Шахрайство з PayPal: найпоширеніші схеми 2026 року і як їх розпізнати

PayPal залишається однією з найбільших платіжних систем світу: станом на кінець червня 2026 року компанія мала 439 млн активних акаунтів. Такий масштаб робить сервіс постійною мішенню для шахраїв. Причому дедалі частіше вони не підробляють PayPal, а використовують справжні механізми платформи — рахунки на оплату, запити коштів, службові сповіщення, — щоб їхні повідомлення проходили спам-фільтри й не викликали підозри.

Для українських користувачів тема цілком практична. Власники українських рахунків PayPal можуть надсилати й отримувати перекази між фізичними особами та виводити кошти на картки Visa чи Mastercard. Сервісом користуються фрилансери, продавці на закордонних майданчиках, люди, які отримують допомогу від рідних за кордоном, — і саме на цю аудиторію розраховано більшість схем, описаних нижче.

1. Справжній лист від PayPal із фальшивим текстом

Найнебезпечніша тенденція останніх двох років — шахрайські повідомлення, які надходять зі справжньої адреси [email protected]. Перевірка відправника, яку зазвичай радять першою, тут не допомагає.

У лютому 2025 року BleepingComputer описав схему зі зловживанням функцією додаткових адрес доставки. Шахраї додавали нову адресу у власний акаунт, а в поле адреси вписували текст про нібито оформлену покупку — наприклад, MacBook M4 — і номер «служби підтримки». PayPal автоматично надсилав сповіщення «Ви додали нову адресу», а зловмисники перенаправляли його через список розсилки одразу на багато скриньок.

У грудні 2025 року видання зафіксувало схожу атаку через функцію підписок: коли продавець призупиняє підписку, PayPal надсилає лист про те, що автоматичний платіж більше не активний. Шахраї вбудовували в такі листи повідомлення про списання від 1300 до 1600 доларів і номер телефону для «скасування». Після публікації PayPal повідомив про закриття цієї лазівки, однак сам принцип — використати легітимне сповіщення як носія фальшивого тексту — шахраї застосовують і в інших сервісах.

Мета в обох випадках однакова: налякати людину неіснуючою покупкою і змусити подзвонити. «Оператор» переконує, що акаунт або компʼютер зламано, і просить встановити програму віддаленого доступу — після чого отримує контроль над пристроєм.

Як розпізнати

• Лист повідомляє про покупку, яку людина не робила, і пропонує подзвонити за вказаним номером.
• Текст про покупку розміщено в незвичному місці — у полі адреси, у примітці чи в блоці «звʼязатися з продавцем».
• В акаунті PayPal, відкритому через застосунок або вручну введену адресу, цієї операції немає.

2. Фальшиві рахунки та запити на оплату

PayPal дозволяє будь-кому надіслати рахунок-фактуру (invoice) або запит на гроші. Шахраї цим користуються: за попередженням самої компанії, вони надсилають через PayPal рахунок чи запит, який виглядає справжнім, щоб отримувач зателефонував їм. У примітці зазвичай ідеться про «підозрілу активність», «продовження антивірусної підписки» або термінове списання.

PayPal радить не оплачувати підозрілі рахунки, не телефонувати за номерами з примітки, не переходити за посиланнями й ніколи не надсилати кошти на криптовалютний гаманець, згаданий у рахунку. Непрохані рахунки варто позначити як шахрайські безпосередньо в акаунті — на сайті або в застосунку.

Як розпізнати

• Рахунок від невідомого відправника за товар чи послугу, яку ніхто не замовляв.
• Тривожна примітка з вимогою терміново подзвонити.
• Згадка про оплату криптовалютою або подарунковими картками.

3. Класичний фішинг: «Ваш акаунт обмежено»

Поряд із новими схемами не зникають і традиційні фішингові листи з підробленої адреси. Отримувачеві повідомляють, що акаунт заблоковано або обмежено через «незвичну активність», і пропонують «підтвердити дані» за посиланням. Сторінка за посиланням копіює форму входу PayPal і збирає логін, пароль, дані картки та одноразові коди.

Раніше такі листи видавали помилки й кострубата мова. Нині, як зазначають в ESET, генеративний ШІ дозволяє шахраям масово створювати переконливі й грамотні розсилки, тож орієнтуватися варто не на стиль, а на зміст вимог. PayPal наголошує: прохання повідомити пароль чи код двоетапної перевірки, надіслати «тестовий» платіж або завантажити програму ніколи не надходять від справжньої служби підтримки.

4. Переплата і прохання повернути різницю

Ця схема спрямована на продавців. «Покупець» надсилає суму, більшу за вартість товару, а потім пише про помилку й просить повернути різницю — часто іншим способом або на інший рахунок. Після цього оригінальний платіж скасовують: або шахрай відкриває спір, або зʼясовується, що оплату здійснено з викраденого акаунта чи картки, і справжній власник вимагає повернення. У підсумку продавець втрачає і товар, і гроші, які «повернув».

PayPal включає переплату до переліку поширених шахрайських схем. Помилки у платежах трапляються, але надмірна оплата від нового покупця — привід не повертати «різницю», а скасувати операцію та повернути всю суму через сам PayPal.

5. Зміна адреси доставки та «своя» курʼєрська служба

Ще одна схема для продавців повʼязана з доставкою. Шахрай просить відправити товар на іншу адресу, ніж зазначена в платежі, або скористатися його акаунтом у службі доставки — нібито через знижку. Отримавши контроль над відправленням, він перенаправляє посилку, а потім відкриває спір «товар не отримано». Варіант цієї ж схеми — навмисно неправильна адреса з подальшим перенаправленням посилки, коли служба доставки позначить її як таку, що не може бути доставлена.

Правила PayPal тут однозначні. Щоб отримати захист продавця, товар треба відправити на адресу зі сторінки деталей транзакції; якщо посилку згодом перенаправили на іншу адресу, захист не діє. PayPal прямо рекомендує не користуватися службою доставки, яку організовує покупець. Якщо покупець наполягає на іншій адресі, компанія радить повернути йому кошти й попросити здійснити новий платіж із правильною адресою.

6. «Надішліть як другу»: пастка Friends and Family

У PayPal є два типи платежів: за товари й послуги та особисті перекази друзям і родичам (Friends and Family). Другий тип не передбачає комісії для продавця — і саме цим шахраї пояснюють прохання обрати його: «щоб зекономити». Насправді особисті платежі не підпадають під програму захисту покупців PayPal, а в умовах програми їх прямо виключено з покриття.

Отже, людина, яка оплатила товар «як другу», втрачає єдиний механізм повернення коштів через PayPal, якщо товар не надійде. Прохання продавця, особливо незнайомого чи знайденого в соцмережах, перейти на такий тип оплати — один із найнадійніших сигналів шахрайства.

Як захистити акаунт PayPal

• Перевіряти сповіщення лише в самому акаунті. Будь-який лист про покупку, блокування чи зміну адреси варто звіряти через застосунок PayPal або вручну введену адресу paypal.com, а не через посилання в листі.
• Не телефонувати за номерами з листів і рахунків. Контакти служби підтримки слід брати лише з офіційного сайту або застосунку.
• Використовувати унікальний надійний пароль. Той самий пароль на кількох сервісах дозволяє зламати PayPal після витоку бази будь-якого іншого сайту. Зберігати складні паролі зручно в менеджері паролів.
• Увімкнути двоетапну перевірку. PayPal підтримує коди із застосунків-автентифікаторів, як-от Google Authenticator чи Microsoft Authenticator, а також пропонує вхід за допомогою ключів доступу (passkeys). Застосунок-автентифікатор надійніший за SMS-коди, які можна перехопити, наприклад, через перевипуск SIM-картки.
• Оплачувати покупки лише як «товари й послуги». Тільки такі платежі можуть підпадати під захист покупця.
• Обережно з чужими мережами Wi-Fi. Головний ризик публічних мереж — підроблені точки доступу, які перенаправляють на фішингові сторінки. Для входу в платіжні сервіси безпечніше використовувати мобільний інтернет.
• Для продавців: відправляти товар лише на адресу з деталей транзакції, використовувати власний акаунт у службі доставки та зберігати трекінг-номер і підтвердження доставки.
• Підтримувати актуальними контактні дані в профілі, щоб отримувати одноразові коди й сповіщення про підозрілі дії.

Що робити, якщо шахраї вже отримали доступ або гроші

1. Звʼязатися з PayPal через застосунок або сторінку контактів на офіційному сайті — саме так рекомендує діяти компанія у разі підозри на шахрайство.
2. Негайно змінити пароль до PayPal і до всіх сервісів, де використовувався той самий пароль, та увімкнути двоетапну перевірку.
3. Якщо шахраям надали віддалений доступ до компʼютера, видалити встановлену за їхньою вказівкою програму та перевірити систему антивірусом: зловмисники могли залишити собі можливість повернутися.
4. Повідомити банк, картка якого привʼязана до PayPal, і за потреби заблокувати її.
5. Переслати шахрайський лист на [email protected], після чого видалити його.
6. Звернутися до кіберполіції України, якщо кошти вже втрачено.