси цього віку: «легкий підробіток», брендові кросівки за безцінь, безкоштовна ігрова валюта, знайомство з привабливою ровесницею.

Наслідки давно вийшли за межі втрачених кількох сотень гривень. Підліток може стати жертвою шантажу інтимними фото, співучасником злочину через передану комусь картку, а у воєнних умовах — виконавцем завдань російських спецслужб, навіть не розуміючи цього на початку.

Чому підлітки — зручна ціль для шахраїв

Підліток зазвичай упевнено користується технологіями, але ще не має досвіду, який допомагає вчасно розпізнати маніпуляцію. Шахраї експлуатують кілька типових рис цього віку: бажання мати власні гроші, страх відстати від трендів, довіру до однолітків і блогерів, імпульсивні рішення під тиском.

Найнебезпечніша з них — небажання зізнаватися дорослим у помилці. Більшість схем розраховані саме на сором і страх покарання: що довше дитина мовчить, то більше встигає втратити.

«Легкий підробіток» і дропи: як підлітків роблять співучасниками

Одна з найпоширеніших схем — оголошення про роботу без досвіду в Telegram-каналах, TikTok чи Instagram. За «прості завдання» обіцяють кілька тисяч гривень на тиждень: прийняти переказ на картку і переслати його далі, оформити нову картку в іншому банку, надіслати фото документів або передати доступ до банківського застосунку.

Насправді так вербують дропів — людей, через рахунки яких злочинці проганяють викрадені гроші, щоб заплутати фінансові сліди. Кіберполіція наголошує: дроп — не жертва, а співучасник. Саме власник картки першим потрапляє в поле зору слідства, адже переказ потерпілого йде на його рахунок.

Відповідальність можуть посилити. У серпні 2026 року асоціація ЄМА повідомила про законопроєкт кіберполіції, який пропонує доповнити Кримінальний кодекс окремою статтею 200¹. За свідому передачу картки, рахунку, електронного гаманця або доступу до них для шахрайських операцій документ передбачає штраф приблизно від 5 до 17 тис. грн, для тих, хто організовує й скуповує рахунки, — суворіші санкції аж до позбавлення волі. Ключова умова — людина розуміла, що її реквізити використають незаконно; це доводитимуть, зокрема, листуванням і оголошеннями про «підробіток».

Типові ознаки такої «вакансії»:

• розмиті обовʼязки і спілкування лише в месенджері, без офіційної інформації про роботодавця;
• оплата «за кожну операцію» або відсоток від суми переказу;
• прохання надіслати фото картки, паспорта чи передати картку разом із SIM-карткою;
• пропозиція відкрити рахунок у банку, яким підліток не користується.

Коли «завдання за гроші» — це вербування

В Україні схема «легкого заробітку» має значно небезпечніше продовження. російські спецслужби шукають виконавців для підпалів і диверсій серед тих, хто відгукується на пропозиції швидких грошей у Telegram, Discord чи Viber. Спершу підлітку дають безневинне на вигляд завдання — сфотографувати будівлю чи перекласти пакунок, — а згодом вимагають дедалі більшого, погрожуючи «здати» його поліції за вже зроблене.

Кіберполіція попереджала про випадки, коли 16- і 17-річні хлопці, спокусившись на заробіток в інтернеті, підпалили автомобілі військових. За даними СБУ, на які посилалася Financial Times, лише за рік росія завербувала для диверсій близько 175 українських підлітків. У службі пояснювали: підлітки часто не здатні передбачити наслідки своїх дій, і саме це робить їх вразливими.

Дитині варто пояснити просте правило: будь-яка пропозиція від незнайомця заплатити за фото обʼєктів, підпал, перевезення пакунка, графіті чи «квест» у місті — привід негайно розповісти дорослим і повідомити поліцію за номером 102.

Сексторшн: шантаж інтимними фото

Схема зазвичай починається як знайомство. У соцмережі, грі чи застосунку для знайомств підлітку пише «ровесниця» або «ровесник» із привабливими фото. Після кількох днів легкого флірту співрозмовник надсилає відвертий знімок — чужий або згенерований ШІ — і просить відповісти тим самим. Щойно фото отримано, тон різко змінюється: шантажист показує список друзів і родичів жертви та вимагає гроші, інакше обіцяє розіслати знімок усім.

ФБР називає це фінансово мотивованим сексторшном. Типові жертви — хлопці 14–17 років, хоча постраждати може будь-яка дитина. З жовтня 2021 по березень 2023 року ФБР і Служба розслідувань внутрішньої безпеки США отримали понад 13 тис. повідомлень про такі злочини проти неповнолітніх; постраждалих — щонайменше 12,6 тис., переважно хлопців. Щонайменше 20 випадків закінчилися самогубством — настільки руйнівним буває страх публічного приниження.

Дедалі частіше шантажистам навіть не потрібне справжнє інтимне фото: застосунки «роздягання» на основі ШІ дозволяють підробити знімок зі звичайного селфі з Instagram. Тому навіть підліток, який нічого не надсилав, може отримати погрози.

Що варто знати підлітку заздалегідь:

• Не платити. Оплата не зупиняє шантаж, а лише показує злочинцю, що жертва готова платити й далі.
• Не видаляти листування одразу. Скріншоти профілю, повідомлень і реквізитів знадобляться поліції. Після цього — заблокувати шантажиста і поскаржитися платформі.
• Розповісти дорослим. Шантажист розраховує на сором і самотність жертви; підтримка дорослого руйнує цей розрахунок.
• Скористатися Take It Down. Безкоштовний сервіс NCMEC допомагає зупинити поширення інтимних фото й відео, зроблених до 18 років. Він створює цифровий «відбиток» (хеш) файлу просто на пристрої — сам знімок нікуди не надсилається, — а платформи-учасники використовують цей хеш, щоб знаходити і видаляти копії. Для знімків, зроблених після 18 років, працює аналогічний сервіс StopNCII.

Батькам важливо памʼятати: реакція в перші хвилини визначає, чи звернеться дитина по допомогу наступного разу. Без докорів і «я ж казав» — підліток уже наляканий, а покарання за довіру гарантує, що про наступну проблему батьки дізнаються останніми.

Шахрайство в онлайн-іграх

Ігрова валюта і предмети в Roblox, Fortnite, Minecraft чи CS2 мають реальну ринкову ціну, тож шахраям є що красти. Найпоширеніші схеми:

• «генератори» безкоштовних Robux чи V-Bucks, які просять логін і пароль або вхід через сторінку, що імітує офіційну;
• фейкові обміни скінами: після передачі предмета «покупець» зникає, а оплата виявляється підробленою;
• повідомлення від «модераторів» чи «адміністрації» в Discord із погрозою бану, якщо не пройти «перевірку» акаунта;
• моди, чити та «безкоштовні» версії платних ігор, у яких ховається шкідливе ПЗ для крадіжки паролів із браузера.

Правило тут просте: безкоштовної ігрової валюти не існує, а справжня служба підтримки ніколи не просить пароль чи код підтвердження. Для ігрових акаунтів варто увімкнути двофакторну автентифікацію і не привʼязувати до них основну банківську картку.

Злам Telegram та Instagram через «проголосуй за мене»

Від друга чи однокласника приходить повідомлення: «Проголосуй, будь ласка, за мою сестру в конкурсі». Посилання веде на сайт, який просить «підтвердити, що ви не бот», ввівши номер телефону й код із Telegram. Повідомивши код, підліток віддає акаунт шахраям, а ті розсилають ту саму приманку всім його контактам або просять у них гроші «в борг».

Варіацій безліч — від «безкоштовного пального» до подарунків Telegram Premium. Кіберполіція наголошує: коди підтвердження з SMS чи Telegram не можна повідомляти нікому, а посиланням навіть від знайомих не варто довіряти, бо їхні акаунти теж могли зламати. Від таких атак захищає хмарний пароль (двоетапна перевірка) в Telegram і регулярна перевірка активних сеансів у налаштуваннях.

Брендові речі за безцінь, фейкові магазини й розіграші

Лімітовані кросівки за третину ціни, дизайнерський одяг «зі складу», новий смартфон у розіграші від блогера — у рекламі в соцмережах і в Instagram-магазинах із тисячами накручених підписників сценарій однаковий. Покупець вносить повну передоплату й отримує підробку або нічого. У «розіграшах» переможцю пропонують оплатити «доставку» чи «податок» на приз або ввести дані картки на фішинговій сторінці.

Окремий ризик — продаж власних речей на OLX та інших дошках оголошень. «Покупець» надсилає посилання нібито для отримання оплати, яке насправді виманює повні дані картки разом із CVV-кодом.

Що допомагає: оплата лише після отримання товару (накладений платіж), пошук відгуків про магазин поза його власною сторінкою, перевірка дати створення сайту. І головне: щоб отримати переказ, достатньо номера картки — жодні посилання «для зарахування коштів» не потрібні.

Фальшиві стипендії, курси й навчання за кордоном

Старшокласникам, які готуються до вступу, пропонують «гарантовані гранти», «безкоштовне навчання в Польщі» чи «секретні» курси підготовки до НМТ. Спільний знаменник — платіж наперед: «реєстраційний внесок», «оплата за розгляд заявки», «комісія за переказ стипендії».

Справжні стипендійні програми не беруть грошей за участь. Інформацію про них варто перевіряти на офіційному сайті університету чи фонду, а не за посиланням із месенджера.

Як говорити з підлітком про шахрайство

Заборони з підлітками працюють погано. Набагато ефективніше домовитися про кілька зрозумілих правил і пояснити, навіщо вони:

• коди з SMS і Telegram, паролі та фото картки не передаються нікому — ні «підтримці», ні друзям;
• будь-яка пропозиція грошей за дії з карткою, документами чи «завдання» в місті — стоп-сигнал;
• тиск і поспіх («тільки сьогодні», «інакше заблокуємо», «розішлю всім») — ознака шахрая, а не причина діяти швидше;
• у родині діє правило «без покарання за чесність»: якщо дитина помилилася і розповіла, дорослі допомагають, а не сварять.

Добре працює розбір реальних прикладів разом. Безкоштовна онлайн-гра «Здолай шахрая» від асоціації ЄМА дає змогу пройти типові сценарії обману в безпечному форматі й обговорити, де саме був підступ.

Технічні запобіжники

• Окрема картка з лімітами. Українські банки пропонують дитячі картки з батьківським контролем витрат. Варто встановити ліміт на інтернет-платежі й увімкнути сповіщення про кожну операцію.
• Двофакторна автентифікація. Її варто увімкнути в Telegram, Instagram, на ігрових платформах і в Google-акаунті — усюди, де вона є.
• Різні паролі. Менеджер паролів замість одного пароля на всі сервіси: злам ігрового акаунта не повинен відкривати доступ до пошти.
• Приватність профілів. Закритий профіль у соцмережах і обмеження повідомлень від незнайомців зменшують кількість «випадкових» знайомств.
• Батьківський контроль. Google Family Link чи «Екранний час» в iOS доречні для молодших підлітків; зі старшими це радше інструмент домовленості, ніж стеження.

Що робити, якщо підліток уже став жертвою

1. Зберегти докази: скріншоти листування, профілю шахрая, номерів карток і посилань.
2. Зателефонувати в банк, якщо передано дані картки чи гроші, — за номером на звороті картки або в застосунку, і заблокувати картку.
3. Відновити акаунти: звернутися до офіційної підтримки, завершити сторонні сеанси, змінити паролі та попередити контакти іншим каналом звʼязку.
4. Повідомити поліцію: за номером 102 або через форму на сайті кіберполіції.
5. У разі шантажу інтимними фото — не платити, звернутися до поліції і скористатися Take It Down.
6. Отримати підтримку: Національна гаряча лінія для дітей та молоді ГО «Ла Страда-Україна» — 116 111 (з мобільного) або 0 800 500 225. Якщо дитина в розпачі, допоможе лінія психологічної підтримки Lifeline Ukraine — 7333.

Шахраї змінюють приманки щосезону, але механіка лишається тією самою: вигода або страх, поспіх і прохання зробити щось із кодом, карткою чи фото. Підліток, який знає цю механіку і впевнений, що вдома його вислухають без осуду, захищений краще, ніж будь-яким налаштуванням.

Ця стаття Як захистити підлітків від інтернет-шахраїв: головні схеми 2026 року і поради батькам раніше була опублікована на сайті CyberCalm, її автор — Семенюк Валентин

Повідомлення від незнайомця, адресоване якійсь «Марії» чи «Олегу», виглядає як звичайна помилка. Насправді це один із найпоширеніших способів розпочати шахрайську розмову, яка через кілька тижнів закінчується пропозицією «вигідно інвестувати». У світі схему знають як pig butchering, в українських медіа — як «забій свиней». Трапляється вона і в українському сегменті Telegram.

Як виглядає перше повідомлення

Схема починається з короткого повідомлення від невідомого акаунта. Зміст майже завжди побутовий, а звертається відправник до людини, якої одержувач не знає. Типові формулювання виглядають так:

• «Привіт, Світлано! Наші домовленості щодо суботи в силі?»
• «Добрий день, Олеже. Документи вже підготували?»
• «Ви вчора казали, що будете вільні о шостій. Зустрічаємося?»

Розрахунок простий: більшість людей ввічливо пояснює, що відправник помилився. Саме цієї відповіді шахрай і чекає. Далі звучить вибачення і невимушене продовження: «Ой, перепрошую, мабуть, переплутав номер. А ви звідки?» Так «випадковий» контакт перетворюється на знайомство.

Федеральна торгова комісія США (FTC) описує той самий механізм. Отримавши відповідь, шахрай перепрошує, підтримує розмову, щоб подружитися, а здобувши довіру — пропонує поради щодо інвестицій у криптовалюту. FTC також наголошує: навіть коротка відповідь без продовження розмови підтверджує зловмисникам, що номер робочий. Це може обернутися новими дзвінками та повідомленнями від шахраїв.

Від «помилки» до «інвестиційної платформи»

Сценарії різняться деталями, але структура повторюється. ФБР у попередженні про криптоінвестиційні схеми виділяє чотири етапи: пошук жертви, вибудовування довіри, пропозиція «інвестиції» та викрадення коштів. У месенджері це зазвичай виглядає так:

1. «Помилка». Повідомлення начебто не за адресою, вибачення, запитання про місто, роботу, захоплення.
2. Дружба або роман. Щоденне листування, побажання доброго ранку й на добраніч, обмін фото. У співрозмовника привабливий профіль, а на знімках — подорожі, ресторани, дорогі автомобілі. Фото часто викрадені в інших людей або згенеровані ШІ.
3. «Випадкова» згадка про гроші. Новий знайомий розповідає про успішні інвестиції — власні чи родича-«аналітика» — і пропонує допомогти «почати з малого».
4. Фальшива платформа. Жертві надсилають посилання на сайт або застосунок, який імітує справжню біржу. Баланс на ньому швидко «зростає», а невелику суму навіть дозволяють вивести, щоб закріпити довіру.
5. «Забій». Коли людина вкладає значні кошти або починає щось підозрювати, співрозмовник зникає, а «платформа» перестає працювати.

Таке листування може тривати від кількох тижнів до кількох місяців. Шахраї не поспішають: від рівня довіри залежить сума, яку вдасться викрасти.

Чому це називають «забоєм свиней»

Назва цинічна, але точна. Як свиню довго відгодовують перед забоєм, так і жертву тижнями «відгодовують» увагою та довірою, перш ніж забрати всі гроші, — пояснює «Економічна правда». За даними видання, шахраї діють за принципом «розпорошитися і чекати»: розсилають тисячі однотипних повідомлень у соцмережах, SMS і застосунках для знайомств, а далі працюють лише з тими, хто відповів.

За такими розсилками часто стоять не одинаки, а організовані «скам-центри» у Південно-Східній Азії. За оцінками ООН, на які посилається «Економічна правда», у 2023 році щонайменше 220 тис. людей були змушені працювати на такі центри в Мʼянмі та Камбоджі. Операторів забезпечують готовими інструкціями: як підтримувати розмову на будь-яку тему, як непомітно зʼясувати статки співрозмовника, як вести романтичне листування.

Чому саме Telegram

Шахраї в таких схемах уникають месенджерів, де видно їхній номер, і віддають перевагу застосункам на кшталт Telegram, де номер можна приховати. Ще одна характерна ознака — небажання говорити по відеозвʼязку.

Для українців Telegram залишається одним з основних каналів спілкування, тож і зловмисники активно працюють саме тут. За даними гарячої лінії з цифрової безпеки Nadiyno, у 2024 році 78 % звернень українців стосувалися зламу Telegram-акаунтів. Це інша загроза, але вона добре ілюструє, наскільки цей месенджер привабливий для шахраїв.

Держспецзвʼязку серед інструментів, якими зловмисники шукають жертв для «інвестиційних» схем, називає Telegram-канали та спеціально налаштовані боти — поряд із рекламою в соцмережах, телефонними дзвінками й фейковими сторінками псевдоекспертів.

Варіація: коли шахрай знає справжнє імʼя

Іноді «помилки» немає зовсім. Аналітики Malwarebytes описали повідомлення, яке складалося лише з імені одержувача та знака питання. Жодних посилань, погроз чи вимог — тільки розрахунок на рефлекторне «Так?» або «Хто це?».

Правильне імʼя створює ілюзію, що пише хтось знайомий. Проте звʼязка «імʼя + номер телефону» легко потрапляє до шахраїв із витоків даних. Знайти таку інформацію можна і через боти-«пробивачі», зокрема російський «Глаз Бога». Знання імені не означає знайомства — це лише ознака того, що чиїсь дані вже опинилися в чужих руках.

Червоні прапорці

• Незнайомець пише іншій людині, а після пояснення замість простого «перепрошую» розпитує: «А ви звідки?»
• Надто швидке зближення: компліменти, щоденне листування, романтичний інтерес з боку людини, яку ніхто не бачив наживо.
• Профіль демонструє розкішне життя, а співрозмовник ухиляється від відеодзвінків.
• Розмова рано чи пізно переходить на інвестиції, криптовалюту, «гарантований дохід» або родича-фінансиста.
• Прохання зареєструватися на певній платформі, встановити застосунок віддаленого доступу чи переказати «невелику суму для старту».
• Тиск і поспіх: «пропозиція діє лише сьогодні», «місць залишилося мало».

Як захиститися

Не відповідати незнайомцям. Навіть «ви помилилися номером» сигналізує шахраєві, що номер активний, а власник готовий до розмови. Якщо є підозра, що пише хтось знайомий, краще звʼязатися з ним за відомим номером або через інший канал.

Поскаржитися і заблокувати. У чатах з невідомими акаунтами Telegram пропонує повідомити про спам і заблокувати відправника. Скарги допомагають модерації швидше виявляти масові розсилки.

Обмежити видимість номера. У розділі «Налаштування» → «Приватність і безпека» → «Номер телефону» варто дозволити бачити номер лише контактам або нікому, а пошук за номером обмежити «Моїми контактами». У пункті «Запрошення» можна заборонити стороннім додавати вас до груп, зокрема фіктивних «інвестиційних» спільнот.

Не переказувати гроші людям, знайомим лише онлайн. Це стосується не тільки «інвестицій», а й прохань оплатити квиток, митний збір чи лікування нового «друга».

Не встановлювати сторонні програми. Держспецзвʼязку окремо наголошує: «консультанти», які радять встановити застосунок віддаленого доступу на телефон чи компʼютер, намагаються дістатися до вашого онлайн-банкінгу.

Перевіряти платформу. Перш ніж вкладати кошти, варто знайти інформацію про компанію в офіційних джерелах і зʼясувати, чи має вона ліцензію Національної комісії з цінних паперів та фондового ринку (НКЦПФР). Обіцянка високого й швидкого прибутку без ризику — головна ознака пастки.

Що робити, якщо гроші вже переказано

1. Негайно звʼязатися з банком через офіційний номер або застосунок, повідомити про шахрайство та заблокувати картку.
2. Зберегти докази: скриншоти листування, профіль співрозмовника, посилання на «платформу», реквізити та адреси криптогаманців, на які надсилалися кошти.
3. Подати електронне звернення до кіберполіції через cyberpolice.gov.ua.
4. Отримати консультацію на безоплатній гарячій лінії з цифрової безпеки Nadiyno.
5. Не довіряти «сервісам повернення коштів». Пропозиції повернути вкрадене за передоплату — ще одна поширена афера, розрахована саме на постраждалих.

Схема «помилкового номера» працює не завдяки технічній складності, а завдяки звичайним людським якостям — ввічливості, цікавості, самотності. Тому найнадійніший захист тут найпростіший: на повідомлення, адресовані «Анні», відповідати не потрібно.

Ця стаття «Ой, здається, я помилився номером»: як шахраї в Telegram перетворюють випадкове листування на фальшиві інвестиції раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Експлойт — це код, команда або спеціально підготовлений файл, який використовує вразливість у програмі, операційній системі чи пристрої, щоб змусити їх виконати непередбачену дію: запустити сторонній код, надати зловмиснику ширші права або розкрити дані. Сам по собі експлойт зазвичай не є шкідливим ПЗ. Це інструмент, що відчиняє двері, через які потім заходить троян, програма-вимагач чи шпигунський модуль.

Атаки через вразливості — не історія з минулого. За спостереженнями Google Threat Intelligence Group (GTIG), експлуатація вразливостей залишається найпоширенішим способом початкового проникнення в інцидентах, які розслідує Mandiant, — частіше, ніж викрадені облікові дані чи фішинг. Лише у 2025 році аналітики Google зафіксували 90 вразливостей, які зловмисники використовували ще до виходу виправлень.

Що таке експлойт простими словами

Вразливість — це помилка в коді, логіці чи налаштуваннях програми, яку можна обернути на шкоду. Експлойт — конкретний спосіб нею скористатися. Якщо порівняти з дверима, вразливість — це дефект замка, експлойт — відмичка, виготовлена саме під цей дефект, а корисне навантаження (payload) — те, що зловмисник робить, опинившись усередині.

Тому в кожній атаці через вразливість можна виділити три складники:

• вразливість — помилка в програмному чи апаратному забезпеченні або в конфігурації;
• експлойт — код чи дані, які цю помилку активують;
• корисне навантаження — бекдор, програма-вимагач, шпигунський модуль чи викрадач паролів, що запускається після успішної експлуатації.

Кожна публічно відома вразливість отримує ідентифікатор CVE (наприклад, CVE-2025-8088) та оцінку критичності за шкалою CVSS від 0 до 10. Саме за цими ідентифікаторами розробники випускають виправлення, а фахівці з безпеки відстежують атаки.

У геймерському середовищі слово «експлойт» має інше значення: так називають використання помилки в грі для нечесної переваги — проходження крізь стіни, дублювання предметів тощо. З кібербезпекою це значення поєднує лише спільне походження від англійського to exploit — «використовувати».

Як працює експлойт

Атака з використанням експлойта зазвичай проходить кілька етапів.

1. Пошук цілі. Зловмисники сканують інтернет у пошуках серверів, VPN-шлюзів і роутерів із вразливими версіями програм або розсилають листи з розрахунком, що одержувач відкриє вкладення у вразливому застосунку.
2. Доставка. Експлойт потрапляє до цілі як мережевий запит, вебсторінка, документ, зображення чи архів.
3. Спрацювання. Програма обробляє підготовлені дані й через помилку виконує дію, якої не мала б виконувати. У звіті GTIG за 2025 рік близько 35% використаних вразливостей становили помилки безпеки памʼяті (зокрема use-after-free та запис за межами буфера), а в корпоративних продуктах поширеними були інʼєкції команд, небезпечна десеріалізація та обхід автентифікації.
4. Закріплення. Після успішної експлуатації запускається корисне навантаження: встановлюється бекдор, шкідливий файл прописується в автозавантаження, починається викрадення даних.

Сучасні браузери, iOS та Android мають кілька рівнів захисту, тож однієї помилки часто недостатньо. Зловмисники поєднують вразливості в ланцюжок експлойтів: одна дає змогу виконати код у браузері, друга — вийти з пісочниці, третя — отримати системні права. За даними GTIG, частина мобільних ланцюжків, виявлених у 2025 році, складалася з трьох і більше вразливостей.

Види експлойтів

Експлойти класифікують за кількома ознаками.

• Віддалені — працюють через мережу без попереднього доступу до системи. Вони найцінніші для зловмисників: саме ними атакують VPN-шлюзи, поштові та вебсервери.
• Локальні — потребують, щоб атакувальник уже мав певний доступ, наприклад обліковий запис зі звичайними правами. Їхня мета — підвищення привілеїв до рівня адміністратора чи системи.
• Експлойти нульового дня (zero-day) — використовують вразливість, для якої на момент атаки не існує виправлення.
• N-day — використовують уже відому й виправлену вразливість на пристроях, де оновлення не встановили.
• Zero-click і one-click — перші не потребують жодної дії жертви (досить отримати повідомлення чи файл), другі спрацьовують після одного натискання. Приклад з аналізу GTIG: спеціально сформовані зображення DNG, надіслані через WhatsApp, атакували бібліотеку обробки зображень на смартфонах Samsung; для запуску достатньо було, щоб жертва відкрила картинку.

Чому старі вразливості небезпечніші, ніж здається

Вразливості нульового дня привертають найбільше уваги, але масові атаки найчастіше будуються на n-day. Після виходу виправлення зловмисники порівнюють стару й нову версії програми, зʼясовують суть помилки й атакують тих, хто не оновився.

Класичний приклад — WannaCry. Microsoft випустила оновлення MS17-010 для протоколу SMBv1 14 березня 2017 року. У квітні угруповання Shadow Brokers оприлюднило експлойт EternalBlue, що використовував цю помилку. Програма-вимагач WannaCry, яка поширювалася саме через EternalBlue, вразила компʼютери по всьому світу в травні — через два місяці після виходу виправлення. За даними CISA, системи з установленим оновленням були їй не вразливі; згодом уряд США публічно поклав відповідальність за атаку на КНДР.

Та сама логіка працює й сьогодні: GTIG у звіті про WinRAR наголошує, що після виправлення зловмисники продовжують покладатися на n-day і використовують те, що користувачі та організації оновлюються повільно.

Хто створює і продає експлойти

Вразливості шукають дослідники безпеки, які повідомляють про них розробникам, державні хакерські угруповання і кіберзлочинці. Між ними існує розвинений ринок.

• Комерційні постачальники шпигунського ПЗ. У 2025 році Google уперше приписала їм більше вразливостей нульового дня, ніж традиційним державним шпигунським групам. Такі компанії продають готові інструменти стеження клієнтам, які самі не здатні розробити експлойти.
• Тіньовий ринок. GTIG описує продавця під псевдонімом zeroplayer, який у липні 2025 року рекламував експлойт для WinRAR, а згодом — експлойт для Microsoft Office за 300 тис. доларів, підвищення привілеїв у Windows за 100 тис. і інструмент для вимкнення антивірусів та EDR за 80 тис.
• Кіберзлочинці. У 2025 році фінансово мотивовані угруповання використали девʼять вразливостей нульового дня, зокрема дві — в атаках, що завершилися розгортанням програм-вимагачів.

Новий чинник — ШІ. У травні 2026 року GTIG повідомила, що уперше виявила експлойт нульового дня, створений, імовірно, за допомогою ШІ: кіберзлочинне угруповання готувало масову атаку, але її, ймовірно, вдалося зірвати. Йшлося про обхід двофакторної автентифікації в популярному відкритому інструменті для адміністрування серверів через веб.

Що атакують у 2025–2026 роках

Річний звіт GTIG 2025 Zero-Days in Review дає найповнішу картину того, куди спрямовані експлойти:

• 90 вразливостей нульового дня у 2025 році проти 78 у 2024-му; рекорд — 100 у 2023-му;
• 43 вразливості (48%) — у корпоративних продуктах; приблизно половина з них припала на засоби безпеки та мережеве обладнання;
• 14 — у периферійних пристроях (VPN-шлюзах, мережевих екранах, роутерах), причому GTIG вважає цю цифру заниженою: на таких пристроях зазвичай немає EDR, тож атаки важко помітити;
• операційні системи (настільні й мобільні) стали найчастішою мішенню — 39 вразливостей, або 44%;
• мобільних вразливостей нульового дня — 15 проти 9 роком раніше;
• на браузери припало менш ніж 10% — Google пояснює це посиленням захисту, хоча зловмисники могли просто навчитися краще ховатися.

Серед виробників найчастіше атакують великі технологічні компанії, а також Cisco, Fortinet, Ivanti та VMware — постачальників VPN, мережевих екранів і платформ віртуалізації.

Відомі атаки з використанням експлойтів

NotPetya: удар по Україні через оновлення M.E.Doc

27 червня 2017 року шкідливе ПЗ Diskcoder.C, відоме як NotPetya, уразило українські фінансові, енергетичні та державні установи. За даними ESET, зловмисники вбудували бекдор у легітимний модуль бухгалтерської програми M.E.Doc і поширили шкідливий код через її оновлення. Усередині мереж NotPetya розповсюджувалася, зокрема, за допомогою того самого експлойта EternalBlue.

Назву взяли в програми-вимагача Petya, але NotPetya лише маскувалася під неї: британський Національний центр кібербезпеки констатував, що зашифровані дані не передбачалося розшифровувати, тобто це була атака-вайпер, а не вимагання. У лютому 2018 року уряд Великої Британії офіційно поклав відповідальність на російських військових; основними цілями названо фінансовий, енергетичний та державний сектори України.

Heartbleed: витік памʼяті серверів

Вразливість CVE-2014-0160 у бібліотеці OpenSSL, оприлюднена у квітні 2014 року, виникла через відсутню перевірку довжини даних у розширенні TLS Heartbeat. Сервер повертав на запит до 64 КБ вмісту своєї памʼяті, а запити можна було повторювати необмежено, поступово витягаючи паролі, приватні ключі шифрування та дані сесій. Експлуатація не залишала слідів у журналах сервера. Виправлення вийшло у версії OpenSSL 1.0.1g.

Log4Shell: один рядок у журналі — і повний контроль над сервером

У грудні 2021 року в популярній Java-бібліотеці журналювання Apache Log4j виявили вразливість CVE-2021-44228 (версії від 2.0-beta9 до 2.14.1). Помилка ховалася в тому, як бібліотека обробляла змінні через JNDI: досить було, щоб застосунок записав у журнал спеціально сформований рядок — наприклад, імʼя користувача чи заголовок запиту, — і бібліотека зверталася до сервера зловмисника й завантажувала з нього код. 17 грудня 2021 року CISA видала надзвичайну директиву, що зобовʼязала федеральні відомства США терміново усунути вразливість.

Log4Shell показала, наскільки важко знайти вразливий компонент, «зашитий» у сотні продуктів. Відтоді GTIG та інші організації радять вести реєстр програмних компонентів (SBOM), щоб за кілька годин зʼясовувати, де саме використовується проблемна бібліотека.

WinRAR CVE-2025-8088: експлойт, який досі атакує Україну

Вразливість у WinRAR дозволяє через шкідливий RAR-архів записати файл за межі обраної для розпакування папки — найчастіше в папку автозавантаження Windows. Користувач бачить безневинний документ, а при наступному вході в систему автоматично запускається шкідливий код. Експлуатацію зафіксували з 18 липня 2025 року; виправлення вийшло у WinRAR 7.13 30 липня 2025 року. Виявили атаку дослідники ESET, які повʼязали її з угрупованням RomCom.

Попри виправлення, вразливість залишається робочим інструментом проти України. За даними GTIG, її використовують кілька повʼязаних із росією угруповань проти українських військових та державних структур: UNC4895 (RomCom), APT44, TEMP.Armageddon, активність якого тривала щонайменше до січня 2026 року, і Turla, що маскувала приманки під матеріали про українських військових та дрони. Серед файлів-приманок трапляються архіви з назвами на кшталт «Заява про скоєння злочину». Схожу історію Google описувала й у 2023 році, коли державні хакери масово використовували іншу вразливість WinRAR, уже виправлену на той момент.

Важлива деталь: WinRAR не оновлюється автоматично, тож нову версію потрібно встановлювати вручну. Саме такі програми — встановлені колись і забуті — найчастіше залишаються вразливими роками.

Як захиститися від експлойтів

Базові правила для всіх

1. Встановлювати оновлення одразу. Варто увімкнути автоматичне оновлення операційної системи, браузера та офісних програм і не відкладати перезапуск: багато виправлень починають діяти лише після нього. GTIG серед іншого радить регулярно перезавантажувати смартфон.
2. Видаляти програми, якими не користуються. Кожна встановлена програма — потенційна точка входу. Особливу увагу варто звернути на ті, що не оновлюються самі, як-от архіватори.
3. Не відкривати несподівані архіви та документи. Навіть якщо лист виглядає як офіційний запит, повістка чи заява, вкладення варто перевірити, а відправника — підтвердити іншим каналом.
4. Працювати без прав адміністратора. Щоденний обліковий запис зі звичайними правами обмежує шкоду, якщо експлойт таки спрацює.
5. Не вимикати вбудований захист Windows. «Захист від експлойтів» у Windows 10 і 11 увімкнений за замовчуванням (Безпека Windows → Керування програмами та браузером). Додатково варто перевірити «Цілісність памʼяті» в розділі «Безпека пристрою → Ізоляція ядра»: функція ускладнює захоплення системи через драйвери і в більшості компʼютерів з Windows 11 уже ввімкнена.
6. Посилити захист браузера. У Chrome варто увімкнути розширений режим Безпечного перегляду, який швидше блокує шкідливі сайти та файли.

Для людей з підвищеним ризиком

Журналісти, активісти, військові та держслужбовці можуть стати мішенню шпигунського ПЗ, яке використовує ланцюжки експлойтів нульового дня. GTIG рекомендує їм вмикати Режим карантину на iPhone, iPad і Mac та Advanced Protection на Android. Режим карантину — це надзвичайний режим, який Apple радить лише тим, хто може бути ціллю складних атак: у ньому блокується більшість типів вкладень у Повідомленнях, вимикаються деякі вебтехнології, а запрошення від незнайомих контактів не приймаються.

Для організацій

• Вести актуальний перелік усіх систем і програмних компонентів (SBOM), щоб швидко знаходити вразливі версії.
• Пріоритезувати виправлення вразливостей із каталогу CISA KEV — переліку тих, що вже використовуються в реальних атаках.
• Не відкривати в інтернет інтерфейси керування та службові порти без потреби; відокремлювати DMZ, мережеві екрани та VPN від ядра мережі й контролерів домену.
• Мати процедуру екстреного оновлення в обхід звичайного погодження змін — на випадок критичних вразливостей.
• Регулярно сканувати інфраструктуру на відомі вразливості, наприклад за допомогою Nessus або OpenVAS.
• Окремо моніторити периферійні пристрої: на VPN-шлюзах і мережевих екранах зазвичай немає EDR, тому аномалії там легко пропустити.

Підсумок

Експлойт — це не окремий вірус, а спосіб перетворити помилку в програмі на точку входу для атаки. Найнебезпечніші з них — експлойти нульового дня, проте більшість масових атак, від WannaCry до нинішніх кампаній проти України через WinRAR, використовує вразливості, для яких виправлення давно існує. Тому найефективніший захист залишається простим: вчасно оновлювати все встановлене, позбуватися зайвого та не вимикати вбудовані механізми захисту операційних систем.

Ця стаття Що таке експлойт, як він працює і як захиститися від атак через вразливості раніше була опублікована на сайті CyberCalm, її автор — Семенюк Валентин

Наприкінці червня 2026 року RARLAB випустила WinRAR 7.23 з виправленням уразливості CVE-2026-14191 у коді, що відновлює пошкоджені RAR-архіви. Це вже не перша вада в цьому фрагменті програми: як зазначає Malwarebytes з посиланням на запис EUVD-2026-40869 у Європейській базі уразливостей, нова помилка є варіантом CVE-2023-40477, яку закрили ще 2023 року.

За останні сім років WinRAR пережив низку схожих уразливостей, і в усіх них одна спільна риса: програма не оновлюється автоматично. Тому навіть давно виправлені вади місяцями й роками лишаються робочим інструментом для атак — зокрема проти українських державних установ і військових.

Чому WinRAR роками лишається мішенню

WinRAR не встановлює оновлення сам: про нову версію користувач має дізнатися й завантажити її вручну, на що звертає увагу Malwarebytes. В організаціях проблема глибша. За даними Trend Micro, WinRAR не підтримує групові політики Windows і не потрапляє в корпоративні канали оновлень на кшталт WSUS, SCCM чи Intune, тож перевірити версію на сотнях компʼютерів можна лише вручну або сторонніми засобами.

WinRAR глибоко вбудований у щоденну роботу українських організацій, і саме це робить його привабливою ціллю для атак

Має значення і масштаб. Ще 2019 року, як зазначали в Check Point Research, RARLAB заявляла про понад 500 млн користувачів. Для зловмисника це означає, що один робочий експлойт годиться для величезної кількості цілей, а повільне оновлення дає йому місяці, а то й роки.

Хронологія ключових уразливостей

2019 — CVE-2018-20250: помилка, що жила 19 років

Дослідник Check Point Research Надав Гроссман виявив, що для розпакування архівів застарілого формату ACE WinRAR використовував бібліотеку UNACEV2.dll, скомпільовану ще 2006 року без базових механізмів захисту на кшталт ASLR і DEP. Помилка обходу шляху (path traversal) дозволяла записати файл не в обрану користувачем папку, а, наприклад, у папку автозавантаження Windows — і шкідлива програма запускалася під час наступного входу в систему. Атаці не заважало навіть розширення: досить було перейменувати ACE-архів на .rar, бо WinRAR визначав формат за вмістом файлу. Сама вада існувала понад 19 років.

Вихідного коду бібліотеки в RARLAB не було, тож компанія повністю відмовилася від підтримки формату ACE, починаючи з WinRAR 5.70. Зловмисники швидко скористалися паузою між виправленням і оновленням: McAfee Labs фіксувала шкідливі архіви, замасковані під піратський музичний альбом. За даними Trend Micro, цю уразливість використовували в цільових атаках ще кілька років після розкриття.

2023 — CVE-2023-38831: «картинка», що запускає скрипт

Цю ваду кіберзлочинці використовували як уразливість нульового дня щонайменше з квітня 2023 року в атаках на трейдерів — про це першою повідомила Group-IB. Механізм, за описом Google Threat Analysis Group: користувач двічі клацає на безпечний на вигляд файл в архіві, наприклад PNG-зображення, а WinRAR через логічну помилку і особливість обробки розширень у Windows запускає замість нього підкладений скрипт. Виправлення увійшло до WinRAR 6.23 у серпні 2023 року.

Щойно опис уразливості став публічним, на GitHub зʼявилися готові генератори експлойтів, і до справи долучилися державні хакери. Google TAG зафіксувала кампанію Sandworm, яку повʼязують із підрозділом 74455 ГРУ: угруповання розсилало запрошення від імені української школи операторів дронів і заражало компʼютери викрадачем даних Rhadamanthys. Інше угруповання ГРУ, APT28, за даними CERT-UA використовувало цю ваду проти обʼєктів енергетики, а в одній із кампаній маскувало приманку під запрошення на захід від Центру Разумкова.

2023 — CVE-2023-40477: перший збій у томах відновлення

Саме цій уразливості була присвячена перша версія цієї статті. Її знайшов дослідник goodbyeselene, який співпрацює з Zero Day Initiative. Помилка в обробці томів відновлення — файлів .rev, які допомагають відтворити пошкоджені багатотомні архіви, — дозволяла звернутися до памʼяті за межами виділеного буфера і виконати код. Оцінка за шкалою CVSS — 7,8; для атаки жертва мала відкрити шкідливий файл або сторінку. Виправлення увійшло до того самого випуску WinRAR 6.23, що й захист від CVE-2023-38831.

2025 — CVE-2025-6218 і CVE-2025-8088: обхід шляху повертається

У червні 2025 року RARLAB виправила у версії 7.12 ваду, через яку спеціально підготовлений архів міг підмінити обрану користувачем папку для розпакування. Про проблему повідомив дослідник, який співпрацює з Zero Day Initiative. У грудні 2025 року американське агентство CISA внесло CVE-2025-6218 до каталогу уразливостей, які активно використовують в атаках; серед тих, хто її застосовував, The Hacker News називає і Gamaredon у кампаніях проти українських військових і держорганів.

Майже одночасно, 18 липня 2025 року, дослідники ESET натрапили на нову уразливість нульового дня, яку вже використовувало повʼязане з росією угруповання RomCom. Цього разу шкідливі файли ховали в альтернативних потоках даних NTFS (Alternate Data Streams): користувач бачив в архіві один безневинний документ, а WinRAR непомітно розкладав по системі шкідливу бібліотеку і ярлик у папці автозавантаження. Розсилки RomCom маскувалися під резюме кандидатів і були спрямовані на фінансові, виробничі, оборонні та логістичні компанії в Європі та Канаді. RARLAB випустила WinRAR 7.13 30 липня 2025 року. Про цю кампанію CyberCalm писав окремо.

Після цього уразливість розійшлася «по руках». У січні 2026 року Google Threat Intelligence Group повідомила, що CVE-2025-8088 використовують Sandworm, Turla і Gamaredon проти українських військових і державних установ, а також китайські угруповання та звичайні кіберзлочинці. Експлойт для WinRAR, за даними Google, ще в липні 2025 року рекламував на підпільних майданчиках постачальник під ніком zeroplayer.

2026 — та сама вада проти України, через рік після патча

У червні 2026 року Trend Micro описала дві окремі кампанії проти українських організацій, які досі трималися на CVE-2025-8088. Першу проводить Gamaredon, другу — угруповання, яке CERT-UA відстежує як UAC-0226. Нові зразки експлойтів обидва створювали щонайменше до квітня 2026 року.

Приманки підібрано під українські реалії. UAC-0226 маскував архіви під повістку Дніпропетровського окружного адміністративного суду, реєстр військовозобовʼязаних від імені Міноборони і документи на автомобілі КрАЗ. Після зараження запускалася оновлена версія викрадача GIFTEDCROOK: він збирає паролі й файли cookie з Chrome, Edge, Opera і Firefox, а також документи 35 типів, зокрема бази паролів KeePass (.kdbx) і конфігурації OpenVPN (.ovpn), а потім видаляє власні сліди. Gamaredon розсилав «судові» листи — повістки, виконавчі документи, постанови про арешт майна — здебільшого зі зламаних скриньок українських держорганів, тож адреса відправника не викликала підозр.

2026 — CVE-2026-14191: знову томи відновлення

У WinRAR 7.23 RARLAB виправила переповнення буфера в купі (heap overflow) у коді, що відновлює дані з томів відновлення формату RAR5. Про проблему повідомив Арджун Баснет із Securin Labs. Уразливість зачіпає WinRAR, консольні утиліти RAR і UnRAR; бібліотека UnRAR.dll томів відновлення не обробляє, тож її це не стосується. За описом Tenable, набір підготовлених .rev-файлів дозволяє записати дані за межі виділеної памʼяті й потенційно виконати код. У тому самому випуску закрито ще одну ваду — повʼязану із символьними посиланнями, які могли вказувати за межі папки розпакування.

Що обʼєднує ці уразливості

Помилки повторюються у двох місцях: в обробці шляхів під час розпакування (CVE-2018-20250, CVE-2025-6218, CVE-2025-8088) і в роботі з памʼяттю в томах відновлення (CVE-2023-40477, CVE-2026-14191). Але головна закономірність не технічна. Як підсумовувала Google TAG ще 2023 року, навіть найдосвідченіші зловмисники роблять лише те, що необхідно, — і якщо стара вада досі працює, нова їм не потрібна. Для CVE-2025-8088 це підтвердилося майже дослівно: виправлення вийшло в липні 2025-го, а атаки на Україну тривали й навесні 2026-го.

Як перевірити й оновити WinRAR

1. Відкрити WinRAR і в меню «Довідка» вибрати «Про WinRAR» — у вікні буде номер версії. Інший спосіб у Windows 11: «Параметри» → «Програми» → «Інстальовані програми», рядок WinRAR.
2. Якщо версія нижча за 7.23, завантажити інсталятор лише з офіційного сайту і встановити поверх старої версії. «Збірки» з торентів і сайти-двійники — окремий ризик.
3. Вибрати правильну збірку: починаючи з WinRAR 7.10, програма працює лише в 64-бітних Windows 7 і новіших; для компʼютерів на процесорах ARM є окремий інсталятор.
4. Оновити й інші компоненти RAR, якщо вони є в системі: консольні RAR і UnRAR, а також програми, що використовують UnRAR.dll, — CVE-2025-8088, за даними ESET, зачіпала й їх.
5. Перевіряти наявність нової версії регулярно: автоматичного оновлення WinRAR не має.

Чи потрібен WinRAR узагалі

Для більшості домашніх користувачів — ні. За даними Microsoft, Windows 11 версії 24H2 підтримує формати ZIP, RAR, 7z і TAR вбудованими засобами Провідника: архів відкривається подвійним клацанням, а команда «Видобути все» розпаковує вміст. Обмеження одне — зашифровані, тобто захищені паролем, архіви Windows не обробляє. Покрокову інструкцію CyberCalm публікував раніше.

Вбудований інструмент теж не застрахований від помилок: у квітні 2024 року Microsoft виправила уразливість CVE-2024-26256 у бібліотеці libarchive, яку Windows використовує для роботи з архівами. Різниця принципова: такі виправлення приходять через Windows Update без участі користувача.

Якщо WinRAR лишився після давньої інсталяції й не використовується, його варто видалити через «Інстальовані програми»: програма, якої немає в системі, не може бути вразливою. Для зашифрованих архівів знадобиться сторонній архіватор, і до нього застосовне те саме правило — регулярні оновлення.

Рекомендації для організацій

• Провести інвентаризацію компʼютерів зі встановленим WinRAR і включити його до процесу керування оновленнями через засоби централізованого розгортання ПЗ — штатні канали Windows цього не роблять.
• Видаляти WinRAR там, де він не потрібен для роботи: Malwarebytes радить розглядати його як необовʼязкове ПЗ.
• Блокувати або ізолювати RAR-вкладення на поштовому шлюзі, якщо робочі процеси цього не вимагають, — таку рекомендацію дає Trend Micro.
• Налаштувати моніторинг: ярлики (.lnk) і HTA-файли з випадковими назвами в папці автозавантаження, запуск mshta.exe з неї, а також cmd.exe, що запускає PowerShell у прихованому вікні.
• У разі підозри на зараження — змінити паролі, збережені в браузерах, завершити активні сесії, увімкнути багатофакторну автентифікацію та повідомити про інцидент CERT-UA.

Як розпізнати небезпечний архів

Усі описані атаки обʼєднує одне: жертва сама відкриває архів. Тому найкращий захист — недовіра до вкладень, які тиснуть терміновістю: «повістка», «виконавчий документ», «судовий виклик», резюме від незнайомого кандидата. Лист зі зламаної скриньки держустанови виглядає цілком правдоподібно, тож несподіваний документ варто перевірити іншим каналом — дзвінком або повідомленням відомому контакту.

Є й технічна ознака. У кампанії RomCom, за описом ESET, WinRAR під час розпакування показував попередження про неіснуючі шляхи, а підозрілі адреси ховалися нижче у списку помилок. Будь-яке таке попередження під час розпакування документа — привід зупинитися, а не закрити вікно і продовжити роботу.

Ця стаття Уразливості WinRAR: хронологія атак від 2019 до 2026 року і як захистити компʼютер раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня