Дитина, яка отримує свій перший смартфон, потрапляє в той самий інтернет, що й дорослі — з шахраями, фейковими акаунтами, жорстоким контентом і людьми, які цілеспрямовано шукають контакту з підлітками. Заборони тут працюють погано: діти швидко знаходять обхідні шляхи. Працюють зрозумілі правила, правильні налаштування і довіра, за якої дитина прийде до вас одразу, а не тоді, коли ситуація вже вийшла з-під контролю.

Нижче — памʼятка, яку варто обговорити разом із дитиною: базові правила, поради за віком, актуальні загрози воєнного часу та контакти, куди звертатися, якщо щось пішло не так.

10 головних правил безпеки в інтернеті для дітей

Проговоріть ці правила словами, зрозумілими саме вашій дитині. Ще краще — запишіть їх разом і повісьте біля компʼютера.

1. Не розповідай незнайомим, де ти живеш і навчаєшся. Адреса, школа, номер телефону, розклад і місце, де ти зараз, — приватна інформація. Геолокацію у фото та соцмережах краще вимкнути.
2. Роби «тест білборда». Перш ніж щось опублікувати чи надіслати, уяви це на великому білборді біля школи. Якщо не хочеш, щоб це побачили всі, — не публікуй. Повністю видалити щось з інтернету майже неможливо.
3. Людина в мережі може бути не тим, за кого себе видає. «Ровесник» з гарним фото насправді може виявитися дорослим.
4. Не надсилай інтимних фото чи відео — нікому. Навіть тому, кому довіряєш. Якщо хтось просить або погрожує — одразу скажи дорослим.
5. Не йди на зустріч із людиною з інтернету без відома батьків. Про будь-яке запрошення зустрітися розкажи дорослим.
6. Не переходь за підозрілими посиланнями і не завантажуй файли від незнайомців — навіть якщо обіцяють подарунок, скіни чи гроші.
7. Нікому не повідомляй паролі та коди з SMS — ні друзям, ні «службі підтримки». Для важливих акаунтів вмикай двофакторну автентифікацію.
8. «Легкий заробіток» за фото обʼєктів, підпали чи передачу інформації — це злочин і пастка ворога. Такі пропозиції не можна приймати, про них треба одразу повідомити дорослим.
9. Якщо тебе ображають або цькують, не відповідай агресією. Зроби скриншоти, заблокуй кривдника й розкажи дорослим. Ти не винен у тому, що сталося.
10. Якщо щось налякало, збентежило чи здалося дивним — розкажи батькам або іншому дорослому, якому довіряєш. За це тебе не покарають.

Правила безпеки в інтернеті за віком дитини

До 7 років: інтернет лише разом із дорослим

У цьому віці дитина не відрізняє рекламу від мультфільму й не розуміє, що з нею може заговорити незнайомець. Пристрій має бути в спільній кімнаті, відео та ігри обирають батьки, автовідтворення вимкнене, а покупки в магазинах застосунків захищені паролем. Для малюків краще підходять дитячі режими й окремі дитячі профілі, а не звичайні YouTube чи TikTok.

7–12 років: власний пристрій і перші акаунти

Дитина вже сама грає онлайн і спілкується в чатах ігор та месенджерах. Саме зараз час налаштувати батьківський контроль, обговорити правила вище й домовитися про час біля екрана.

Більшість популярних соцмереж, зокрема TikTok та Instagram, за власними правилами дозволяють реєстрацію з 13 років. Якщо молодша дитина «додала» собі років, вона отримує акаунт дорослого користувача — без вікових обмежень контенту. Окрему увагу приділіть іграм із вбудованими чатами та ігровим спільнотам: саме там незнайомці часто вперше виходять на контакт.

13–17 років: більше свободи — більше довіри

Тотальний контроль підлітка зазвичай закінчується тим, що він створює другий акаунт, про який батьки не знають. Ефективніше перейти від заборон до домовленостей: разом налаштувати приватність профілів, обговорити секстинг, фейки, маніпуляції та «легкі заробітки». Саме підлітки — основна мішень шантажистів і вербувальників, тож дитина має знати: з будь-якою проблемою можна прийти до вас без страху покарання.

Від чого захищати дитину: основні загрози

Кібербулінг

Систематичні образи, погрози, поширення принизливих фото, створення груп для цькування. В Україні булінг, зокрема із застосуванням засобів електронних комунікацій, є адміністративним правопорушенням (стаття 173-4 КУпАП). Дитині важливо не відповідати кривдникам, зберегти докази й повідомити дорослих. Батькам — звернутися до закладу освіти, а в серйозних випадках — до поліції.

Грумінг і сексторшн

Грумінг — це коли дорослий поступово входить у довіру до дитини, щоб отримати інтимні фото або домогтися зустрічі. Сексторшн — шантаж такими матеріалами: зловмисник погрожує розіслати їх друзям чи батькам, якщо дитина не надішле ще або не заплатить.

З березня 2021 року Кримінальний кодекс України містить статтю 156-1 «Домагання дитини для сексуальних цілей». Вона передбачає відповідальність для повнолітніх, які пропонують особі до 16 років зустріч із сексуальною метою, зокрема через інтернет.

Якщо дитину шантажують, не можна платити й виконувати вимоги — це лише посилює тиск. Збережіть листування, заблокуйте кривдника та зверніться до Кіберполіції.

Вербування через месенджери та соцмережі

Це загроза, специфічна для України воєнного часу. За інформацією СБУ, російські спецслужби шукають виконавців підпалів і диверсій через Telegram-канали та інші онлайн-ресурси, маскуючись під роботодавців або волонтерів. Серед тих, кого намагаються залучити, — неповнолітні: спершу їм пропонують «легкі гроші» за прості завдання, які згодом перетворюються на тяжкі злочини.

Поясніть дитині, що за такі дії настає кримінальна відповідальність, а про будь-яку подібну пропозицію треба одразу розповісти вам. СБУ радить зберегти скриншоти з нікнеймом, номером і текстом завдань, не видаляти чат і повідомити спецслужбу.

Шахрайство і фішинг

Діти — зручна мішень для шахраїв: «безкоштовні» скіни й ігрова валюта, фейкові розіграші від блогерів, підроблені сторінки входу в акаунти. Навчіть дитину не вводити пароль на сторінці, куди вона потрапила за посиланням, і ніколи не передавати коди з SMS. Даних банківських карток батьків у дитини не має бути взагалі.

Небажаний контент і ШІ-чатботи

Жорстокі відео, порнографія, небезпечні «челенджі» чи контент, що пропагує розлади харчування, можуть потрапити в стрічку навіть без пошуку. Новий ризик — чатботи зі штучним інтелектом, які діти використовують як співрозмовника або «друга». Поясніть, що ШІ помиляється й не замінює живих людей, а про особисті переживання краще говорити з тими, кому дитина довіряє.

Технічний захист: що налаштувати батькам

Налаштування не замінюють розмови, але прибирають значну частину ризиків ще до того, як дитина з ними зіткнеться.

• Батьківський контроль на смартфоні. Google Family Link на Android, «Екранний час» і «Сімейний доступ» на iPhone та iPad дозволяють фільтрувати контент, погоджувати встановлення застосунків і обмежувати час.
• Безпечний пошук і фільтри у браузері та на YouTube.
• Приватність у соцмережах: закритий профіль, заборона повідомлень від незнайомців, вимкнена геолокація.
• Сімейні режими самих платформ. Наприклад, у TikTok акаунт дитини можна повʼязати з акаунтом батьків і керувати налаштуваннями.
• Окремий обліковий запис дитини на спільному компʼютері — без прав адміністратора.
• Пароль або підтвердження батьків для будь-яких покупок у застосунках та іграх.

Як говорити з дитиною про безпеку в інтернеті

Цікавтеся, а не допитуйте: що дитина дивиться, у що грає, з ким спілкується. Розповідайте про власний досвід — зокрема про помилки, яких припускалися самі. Домовтеся про сімейні правила: скільки часу проводити з гаджетами, де вони лежать уночі, які застосунки можна встановлювати без погодження.

Найважливіше: дитина має бути певна, що за звернення по допомогу її не покарають і не заберуть телефон. Саме страх втратити гаджет найчастіше змушує дітей мовчати про шантаж чи цькування.

І не забувайте про власний приклад. Фото дітей, які батьки публікують у відкритому доступі, теж можуть стати джерелом ризиків.

Тривожні ознаки: коли варто втрутитися

• Настрій різко погіршується після користування телефоном або компʼютером.
• Дитина ховає екран, видаляє листування, раптово закриває чи видаляє акаунти.
• Зʼявилися нові «друзі» старшого віку, подарунки або гроші невідомого походження.
• Дитина відмовляється йти до школи, погано спить, стала тривожною чи замкненою.

Такі зміни не завжди означають небезпеку, але це привід спокійно поговорити.

Що робити, якщо дитина потрапила в біду

1. Зберігайте спокій і не звинувачуйте дитину. Вона вже налякана, а докори змусять її закритися.
2. Зберіть докази. Зробіть скриншоти листування, нікнейму, посилання на профіль, дат. Не видаляйте чат до звернення в поліцію.
3. Не вступайте в перемовини з шантажистом і не платіть.
4. Заблокуйте кривдника та поскаржтеся на його акаунт у самій платформі.
5. Зверніться до фахівців — контакти нижче.

Цифрова безпека дитини — це не разове налаштування, а звичка, яку родина вибудовує разом. Більше матеріалів на цю тему — у розділі «Безпека дітей в інтернеті» на CyberCalm.

Ця стаття Правила безпеки дітей в інтернеті: памʼятка для батьків і дітей раніше була опублікована на сайті CyberCalm, її автор — Олена Кожухар

PayPal залишається однією з найбільших платіжних систем світу: станом на кінець червня 2026 року компанія мала 439 млн активних акаунтів. Такий масштаб робить сервіс постійною мішенню для шахраїв. Причому дедалі частіше вони не підробляють PayPal, а використовують справжні механізми платформи — рахунки на оплату, запити коштів, службові сповіщення, — щоб їхні повідомлення проходили спам-фільтри й не викликали підозри.

Для українських користувачів тема цілком практична. Власники українських рахунків PayPal можуть надсилати й отримувати перекази між фізичними особами та виводити кошти на картки Visa чи Mastercard. Сервісом користуються фрилансери, продавці на закордонних майданчиках, люди, які отримують допомогу від рідних за кордоном, — і саме на цю аудиторію розраховано більшість схем, описаних нижче.

1. Справжній лист від PayPal із фальшивим текстом

Найнебезпечніша тенденція останніх двох років — шахрайські повідомлення, які надходять зі справжньої адреси service@paypal.com. Перевірка відправника, яку зазвичай радять першою, тут не допомагає.

У лютому 2025 року BleepingComputer описав схему зі зловживанням функцією додаткових адрес доставки. Шахраї додавали нову адресу у власний акаунт, а в поле адреси вписували текст про нібито оформлену покупку — наприклад, MacBook M4 — і номер «служби підтримки». PayPal автоматично надсилав сповіщення «Ви додали нову адресу», а зловмисники перенаправляли його через список розсилки одразу на багато скриньок.

У грудні 2025 року видання зафіксувало схожу атаку через функцію підписок: коли продавець призупиняє підписку, PayPal надсилає лист про те, що автоматичний платіж більше не активний. Шахраї вбудовували в такі листи повідомлення про списання від 1300 до 1600 доларів і номер телефону для «скасування». Після публікації PayPal повідомив про закриття цієї лазівки, однак сам принцип — використати легітимне сповіщення як носія фальшивого тексту — шахраї застосовують і в інших сервісах.

Мета в обох випадках однакова: налякати людину неіснуючою покупкою і змусити подзвонити. «Оператор» переконує, що акаунт або компʼютер зламано, і просить встановити програму віддаленого доступу — після чого отримує контроль над пристроєм.

Як розпізнати

• Лист повідомляє про покупку, яку людина не робила, і пропонує подзвонити за вказаним номером.
• Текст про покупку розміщено в незвичному місці — у полі адреси, у примітці чи в блоці «звʼязатися з продавцем».
• В акаунті PayPal, відкритому через застосунок або вручну введену адресу, цієї операції немає.

2. Фальшиві рахунки та запити на оплату

PayPal дозволяє будь-кому надіслати рахунок-фактуру (invoice) або запит на гроші. Шахраї цим користуються: за попередженням самої компанії, вони надсилають через PayPal рахунок чи запит, який виглядає справжнім, щоб отримувач зателефонував їм. У примітці зазвичай ідеться про «підозрілу активність», «продовження антивірусної підписки» або термінове списання.

PayPal радить не оплачувати підозрілі рахунки, не телефонувати за номерами з примітки, не переходити за посиланнями й ніколи не надсилати кошти на криптовалютний гаманець, згаданий у рахунку. Непрохані рахунки варто позначити як шахрайські безпосередньо в акаунті — на сайті або в застосунку.

Як розпізнати

• Рахунок від невідомого відправника за товар чи послугу, яку ніхто не замовляв.
• Тривожна примітка з вимогою терміново подзвонити.
• Згадка про оплату криптовалютою або подарунковими картками.

3. Класичний фішинг: «Ваш акаунт обмежено»

Поряд із новими схемами не зникають і традиційні фішингові листи з підробленої адреси. Отримувачеві повідомляють, що акаунт заблоковано або обмежено через «незвичну активність», і пропонують «підтвердити дані» за посиланням. Сторінка за посиланням копіює форму входу PayPal і збирає логін, пароль, дані картки та одноразові коди.

Раніше такі листи видавали помилки й кострубата мова. Нині, як зазначають в ESET, генеративний ШІ дозволяє шахраям масово створювати переконливі й грамотні розсилки, тож орієнтуватися варто не на стиль, а на зміст вимог. PayPal наголошує: прохання повідомити пароль чи код двоетапної перевірки, надіслати «тестовий» платіж або завантажити програму ніколи не надходять від справжньої служби підтримки.

4. Переплата і прохання повернути різницю

Ця схема спрямована на продавців. «Покупець» надсилає суму, більшу за вартість товару, а потім пише про помилку й просить повернути різницю — часто іншим способом або на інший рахунок. Після цього оригінальний платіж скасовують: або шахрай відкриває спір, або зʼясовується, що оплату здійснено з викраденого акаунта чи картки, і справжній власник вимагає повернення. У підсумку продавець втрачає і товар, і гроші, які «повернув».

PayPal включає переплату до переліку поширених шахрайських схем. Помилки у платежах трапляються, але надмірна оплата від нового покупця — привід не повертати «різницю», а скасувати операцію та повернути всю суму через сам PayPal.

5. Зміна адреси доставки та «своя» курʼєрська служба

Ще одна схема для продавців повʼязана з доставкою. Шахрай просить відправити товар на іншу адресу, ніж зазначена в платежі, або скористатися його акаунтом у службі доставки — нібито через знижку. Отримавши контроль над відправленням, він перенаправляє посилку, а потім відкриває спір «товар не отримано». Варіант цієї ж схеми — навмисно неправильна адреса з подальшим перенаправленням посилки, коли служба доставки позначить її як таку, що не може бути доставлена.

Правила PayPal тут однозначні. Щоб отримати захист продавця, товар треба відправити на адресу зі сторінки деталей транзакції; якщо посилку згодом перенаправили на іншу адресу, захист не діє. PayPal прямо рекомендує не користуватися службою доставки, яку організовує покупець. Якщо покупець наполягає на іншій адресі, компанія радить повернути йому кошти й попросити здійснити новий платіж із правильною адресою.

6. «Надішліть як другу»: пастка Friends and Family

У PayPal є два типи платежів: за товари й послуги та особисті перекази друзям і родичам (Friends and Family). Другий тип не передбачає комісії для продавця — і саме цим шахраї пояснюють прохання обрати його: «щоб зекономити». Насправді особисті платежі не підпадають під програму захисту покупців PayPal, а в умовах програми їх прямо виключено з покриття.

Отже, людина, яка оплатила товар «як другу», втрачає єдиний механізм повернення коштів через PayPal, якщо товар не надійде. Прохання продавця, особливо незнайомого чи знайденого в соцмережах, перейти на такий тип оплати — один із найнадійніших сигналів шахрайства.

Як захистити акаунт PayPal

• Перевіряти сповіщення лише в самому акаунті. Будь-який лист про покупку, блокування чи зміну адреси варто звіряти через застосунок PayPal або вручну введену адресу paypal.com, а не через посилання в листі.
• Не телефонувати за номерами з листів і рахунків. Контакти служби підтримки слід брати лише з офіційного сайту або застосунку.
• Використовувати унікальний надійний пароль. Той самий пароль на кількох сервісах дозволяє зламати PayPal після витоку бази будь-якого іншого сайту. Зберігати складні паролі зручно в менеджері паролів.
• Увімкнути двоетапну перевірку. PayPal підтримує коди із застосунків-автентифікаторів, як-от Google Authenticator чи Microsoft Authenticator, а також пропонує вхід за допомогою ключів доступу (passkeys). Застосунок-автентифікатор надійніший за SMS-коди, які можна перехопити, наприклад, через перевипуск SIM-картки.
• Оплачувати покупки лише як «товари й послуги». Тільки такі платежі можуть підпадати під захист покупця.
• Обережно з чужими мережами Wi-Fi. Головний ризик публічних мереж — підроблені точки доступу, які перенаправляють на фішингові сторінки. Для входу в платіжні сервіси безпечніше використовувати мобільний інтернет.
• Для продавців: відправляти товар лише на адресу з деталей транзакції, використовувати власний акаунт у службі доставки та зберігати трекінг-номер і підтвердження доставки.
• Підтримувати актуальними контактні дані в профілі, щоб отримувати одноразові коди й сповіщення про підозрілі дії.

Що робити, якщо шахраї вже отримали доступ або гроші

1. Звʼязатися з PayPal через застосунок або сторінку контактів на офіційному сайті — саме так рекомендує діяти компанія у разі підозри на шахрайство.
2. Негайно змінити пароль до PayPal і до всіх сервісів, де використовувався той самий пароль, та увімкнути двоетапну перевірку.
3. Якщо шахраям надали віддалений доступ до компʼютера, видалити встановлену за їхньою вказівкою програму та перевірити систему антивірусом: зловмисники могли залишити собі можливість повернутися.
4. Повідомити банк, картка якого привʼязана до PayPal, і за потреби заблокувати її.
5. Переслати шахрайський лист на phishing@paypal.com, після чого видалити його.
6. Звернутися до кіберполіції України, якщо кошти вже втрачено.

Ця стаття Шахрайство з PayPal: найпоширеніші схеми 2026 року і як їх розпізнати раніше була опублікована на сайті CyberCalm, її автор — Семенюк Валентин

Генеративний штучний інтелект зробив створення реалістичних аудіо- та відеопідробок справою кількох кліків. Для бізнесу найнебезпечніший сценарій — дзвінок від імені керівника чи партнера з вимогою терміново переказати гроші або скинути пароль. Фахівці ESET пояснили, як працює така схема, за якими ознаками її можна помітити і які внутрішні процедури знижують ризик.

Масштаб загрози зростає стрімко. За оцінкою уряду Великої Британії, у 2025 році було поширено близько 8 млн діпфейків — проти 500 тис. у 2023-му. Синтезовані голоси та відео вже допомагають шахраям обходити перевірки KYC («знай свого клієнта») та автентифікацію акаунтів, а державним хакерським групам — видавати себе за кандидатів на вакансії. Втім, найбільшу загрозу в ESET вбачають у шахрайстві з банківськими переказами та захопленні акаунтів керівників.

Як працює схема з підробленим голосом

Для атаки достатньо короткого запису голосу людини, за яку видаватиме себе зловмисник, — решту виконає генеративний ШІ. Наскільки це просто, показав експеримент глобального радника ESET з питань безпеки Джейка Мура. Типова атака складається з пʼяти кроків:

1. Вибір «ролі». Зловмисник визначає, чиїм голосом говоритиме: генерального чи фінансового директора, а іноді — постачальника.
2. Пошук зразка голосу. Для публічних керівників це нескладно: відео в соцмережах, дзвінок для інвесторів щодо фінансових результатів, телевізійне чи відеоінтервʼю. За даними ESET, вистачить кількох секунд запису.
3. Вибір адресата. Зазвичай шахраї вивчають LinkedIn і шукають працівників служби ІТ-підтримки або фінансового відділу.
4. Підготовка ґрунту. Зловмисник телефонує одразу або спершу надсилає електронний лист: «керівник» просить терміново переказати кошти чи скинути пароль або багатофакторну автентифікацію, «постачальник» вимагає оплатити нібито прострочений рахунок.
5. Дзвінок синтезованим голосом. Залежно від інструменту шахрай або відтворює заздалегідь згенеровані репліки, або застосовує технологію speech-to-speech, що майже в реальному часі перетворює його голос на голос жертви.

Чому такі дзвінки звучать переконливо

Атаки дешевшають, спрощуються і стають дедалі правдоподібнішими. Деякі інструменти додають фоновий шум, паузи та запинки, щоб мовлення звучало природно, і все точніше відтворюють ритм, інтонації та мовні звички конкретної людини. Телефонний звʼязок до того ж маскує частину технічних дефектів синтезу.

Діпфейк підсилюють класичними прийомами соціальної інженерії: співрозмовника квапить нібито невідкладна ситуація або просять нікому не розповідати про розмову. А коли телефонує «генеральний директор», мало хто з підлеглих наважиться йому відмовити.

9 ознак, що в слухавці — діпфейк

Попри вдосконалення технології, підробку часто видає або саме звучання, або поведінка співрозмовника.

Звучання голосу

Залежно від якості інструменту насторожити мають:

• неприродний ритм мовлення;
• надто рівний, емоційно плаский тон;
• дивне дихання або довгі фрази без жодного вдиху;
• «роботизоване» звучання — воно характерне для простіших інструментів;
• фоновий шум, якого або підозріло немає, або він надто одноманітний.

Поведінка співрозмовника

Розпізнати підробку лише на слух дедалі складніше, тому не менш важливий контекст розмови:

• «не та» мова: інша вимова, слова та звороти, яких людина зазвичай не вживає. У стресі люди справді говорять інакше, але дрібні розбіжності — привід придивитися уважніше;
• короткі репліки й швидка передача слухавки сторонньому — «лікарю», «поліцейському», «адвокату», — щоб співрозмовник не встиг помітити підробку;
• тиск і таємність: вимога діяти негайно, прохання нікому не розповідати про розмову;
• незнайомий номер. Утім, знайомий номер теж не гарантія — його можна підробити.

Як захиститися від діпфейк-дзвінків: правила для кожного

Схема стосується не лише бізнесу. В Україні зловмисники телефонують нібито від імені сина, доньки, чоловіка чи друга й повідомляють про ДТП, полон, затримання або поранення. Інший варіант — голосові повідомлення зі зламаного акаунта в месенджері, згенеровані на основі відкритих записів власника, з проханням терміново переказати гроші. Зменшити ризик допомагають кілька простих правил.

Покласти слухавку й перевірити. Найнадійніший спосіб викрити підробку — звернутися до людини каналом, який шахраї не контролюють: передзвонити на відомий номер (а не на той, з якого надійшов дзвінок), написати в месенджер, звʼязатися з її близькими чи колегами. Зазвичай кількох хвилин достатньо, щоб зʼясувати, чи справді щось сталося.

Взяти паузу. Шахраї свідомо не залишають часу на роздуми: під тиском люди ухвалюють гірші рішення й не помічають нестиковок в історії. Після розмови варто спокійно проаналізувати почуте — чи логічне прохання і чи схоже воно на звичну поведінку цієї людини.

Домовитися про кодове слово. Зловмисники можуть заздалегідь зібрати відкриту інформацію про жертву та людину, за яку себе видають, але не знатимуть слова чи фрази, про яку близькі домовилися між собою. Таке слово не записують і не пересилають у месенджерах — лише усно. Якщо надходить «екстрений» дзвінок, достатньо попросити його назвати: шахрай не зможе цього зробити, і схема зупиниться.

Менше голосу у відкритому доступі. Кожне публічне відео чи довге голосове повідомлення — потенційний зразок для клонування. Варто переглянути налаштування приватності в соцмережах і не публікувати відкрито записи з голосом без потреби.

Найважливіше — знати, що така схема існує. Знайомий голос у слухавці більше не доводить, що телефонує саме ця людина, і здоровий скептицизм у «надзвичайній» ситуації — найкращий захист.

35 млн доларів за один дзвінок

Спокуса для зловмисників очевидна — потенційний виграш. Один із найгучніших випадків стався ще у 2020 році: менеджера філії компанії в ОАЕ переконали, що директор особисто просить переказати 35 млн доларів для угоди з придбання іншої компанії. Шахраї поєднали підроблені електронні листи із синтезованим голосом. Відтоді технологія суттєво вдосконалилася, тож базові заходи безпеки варто переглянути.

Як захистити компанію: люди, процеси, технології

Люди. Основа захисту — навчання працівників. Програми з кібербезпеки варто доповнити симуляціями діпфейк-дзвінків, щоб персонал знав, чого очікувати, що поставлено на карту і як діяти. Працівників учать розпізнавати ознаки соціальної інженерії та типові сценарії на кшталт описаного вище, а засвоєння перевіряють навчальними атаками (red teaming).

Процеси. ESET радить запровадити:

• перевірку будь-якого телефонного запиту через інший, незалежний канал — наприклад, корпоративний месенджер;
• обовʼязкове погодження великих переказів і змін банківських реквізитів постачальників двома особами;
• заздалегідь узгоджені кодові фрази або контрольні запитання, на які керівник має відповісти, щоб підтвердити свою особу телефоном.

Технології. Існують інструменти, які аналізують параметри аудіо та виявляють ознаки синтезованого голосу. Складніший у реалізації, але дієвий захід — обмежити публічні виступи керівників, щоб зловмисникам було важче отримати зразки їхнього голосу.

Діпфейки прості й дешеві у створенні, а потенційний виграш для шахраїв величезний, тож найближчим часом така схема навряд чи зникне. Тому в ESET радять будувати захист на трьох складниках — людях, процесах і технологіях — і регулярно переглядати затверджений план, щоб він залишався актуальним у міру розвитку ШІ.

Ця стаття Як розпізнати діпфейк під час дзвінка: 9 ознак підробленого голосу і як захиститися раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Старий телефон, який ви збираєтеся виставити на продаж, або ноутбук, що переходить до родичів, досі зберігає фото, листування, збережені паролі, доступ до банківських застосунків і облікових записів. Звичайне видалення файлів цього не прибирає, а незнятий захист від крадіжки може взагалі заблокувати пристрій для нового власника.

Нижче — порядок дій, який підходить для будь-якого гаджета: смартфона, планшета чи компʼютера. Для кожної платформи ми вказали вбудований засіб стирання, тож сторонні програми здебільшого не знадобляться.

Коротко: що зробити перед продажем

1. Зробіть резервну копію всього, що хочете зберегти.
2. Відвʼяжіть смарт-годинник та інші аксесуари.
3. Вийдіть з облікових записів і вимкніть функцію «Знайти пристрій».
4. Видаліть платіжні картки з гаманця, вийдіть з банківських застосунків і Дії.
5. Скиньте пристрій до заводських налаштувань вбудованим засобом.
6. Вийміть SIM-картку й карту памʼяті, видаліть eSIM.
7. Приберіть пристрій зі списку довірених у своєму обліковому записі.

Крок 1. Зробіть резервну копію

Скидання до заводських налаштувань знищує все, що зберігається на самому пристрої. Тому спершу збережіть фото, документи, листування в месенджерах і коди двофакторної автентифікації: у хмару (iCloud, Google Диск, OneDrive) або на зовнішній диск.

Окремо перевірте застосунки-автентифікатори. Якщо коди зберігаються лише на старому телефоні, перенесіть їх на новий до скидання, інакше можна втратити доступ до власних акаунтів.

Крок 2. Вийдіть з облікових записів і вимкніть захист від крадіжки

Це найважливіший крок, який найчастіше пропускають. І Apple, і Google привʼязують пристрій до облікового запису власника. Якщо цей звʼязок не розірвати, після скидання телефон попросить пароль попереднього власника, і покупець не зможе ним користуватися.

iPhone і iPad. Відкрийте «Параметри», торкніться свого імені, прокрутіть униз і натисніть «Вийти». Так ви вийдете з iCloud і App Store, а функція «Локатор» (Find My) вимкнеться разом із блокуванням активації.

Android. Захист від скидання (Factory Reset Protection, FRP) вмикається автоматично, щойно на пристрій додано обліковий запис Google. Samsung прямо радить видалити Google-акаунт перед тим, як передавати пристрій іншій людині. Зробіть це в «Налаштуваннях» → «Облікові записи» (або «Акаунти») → Google → «Видалити обліковий запис». На смартфонах Samsung так само видаліть акаунт Samsung.

Порада від Google: якщо ви нещодавно змінювали пароль облікового запису Google, зачекайте 24 години перед скиданням.

Крок 3. Приберіть платіжні картки, банківські застосунки й Дію

Видаліть банківські картки з Apple Pay, Google Wallet чи Samsung Wallet. На iPhone повне стирання й так прибирає картки, але краще зробити це вручну заздалегідь.

Вийдіть з банківських застосунків, Дії та месенджерів. У налаштуваннях безпеки багатьох сервісів є перелік активних пристроїв або сеансів — після продажу перевірте його з нового телефона й завершіть сеанс старого пристрою, якщо він там лишився.

Крок 4. Відвʼяжіть смарт-годинник та аксесуари

Якщо до iPhone підʼєднаний Apple Watch, Apple радить спершу розірвати пару. Годинник на Wear OS чи Galaxy Watch скиньте окремо в його власних налаштуваннях. Бездротові навушники та фітнес-браслети варто видалити зі списку Bluetooth-пристроїв і з відповідних застосунків.

Крок 5. Скиньте пристрій до заводських налаштувань

Скидання — це не просто видалення файлів. На сучасних пристроях воно знищує ключі шифрування, і дані стають непридатними до відновлення. Порядок дій залежить від платформи.

iPhone та iPad

Перейдіть у «Параметри» → «Загальні» → «Перенести або скинути iPhone» → «Стерти весь вміст і параметри». Якщо увімкнено «Локатор», система попросить пароль Apple Account.

Під час стирання вимикаються iCloud, iMessage, FaceTime та інші служби, а картки Apple Pay видаляються. Зверніть увагу: вміст, збережений в iCloud, лишається в хмарі. Якщо телефон використовує eSIM, на запит системи оберіть варіант, що стирає і пристрій, і профіль eSIM.

Android

Google попереджає, що скидання може тривати до години, тож зарядіть телефон щонайменше до 70% і підключіть його до Wi-Fi. На більшості пристроїв шлях такий: «Налаштування» → «Система» → «Параметри скидання» → «Видалити всі дані (скинути до заводських налаштувань)». На Samsung — «Загальне керування» → «Скидання» → «Скидання даних».

Назви пунктів у різних виробників відрізняються, тому за потреби звіряйтеся з інструкцією на сайті виробника. Для скидання система попросить PIN-код, графічний ключ або пароль екрана.

Компʼютер на Windows

У Windows 10 і 11 є вбудований засіб, окремі програми не потрібні. Відкрийте «Параметри» → «Система» → «Відновлення» → «Скинути ПК» і оберіть «Видалити все».

Далі обовʼязково натисніть «Змінити параметри» та увімкніть очищення даних. Без цього Windows лише швидко видаляє файли, і частину з них можна відновити спеціальними програмами. З очищенням процес триває довше, але для продажу чи передачі компʼютера Microsoft рекомендує саме цей варіант.

Mac

На Mac з процесором Apple silicon або з чипом безпеки T2 і macOS Monterey чи новішою відкрийте «Системні параметри» → «Загальні» → «Перенесення або скидання» → «Стерти весь вміст і параметри».

Асистент стирання сам вийде з iCloud, вимкне «Локатор» і блокування активації, видалить усі облікові записи користувачів і всі томи диска, зокрема розділ Boot Camp з Windows. На старіших Mac без цієї функції диск стирають через Дискову утиліту в режимі відновлення, а потім перевстановлюють macOS.

Чому форматування — не те саме, що стирання

Швидке форматування чи просте видалення файлів лише позначає місце на диску як вільне. Самі дані лишаються, доки їх не перезапише щось інше, і їх можна дістати програмами для відновлення.

З класичними жорсткими дисками (HDD) допомагає багаторазовий перезапис. Із твердотільними накопичувачами (SSD) так не вийде: контролер сам розподіляє запис по комірках, і програма-«шредер» не гарантує, що перезапише все. Для SSD надійніші вбудоване скидання системи або фірмова утиліта виробника з функцією Secure Erase, наприклад Samsung Magician чи Crucial Storage Executive.

Смартфони, iPad і сучасні Mac шифрують сховище за замовчуванням. Під час стирання система знищує ключі шифрування, тож навіть якщо фізичні дані лишаються в памʼяті, прочитати їх неможливо. Саме тому вбудоване скидання на цих пристроях — надійний спосіб.

Крок 6. Вийміть SIM-картку й карту памʼяті

Фізичну SIM-картку заберіть із собою. Карту памʼяті microSD теж вийміть: на ній часто зберігаються фото й документи, а скидання телефона залежно від моделі може її не зачепити. Якщо віддаєте карту разом із телефоном, відформатуйте її окремо.

eSIM видаліть під час скидання або в налаштуваннях мобільного звʼязку. За потреби оператор перевипустить профіль для нового пристрою.

Крок 7. Приберіть пристрій зі списку довірених

Після скидання зайдіть у свій обліковий запис з іншого пристрою та видаліть старий гаджет зі списку. В Apple Account це розділ зі списком пристроїв, у Google — «Безпека» → «Ваші пристрої». Так він перестане отримувати коди підтвердження й не вважатиметься довіреним.

Якщо пристрій не вмикається або йде на утилізацію

Несправний пристрій стерти програмно не вийде. Якщо це компʼютер, накопичувач можна вийняти й залишити собі або підʼєднати до іншого компʼютера та стерти. Фізичне знищення накопичувача має сенс лише тоді, коли інших варіантів немає.

Зі смартфоном, який не вмикається, краще звернутися до авторизованого сервісного центру. Утилізувати техніку варто через програми повернення від виробників або спеціалізовані пункти прийому електроніки, а не викидати разом із побутовим сміттям: у пристроях є акумулятори та цінні матеріали для переробки.

Ця стаття Як видалити свої дані зі старого смартфона чи ноутбука перед продажем: покроковий чекліст раніше була опублікована на сайті CyberCalm, її автор — Олена Кожухар

Спам давно вийшов за межі поштової скриньки. Шахраї надсилають запрошення на вигадані «події», і календар сам додає їх у розклад — разом із посиланнями на фішингові сторінки, обіцянками виграшів чи фальшивими попередженнями про «зламаний телефон». Google Календар дає змогу закрити цей канал кількома налаштуваннями, а у 2026 році компанія додала ще й блокування окремих відправників.

Звідки береться спам у календарі

Запрошення на подію — звичайний лист із вкладеним файлом події. Якщо календар налаштований приймати запрошення від усіх, подія зʼявляється в розкладі одразу, навіть коли сам лист потрапив до спаму або його ніхто не відкривав. Нагадування про таку «зустріч» спрацює у визначений шахраями час, і користувач побачить сповіщення з підозрілим посиланням.

Є ще два джерела. На Android небажані календарі можуть створювати застосунки, яким надано доступ до календаря, — Google окремо описує цей сценарій. На iPhone спам найчастіше приходить через випадкову підписку на сторонній календар: достатньо натиснути кнопку на сумнівному сайті.

Як заблокувати запрошення від незнайомців: вебверсія

Головне налаштування — те, що визначає, які запрошення календар додає автоматично:

1. Відкрити Google Календар у браузері на компʼютері.
2. Натиснути значок шестерні у правому верхньому куті й вибрати Налаштування.
3. У лівому меню в розділі Загальні відкрити Налаштування подій.
4. У пункті Додавати запрошення до мого календаря вибрати Лише якщо відправник відомий.

Доступні три варіанти:

• Від усіх — будь-яке запрошення одразу потрапляє в календар. Саме цим і користуються спамери.
• Лише якщо відправник відомий — подія додається автоматично, якщо відправник є в контактах, належить до тієї ж організації або вже листувався з власником календаря. Решта запрошень надходить лише листом.
• Коли я відповідаю на запрошення в листі — жодна подія не зʼявляється в календарі, доки користувач не відповість на лист.

Оптимальний варіант для більшості — другий. Запрошення від нових людей не губляться: вони залишаються в пошті, і достатньо відповісти на лист, щоб подія зʼявилася в календарі. Після взаємодії з відправником його наступні запрошення додаватимуться автоматично. Google попереджає про один нюанс: цей режим може підказати відправникам, що їх немає у ваших контактах. Нові налаштування діють лише для нових запрошень — події, які вже є в календарі, доведеться прибрати вручну.

Якщо доступ до календаря мають інші люди (наприклад, помічник), варто перевірити опцію Дозволити іншим бачити всі запрошення, якщо вони мають дозвіл переглядати або змінювати мої події. Вона визначає, чи бачитимуть вони запрошення, які ще не додано до календаря.

Як заблокувати запрошення на Android

У застосунку Google Календар це налаштування розташоване тут:

1. Відкрити застосунок Google Календар.
2. Торкнутися значка меню у верхньому лівому куті й вибрати Налаштування.
3. Перейти в Загальні → Додавання запрошень → Додавати запрошення до мого календаря.
4. Вибрати Лише якщо відправник відомий.

Аналогічний пункт є і в застосунку Google Календар для iPhone та iPad, а змінене на одному пристрої налаштування достатньо перевірити на інших.

Якщо спам створює застосунок

Коли дивні події продовжують зʼявлятися навіть після зміни налаштувань, джерелом може бути сторонній застосунок. Google радить спершу вимкнути зайві календарі: у меню застосунку Календар зняти позначки з усіх календарів, які власник не створював. Далі варто відкликати доступ підозрілого застосунку: Налаштування телефона → Безпека і конфіденційність → Керування конфіденційністю → Менеджер дозволів → Календар. Назви пунктів відрізняються залежно від виробника смартфона.

Як видалити спам-подію, яка вже зʼявилася

Головне правило — не натискати жодних посилань в описі підозрілої події й не відповідати на запрошення. Відповідь «Ні» теж підтверджує спамерам, що адреса активна.

Позначити як спам

У вебверсії Google Календаря це робиться так: відкрити подію, натиснути Інші дії (три крапки) у правому верхньому куті картки й вибрати Повідомити про спам. Подія зникне з календаря, а Google отримає сигнал для навчання фільтрів.

Заблокувати відправника

У серпні 2026 року Google додала в Календар блокування користувачів. Після блокування поточна подія автоматично видаляється, а нові запрошення від цієї людини більше не надходять. Відправник також потрапляє до загального списку заблокованих у Google-акаунті, тож обмеження діє в усіх сервісах компанії, що його підтримують. Функція поступово стає доступною для всіх, включно з особистими акаунтами; за планом Google розгортання має завершитися до 18 вересня 2026 року.

Блокування в Календарі працює лише для відправників із Google-акаунтом. Запрошення з інших поштових сервісів Google пропонує зупиняти блокуванням адреси в Gmail — це блокує всі листи від відправника, включно з тими, що створюють події.

Спам у стандартному Календарі iPhone

Власники iPhone часто бачать спам не в Google Календарі, а у вбудованому застосунку Календар від Apple. Інструкція Apple пропонує два способи.

Щоб прибрати окрему подію від невідомого контакту:

1. Відкрити подію в застосунку Календар.
2. Торкнутися Повідомити про небажане, а потім Видалити й повідомити про небажане.

Якщо події надходять масово, імовірно, телефон підписаний на спам-календар:

1. У застосунку Календар торкнутися кнопки Календарі.
2. Знайти невідомий календар і торкнутися кнопки інформації поруч із ним.
3. Вибрати Видалити календар або Скасувати підписку й підтвердити дію.

Для організацій: нові обмеження для адміністраторів Workspace

До серпня 2026 року адміністратори Google Workspace могли задати лише стандартне значення, а працівники самостійно повертали режим «Від усіх». Тепер Google дозволяє адміністраторам визначати, які варіанти приймання запрошень взагалі доступні користувачам. За замовчуванням ця політика дозволяє режим «Від усіх», тож без втручання адміністратора нічого не зміниться. Налаштування задається для окремих організаційних підрозділів або груп.

Для особистих акаунтів Google адміністратора немає, тому керувати запрошеннями кожен власник календаря продовжує самостійно.

Що робити, якщо спам не зникає

• Перевірити «відомих» відправників. Якщо спамера випадково позначили як знайомого, його варто прибрати: на google.com відкрити Інші контакти, знайти адресу й видалити її. Такий спосіб наводить Google.
• Перевірити збереження контактів. Якщо реальні знайомі й далі позначаються як невідомі відправники, у Google-акаунті має бути ввімкнене збереження контактної інформації під час взаємодії з людьми.
• Переглянути календар у режимі розкладу. Він показує всі майбутні події списком, тож спам, розкиданий на кілька місяців уперед, простіше знайти й видалити.
• Перевірити сторонні підписки та застосунки на всіх пристроях, де підключено той самий акаунт.

Одна зміна налаштувань — режим «Лише якщо відправник відомий» — відсікає більшість календарного спаму. Решту закривають позначки «спам», блокування відправників і регулярна перевірка підписок та дозволів застосунків.

Ця стаття Спам у Google Календарі: як заблокувати запрошення від незнайомців і видалити фейкові події раніше була опублікована на сайті CyberCalm, її автор — Побокін Максим

VPN захищає приватність лише доти, доки працює. Якщо зʼєднання непомітно обривається, трафік повертається на звичайний канал, і справжню IP-адресу знову бачать сайти та провайдер. Функція Kill Switch закриває цю прогалину.

Що таке Kill Switch

Kill Switch («аварійний вимикач») — функція VPN-застосунку, яка блокує доступ пристрою до інтернету, щойно зʼєднання з VPN-сервером переривається. Попри грізну назву, до шпигунських фільмів вона не має стосунку: це запобіжник, що не дає розкрити IP-адресу та DNS-запити в момент збою.

VPN не є універсальним засобом безпеки, проте добре захищає приватність: приховує IP-адресу та інші дані, за якими можна ідентифікувати користувача, за зашифрованим зʼєднанням. Утім, захист діє лише доти, доки тунель активний. Мобільний інтернет, що зникає в метро, перевантажена публічна Wi-Fi-мережа, автоматичне перемикання з домашнього роутера на мобільні дані під час відключення електроенергії — усе це типові причини коротких обривів, яких користувач може навіть не помітити.

Стежити за стабільністю зʼєднання вручну непрактично. Kill Switch перетворює VPN на сервіс, який достатньо налаштувати один раз.

Як працює Kill Switch

VPN створює зашифрований тунель між пристроєм і VPN-сервером ще до того, як браузер звертається до сайту. Сайт бачить IP-адресу сервера, а не користувача, а провайдер і власник публічної Wi-Fi-мережі — лише зашифрований потік даних до VPN-сервера. Це ускладнює стеження за трафіком та атаки «людина посередині» (man-in-the-middle) у локальній мережі, а також приховує активність користувача від рекламодавців, сайтів та інтернет-провайдера.

Kill Switch постійно відстежує стан цього тунелю. Щойно фіксується збій, функція блокує інтернет-зʼєднання пристрою. Без неї операційна система просто відправила б трафік звичайним маршрутом, і справжня IP-адреса та DNS-запити потрапили б назовні. Навіть короткочасного витоку може вистачити, щоб скомпрометувати користувача.

Багато реалізацій Kill Switch спрацьовують також під час перемикання між серверами. Це знижує ризик витоку DNS-запитів у момент автоматичного перепідключення. Щойно тунель відновлюється, VPN повертає доступ до мережі.

Два типи: на рівні застосунків і системний

Kill Switch на рівні застосунків блокує мережевий доступ лише для вибраних програм, які можуть передати чутливі дані стороннім спостерігачам. Решта застосунків у разі обриву продовжує працювати через звичайне зʼєднання. Такий підхід гнучкіший: браузер і месенджер захищені, а оновлення системи чи відеодзвінок не перериваються.

Системний (мережевий) Kill Switch повністю перекриває весь інтернет-трафік пристрою. Він надійніший, але за нестабільного підключення може часто повністю відрізати пристрій від мережі.

Вбудований Kill Switch в Android

Android має власний системний механізм, який працює з більшістю VPN-застосунків. За даними довідки Google для Android Enterprise, функція постійно ввімкненої VPN (Always-on VPN) доступна з Android 7.0: система запускає VPN під час увімкнення пристрою і підтримує зʼєднання, доки пристрій працює. Поруч розташований перемикач блокування зʼєднань без VPN, який змушує весь мережевий трафік проходити лише через тунель.

Увімкнути обидві опції можна в системних налаштуваннях: розділ мережі та інтернету, далі пункт VPN і значок налаштувань поруч із потрібним сервісом. Назви пунктів і шлях до них відрізняються залежно від виробника смартфона.

Системне блокування має свої особливості. Як зазначено в документації ExpressVPN, воно доступне з Android 8.0 і блокує трафік навіть тоді, коли користувач сам вимкнув VPN. Водночас ця опція вимикає роздільне тунелювання (split tunneling) і доступ до пристроїв у локальній мережі, як-от принтерів чи смарт-телевізорів, а на прошивках деяких виробників її може не бути взагалі.

Як налаштувати Kill Switch у VPN-застосунку

Більшість провідних VPN-сервісів мають Kill Switch, однак у безплатних і бюджетних рішеннях його може не бути. Функцію слід шукати в налаштуваннях VPN-застосунку. Вона може називатися Kill Switch, Internet Kill Switch, Network Lock, «захист мережі», «захист від витоків» або «блокувати зʼєднання в разі відключення». Якщо в головному меню її немає, варто перевірити розділи «Безпека», «Приватність», «Захист мережі» чи «Додатково».

Якщо Kill Switch працює на рівні застосунків, його доцільно активувати для пошти, браузера, месенджерів та інших інструментів, що працюють із чутливими даними. Для програм, яким обрив зʼєднання може зашкодити, як-от відеоконференцій чи онлайн-ігор, розумно зробити винятки.

Разом із Kill Switch варто налаштувати автоматичне підключення. Більшість VPN-застосунків уміють вмикати захист під час підключення до публічної мережі або одразу після запуску пристрою, тож памʼятати про це вручну не доведеться.

Як перевірити, що Kill Switch працює

Найпростіший тест — вручну вимкнути VPN і спробувати відкрити будь-який сайт. Проте його результат слід тлумачити обережно: у багатьох сервісах застосунковий Kill Switch спрацьовує лише в разі непередбаченого обриву. Наприклад, ExpressVPN прямо зазначає, що його Internet Kill Switch для Android не блокує інтернет, якщо VPN відключено вручну. Тому надійніше імітувати реальний збій: перемкнутися з Wi-Fi на мобільний інтернет або ненадовго вимкнути роутер, не закриваючи VPN-застосунок.

Другий тест — перевірка на витік IP-адреси. Для цього підходять сервіси ipleak.net або whatismyipaddress.com, а для DNS-запитів — dnsleaktest.com. Відкривши сторінку з увімкненим VPN, слід зафіксувати показану адресу, а потім імітувати обрив зʼєднання й оновити сторінку. Справний Kill Switch не дозволить сайту завантажитися зі справжньою IP-адресою.

Від чого Kill Switch не захищає

Kill Switch реагує лише на падіння тунелю. Витоки, що відбуваються при активному VPN, він не блокує. Типовий приклад — WebRTC: браузерна технологія для відеодзвінків і передачі файлів, яка за певних налаштувань може розкрити справжню IP-адресу в обхід VPN. Схожий ризик виникає, якщо VPN-сервіс не підтримує IPv6 і такий трафік іде звичайним каналом. Захист від цих витоків налаштовують окремо: у VPN-застосунку та в браузері.

Інший приклад — техніка TunnelVision (CVE-2024-3661), описана дослідниками Leviathan Security Group. Зловмисник, який перебуває в тій самій локальній мережі, через підконтрольний DHCP-сервер і опцію 121 перенаправляє трафік повз тунель. VPN-зʼєднання при цьому формально залишається активним, тож, як зазначають автори дослідження, Kill Switch не спрацьовує. Техніка працює у Windows, Linux, macOS та iOS. Android не вразливий, оскільки не підтримує DHCP-опцію 121.

Для користувачів це означає просте правило: навіть з VPN та увімкненим Kill Switch у публічних мережах варто обмежувати роботу з чутливими даними. Шифрування HTTPS на самих сайтах залишається додатковим рівнем захисту, який приховує вміст трафіку навіть у разі витоку.

Ця стаття Kill Switch у VPN: що це таке, як працює і як перевірити раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

14 вересня Apple випустила iOS 27, iPadOS 27, macOS Golden Gate 27 та оновлення для попередніх версій своїх систем. Лише два нові великі релізи закривають понад 200 вразливостей, серед яких — десятки помилок у ядрі. Даних про використання цих вразливостей в атаках немає, проте після публікації технічних деталей ризик для неоновлених пристроїв зростає.

Що виправлено в iOS 27 та iPadOS 27

За даними бюлетеня безпеки Apple, iOS 27 та iPadOS 27 усувають близько 126 вразливостей. Двадцять із них стосуються ядра системи: це помилки, які могли дозволити застосунку аварійно завершити роботу системи, пошкодити чи прочитати памʼять ядра або отримати права root.

Адам Бойнтон із компанії Jamf, що спеціалізується на керуванні пристроями Apple, виокремлює вразливість CVE-2026-64752 у фреймворку обробки медіа CoreMedia. Згідно з описом Apple, обробка спеціально створеного зображення могла призвести до виконання довільного коду.

Зловмисник міг скомпрометувати iPhone, просто показавши користувачеві шкідливе зображення. Цікаво, що Apple не стала виправляти вразливий код, а повністю його видалила.

Серед інших помітних виправлень в iOS 27:

• CVE-2026-65414 у Bluetooth — віддалений зловмисник міг спричинити аварійне завершення застосунку або виконати довільний код;
• дві вразливості в модемі (Baseband) — атакувальник у радіусі дії радіосигналу міг спричинити збій системи або відмову в обслуговуванні;
• CVE-2026-65329 у компоненті Telephony — зловмисник із привілейованою позицією в мережі міг обійти автентифікацію IPSec і перехопити трафік;
• CVE-2026-43674 у Wi-Fi — людина з фізичним доступом до розблокованого пристрою могла переглянути паролі Wi-Fi без автентифікації;
• CVE-2026-84607 в AVEVideoEncoder — застосунок у пісочниці міг виконати довільний код із привілеями ядра.

Виправлення охоплюють понад 90 компонентів систем, зокрема AppleKeyStore, Authentication Services, Foundation, Safe Browsing, Sandbox, Security, TCC і WebKit.

macOS Golden Gate 27, Tahoe 26.7 і Sequoia 15.8

macOS Golden Gate 27 усуває 210 вразливостей, приблизно сотня з яких спільна з iOS 27. Нова система доступна лише для Mac з процесорами Apple silicon та MacBook Neo, тож власники Mac на Intel залишаються на гілці Tahoe.

Для них Apple випустила macOS Tahoe 26.7, яка, за підрахунком SecurityWeek, виправляє 153 унікальні CVE. Бюлетень Apple містить 27 записів про вразливості ядра: вони могли призвести до пошкодження памʼяті, підвищення привілеїв, аварійного завершення роботи системи чи витоку даних. Серед інших виправлень — CVE-2026-65400 у Screen Sharing, через яку атакувальник у мережі міг автентифікуватися без дійсних облікових даних, і CVE-2026-43692 у системі друку CUPS, що дозволяла віддалене виконання коду.

Більшість вразливостей виявили у 2026 році, однак оновлення закриває й давню CVE-2022-3437 — переповнення буфера в купі в бібліотеці Heimdal, яку використовує Samba. У відкритих базах вразливостей її оцінюють як середню за небезпекою: вона може використовуватися для атак типу «відмова в обслуговуванні» (DoS). Apple у своєму бюлетені зазначає, що атакувальник із привілейованою позицією в мережі міг отримати доступ до конфіденційної інформації.

macOS Sequoia 15.8 містить понад 150 виправлень, більш ніж 140 з яких збігаються з Tahoe 26.7.

Хто отримає iOS 27, а хто — iOS 26.7

Згідно зі сторінкою оновлень Apple, iOS 27 доступна для iPhone 11 і новіших моделей. Вимоги до iPad зросли: iPadOS 27 підтримує iPad Pro 12,9 дюйма 4-го покоління та новіші, iPad Pro 11 дюймів 2-го покоління та новіші, iPad Air 4-го покоління, iPad 9-го покоління та iPad mini 6-го покоління і новіші.

Власники iPad Pro 12,9 дюйма 3-го покоління, iPad Pro 11 дюймів 1-го покоління, iPad Air 3-го покоління, iPad 8-го покоління та iPad mini 5-го покоління отримують iPadOS 26.7. Це оновлення доступне й для iPhone тим, хто поки не хоче переходити на iOS 27. Воно закриває понад 80 вразливостей, більшість із яких виправлено і в iOS 27.

Оновлення для інших пристроїв

Одночасно Apple випустила tvOS 27, watchOS 27 і visionOS 27, кожна з яких усуває кілька десятків вразливостей, а також Safari 27 із шістьма виправленнями та Xcode 27 з одним.

Чи використовуються вразливості в атаках

Apple не повідомляє, що якусь із виправлених вразливостей використовували в реальних атаках. Водночас, як зауважує MacRumors, після публікації деталей неоновлені пристрої можуть опинитися під загрозою, тому оновлення варто встановити якнайшвидше.

Для організацій, за словами Бойнтона, важлива не лише кількість виправлень, а й швидкість їх розгортання.

Кількість виправлень в iOS 27 важить менше, ніж те, де саме вони розташовані, а цей реліз зосереджений на ядрі, а не на браузері. Для компаній щовересня постає те саме питання: скільки часу потрібно, щоб виправлення, яке Apple випустила в перший день, дісталося до кожного пристрою з доступом до корпоративних даних? Раніше ця затримка була вимушеним обмеженням, а тепер це вибір: завдяки підтримці в день релізу весь парк пристроїв можна оновити за кілька годин, а не тижнів.

Як встановити оновлення

На iPhone та iPad оновлення доступне в меню Параметри → Загальні → Оновлення ПЗ, на Mac — у Системні параметри → Загальні → Оновлення ПЗ.

Фахівці SANS Internet Storm Center повідомляють про дві особливості. По-перше, частина користувачів бачить завантаження iOS 26.7 замість iOS 27, хоча фактично може встановлюватися саме iOS 27, тож після оновлення варто перевірити номер версії. По-друге, деякі захисні утиліти для Mac, зокрема Little Snitch, потребують оновлення ще до переходу на macOS Golden Gate 27. Також варто памʼятати, що після встановлення нових версій iOS і iPadOS повернутися до попередньої неможливо.

Ця стаття Apple виправила понад 200 вразливостей в iOS 27 та macOS Golden Gate 27 раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Реклама, Огляди від ШІ, відео ентузіастів і сторінки, згенеровані заради SEO, дедалі частіше витісняють із першого екрана Google саме ті відповіді, заради яких користувач відкривав пошук. Технічний оглядач ZDNET Ед Ботт, який понад три десятиліття пише про Windows, запропонував простий спосіб повернути контроль над видачею: власні ярлики пошуку в браузері, що обмежують результати офіційною документацією та кількома перевіреними спільнотами.

Коли пошуковик заважає знайти відповідь

На більшість технічних запитань — як працює функція, що означає код помилки, чи сумісний застосунок із новою версією ОС — існує авторитетна відповідь: документація, яку написали інженери й розробники продукту. Проте дістатися до неї стає дедалі важче. За спостереженням Ботта, особливо це помітно в запитах про Windows: видача рясніє низькоякісними сторінками, оптимізованими під пошуковики.

Показовий приклад — пошук політики конфіденційності чат-бота Microsoft Copilot. Звичайний запит у Google майже повністю заповнив перший екран спонсорованими результатами (серед них була й реклама самої Microsoft) та початком Огляду від ШІ. Нижче йшли блоки «Люди також запитують», добірка товарів і послуг та випадкове посилання на правила використання Copilot для студентів одного з американських університетів.

Той самий запит, виконаний через власний ярлик, повернув чистий список посилань — без реклами й машинно згенерованого контенту. Така видача нагадує Google часів до появи генеративного ШІ.

Принцип: шукати лише серед довірених сайтів

Ідея виникла під час роботи над книжкою «Windows 11 Inside Out, Second Edition». Основними джерелами для неї стали Microsoft Support і Microsoft Learn — офіційне сховище технічної документації компанії, до якого у 2022 році переїхала бібліотека Microsoft Docs. Обсяг матеріалів там величезний, а орієнтуватися в них непросто: найцікавіші технічні подробиці про функції Windows нерідко трапляються в документації, призначеній для серверних адміністраторів, виробників обладнання чи розробників застосунків.

Цінну інформацію містять і сторонні ресурси: GitHub, Super User, мережа Stack Exchange, а також окремі добре модеровані спільноти Reddit. Тому Ботт створив два ярлики — перший шукає лише на офіційних сайтах Microsoft, другий охоплює розширений список перевірених джерел.

Технічно метод спирається на два пошукові оператори Google: site: обмежує пошук конкретним доменом, а OR дає змогу обʼєднати кілька доменів в одному запиті. Підхід універсальний: так само можна налаштувати пошук для медицини, права, фінансів чи будь-якої іншої галузі — достатньо скласти власний перелік надійних сайтів.

Як створити власний ярлик пошуку в Chrome та Edge

Ярлик складається з трьох елементів: назви, короткого ключового слова для виклику та URL-адреси із заповнювачем %s, замість якого браузер підставить пошуковий запит.

1. Відкрити сторінку керування пошуковими системами, ввівши в адресному рядку chrome://settings/searchEngines (Chrome) або edge://settings/searchEngines (Edge).
2. У Chrome знайти розділ «Пошук на сайтах» й натиснути «Додати». В Edge — натиснути «Додати пошукову систему». Діалогові вікна в обох браузерах містять однакові поля.
3. Заповнити поля:

• Назва — підпис, що зʼявлятиметься ліворуч в адресному рядку під час використання ярлика, наприклад Microsoft Official.
• Ярлик — коротке ключове слово, яке легко запамʼятати: mso для офіційних сайтів Microsoft, msx для розширеного списку.
• URL — пошукова адреса з фільтрами та %s наприкінці.

4. Натиснути «Додати», щоб зберегти ярлик.

Так виглядає URL для ярлика Microsoft Official:

https://www.google.com/search?q=(site:learn.microsoft.com+OR+site:support.microsoft.com)+%s

Синтаксис має значення: зайвий пробіл чи пропущена дужка зламають ярлик. У всіх адресах у цій статті пробіли між операторами замінено знаком «+» — це стандартне кодування пробілу в URL, яке знижує ризик помилки під час копіювання.

Як користуватися ярликом: покроково

Після збереження ярлик не зʼявляється як окрема кнопка — він працює прямо з адресного рядка браузера.

1. Перейти в адресний рядок: клацнути по ньому або натиснути Ctrl+L (Cmd+L на Mac).
2. Ввести ключове слово ярлика, наприклад mso, і натиснути Tab або пробіл. Ліворуч у рядку зʼявиться назва ярлика — Microsoft Official. Це ознака того, що наступний запит піде лише на вибрані сайти.
3. Ввести запит звичайними словами, наприклад  як встановити windows 11.
4. Натиснути Enter. Відкриється звичайна сторінка результатів Google, але в пошуковому полі вже стоятиме фільтр із доменами, а у видачі будуть лише сторінки з learn.microsoft.com і support.microsoft.com.

Якщо ярлик активовано помилково, достатньо натиснути Backspace в порожньому рядку або Esc — адресний рядок повернеться до звичайного пошуку.

Якщо офіційна документація відповіді не дає, той самий запит можна повторити з ярликом msx — пошук охопить форуми та спільноти. Офіційна документація здебільшого англійською, тому запити англійською зазвичай дають повніші результати.

Практичні поради

• Уточнення на сторінці результатів. Фільтр із доменами залишається в пошуковому полі Google, тож запит можна доредагувати прямо там: додати слова, прибрати зайвий домен або перейти на вкладку «Вебсторінки».
• Поєднання з іншими операторами. Після активації ярлика працюють звичні оператори: лапки для точної фрази (“0x80070005”), мінус для виключення слова (-server), filetype:pdf для пошуку документів.
• Не робити вузький ярлик пошуком за замовчуванням. Інакше кожен запит в адресному рядку — навіть прогноз погоди — шукатиметься лише серед технічної документації.
• Редагування й видалення. Ярлики керуються на тій самій сторінці налаштувань: меню «⋮» праворуч від ярлика містить пункти для зміни та видалення.
• Інші пристрої. Ярлики зберігаються в налаштуваннях браузера й за увімкненої синхронізації, як правило, переносяться на інші компʼютери з тим самим обліковим записом. Функція розрахована на настільні версії Chrome та Edge.
• Аналогічний результат дає закладка з ключовим словом: достатньо зберегти адресу ярлика (з %s) як закладку й заповнити в її властивостях поле «Ключове слово».

Запити українською

Окремо додавати українські версії сайтів не потрібно. Microsoft і Apple розміщують локалізовані сторінки не на окремих доменах, а в шляху адреси — наприклад, support.microsoft.com/uk-ua/ чи support.apple.com/uk-ua/. Фільтр site: охоплює всі сторінки домену, тож українські матеріали вже потрапляють у пошук.

Результат залежить від того, що існує українською. Google шукає сторінки, які містять саме введені слова, і не перекладає запит автоматично. Довідкові статті Microsoft Support та Apple Support для звичайних користувачів частково перекладені, тож з офіційними ярликами запит українською зазвичай щось знайде. Технічна документація Microsoft Learn українською охоплена значно гірше, а форуми й спільноти з розширених списків — Stack Exchange, Super User, GitHub, Reddit — практично повністю англомовні. Тут запит українською дасть одиничні результати або порожню видачу.

Звідси практичне правило: з офіційними ярликами можна шукати українською, з розширеними — краще англійською. Найнадійніший варіант — шукати за точною назвою функції або кодом помилки: коди на кшталт 0x80070005 однакові в усіх мовних версіях.

Якщо потрібні саме україномовні сторінки, можна створити окремий ярлик, який обмежує пошук українськими розділами сайтів Microsoft:

Інший спосіб — додати в кінець URL будь-якого ярлика параметр &lr=lang_uk, який просить Google показувати лише сторінки українською мовою.

Ярлик плюс фільтр «Вебсторінки»: пошук без Оглядів від ШІ

Обмеження за сайтами прибирає сміттєві джерела, але не Огляди від ШІ — Google може показувати їх і у відфільтрованій видачі. Вимкнути цю функцію неможливо: у довідці компанія називає її базовою частиною пошуку й пропонує натомість фільтр, що показує лише текстові посилання (в українському інтерфейсі — «Вебсторінки»). Цей фільтр зʼявився у травні 2024 року одночасно з розгортанням Оглядів від ШІ.

В адресі фільтр відповідає параметру udm=14. Його можна дописати в кінець URL будь-якого ярлика з цієї статті — тоді відфільтрована за сайтами видача одразу відкриватиметься без Оглядів від ШІ:

https://www.google.com/search?q=(site:learn.microsoft.com+OR+site:support.microsoft.com)+%s&udm=14

Детальна інструкція, як зробити режим «Вебсторінки» пошуком за замовчуванням у Chrome, — у статті про вимкнення Оглядів від ШІ. Варто лише враховувати, що Google офіційно описує сам фільтр, але не параметр в адресі, тож його поведінка з часом може змінитися.

Готові ярлики для Microsoft, Apple і Linux

Нижче — набір ярликів для трьох платформ. Ключові слова й перелік сайтів можна змінювати під власні потреби. До будь-якої адреси можна додати &udm=14.

Microsoft: офіційні джерела

Microsoft: розширений список

Microsoft: для розробників

Apple: офіційні джерела

Apple: розширений список

Linux: офіційні джерела

Linux: розширений список

Кібербезпека: державні й галузеві джерела

Для пошуку інформації про загрози та вразливості можна зібрати окремий ярлик на основі сайтів CERT-UA, Держспецзвʼязку, американського агентства CISA, баз вразливостей NVD і CVE, а також бази тактик і технік атак MITRE ATT&CK.

Улюблений сайт: на прикладі CyberCalm

Той самий прийом працює для будь-якого окремого сайту — наприклад, для пошуку інструкцій і новин на CyberCalm:

Тепер достатньо ввести в адресному рядку cc, натиснути Tab і написати, наприклад, фішинг або двоетапна перевірка. За тією ж схемою створюються ярлики для будь-якого іншого сайту — достатньо замінити домен.

Є й інший варіант — використати вбудований пошук самого сайту. Для цього в поле URL вставляється адреса сторінки результатів пошуку сайту, де запит замінено на %s. Найпростіше її знайти так: виконати на сайті будь-який пошук, скопіювати адресу сторінки результатів і замінити в ній пошукове слово на %s.

Різниця між варіантами — у тому, хто шукає. Ярлик із site: використовує алгоритми та індекс Google і добре знаходить матеріали за змістом. Вбудований пошук сайту показує лише його власні результати й не залежить від того, що і як проіндексував Google.

Чому саме Google

Ярлики працюють у Google Chrome, Microsoft Edge та інших браузерах на основі Chromium. Однак якщо замінити в адресі Google на Bing чи DuckDuckGo, результати можуть відрізнятися: за спостереженням Ботта, ці пошуковики обробляють фільтрацію за кількома доменами інакше, ніж Google.

Обмеження методу

Власний ярлик прибирає шум, але не скасовує критичного мислення. Форуми на кшталт Reddit чи Stack Exchange — це спільнотні джерела: відповіді там варто звіряти з офіційною документацією. Крім того, вузький перелік сайтів може відсікти якісні матеріали з ресурсів, що до нього не потрапили, тож список варто періодично переглядати. Також слід памʼятати, що запити через такі ярлики, як і звичайні, обробляє Google — на приватність пошуку цей метод не впливає.

Ця стаття Як позбутися ШІ-сміття в пошуку Google: власні ярлики для пошуку лише за перевіреними джерелами раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Смартфон на Android або iPhone може працювати як ключ безпеки для Google-акаунта: вхід підтверджується відбитком пальця, обличчям або PIN-кодом телефона, а пароль і SMS-код стають непотрібними. Технологія називається passkey (ключ доступу).

Google зробив її варіантом входу за замовчуванням для особистих акаунтів ще в жовтні 2023 року, проте багато користувачів досі не налаштували її або не знають, як увійти за допомогою телефона на чужому компʼютері.

Що таке passkey і чому він захищає від фішингу

Passkey — це пара криптографічних ключів. Публічний ключ зберігається на сервері Google, приватний — лише на пристрої користувача і нікуди не передається. Щоб скористатися приватним ключем, потрібно розблокувати пристрій біометрією, PIN-кодом або графічним ключем.

Головна перевага — стійкість до фішингу. Passkey привʼязаний до конкретного сайту чи застосунку, для якого його створено, тож на підробленій сторінці він просто не спрацює. Технологію розробили в FIDO Alliance на основі відкритих стандартів, тому вона працює на Android, iOS, Windows, macOS і в більшості сучасних браузерів.

Чи можна використовувати телефон як FIDO2-ключ

Так. Passkey на смартфоні побудований на тих самих стандартах FIDO2/WebAuthn, що й апаратні USB- чи NFC-ключі на кшталт Titan Security Key. Різниця в тому, де зберігається секрет.

Passkey на смартфоніАпаратний FIDO2-ключ

Для людей із підвищеним ризиком Google пропонує Програму додаткового захисту (Advanced Protection Program) із найсуворішими налаштуваннями безпеки.

Що потрібно для роботи

За даними довідки Google, passkey підтримують:

• телефони з Android 9 і новішим або з iOS 16 і новішим;
• компʼютери з Windows 10, macOS Ventura, ChromeOS 109 і новішими версіями;
• браузери Chrome 109+, Safari 16+, Edge 109+, Firefox 122+;
• апаратні ключі з підтримкою протоколу FIDO2.

Перед налаштуванням потрібно:

• увімкнути блокування екрана на телефоні;
• увімкнути Bluetooth — без нього телефон не зможе підтвердити вхід на компʼютері;
• на iPhone, iPad і Mac — увімкнути  Вʼязку ключів iCloud (iCloud Keychain).

Як створити passkey для Google-акаунта

На Android-смартфоні, де виконано вхід у Google-акаунт, система зазвичай сама пропонує створити passkey під час входу. Щоб зробити це вручну:

1. Відкрити google.com/security у будь-якому підтримуваному браузері.
2. У розділі входу в Google знайти пункт «Ключі доступу й ключі безпеки».
3. Натиснути «Створити ключ доступу».
4. Підтвердити створення відбитком пальця, обличчям або PIN-кодом пристрою.

Passkey, збережені в Google Password Manager, синхронізуються з наскрізним шифруванням і доступні на всіх пристроях, де виконано вхід у той самий акаунт у Chrome або Android. Chrome на macOS зберігає їх у Google Password Manager за замовчуванням, а на iPhone та iPad цю можливість вмикають у системних налаштуваннях.

Двоетапна перевірка для створення passkey не обовʼязкова: passkey замінює одночасно і пароль, і другий фактор. Водночас інші способи входу залишаються доступними як резервні.

Як увійти на компʼютері за допомогою телефона

Цей сценарій і перетворює смартфон на ключ безпеки: passkey лишається на телефоні, а вхід підтверджується на ньому.

1. На сторінці входу Google на компʼютері ввести адресу електронної пошти.
2. Натиснути «Спробувати інший спосіб» і вибрати «Використати ключ доступу».
3. На екрані зʼявиться QR-код — відсканувати його камерою телефона.
4. Підтвердити вхід на телефоні біометрією або PIN-кодом.

Після сканування QR-коду пристрої перевіряють через Bluetooth, що перебувають поруч. Саме тому зловмисник, який надіслав жертві QR-код дистанційно, не зможе ним скористатися. Якщо пристрої вже повʼязувалися раніше, замість QR-коду на телефон може одразу прийти запит на підтвердження.

Якщо passkey зберігається на апаратному FIDO2-ключі, у цьому ж вікні можна вибрати його.

Що робити, якщо телефон втрачено

Злодій не зможе скористатися passkey без розблокування телефона. Проте втрачений пристрій варто одразу прибрати з акаунта:

• з іншого пристрою відкрити google.com/security і видалити passkey втраченого телефона в розділі ключів доступу;
• у списку пристроїв, з яких виконано вхід, завершити сеанс на втраченому телефоні;
• якщо passkey синхронізувалися, на новому телефоні вони зʼявляться після входу в той самий акаунт.

Щоб не втратити доступ зовсім, варто тримати в акаунті щонайменше один резервний спосіб входу. Google радить обирати для двоетапної перевірки підказки Google замість SMS — вони захищають від атак із підміною SIM-картки.

Нюанси та обмеження

• Вихід з акаунта на Android. Після виходу увійти за допомогою passkey на цьому пристрої можна ще протягом 6 годин. Потім знадобиться інший спосіб входу, а під час наступного входу Android створить новий passkey, і старий перестане діяти.
• Сторонні менеджери паролів. На Android 14 і новіших можна зберігати passkey не лише в Google Password Manager, а й у сторонніх менеджерах паролів.
• Спільні пристрої. Не варто створювати passkey на чужому чи публічному компʼютері: будь-хто, хто його розблокує, отримає доступ до акаунта. Для таких випадків і призначений вхід через QR-код із власного телефона.
• Старі апаратні ключі. Якщо FIDO2-ключ додано в акаунт до травня 2023 року, для створення на ньому passkey його, можливо, доведеться видалити й додати знову.

Детальніше про інші способи захисту — у матеріалі про двофакторну автентифікацію на всіх пристроях, а власникам техніки Apple — у гайді про passkey на iPhone, iPad і Mac.

Ця стаття Як використовувати смартфон як ключ безпеки для Google-акаунта: passkey замість пароля раніше була опублікована на сайті CyberCalm, її автор — Побокін Максим

Британська фінтех-компанія Revolut підтвердила, що передала конфіденційні дані клієнтів шахраям. Зловмисники надіслали запити з легітимної поштової скриньки на домені державної установи, і компанія сприйняла їх як справжні. Серед постраждалих, імовірно, переважно заможні користувачі, чимало з яких повʼязані з криптовалютним бізнесом.

Що сталося

Revolut працює у понад 160 країнах і регіонах та, за даними BleepingComputer, обслуговує понад 80 млн клієнтів, з них 800 тис. — бізнес-клієнти. Компанія пропонує банківські та інвестиційні послуги, а також інструменти для керування фінансами.

У заяві, оприлюдненій 12–13 вересня, Revolut назвала інцидент складною схемою шахрайства із видаванням себе за державний орган: неавторизована третя сторона скористалася поштовою скринькою на легітимному домені державної установи, щоб надіслати фальшиві запити на інформацію.

У листах постраждалим клієнтам компанія пояснила, чому виконала запит:

Revolut отримав запит на інформацію про клієнтів, який виглядав як запит від легітимної державної установи. Його надіслали з неавторизованої поштової скриньки безпосередньо з офіційного поштового домену цієї установи. Оскільки повідомлення мало дійсні облікові дані автентифікації домену, запит виконали з обґрунтованою впевненістю, що він справжній

Про інцидент стало відомо 12 вересня, коли дослідник криптошахрайств ZachXBT оприлюднив у Telegram сповіщення, яке Revolut надіслав одному з клієнтів.

Чий домен використали зловмисники

Revolut не назвала ні державну установу, ні її домен. Утім, за даними The Record, зображення, які поширював у Telegram обліковий запис, що приписував собі атаку, вказують на італійський домен. Італійські органи влади на запити видання не відповіли. Згодом Telegram-акаунт заблокували, тож перевірити всі його твердження не вдалося.

Також невідомо, чи використовували той самий скомпрометований домен для атак на інші фінансові організації.

Які дані отримали шахраї

Згідно зі сповіщеннями Revolut, до зловмисників потрапили:

• ідентифікаційні дані — повне імʼя, дата народження, рід занять;
• контакти — поштова адреса, email, номер телефону;
• документи та дані верифікації — копії паспорта та/або водійського посвідчення, а також селфі, які клієнти надсилали під час відкриття рахунку для перевірки KYC (Know Your Customer);
• фінансова інформація — виписки з рахунків із номерами IBAN, записи про зняття коштів і повна історія транзакцій, зокрема операцій з біткоїном.

За даними CyberInsider, у переліку також фігурують статус рахунку, дата його відкриття та ідентифікатори гаманців. Водночас Revolut запевнила клієнтів, що біометричну телеметрію обличчя не передавали.

Компанія наголошує, що її системи та кошти клієнтів не постраждали. Як зазначає Malwarebytes, ідеться не про злам інфраструктури Revolut, а про соціальну інженерію: шахраї просто попросили дані — і отримали їх.

Кого атакували

ZachXBT припустив, що витік стосується невеликої кількості клієнтів, але атака, схоже, була спрямована на заможних користувачів. The Record уточнює, що багато з них працюють у криптобізнесі. Про те, що їхні дані опинилися у зловмисників, заявили, зокрема, колишній CEO біткоїн-біржі Mt. Gox Марк Карпелес і криптопідприємець Марк Зеллер.

Зеллер написав в X, що в суботу прокинувся й дізнався, що Revolut «злив усі мої дані»:

Найбільше обурює те, що це сталося одразу після того, як Revolut надіслав мені сповіщення з вимогою надати ДУЖЕ багато даних, інакше „ми закриємо ваш рахунок за 20 днів“. Тепер ми знаємо, що хакери їх обдурили, а вони виконали за хакерів усю роботу, як слухняні песики

Ще один клієнт, чиї дані шахраї виклали в Telegram як доказ атаки, не заперечив їхньої справжності.

Вимагання і реакція Revolut

Зловмисники вимагають від Revolut викуп в обмін на нерозголошення даних клієнтів. Коментувати спробу вимагання компанія відмовилася. Як повідомляє The Crypto Times, 13 вересня в X і Telegram почали зʼявлятися копії паспортів і селфі клієнтів, а автори публікацій погрожують щоденними «зливами».

У коментарі Reuters компанія заявила, що інцидент зачепив «дуже обмежену» кількість клієнтів, але точної цифри не назвала. Постраждалих Revolut повідомила особисто.

Системи Revolut і кошти клієнтів не постраждали. Щойно ми виявили інцидент, одразу заблокували адресу та повідомили відповідну державну установу, а також правоохоронні органи, регуляторів у сфері захисту даних і фінансових регуляторів

Фальшиві «екстрені запити» — відома схема

Екстрений запит на дані (emergency data request) дозволяє правоохоронцям в невідкладних ситуаціях отримати інформацію від компанії негайно, без додаткових перевірок. Саме цим користуються злочинці.

У 2021–2022 роках хакери, повʼязані з угрупованням Lapsus$, отримали дані користувачів Apple, Meta і Discord, надсилаючи підроблені екстрені запити зі скомпрометованих акаунтів правоохоронних органів.

У листопаді 2024 року ФБР попередило про зростання кількості оголошень на кримінальних форумах, де продають доступ до скомпрометованих урядових поштових скриньок для таких запитів. Один зі злочинців, за даними бюро, стверджував, що контролює урядові адреси з понад 25 країн.

Для самої Revolut це не перший серйозний інцидент: у вересні 2022 року зловмисники викрали персональні, контактні та фінансові дані 50 150 клієнтів. Нинішній витік стався в момент, коли компанія розглядає вихід на біржу з оцінкою до 200 млрд доларів.

Як захиститися клієнтам Revolut

Витік не дає шахраям доступу до рахунків, проте поєднання паспорта, селфі, адреси та історії транзакцій — готовий набір для переконливих атак і крадіжки особистості. Паспорт можна замінити, а обличчя — ні. Тому клієнтам Revolut, особливо тим, хто отримав сповіщення про витік, варто дотримуватися кількох правил:

• Очікувати на цільовий фішинг. Шахраї можуть посилатися на реальні суми, дати операцій та адресу, щоб видати себе за підтримку Revolut, поліцію чи податкову. Знання таких деталей не підтверджує, що співрозмовник справжній.
• Звертатися до Revolut лише через офіційний застосунок. Не варто телефонувати за номерами з листів чи месенджерів і переходити за посиланнями з них.
• Не переказувати кошти на «безпечний рахунок». Також не варто повідомляти будь-кому коди підтвердження та паролі — банк про них не просить.
• Посилити захист пошти та інших фінансових сервісів. Email і номер телефону тепер відомі зловмисникам, тож варто увімкнути двофакторну автентифікацію або ключі доступу (passkeys) та змінити контрольні питання, повʼязані з датою народження чи адресою.
• Стежити за кредитною історією. Копії документів і селфі можуть використати для оформлення кредитів або відкриття рахунків в інших фінустановах на чуже імʼя.
• Не розголошувати відомості про статки й криптоактиви. Атака була спрямована на заможних клієнтів, тож варто обмежити публічну інформацію про себе в соцмережах.
• Реагувати на ознаки використання документів. Якщо зʼявилися підозри, що паспорт використовують шахраї, слід звернутися до поліції та органу, який його видав.

Ця стаття Revolut передав шахраям паспорти й фінансові дані клієнтів: фальшиві запити надійшли зі справжньої урядової пошти раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Радіосигнал Wi-Fi не зупиняється на межі квартири: його бачать сусіди, він дістає до підʼїзду, а іноді й до вулиці. Li-Fi будували на протилежному принципі — дані переносить світло, а світло зупиняє стіна. Технологія отримала власний стандарт IEEE ще 2023 року й уже працює в оборонних, медичних і корпоративних мережах. Але в головної обіцянки Li-Fi — фізично замкненого каналу — є щонайменше одне велике вікно.

Що таке Li-Fi і як він працює

Li-Fi (Light Fidelity) — це бездротова передача даних за допомогою світла замість радіохвиль. Передавач змінює яскравість джерела світла мільйони разів за секунду, приймач із фотодетектором зчитує ці коливання й перетворює їх назад на біти. Око змін не помічає: для людини світло горить рівно.

Термін придумав німецький інженер Гаральд Хаас. Він озвучив його 2011 року на конференції TED Global, транслюючи відео високої чіткості через звичайну настільну лампу. Наступного року Хаас разом із Мостафою Афгані заснував компанію pureLiFi, а 2023-го увійшов до числа фіналістів European Inventor Award Європейського патентного відомства в категорії «Дослідження».

Важлива деталь, яку майже завжди пропускають в описах технології: промислові системи Li-Fi працюють не на мерехтінні видимої LED-лампи. Стандарт IEEE 802.11bb-2023 описує роботу в ближньому інфрачервоному діапазоні 800–1000 нм — тобто у невидимому світлі. Система Signify Trulifi 6004, наприклад, використовує саме інфрачервоне випромінювання.

2023 рік: Li-Fi перестав бути експериментом

Ключова подія в історії технології сталася в липні 2023 року, коли IEEE затвердив 802.11bb — поправку до того самого сімейства стандартів 802.11, на якому побудований Wi-Fi. Розробкою займалася Light Communications Task Group за участі pureLiFi та німецького інституту Fraunhofer HHI.

Стандарт визначає пропускну здатність від 10 Мбіт/с до 9,6 Гбіт/с і сумісність між пристроями різних виробників зі світлодіодами різної смуги модуляції. До того ринок Li-Fi складався з несумісних між собою пропрієтарних рішень — купивши обладнання одного постачальника, замовник залишався з ним назавжди.

Стандарт уперше дозволяє вписати рішення Li-Fi в екосистему Wi-Fi

Тут же варто зняти поширену плутанину з цифрами. Твердження «Li-Fi у 100 разів швидший за Wi-Fi» і «швидкість до 224 Гбіт/с», які кочують публікаціями про технологію, — це маркетингова теза й лабораторний рекорд відповідно, а не характеристики робочих систем. Стеля, закладена в стандарт, — 9,6 Гбіт/с.

Чому Li-Fi вважають захищеним каналом

Аргументи на користь безпеки Li-Fi стосуються фізики, а не криптографії, і саме тому вони переконливі:

• Сигналу немає в радіоефірі. Ноутбук зі сканером Wi-Fi не побачить мережу Li-Fi — її просто немає серед того, що він здатен прийняти.
• Зона покриття дорівнює освітленій зоні. Непрозора перешкода обриває канал фізично, а не логічно.
• Канал стійкий до глушіння: засоби радіоелектронного придушення працюють в іншому середовищі.
• Немає взаємних радіозавад — тому Li-Fi розглядають для лікарень, літаків і виробництв, де радіочастоти обмежені або заборонені.

У червні 2025 року Signify оголосила, що її система Trulifi 6004 стала першою в світі Li-Fi-системою з криптографічним модулем, валідованим за стандартом FIPS 140-3 Національного інституту стандартів і технологій США (NIST). Одна точка доступу обслуговує до 16 користувачів і не потребує ані Wi-Fi, ані стільникового звʼязку.

У секторах, де приватність і цифрова стійкість критичні, це справді змінює правила

І все ж світло проходить крізь скло

Це те застереження, яке губиться в захопленому переказі переваг. У березні 2026 року на Mobile World Congress компанія pureLiFi показала систему Bridge XC Flex, яка передає гігабітний канал Li-Fi саме крізь вікно — щоб завести вуличний широкосмуговий інтернет у приміщення без свердління стін і прокладання кабелю. Там же компанія продемонструвала архітектуру з пропускною здатністю 10 Гбіт/с.

Тобто та сама фізика, яку продають як гарантію захищеності, має очевидний виняток: скло світло пропускає. Периметр безпеки мережі Li-Fi проходить не по стінах, а по межі поширення світла — вікна, засклені перегородки, відчинені двері, відбиття від блискучих поверхонь. У захищеному приміщенні цей периметр доводиться контролювати окремо, інакше теза «крізь стіну не пройде» перетворюється на самозаспокоєння.

Друге застереження — фізична локалізація не замінює шифрування. Світловий канал сам собою не зашифрований; те, що сигнал важче перехопити, не означає, що перехоплений сигнал буде незрозумілим. Саме тому Signify окремо сертифікувала криптомодуль: без нього «безпека» Li-Fi трималася б винятково на геометрії приміщення.

Де Li-Fi працює вже сьогодні

Перший великий замовник технології — військові. Ще 2021 року pureLiFi уклала з командуванням армії США в Європі та Африці контракт на 4,2 млн доларів на постачання тисяч одиниць системи Kitefin — це було перше масштабне розгортання Li-Fi у світі. У червні 2025 року компанія представила наступне покоління, Kitefin XE, орієнтоване на оборонний і корпоративний сегменти.

Цивільні сценарії йдуть слідом: захищені офіси, фінансові установи, лікарні, високотехнологічні виробництва — середовища, де радіозвʼязок або обмежений регламентом, або ненадійний, або небажаний. Окремий напрям — телеком: доставка широкосмугового сигналу всередину приміщення без монтажних робіт.

Ринок при цьому залишається нішевим. За оцінками галузевих аналітиків, у 2026 році його обсяг становить близько 1,26 млрд доларів із прогнозом зростання до 7,07 млрд до 2035 року. Для порівняння: це частки відсотка від ринку Wi-Fi-обладнання.

Чому цей принцип зрозумілий в Україні без пояснень

Ідея «оптика замість радіо» для українського читача не абстрактна. Саме тому, що радіоканал можна запеленгувати й заглушити, на фронті масово перейшли на FPV-дрони з оптоволоконним керуванням: сигнал іде фізичним світловодом, у радіоефірі його не існує, і засоби РЕБ на нього не діють.

Li-Fi — це не про дрони: технологія стаціонарна і розрахована на приміщення. Але логіка захисту та сама. Канал, якого немає в ефірі, неможливо ані виявити засобами радіорозвідки, ані придушити перешкодами. У країні, де радіоелектронна боротьба стала частиною побуту, цей аргумент не потребує розгорнутих пояснень — і, ймовірно, саме він визначить, де Li-Fi зʼявиться в Україні першим: у захищених обʼєктах, а не в житлових будинках.

Чого Li-Fi не робить

Навколо технології накопичився шар тверджень, які варто розібрати окремо.

Не замінює Wi-Fi вдома

Li-Fi потребує прямої видимості між передавачем і приймачем. Він не працює крізь стіни між кімнатами, не дістає з кухні до спальні й не переживає накритого кришкою ноутбука. Це доповнення до радіомережі в конкретному приміщенні, а не заміна домашнього роутера. До того ж жоден масовий смартфон чи ноутбук не має вбудованого приймача Li-Fi, тоді як Wi-Fi 7 уже дає мультигігабітні швидкості на звичайному обладнанні, а стандарт наступного покоління, 802.11bn (Wi-Fi 8), перебуває в розробці.

Не прискорює повільний тариф

Якщо провайдер дає 100 Мбіт/с, Li-Fi не перетворить їх на гігабіт. Технологія працює на останньому відрізку — від точки доступу до пристрою — і не впливає на те, що приходить у будинок ззовні.

Не є «кориснішим для здоровʼя»

Твердження, що Li-Fi безпечніший, бо «дає менше випромінювання», не має наукового підґрунтя і зустрічається переважно в рекламних текстах. Видиме й інфрачервоне світло — це теж електромагнітне випромінювання, воно оточує людину постійно, а Wi-Fi працює в діапазоні потужностей, для якого шкідливого впливу не встановлено. Безпека Li-Fi — це про захист даних, а не про здоровʼя, і підміна одного іншим тільки шкодить розумінню технології.

Підсумок

За два роки після ухвалення стандарту Li-Fi змістився з категорії «наукова цікавинка» в категорію «нішеве рішення для середовищ із підвищеними вимогами до безпеки». Купити його в магазині електроніки досі неможливо, і пересічному користувачеві він поки не потрібен.

А якщо технологію колись пропонуватимуть як «канал, який неможливо перехопити», варто памʼятати просту річ: світло справді не проходить крізь стіну — але чудово проходить крізь вікно. І виробник, який продає перше як гарантію захисту, паралельно продає друге як зручність.

Ця стаття Li-Fi: чи справді інтернет через світло неможливо перехопити раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Суперкомпʼютер — це система з тисяч процесорів, обʼєднаних надшвидкою мережею так, щоб усі вони працювали над однією задачею як одна машина. Про суперкомпʼютери справді стали говорити менше: публічну увагу перетягнули дата-центри для штучного інтелекту. Але самі машини нікуди не поділися — у червні 2026 року у світі налічувалося пʼять систем екзафлопсного класу, а в Україні власну платформу для ШІ та високопродуктивних обчислень готує до запуску Львівська політехніка.

Що таке суперкомпʼютер

Суперкомпʼютер — це не «дуже дорогий компʼютер» і не потужніша версія звичайного. Сучасні системи здебільшого зібрані зі стандартних серверних процесорів і графічних прискорювачів, які можна купити на ринку. Різниця в тому, скільки їх і як вони зʼєднані між собою.

Головний елемент конструкції — інтерконект, спеціальна мережа з мінімальними затримками, яка дає змогу тисячам вузлів обмінюватися проміжними результатами так швидко, щоб уся система поводилася як єдиний обчислювач. Саме на інтерконекті й на тонкому налаштуванні програмного забезпечення тримається реальна продуктивність: теоретичну потужність заліза легко втратити на очікуванні даних.

Звідси й вузька спеціалізація. Суперкомпʼютери будують під певні класи задач: моделювання клімату й погоди, симуляції ядерних випробувань, астрофізику, молекулярну динаміку, матеріалознавство, а останніми роками — ще й навчання великих моделей штучного інтелекту.

Продуктивність вимірюють у FLOPS — операціях із рухомою комою за секунду. Стандартом порівняння є тест High Performance Linpack, за результатами якого двічі на рік оновлюють рейтинг TOP500: у червні на конференції ISC у Німеччині та в листопаді на SC у США. Самі укладачі рейтингу наголошують, що жоден окремий тест не описує продуктивність системи повністю.

Чому суперкомпʼютерів так мало: ціна, енергія, охолодження

Кожна така система — це індивідуальний інженерний проєкт вартістю в сотні мільйонів доларів: власна архітектура, власна мережа, окреме приміщення або навіть окрема будівля, штат інженерів для обслуговування.

Другий обмежувач — електроенергія. Ось як виглядає перша пʼятірка рейтингу TOP500 за червень 2026 року:

Для порівняння: 42 МВт — це споживання невеликого міста. Саме тому питання охолодження й енергоефективності зараз важать не менше за пікову продуктивність, а рідинне охолодження з обовʼязкової екзотики перетворилося на стандарт: сучасні вузли відводять понад 85 % тепла безпосередньо через рідинний контур, а не повітрям.

І останнє: після того як машину побудували під конкретний клас задач, переробити її під інші зазвичай надто дорого або технічно неможливо.

Чим дата-центр відрізняється від суперкомпʼютера

Дата-центр — це будівля із серверами загального призначення. Вони теж обʼєднані мережею, але не для того, щоб разом працювати над однією задачею. Компанія орендує кілька стійок під потоковий сервіс, згодом відмовляється від них — і те саме обладнання перепрофілюють, наприклад, під навчання моделей ШІ.

Якщо задачу можна розбити на незалежні частини, спеціалізована машина взагалі не потрібна — вистачить розподілених обчислень. За цим принципом працює платформа BOINC і проєкт Folding@home, де добровольці віддають вільні цикли своїх процесорів на наукові розрахунки. Класичний приклад такого підходу, SETI@home, припинив роздавати завдання 31 березня 2020 року і відтоді перебуває у стані «сплячки»: команда зосередилася на аналізі вже зібраних даних.

Водночас межа між двома світами розмивається. Графічні прискорювачі фактично є мініатюрними паралельними обчислювачами, а ШІ-фабрики, які зараз будують у Європі, повертають у комерційні дата-центри суперкомпʼютерну архітектуру. Італійський консорціум CINECA розгортає платформу IT4LIA на 2048 обчислювальних модулях і 8192 прискорювачах Blackwell із потужністю близько 15 МВт — за конструкцією це вже суперкомпʼютер, хоч і називається інакше.

Чи є суперкомпʼютери в Україні

Так, але в іншій ваговій категорії. Найвідоміша вітчизняна система — комплекс СКІТ Інституту кібернетики імені В. М. Глушкова НАН України, який розвивають із 2002 року. Він пройшов кілька поколінь — від СКІТ-1 до СКІТ-5 — і працює як центр колективного користування: обчислювальний час на ньому отримують наукові установи академії для задач квантової хімії, молекулярної динаміки, геофізики та метеорології.

У 2024 році до кластера СКІТ-5 додали тривузловий сегмент на процесорах AMD Epyc із памʼяттю 256 ГБ на вузол, інтерконектом Infiniband 200 Гбіт/с і прискорювачем Nvidia A6000. Загалом комплекс має 1326 ядер загального застосування та близько 33 тисяч потокових CUDA-ядер — цього вистачає для машинного навчання й наукового моделювання, але це не той масштаб, що потрапляє до світових рейтингів.

Війна додала до технічних обмежень ще одне, суто українське. У травні 2024 року адміністрація комплексу попередила користувачів, що через стабілізаційні відключення електроенергії СКІТ не може працювати у звичному режимі й запускатиметься після відновлення живлення. Для системи, задачі якої рахуються добами, це критично.

Найпомітніша новина останнього часу — Центр високопродуктивних обчислень, який створює Національний університет «Львівська політехніка». Основою стане сервер GIGABYTE XN24-VC0 із двома суперчипами NVIDIA GB200 Grace Blackwell: чотири графічні прискорювачі, два процесори Grace, 744 ГБ памʼяті HBM3E і 960 ГБ LPDDR5X, мережеві інтерфейси до 800 Гбіт/с. За даними університету, введення платформи в експлуатацію планували на вересень 2026 року, а закупівлю проводили в межах проєкту за підтримки Міжнародного банку реконструкції та розвитку.

Обрана стійка з рідинним охолодженням дає змогу згодом додати ще чотири такі сервери — максимальна конфігурація обʼєднає 20 прискорювачів Blackwell, 10 процесорів Grace і 3,72 ТБ памʼяті HBM3E. Це вже буде повноцінний університетський кластер.

Про масштаб варто говорити чесно. У японському інституті RIKEN на 135 таких самих вузлах побудовано суперкомпʼютер ROQUO, який у червні 2026 року показав 19,8 петафлопса й посів 106 місце в TOP500. Одна нода — це серйозна дослідницька платформа світового класу, але не претендент на першу десятку рейтингу, де українських систем немає.

Є й третій шлях — доступ до чужих потужностей. Українські науковці, установи та компанії мають право подаватися на обчислювальний час на європейських суперкомпʼютерах EuroHPC, серед яких і JUPITER — перша екзафлопсна система Європи. Доступ надають за конкурсом наукових заявок і наразі безоплатно. Фактично українська модель зараз складається саме з цього: власні спеціалізовані вузли для щоденної роботи плюс європейські машини для задач, які локально не порахувати.

Суперкомпʼютери як мішень для кібератак

Обчислювальні кластери цікаві зловмисникам не лише через дані, які на них обробляють. Сам обчислювальний час є цінністю, яку можна вкрасти.

У 2020 році Європою прокотилася хвиля інцидентів: на суперкомпʼютерних кластерах знаходили приховані майнери криптовалюти, атаки вперше проводили повністю віддалено, а зловмисники, ймовірно, використовували викрадені облікові дані для доступу по SSH. Тоді ж дослідники ESET виявили раніше невідомий бекдор Kobalos — компактне шкідливе ПЗ, портоване на Linux, BSD і Solaris, яке підміняло SSH-клієнт на скомпрометованій машині й перехоплювало паролі всіх, хто ним користувався.

Особливо болючим був час. Атаки припали на травень 2020 року, коли європейські центри масово віддавали ресурси під задачі, повʼязані з COVID-19: британський ARCHER рахував модель поширення пандемії, а Hawk у Штутгарті й Piz Daint у Швейцарії — пошук потенційних ліків. Машини довелося вивести з експлуатації на дні, скинути всі паролі та SSH-ключі й запровадити двофакторний вхід.

Урок із тих інцидентів простий і актуальний для будь-якої інфраструктури: застаріле системне ПЗ, спільні облікові дані між кількома майданчиками та єдиний рівень захисту перетворюють навіть наукову мережу з дорогим обладнанням на зручну ціль.

Окремо варто розвіяти поширене перебільшення: квантові компʼютери не «зламають усе шифрування за кілька хвилин». Під загрозою передусім асиметрична криптографія — RSA та алгоритми на еліптичних кривих, на яких тримаються обмін ключами й цифрові підписи; симетричні шифри на кшталт AES квантові алгоритми лише послаблюють, а машини потрібного масштабу поки не існує. Проблема в іншому: зашифрований трафік можна зібрати сьогодні, а розшифрувати через десять років. Саме тому NIST ще 13 серпня 2024 року опублікував перші три постквантові стандарти — FIPS 203, FIPS 204 і FIPS 205, — а в березні 2025 року додав до них алгоритм HQC.

Саме міркування безпеки пояснюють, чому держави не переходять повністю на оренду. Дата-центр, що належить третій стороні, — це завжди питання контролю над даними. Тому чутливі й засекречені розрахунки виконують на власних машинах: американський El Capitan, друга система світу за продуктивністю, обслуговує програму підтримки ядерного арсеналу США.

Чому суперкомпʼютери нікуди не зникнуть

Крім безпеки, є ще дві причини.

Перша — задачі, які неможливо розбити на незалежні частини. Моделювання клімату чи поведінки матеріалів вимагає, щоб мільйони елементів розрахунку постійно «бачили» один одного. З такими завданнями справляються лише масивно-паралельні системи з тонко налаштованим інтерконектом.

Друга — дослідницька. Суперкомпʼютери не зобовʼязані мати бізнес-обґрунтування: вони існують на передньому краї технологій, і напрацювання, зроблені заради ще кількох відсотків їхньої продуктивності, згодом опиняються у звичайних серверах і персональних компʼютерах. Рідинне охолодження, високошвидкісні інтерконекти, підходи до паралельного програмування — усе це прийшло звідти.

Тож правильна відповідь на питання з попередньої назви цього матеріалу: суперкомпʼютери не померли. Вони перестали бути головним героєм новин, поступившись дата-центрам для штучного інтелекту, — які, за іронією, дедалі більше на них схожі.

Ця стаття Що таке суперкомпʼютер і чим він відрізняється від дата-центру раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня