Телефонують нібито з банку: на рахунку зафіксовано підозрілу активність. Співрозмовник називає імʼя, адресу та дату народження власника рахунку, і в того не залишається сумнівів, що дзвінок справжній. Насправді на звʼязку зловмисники. Дату народження вони могли взяти з бази, що витекла з інтернет-магазину, і використати як один зі шматочків пазла, з якого складають переконливу легенду. Тому фахівці з кібербезпеки радять не залишати справжню дату народження там, де вона не потрібна.

Чому дата народження цінна для шахраїв

Дату народження люди залишають у десятках онлайн-акаунтів: під час реєстрації в інтернет-магазині, у програмі лояльності, підписуючись на розсилку чи беручи участь в онлайн-конкурсі. Кожен такий сервіс — потенційне джерело витоку.

Свіжий приклад — британський онлайн-ритейлер Asos. 6 жовтня 2026 року клієнти отримали в застосунку магазину push-сповіщення «ASOS HACKED», якого компанія не надсилала. Як повідомила BBC, у розпорядженні зловмисників опинилися імена, адреси, номери телефонів, електронні адреси, номери клієнтів і дати народження, а також історія пошукових запитів на сайті. За словами Asos, нападник видав себе за довірений контакт і виманив у працівника облікові дані. Платіжні картки й паролі акаунтів, за заявою компанії, не постраждали.

Джейк Мур, радник з кібербезпеки компанії ESET, пояснює: дані, викрадені під час зламів, перепродають, а шахраї використовують їх, щоб втертися в довіру до жертви або видати себе за неї. Сама по собі дата народження, за його словами, для злочинців не надто цінна, але разом з іменем і номером телефону вона допомагає вчиняти шахрайство з підміною особи.

Для українців ця загроза не теоретична. Ще у 2020 році в Telegram зʼявився бот, який за гроші шукав персональні дані українців за ПІБ, номером телефону, ІПН чи номером автомобіля, писала «Економічна правда». Опитаний виданням експерт з інформаційної безпеки Микита Книш тоді попереджав, що такі дані допомагають шахраям переконати жертву, ніби вона спілкується зі службою підтримки банку чи великого онлайн-сервісу.

Навіщо магазини запитують дату народження

Александр Франсуа, який досліджує шахрайські схеми в аналітичній компанії WhoisXML API, нещодавно перевірив 14 інтернет-магазинів: вісім із них під час реєстрації запитували дату народження. На його думку, ритейлерам невигідно прибирати це поле, адже повна дата дає вік клієнта, а це цінна інформація для маркетингу й таргетування реклами.

В Україні такий підхід суперечить принципу мінімізації даних. Відповідно до частини третьої статті 6 Закону «Про захист персональних даних» склад і зміст персональних даних мають бути відповідними, адекватними та ненадмірними щодо мети їх обробки. Секретаріат Уповноваженого Верховної Ради з прав людини ще у 2021 році проаналізував онлайн-форми реєстрації і дійшов висновку, що більшість із них не відповідає вимогам законодавства: форми збирають значний обсяг персональних даних, зокрема вік, не повідомляючи людям належним чином про мету й порядок обробки.

Як працює схема

Про злам зазвичай дізнаються з новин або з листа компанії, яка повідомляє про витік. Як саме розгортатиметься шахрайство, залежить від того, що станеться з викраденою інформацією.

Якщо дані з бази ритейлера потрапляють у даркнет, їх використовують, щоб фішингові листи виглядали правдоподібніше, пояснює Серпіль Голл, експертка з безпеки аналітичної компанії Datos Insights. Також зловмисники намагаються переконати служби підтримки компаній, що розмовляють із самим власником акаунта. І все це не обовʼязково відбувається одразу після витоку.

Зазвичай процес виглядає так: витік у ритейлера дає імʼя, дату народження, електронну пошту й адресу. Інші витоки додають облікові дані, номери телефонів та ідентифікатори. Публічна інформація — профілі в соцмережах, відомості про місце роботи, родичів — додає контексту. У результаті виходить збагачений профіль особи: більше ідентифікаторів і вища точність під час зіставлення записів.

В Україні найпоширеніший сценарій — дзвінки нібито від служби безпеки банку. Кіберполіція попереджає, що мета таких дзвінків — виманити дані платіжної картки або паролі до онлайн-банкінгу, і радить у разі сумнівів самостійно передзвонити до служби підтримки свого банку.

Як захиститися

Насторожувати має будь-який неочікуваний дзвінок чи повідомлення, навіть якщо співрозмовник знає багато особистих подробиць: обізнаність ще не доводить, що на звʼязку справді банк.

Мур радить скорочувати обсяг даних, які залишаються в мережі.

Вказати іншу дату народження на сайтах із низьким ризиком — це спосіб зменшити вразливість, але ще краще взагалі не заповнювати необовʼязкові поля з персональними даними. Для онлайн-покупок варто також завести окрему електронну адресу: якщо вона потрапить у витік, від неї можна просто відмовитися й почати з чистого аркуша.

Франсуа нагадує, що для виконання замовлення магазину потрібні лише дані платіжної картки та адреса доставки. Виняток — товари з віковими обмеженнями: для їх купівлі вік, імовірно, доведеться підтвердити.

Строго кажучи, справжні дату народження та імʼя потрібно вказувати лише там, де їх звіряють з офіційними реєстрами й використовують для встановлення особи: у банку чи в іншого кредитора, у податковій, в органах, що видають посвідчення водія та паспорти, під час перевірки права на працевлаштування, в офіційних повідомленнях поліції. У цих системах дата народження слугує ключем. Магазин до них не належить.

В українських реаліях до цього переліку належать банки та інші фінансові установи, податкова, державні сервіси на кшталт «Дії», а також установи, що видають документи. Вигадані дані там неприпустимі: від них залежить ідентифікація особи.

Найкраще, за словами Франсуа, залишати поле дати народження порожнім. Якщо це неможливо, він радить вказувати в усіх магазинах ту саму умовну дату, наприклад перше число місяця народження, щоб її не забути.

Якщо магазин уже зберігає справжню дату народження, закон дає інструменти. Стаття 8 Закону «Про захист персональних даних» гарантує право знати мету обробки своїх даних, вимагати їх зміни або знищення, якщо вони обробляються незаконно чи є недостовірними, відкликати згоду на обробку, а також скаржитися Уповноваженому Верховної Ради з прав людини або до суду.

За матеріалами The Guardian.

Ця стаття Подарунок для шахраїв: чому дату народження краще не вказувати в інтернет-магазинах раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Приблизно кожен шостий дорослий уже звертався до чат-бота по товариство чи емоційну підтримку, понад третина не вважає роман із ШІ зрадою, а кожен десятий стверджує, що за допомогою ШІ про нього без дозволу створювали оголені чи відверті зображення. Такі дані наводить Malwarebytes у дослідженні «Artificial Intimacy: Love and lies in the age of AI», оприлюдненому 27 жовтня 2026 року.

ШІ зʼявляється в першому кокетливому повідомленні, у відшліфованій анкеті на сайті знайомств, у «терапевтичних» формулюваннях, якими партнери послуговуються після сварки, і в пошуку сил після розриву. Для когось він і сам став джерелом товариства. І навіть той, хто не користується ШІ особисто, може зустрічатися, сперечатися чи довіряти людині, яка ним користується.

Проникаючи дедалі глибше в стосунки, ШІ змінює саму природу звʼязку між людьми, розмиває відчуття справжнього й відкриває нові способи використати інтимність на шкоду.

ШІ займає місце, яке раніше належало людям

ШІ заходить на емоційну територію, що донедавна належала лише іншим людям. Для частини користувачів це вже не просто інструмент, а джерело підтримки, товариства і навіть романтичного звʼязку.

За даними опитування, приблизно кожен шостий респондент (16%) звертався до чат-бота по товариство або емоційну підтримку. Серед покоління Z і міленіалів цей показник сягає приблизно кожного пʼятого, а серед активних користувачів ШІ — тих, хто користується ним щодня або кілька разів на тиждень, — майже кожного четвертого. Що більше часу людина проводить із ШІ, то охочіше його олюднює і відводить йому роль друга, порадника, довіреної особи чи навіть партнера.

Що інтимнішу роль бере на себе ШІ, то відчутніше він випробовує межі реальних людських стосунків. Понад третина опитаних (37%) вважає, що романтичні стосунки з чат-ботом за наявності постійного партнера — не те саме, що зрада. Таку позицію частіше поділяють чоловіки (46% проти 30% серед жінок), покоління Z (43%) і міленіали (45%), а також активні користувачі ШІ (48%).

Платонічні це стосунки чи романтичні — що більше ШІ сприймають як людину, то вищі особисті ставки. Довіряючи чат-боту найпотаємніше, варто бути так само обачним, як і з людиною. Майже дві третини респондентів (65%) побоюються, що їхні приватні розмови з ШІ можуть потрапити до сторонніх.

Чат-бот був для мене емоційною підтримкою, і тривожно думати, що ці розмови можуть злити.

Технологія може бути штучною, але стосунки, які люди з нею вибудовують, переживаються цілком по-справжньому. А отже, як і в будь-яких стосунках, доводиться визначати межі, захищати приватність і зважати на власну вразливість.

Інтимність як зброя: фейкові оголені фото та шантаж

Зростання ролі ШІ в людській близькості має й темний бік. Та сама технологія, що дає розраду, пораду чи відчуття товариства, може бути використана, щоб зазіхнути на найособистіше.

Поширення інтимних зображень без згоди, сексторшн — вимагання під загрозою оприлюднити інтимні матеріали — та інші форми сексуального насильства давно існують у темних куточках інтернету. Генеративний ШІ значно спростив створення такого контенту. Зловмисникові вже не потрібні справжні інтимні фото, відео чи листування: звичайну світлину — або просто впізнавану зовнішність — можна перетворити на сексуальний контент, якого людина ніколи не створювала, не поширювала і на який не давала згоди.

Більшість людей проводять тут чітку межу, але не всі. Приблизно кожен шостий опитаний (17%) вважає прийнятним генерувати відверті зображення людини без її дозволу «для особистого використання». Ще 14% займають нейтральну позицію — тож майже третина респондентів (31%) прямо не засуджує таку практику.

Погляди суттєво різняться залежно від віку і статі:

• Молодші дорослі толерантніші до створення такого контенту без згоди: прийнятним його вважають майже кожен четвертий представник покоління Z (24%) і міленіалів (23%) — проти 13% серед покоління X і лише 5% серед бумерів і старших.
• Чоловіки поблажливіші: понад кожен пʼятий чоловік (22%) не бачить у цьому проблеми, серед жінок — 14%.

Ставлення до самої практики різне, але страх стати її мішенню поширений значно ширше. Загалом майже дві третини людей (62%) побоюються, що хтось може створити їхні фейкові оголені чи відверті фото або відео. Жінки відчувають цю загрозу гостріше: занепокоєння висловлюють майже сім із десяти (69%) — проти 57% чоловіків.

Для декого цей страх уже став реальністю:

• кожен десятий респондент стверджує, що за допомогою ШІ без його дозволу створювали оголені чи відверті зображення з ним;
• ще кожному десятому погрожували оприлюднити згенеровані ШІ компрометувальні чи відверті матеріали.

Хтось за допомогою ШІ зробив фейкові оголені фото з моїх світлин у соцмережах і погрожував викласти їх у Facebook… Після цього я обережніше ставлюся до ШІ.

Інтимні матеріали можуть бути підробкою, але страх, примус і можлива шкода — репутаційна, психологічна та фінансова — цілком реальні.

З ким насправді триває розмова

Загроза не обмежується сфабрикованим сексуальним контентом. ШІ ускладнює й саму перевірку того, чи людина по той бік екрана справді та, за кого себе видає.

Люди завжди «редагували» себе для інших: обирали найвдаліше фото, по кілька разів переписували повідомлення перед надсиланням, показували себе з найцікавішого боку — особливо на початку стосунків. ШІ значно розширює можливості такого саморедагування, і люди охоче ними користуються:

• 54% кажуть, що ШІ допомагає їм показати найкращу версію себе;
• 47% вважають, що використання ШІ, аби постати в «найкращому світлі» перед роботодавцями, друзями чи романтичними партнерами, не є створенням фальшивої особистості;
• серед покоління Z і міленіалів так вважають по 58%, серед активних користувачів ШІ — 64%.

Але де закінчується покращення і починається обман? Чи можна вважати автентичною анкету на сайті знайомств, відшліфовану ШІ? А повідомлення, написане не власноруч? А фото, на якому людина схожа на себе — тільки краща?

У прагнення виглядати чи звучати краще за допомогою ШІ є зворотний бік: якщо це може зробити одна людина, може й будь-хто інший. І коли технологію контролює не сам користувач, комфорту значно менше. Дві третини опитаних (67%) побоюються, що онлайн-друг чи романтичний інтерес може ввести їх в оману за допомогою згенерованих ШІ зображень, відео чи іншого контенту.

Кетфішинг — створення вигаданої особистості для обману в мережі, — фейкові фото та неправда в анкетах на сайтах знайомств зʼявилися задовго до ШІ. Технологія лише спрощує обман: підробити можна фото, біографію, повідомлення і навіть голос.

Ще одна історія з опитування — про відмову від застосунків для знайомств після того, як зʼясувалося, що співрозмовник зайшов значно далі за звичайне прикрашання анкети:

Анкета мала фейкові фото… Людина не просто подавала реальні події цікавіше й кокетливіше, а створювала повністю вигадані фото та інформацію. Довелося знову піти із застосунків для знайомств і перезавантажитися.

ШІ здатен спотворювати ідентичність і в протилежному напрямку — створювати версію людини, яку вона сама ніколи не оприлюднювала:

• 76% побоюються, що хтось створить фейковий профіль від їхнього імені;
• 70% — що зʼявляться фейкові фото чи відео з ними;
• 71% — що згенерований ШІ контент можуть використати, щоб зашкодити їхній репутації.

Стосунки будуються на взаємній довірі. ШІ здатен спотворити обидві сторони цього звʼязку: уявлення про те, ким є інша людина, — і її уявлення про нас.

Тихий посередник у стосунках

Не весь вплив ШІ на близькість такий драматичний. Здебільшого він непомітний і проявляється в тому, як люди спілкуються і дають раду стосункам:

• понад третина опитаних використовувала ШІ, щоб написати чи відредагувати повідомлення;
• приблизно кожен сьомий звертався до нього по пораду щодо стосунків чи особистого рішення;
• кожен десятий каже, що ШІ вже змінив те, як він знайомиться чи спілкується в романтичному контексті, а серед покоління Z таких — майже кожен пʼятий.

Відповіді учасників опитування показують, як це виглядає в житті. Дехто разом із партнером використовує ШІ, щоб вийти за межі власної точки зору:

Особисто мені це допомогло. Ми використовуємо ШІ у стосунках як інструмент рефлексії, і часом він допомагає нам поглянути на ситуацію очима іншого.

Іншому респондентові розмова з ШІ допомогла впоратися з ревнощами: після постійних звинувачень на адресу партнера він отримав пораду, яка, за його словами, зробила пару міцнішою, ніж будь-коли.

ШІ зʼявляється і в інших складних моментах стосунків. Один респондент розповів, що ШІ допомагає йому «зберігати спокій і говорити», коли в парі виникають проблеми, інший — що дає змогу «зупинитися й упорядкувати думки», перш ніж відповісти.

Іноді роль ШІ простіша. Хтось отримує від нього «нові романтичні слова» для партнера, хтось просить поради, як змусити кохану людину усміхнутися. Зростання ролі ШІ в стосунках може насторожувати, але користь, про яку розповідають люди, цілком відчутна.

ШІ допомагає не лише дібрати правильні слова, а й вирішити, якою версією себе постати від самого початку. Понад третина респондентів вважає нормальним використовувати ШІ для створення чи покращення анкети на сайті знайомств, а майже дві третини не мають проти цього заперечень. Один з учасників опитування назвав ШІ своїм «креативним радником», який допомагає відшліфувати профіль і придумати, з чого почати розмову.

Водночас покладатися на поради чат-бота в особистих питаннях варто з обережністю.

Щоб впливати на стосунки, ШІ не обовʼязково має їх замінювати. Він може формувати те, як люди спілкуються, які поради беруть до уваги і як вирішують себе подати.

Зрештою все зводиться до довіри

Від зближення до обману й відвертої шкоди — постійно постає те саме питання: чи можна довіряти тому, що перед очима? І чи вдасться помітити, якщо ні?

Майже девʼять із десяти опитаних (88%) кажуть, що через ШІ дедалі важче відрізнити справжній, створений людиною контент від штучного. А 84% зазначають, що навіть переконливе відео більше не сприймається як беззаперечний доказ. Ця невизначеність переходить і в знайомства та стосунки, де питання, чому — і кому — довіряти, глибоко особисте.

ШІ може допомогти написати краще повідомлення чи пережити сварку з партнером — і це вже чимало. Але стосунки тримаються на довірі, а ШІ робить так, що довіряти на слово стає дедалі важче. Фейковий профіль часто стає вхідними дверима до романтичного шахрайства, і шкода не обмежується втраченими грошима. Жертви втрачають сон, упевненість і готовність довіряти наступній людині, яка з ними привітається. Фото, профіль і навіть відверте зображення, яким погрожують, можуть виявитися підробкою. Розбите серце — ні.

ШІ може полегшити початок розмови, допомогти пережити складну або дати відчуття звʼязку в самотності. Але стосунки й близькість у будь-якій формі, як і раніше, тримаються на довірі — а ШІ робить цю довіру дедалі менш очевидною.

Як захиститися

Разом зі звітом Malwarebytes оприлюднила рекомендації, як убезпечити себе в епоху «штучної близькості». Нижче — їх адаптована версія з урахуванням українського контексту.

Перевіряти, з ким триває спілкування

• Перевіряти фото профілю через зворотний пошук зображень (Google Lens, TinEye). Насторожувати мають скопійовані описи, повторно використані фото й акаунти майже без реальної активності.
• Памʼятати, що персоналізована відповідь чи голосове повідомлення не доводять, що акаунт справжній.

Знати тривожні сигнали романтичного шахрайства

• Обережно ставитися до непрошених контактів, особливо коли співрозмовник надто швидко вибудовує емоційну близькість.
• Насторожуватися, якщо людина квапить із рішеннями або наполягає перенести спілкування з платформи знайомств у Telegram, Signal, Discord чи інший месенджер.
• Вважати тривожним знаком момент, коли фліртове листування раптом переходить до розмов про гроші.

Не надсилати того, що неможливо повернути

• Не надсилати людині, знайомій лише онлайн, гроші, подарункові картки, криптовалюту, інтимні фото, копії документів чи дані для входу в облікові записи.
• Скептично ставитися до термінових вимог оплати — особливо в криптовалюті чи подарункових картках.

Зменшити «матеріал» для підробок

• Обмежити кількість голосових записів і відео у відкритому доступі: шахраї можуть використати їх повторно.
• Посилити налаштування приватності в соцмережах і регулярно переглядати список підписників.

Якщо шантажують

• Не платити тим, хто погрожує.
• Зберегти докази — скриншоти листування, посилання на профілі, імена користувачів — і лише після цього блокувати зловмисника.
• Поскаржитися на профіль і контент адміністрації платформи.
• Звернутися до кіберполіції або за номером 102. Якщо йдеться про гроші, якнайшвидше повідомити банк.
• Повнолітні можуть створити безкоштовний запит на org: сервіс генерує цифровий відбиток (хеш) зображення просто на пристрої — саме фото нікуди не завантажується — і передає його платформам-партнерам, щоб ті блокували публікацію. Інструмент працює і для діпфейків, якщо зображення є в розпорядженні постраждалої людини. Обмеження: він діє лише на платформах-партнерах і не охоплює месенджери з наскрізним шифруванням.
• Якщо на зображенні людина молодша за 18 років, допомогу можна отримати через сервіс Take It Down.

Про дослідження

Дослідження Malwarebytes ґрунтується на опитуванні, проведеному в березні 2026 року серед 1500 респондентів у США, Великій Британії, Німеччині, Австрії та Швейцарії. Його підготував незалежний дослідницький консультант, а розповсюдження забезпечила платформа Forsta. Україна до вибірки не входила.

Ця стаття Штучна близькість: ШІ став «третім зайвим» у стосунках — і новим інструментом шантажу раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Google, Meta, Apple і TikTok щодня збирають дані про мільярди людей — від пошукових запитів до голосу й місця перебування. Частину цього збору можна обмежити в налаштуваннях, але судові справи 2025–2026 років показали: перемикач у положенні «вимкнено» не завжди означає, що збір справді зупинився. Нижче — вісім поширених тверджень, перевірених за документами самих компаній, рішеннями судів і регуляторів.

1. «Якщо вимкнути історію активності в Google, компанія перестане збирати дані»

Неправда.

В обліковому записі Google є перемикач «Історія додатків і вебпошуку» (Web & App Activity). Мільйони людей вимикали його, вважаючи, що так зупиняють стеження. Насправді дані про дії в сторонніх застосунках продовжували надходити до Google через вбудовані в ці застосунки інструменти аналітики Firebase.

3 вересня 2025 року присяжні федерального суду в Сан-Франциско визнали, що Google порушила приватність майже 100 млн користувачів, які вимкнули цей перемикач, і присудили їм 425,7 млн доларів компенсації. Позивачі вимагали понад 31 млрд. Серед застосунків, через які збиралися дані, називали Shazam, Lyft, The New York Times і Duolingo.

Google просила суд скасувати вердикт, але суддя Річард Сіборг відмовив. Водночас він не задовольнив вимогу позивачів заборонити Google збирати такі дані надалі.

Суть позиції позивачів завжди полягала в тому, що рішення Google збирати певні дані після того, як компанія заявила, що не робитиме цього, було неприйнятним саме по собі

Практичний висновок: перемикачі в обліковому записі Google визначають, що зберігається в профілі, але не обовʼязково — що збирається взагалі. Частину даних застосунки передають компаніям через вбудовані SDK, і користувач цього не бачить.

2. «Якщо вимкнути геолокацію, смартфон неможливо відстежити»

Неправда.

GPS — лише одне з джерел. Служба точності геолокації Google на Android визначає місце за GPS, точками доступу Wi-Fi, вежами мобільного звʼязку та даними датчиків, зокрема акселерометра. Окремі налаштування пошуку мереж Wi-Fi і пристроїв Bluetooth дозволяють застосункам уточнювати місце перебування, навіть коли сам Wi-Fi чи Bluetooth вимкнено.

Мобільний оператор у будь-якому разі бачить, до якої базової станції підʼєднаний телефон, — без цього звʼязок просто не працює. А під час дзвінка на екстрений номер місцезнаходження може автоматично передаватися рятувальникам навіть за вимкненої геолокації.

Вимкнення геолокації обмежує доступ застосунків до точних координат, але не робить телефон невидимим. Щоб зменшити кількість джерел, варто окремо вимкнути пошук Wi-Fi і Bluetooth у службах визначення місцезнаходження та переглянути, яким застосункам дозволено точне місцезнаходження.

3. «Якщо не заходити у Facebook чи Instagram, Meta не знає, які сайти відвідує людина»

Неправда.

Інтернет-магазини, ігри та сервіси регулярно передають Meta дані про дії відвідувачів — через вбудований на сайтах Meta Pixel та інші інструменти. Сама Meta пише, що вже використовує ці дані, наприклад про ігри чи покупки на інших сайтах, щоб робити рекламу релевантнішою.

Влітку 2025 року дослідники зʼясували, що Meta пішла ще далі. На Android скрипт Meta Pixel передавав ідентифікатор браузера застосункам Facebook та Instagram через локальне зʼєднання всередині телефона — і так повʼязував відвідані сайти з обліковим записом. Цей метод обходив режим інкогніто, очищення файлів cookie та системні дозволи Android. За даними дослідників, Meta використовувала його з вересня 2024 року й припинила 3 червня 2025 року, одразу після публікації.

У червні 2026 року Meta оголосила ще одну зміну: вона прибирає налаштування «Ваша активність поза технологіями Meta», яке дозволяло відʼєднати від облікового запису дані, що надсилають інші компанії. Відтепер ці дані впливатимуть не лише на рекламу, а й на стрічку та відповіді Meta AI. Замість старого перемикача лишається «Активність від інших компаній», який керує тим, чи використовувати ці дані для персоналізації. Зміни почали діяти в США та низці інших країн із липня 2026 року, далі — інші країни.

4. «Розмови з Meta AI не впливають на рекламу»

Неправда — з 16 грудня 2025 року.

Meta почала використовувати взаємодію з Meta AI — текстові й голосові розмови — для персоналізації реклами та контенту у Facebook, Instagram і WhatsApp. Приклад самої компанії: якщо обговорити з Meta AI походи в гори, у стрічці можуть зʼявитися групи туристів і реклама трекінгових черевиків.

Відмовитися від цього не можна. Виняток зробили лише для користувачів у ЄС, Великій Британії та Південній Кореї, де діють суворіші закони про захист даних, — Україна до цього переліку не входить. Meta обіцяє не використовувати для реклами розмови на чутливі теми: релігію, політичні погляди, здоровʼя, сексуальну орієнтацію, етнічне походження. Чати Meta AI у WhatsApp впливають на рекламу в інших застосунках, лише якщо WhatsApp додано до Центру облікових записів.

Практичний висновок простий: усе, що обговорюється з Meta AI, варто вважати сигналом для рекламного профілю.

5. «Apple не використовує дані користувачів для реклами»

Частково правда.

Apple не продає дані і, за її власною політикою, не передає їх брокерам даних. Але в компанії є власна рекламна платформа. В App Store, Apple News і застосунку «Акції» реклама персоналізується за пошуковими запитами, покупками, завантаженнями й підписками. Користувачів обʼєднують у сегменти, і таргетовану рекламу показують, лише якщо під критерії рекламодавця підпадає понад 5000 людей.

Цю персоналізацію можна вимкнути: «Параметри» → «Приватність і безпека» → «Реклама Apple» → «Персоналізована реклама». Реклами не стане менше, але вона перестане спиратися на дані профілю.

Окрема історія — Siri. У жовтні 2025 року суд остаточно затвердив мирову угоду на 95 млн доларів у справі Lopez v. Apple. Позивачі стверджували, що Siri вмикалася без команди, записувала приватні розмови, а записи прослуховували підрядники. Apple провини не визнала, виплати американським користувачам почалися в січні 2026 року — до 20 доларів за пристрій.

6. «Дані європейських користувачів TikTok не потрапляють до Китаю»

Неправда.

2 травня 2025 року Комісія із захисту даних Ірландії (DPC) оштрафувала TikTok на 530 млн євро. Регулятор дійшов висновку, що компанія не змогла гарантувати: дані користувачів з Європейської економічної зони, до яких віддалено мали доступ працівники в Китаї, захищені на рівні, рівноцінному європейському. З цієї суми 485 млн євро — за незаконну передачу даних, 45 млн — за непрозорість щодо неї. TikTok із рішенням не погодився й оскаржує його.

У США ситуація інша: з 22 січня 2026 року американський TikTok працює через спільне підприємство TikTok USDS Joint Venture, а дані користувачів зберігаються в хмарі Oracle на території США. Ця схема стосується лише американських користувачів.

7. «Видалені дані одразу зникають із серверів»

Неправда.

Google пояснює, що процес видалення починається одразу: дані зникають із перегляду й перестають використовуватися для персоналізації. Але повне видалення із серверів зазвичай триває близько двох місяців, з них до місяця — період, щоб відновити випадково видалене. У зашифрованих резервних копіях дані можуть лишатися до шести місяців.

Деякі дані Google зберігає довше — для фінансової звітності, запобігання шахрайству та виконання вимог закону. Рекламні дані в журналах серверів знеособлюються поступово: частина IP-адреси — через девʼять місяців, інформація з файлів cookie — через 18 місяців. А надіслане іншим людям, наприклад листи, після видалення з власного облікового запису залишається в отримувачів.

У Facebook повне видалення облікового запису з усіх систем може тривати до 90 днів.

8. «В Україні вже діє закон про персональні дані рівня GDPR»

Поки що ні.

Чинним лишається Закон «Про захист персональних даних» 2010 року. Новий законопроєкт № 8153, наближений до європейського GDPR, зареєстрували в жовтні 2022 року, а 20 листопада 2024 року Верховна Рада ухвалила його за основу. Станом на кінець жовтня 2026 року він готується до другого читання.

Законопроєкт чітко визначає біометричні й генетичні дані, встановлює вимоги до згоди на обробку та зобовʼязує компанії повідомляти регулятора про витік даних протягом 72 годин. У редакції першого читання для юридичних осіб передбачено штрафи до 150 млн грн або до 8% річного обороту — тоді як нині максимальний штраф становить 34 тис. грн. До другого читання ці норми ще можуть змінитися.

Як обмежити збір даних уже зараз

• Переглянути «Мої дії», налаштувати автоматичне видалення історії й памʼятати, що перемикач не блокує збір через сторонні застосунки.
• Вимкнути пошук мереж Wi-Fi і пристроїв Bluetooth у службах визначення місцезнаходження, переглянути дозволи застосунків на точне місцезнаходження.
• Вимкнути «Персоналізована реклама» в розділі «Реклама Apple» і очистити дані використання застосунків в налаштуваннях App Store.
• Facebook та Instagram. У Центрі облікових записів очистити й відʼєднати «Ваша активність поза технологіями Meta», якщо цей пункт ще доступний, а в налаштуваннях реклами вимкнути «Активність від інших компаній». Не обговорювати з Meta AI те, що не хочеться бачити в рекламі.
• Витоки. Перевірити, чи не потрапила електронна адреса до відомих витоків, на Have I Been Pwned.
• Онлайн-покупки. Використовувати віртуальні картки замість основної, щоб у разі витоку в магазині не постраждав основний рахунок.
• Перед видаленням облікового запису. Завантажити архів своїх даних — Google Takeout або «Завантажити свою інформацію» у Facebook: після видалення відновити їх не вдасться.

Висновок

Техногіганти не обовʼязково «продають» дані в буквальному сенсі — їм вигідніше самим будувати на їх основі рекламні профілі. Налаштування приватності реально обмежують збір, але не зупиняють його повністю, а назви перемикачів не завжди відповідають тому, що вони насправді роблять. Найнадійніший підхід — вимикати зайві джерела даних, регулярно чистити історію й не покладатися на одну кнопку.

Ця стаття Що техногіганти роблять із даними користувачів: 8 популярних тверджень — правда чи міф раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Власники Android-смартфонів почали отримувати від Google несподівані листи: їхній номер телефону «підтверджено» для другорядних облікових записів — робочих, резервних або створених саме для того, щоб не повʼязувати їх з особою власника. Причина — функція підтвердження номера телефону, яку Google тепер вмикає за замовчуванням.

Першими проблему помітили користувачі Reddit, а детально її розібрало видання Android Authority: листи надходять з адреси noreply-phone-verification@google.com і повідомляють, що номер підтверджено, хоча власник акаунта нічого такого не запитував.

Що саме робить Google

Багато людей мають кілька облікових записів Google: основний — для повсякденних справ, робочий, а іноді ще й окремий для сервісів, які не хочеться повʼязувати з рештою цифрового життя. На Android-смартфоні всі ці акаунти можуть отримати спільну рису, про яку власник навіть не здогадується, — його номер телефону.

Довідка Google це прямо підтверджує: на пристрої підтвердження номера телефону увімкнене за замовчуванням, а підтверджений номер додається до всіх облікових записів Google, у які виконано вхід на смартфоні. Правило діє як для наявних акаунтів, так і для тих, що зʼявляться пізніше. Працює й зворотний напрямок: новий номер на пристрої автоматично додається до всіх акаунтів. Для смартфонів із двома SIM-картами, яких в Україні чимало, це означає, що до кожного облікового запису можуть потрапити обидва номери.

За даними Android Authority, таку поведінку додали до довідкової сторінки Google між серпнем і жовтнем 2025 року.

Навіщо Google перевіряє номер

За поясненням компанії, перевірка номера потрібна для низки функцій: входу в обліковий запис за номером телефону, відновлення доступу, обміну RCS-повідомленнями й відеодзвінків, Quick Share, екстреної передачі місцезнаходження, а також пошуку й віддаленого блокування загубленого пристрою. Крім того, з увімкненим підтвердженням автоматично активується функція Better sharing on Google (Зручніше ділитися контентом у Google), яка дає змогу отримувати дзвінки, повідомлення та сповіщення від сервісів Google на цей номер, — щоправда, лише для одного з облікових записів на пристрої.

У чому ризик

Номер, який людина свідомо вказала лише для основного акаунта, опиняється привʼязаним і до другорядного — просто тому, що обидва облікові записи відкриті на одному Android-смартфоні.

Якщо номер навмисно не додавали до другорядного акаунта, тепер він фактично повʼязує цей акаунт із реальною особою власника — без його усвідомленої згоди. Сам номер від цього не стає публічним, проте Google отримує ще один спосіб поєднати облікові записи, які користувач хотів тримати окремо.

Варто звернути увагу й на інше налаштування. Як зазначено в довідці облікових записів Google, номер може використовуватися в усіх сервісах компанії, зокрема для показу релевантнішої реклами. Якщо на сторінці «Телефон» біля номера зазначено Across Google («У сервісах Google»), саме так його і використовують.

Не перший випадок неочевидних звʼязків між акаунтами

Аналітик Malwarebytes Пітер Арнтц, який розібрав нову функцію для блогу компанії, нагадує про власне спостереження 2021 року: вхід у Google Play на чужому смартфоні дав йому змогу бачити переміщення цього пристрою в хронології Google Maps. Арнтц увійшов у свій акаунт у Google Play на телефоні дружини, щоб установити застосунок, і забув вийти.

Покопавшись, я зʼясував, що мій обліковий запис Google додався до акаунтів на телефоні дружини, коли я увійшов у Play Store, але не видалився, коли я вийшов, помітивши проблему зі стеженням.

Ту проблему мав розвʼязати перехід Google на зберігання хронології на самому пристрої замість хмари. Небажану привʼязку номера телефону натомість доведеться прибирати вручну.

Як прибрати номер з другорядних акаунтів

Виробники смартфонів по-різному організовують меню налаштувань, тому назви й розташування пунктів на конкретній моделі можуть відрізнятися від наведених нижче.

Крок 1. Вимкнути автоматичне підтвердження номера

Це налаштування змінюється лише на самому Android-смартфоні:

1. Відкрити застосунок «Налаштування».
2. Вибрати «Google». На деяких смартфонах пункт називається «Сервіси Google» або «Сервіси та налаштування Google».
3. Перейти на вкладку «Усі сервіси».
4. У розділі «Конфіденційність і безпека» вибрати «Підтвердження номера телефону».
5. Вимкнути перемикач «Автоматично підтверджувати номери телефонів» (Verify phone numbers automatically) або аналогічний перемикач, який показує смартфон.

Важливо: вимкнення лише зупиняє нові привʼязки. Номери, які вже додано до облікових записів, нікуди не зникають. Також слід враховувати, що без підтвердженого номера можуть некоректно працювати функції, які Google повʼязує з ним, — зокрема RCS-повідомлення.

Крок 2. Перевірити, до яких акаунтів уже додано номер

Цей крок виконується в браузері, тож інтерфейс однаковий для всіх пристроїв:

1. Відкрити сторінку myaccount.google.com.
2. Подивитися на фото профілю або ініціал у правому верхньому куті й переконатися, що відкрито саме той обліковий запис, який потрібно перевірити.
3. Вибрати «Особиста інформація».
4. Знайти розділ «Контактна інформація» і вибрати «Телефон». Залежно від версії інтерфейсу пункт «Телефон» може відображатися одразу.
5. Натиснути на номер, щоб переглянути подробиці та сервіси, які його використовують.
6. Щоб видалити номер з облікового запису, натиснути значок видалення й дотримуватися підказок на екрані.

Ці дії потрібно повторити для кожного акаунта, який варто перевірити.

Крок 3. Перевірити інші способи використання номера

Тут є підступ. Google попереджає, що зміна номера на сторінці облікового запису стосується лише частини сервісів. Інші, зокрема двоетапна перевірка, можуть використовувати номер окремо — і на сторінці «Телефон» вони можуть не відображатися.

Для кожного акаунта, з якого прибирають номер, слід:

• переглянути розділ «Використання» на сторінці «Телефон» — там видно, які сервіси повʼязані з номером;
• відкрити розділ «Безпека» й перевірити номер для відновлення та налаштування двоетапної перевірки;
• якщо використовуються інші сервіси Google із власними налаштуваннями номера телефону (наприклад, Google Calendar або Chrome), перевірити й їх.

Якщо мета — повністю відвʼязати номер від конкретного акаунта, не можна вважати, що видалення в розділі «Особиста інформація» прибрало всі способи його використання. Проте перш ніж видаляти номер із налаштувань безпеки, потрібно переконатися, що в обліковому записі є інший робочий спосіб входу й відновлення доступу — наприклад, резервна електронна адреса, ключ доступу (passkey) чи резервні коди. Інакше можна втратити доступ до власного акаунта.

Чи може налаштування увімкнутися знову

Частина користувачів повідомляє, що автоматичне підтвердження вмикається саме собою після вимкнення, — про це пише TechRadar. Це окремі свідчення, а не підтверджена поведінка на всіх смартфонах: у редакції Android Authority, наприклад, вимкнення спрацювало. Втім, якщо привʼязка номера має значення, варто час від часу перевіряти стан цього налаштування.

І ще одна порада: отримавши лист про підтвердження номера, краще не переходити за посиланнями з нього, а перевіряти налаштування напряму — через «Налаштування» смартфона або сторінку облікового запису Google. Шахраї охоче імітують службові повідомлення великих сервісів.

Ця стаття Google автоматично додає номер телефону до всіх акаунтів на Android: як це вимкнути й прибрати привʼязку раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Linux має репутацію однієї з найзахищеніших операційних систем, і для цього є підстави: відкритий код, продумана модель прав доступу, мінімум вбудованого стеження. Проте сама архітектура не гарантує приватності — багато залежить від налаштувань і звичок користувача. Добра новина в тому, що більшість додаткових заходів не потребує ні значних зусиль, ні витрат.

1. Дистрибутив, орієнтований на анонімність

Деякі дистрибутиви Linux від початку створені з прицілом на приватність. Найвідоміший — Tails (The Amnesic Incognito Live System) на основі Debian; ще один приклад — Linux Kodachi.

Такі системи зазвичай запускають у «живому» режимі (live) — з USB-накопичувача, без інсталяції на диск компʼютера. До їхнього складу входять інструменти для анонімного доступу до мережі, шифрування, захисту від стеження тощо.

Головна особливість: після кожного перезавантаження система повертається до початкового стану. Це не вада, а задум розробників — так ОС не залишає слідів роботи користувача. Водночас у Tails за потреби можна створити Persistent Storage — зашифрований паролем розділ на тому самому USB-накопичувачі для вибраних файлів і налаштувань. Для справді чутливих завдань його все ж краще не використовувати.

Варто враховувати й відмінності між проєктами. Tails розвиває міжнародна команда, і весь трафік системи спрямовується через мережу Tor. Kodachi — проєкт одного розробника, який поширюється як безкоштовне ПЗ лише для приватного некомерційного використання.

2. Tor Browser

Якщо live-дистрибутив здається надмірним кроком, мінімум — Tor Browser. Він спрямовує трафік через мережу Tor: запит проходить через кілька вузлів із багатошаровим шифруванням, тож сайт не бачить реальної IP-адреси користувача, а інтернет-провайдер — які саме сайти той відвідує. Окрім того, браузер блокує сторонні трекери, ізолює файли cookie для кожного сайту й уніфікує «цифровий відбиток», щоб усі користувачі виглядали для сайтів однаково.

Для анонімного перегляду вебсторінок Tor Browser не має повноцінних аналогів. Проте варто памʼятати: на останньому, вихідному вузлі мережі трафік розшифровується, тож дані, передані сайтам без HTTPS, теоретично можуть бути перехоплені. Саме тому Tor Browser за замовчуванням працює в режимі «лише HTTPS».

Браузер безкоштовний. Найнадійніше джерело для завантаження — офіційний сайт Tor Project. У репозиторіях багатьох дистрибутивів є також пакет torbrowser-launcher, який сам завантажує браузер із сайту розробників і перевіряє його цифровий підпис.

3. Шифрування за допомогою GnuPG

У Linux є GnuPG (GNU Privacy Guard) — вільна реалізація стандарту OpenPGP, що виріс із програми PGP (Pretty Good Privacy). GnuPG шифрує окремі файли (теки — попередньо запакувавши в архів), а також інтегрується з поштовими клієнтами для обміну зашифрованими листами.

Найпростіший сценарій — зашифрувати файл паролем:

gpg -c document.pdf

Команда створить файл document.pdf.gpg, відкрити який можна лише з паролем. Для листування знадобиться власна пара ключів — її генерують командою gpg --full-generate-key.

Важлива умова: щоб надіслати комусь зашифроване повідомлення, потрібен публічний ключ адресата. Решта налаштувань нескладна і вартує витраченого часу.

4. Вимкнення геолокації та телеметрії

Деякі дистрибутиви — особливо з робочими середовищами GNOME чи KDE Plasma — містять механізми телеметрії, тобто передавання даних про користувача командам розробників, а також служби визначення місцезнаходження.

Навіть якщо отримувачу можна довіряти, кожна передача даних — це додатковий ризик перехоплення. У GNOME службу геолокації вимикають у «Параметрах»: у розділі «Приватність» є пункт «Служби розташування», перемикач якого слід перевести в положення «Вимк.».

У KDE Plasma та інших середовищах можна заблокувати системну службу geoclue, що відповідає за визначення розташування:

sudo systemctl mask geoclue

Команда disable, яку часто наводять у порадах, тут не завжди спрацьовує: geoclue запускається на вимогу інших програм, тому надійніше саме заблокувати службу (mask). Після цього застосунки, які покладаються на геолокацію (наприклад, прогноз погоди чи автоматичний нічний режим екрана), не зможуть визначати місцезнаходження автоматично. Повернути службу можна командою sudo systemctl unmask geoclue.

5. VPN для всього трафіку

Ще один універсальний інструмент — VPN. Він шифрує трафік між пристроєм і сервером VPN-сервісу та приховує реальну IP-адресу від відвідуваних сайтів. Це суттєво ускладнює перехоплення даних — особливо в публічних мережах Wi-Fi.

Водночас VPN не робить користувача анонімним: увесь трафік бачить сам VPN-провайдер. Тому обирати сервіс слід ретельно — з перевіреною політикою відсутності журналів (no-logs) і незалежними аудитами.

Ще один нюанс: розширення VPN для браузера захищає лише браузерний трафік. Щоб під захистом опинилися також пошта, месенджери та інші мережеві застосунки, потрібен повноцінний клієнт для всієї системи. Для Linux такі клієнти пропонують, зокрема, Proton VPN, ExpressVPN і Windscribe.

6. Очищення тимчасових файлів і журналів

Linux зберігає тимчасові файли та журнали (логи), які корисні для діагностики несправностей. Проте вони можуть містити відомості, що загрожують приватності, — IP-адреси, перелік запущених служб тощо.

Частину роботи система виконує сама: вміст каталогу /tmp зазвичай очищується під час перезавантаження (у багатьох сучасних дистрибутивах він узагалі розміщений в оперативній памʼяті), а журнали регулярно ротуються — старі записи архівуються й згодом видаляються.

Ці завдання можна виконати й вручну. Найпростіший, але ризикований варіант — команда sudo rm /tmp/*: вона видалить і файли, якими саме зараз користуються запущені програми та графічний сеанс, що може спричинити збої. Безпечніше видаляти лише давні файли — наприклад, ті, до яких не зверталися понад 10 днів:

sudo find /tmp -type f -atime +10 -delete

Для журналів призначена утиліта logrotate — її налаштування дещо складніше. Потрібно створити конфігураційний файл у каталозі /etc/logrotate.d/, наприклад /etc/logrotate.d/myapp:

/var/log/myapp/*.log {

rotate 7

daily

compress

missingok

notifempty

create 0640 myapp myapp

postrotate

systemctl reload myapp

endscript

}

Такий конфіг щодня ротує журнали застосунку, зберігає сім стиснених архівів, пропускає порожні й відсутні файли, створює новий журнал із правами лише для власника та групи, а після ротації перезавантажує службу. Перевірити налаштування без жодних змін можна командою sudo logrotate -d /etc/logrotate.d/myapp, а примусово запустити ротацію за всіма конфігами — так:

sudo logrotate -f /etc/logrotate.conf

У дистрибутивах із systemd значна частина записів зберігається в системному журналі journald. Видалити з нього записи, старші за 10 днів, можна командою:

sudo journalctl --vacuum-time=10d

7. Двофакторна автентифікація

Двофакторну автентифікацію (2FA) варто вмикати скрізь, де її підтримує застосунок чи сервіс: це додатковий рівень захисту облікового запису. Після налаштування для входу, крім пароля, потрібен одноразовий код — зазвичай шестизначний. Без нього доступу до облікового запису не буде.

Код можна отримувати SMS-повідомленням, проте це найменш надійний спосіб: зловмисники здатні перехопити SMS, наприклад, через підміну SIM-картки. Перевагу краще віддавати застосункам-автентифікаторам, апаратним ключам безпеки, а там, де можливо, — ключам доступу (passkeys).

Друга перевірка забирає кілька зайвих секунд, але ця незручність себе виправдовує — і на Linux теж.

8. Моніторинг системної активності

Регулярний перегляд журналів системної активності варто перетворити на звичку. Основні файли зберігаються в каталозі /var/log/:

• syslog — повідомлення служб, демонів і застосунків (у дистрибутивах родини Debian/Ubuntu);
• log — події автентифікації, корисний для виявлення проблем зі входом;
• secure — аналог log у дистрибутивах родини Red Hat (Fedora, RHEL та похідних): події автентифікації та авторизації;
• audit/audit.log — події, повʼязані з безпекою (за наявності служби auditd);
• wtmp — історія входів користувачів і тривалість сеансів;
• btmp — невдалі спроби входу, які можуть свідчити про спроби злому.

Файли wtmp і btmp двійкові, тож переглядають їх не текстовим редактором, а командами last і sudo lastb відповідно. У дистрибутивах, де журнали веде лише systemd-journald, текстових файлів syslog і auth.log може не бути — тоді попередження й помилки з моменту завантаження системи покаже команда:

sudo journalctl -b -p warning

Якщо на компʼютері працюють інші служби — наприклад, вебсервер Apache чи СУБД MariaDB, — так само регулярно варто перевіряти і їхні журнали.

Ця стаття 8 способів посилити приватність у Linux раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Віртуальну, доповнену і змішану реальність легко сплутати: усі три технології поєднують цифрове зображення з рухами людини, а виробники дедалі частіше обʼєднують їх в одному пристрої. Проте різниця між ними принципова. Вона визначає не лише сценарії використання, а й те, скільки даних про власника та людей довкола збирає гаджет. Нижче — пояснення термінів, огляд пристроїв, актуальних у 2026 році, і безпекові ризики, про які рідко згадують у рекламі.

VR, AR, MR і XR: коротке порівняння

Найпростіше розрізняти технології за тим, що саме бачить людина: лише цифровий світ, реальний світ із підказками чи реальний простір, у який вбудовано віртуальні обʼєкти.

Що таке віртуальна реальність (VR)

VR повністю замінює реальне оточення компʼютерною 3D-сценою. Гарнітура закриває поле зору, показує окреме зображення для кожного ока й відстежує повороти голови, тож у цифровому просторі можна озирнутися так само, як у фізичному. Контролери або камери, які розпізнають руки, дають змогу брати предмети, натискати кнопки чи спілкуватися з іншими користувачами через аватари.

Гарнітури бувають автономними — з власним процесором і батареєю — та такими, що використовують потужність компʼютера. Найпоширеніші моделі Meta Quest вміють працювати в обох режимах. Старші Quest 2 і Quest Pro Meta зняла з продажу після виходу бюджетнішої Quest 3S у 2024 році, а з початку 2025-го Quest Pro більше не продається в офіційному магазині. Основу лінійки становлять Quest 3 і Quest 3S.

Що таке доповнена реальність (AR)

AR не замінює реальний світ, а додає до нього цифровий шар: стрілки навігації на дорозі, віртуальний диван у кімнаті, переклад вивіски, ігрового персонажа на тротуарі. Найдоступніший спосіб спробувати AR — смартфон: камера знімає оточення, а застосунок у реальному часі накладає на зображення цифрові обʼєкти. Так працюють Pokémon GO, AR-маски в соцмережах, примірка меблів або косметики в застосунках магазинів.

Друга гілка AR — розумні окуляри. Більшість моделей поки не мають дисплея: камера, мікрофони й динаміки працюють разом із голосовим ШІ-асистентом. Окуляри з екраном лише виходять на ринок. У вересні 2025 року Meta представила Meta Ray-Ban Display з дисплеєм у правій лінзі та браслетом Meta Neural Band, який зчитує сигнали мʼязів руки й перетворює їх на команди. Samsung, за даними Korea Herald, планує випустити перші окуляри на платформі Android XR у листопаді 2026 року — перша версія буде без дисплея, але з камерою.

Сучасні AR-платформи вже вміють розпізнавати поверхні й ховати віртуальний обʼєкт за реальним предметом. Тому старе правило «в AR цифрові обʼєкти не взаємодіють із фізичними» більше не працює, а межа між AR і MR дедалі умовніша.

Що таке змішана реальність (MR)

MR поєднує підходи VR і AR: віртуальні обʼєкти не просто накладаються на картинку, а «знають» про фізичний простір — стоять на справжньому столі, відбиваються від стіни, ховаються за диваном. Для цього пристрій будує 3D-карту приміщення за допомогою камер і датчиків глибини.

Більшість сучасних MR-пристроїв — гарнітури з відеопередачею (passthrough): зовнішні камери знімають оточення і показують його на внутрішніх екранах, а система додає цифрові елементи. Так працюють Meta Quest 3 і 3S, Apple Vision Pro та Samsung Galaxy XR. Apple і Samsung позиціонують свої пристрої як інструменти «просторових обчислень»: замість монітора — кілька віртуальних екранів, розміщених у кімнаті.

Оновлений Apple Vision Pro на чипі M5 і Samsung Galaxy XR на платформі Android XR анонсовано 21 жовтня 2025 року; базові версії коштують 3499 і 1799 доларів відповідно. На старті Galaxy XR продавався лише в США та Південній Кореї.

Ще кілька років тому символом MR була Microsoft HoloLens 2 — гарнітура з прозорими лінзами для промисловості та медицини. Microsoft припинила її виробництво: оновлення безпеки виходитимуть до 31 грудня 2027 року, наступника компанія не представила.

XR і «просторові обчислення»: чому терміни зливаються

XR (extended reality, розширена реальність) — збірний термін для VR, AR і MR. Він закріпився саме тому, що виробники обʼєднують усі режими в одному пристрої: та сама гарнітура може повністю занурити в гру, а за секунду показати кімнату з віртуальним екраном на стіні. Платформа Google так і називається — Android XR, і на ній працюють і гарнітури, і окуляри.

Практичний висновок простий: назва технології в рекламі менш важлива, ніж те, що пристрій бачить, чує і записує. Від цього залежать і його можливості, і ризики.

Де застосовують VR, AR і MR

Ігри та розваги залишаються найбільшим ринком VR: ритм-ігри, симулятори, соціальні простори з аватарами. AR-ігри на смартфонах популярні завдяки тому, що не потребують додаткового обладнання.

Медицина й реабілітація. В Україні VR застосовують для відновлення поранених військових. У центрі UNBROKEN у Львові ветерани з ампутаціями займаються на VR-тренажері, щоб зменшити фантомний біль: мозок бачить «відновлену» кінцівку й поступово перестає надсилати хибні больові сигнали. У Харківському військовому шпиталі VR-апаратуру використовують для пацієнтів із фантомним болем, наслідками контузій та інсультів; за кілька місяців реабілітацію з VR там пройшли 57 пацієнтів.

Освіта й професійна підготовка. Віртуальні тренажери дають змогу відпрацьовувати дії, які в реальності дорогі або небезпечні, а тривимірні моделі допомагають вивчати анатомію, техніку чи архітектуру.

Промисловість, дизайн і торгівля. AR і MR дають змогу розмістити цифровий прототип у реальному масштабі ще до виготовлення, а покупцям — «приміряти» меблі чи одяг через камеру смартфона.

Водночас ідея масових «офісів у метавсесвіті» не прижилася. На початку 2026 року Meta закрила сервіс Horizon Workrooms і припинила продаж Quest бізнес-клієнтам, а підрозділ Reality Labs зосередився на розумних окулярах.

Безпека і приватність: які дані збирають XR-пристрої

Щоб працювати, гарнітура постійно відстежує положення голови й рук, а часто — також погляд, міміку, голос і геометрію приміщення. Смартфон бачить лише те, на що власник наводить камеру; гарнітура чи окуляри — все, що бачить сама людина. Тому XR-пристрої належать до найбільш «допитливих» споживчих гаджетів.

Рухи тіла працюють як відбиток пальця

Дослідники UC Berkeley проаналізували записи понад 55 тисяч гравців Beat Saber. Модель, навчена на пʼяти хвилинах даних про кожного гравця, впізнавала людину серед усіх 55 541 користувачів з точністю 94,33% лише за 100 секундами рухів голови та рук, а за 10 секундами — з точністю 73,20%. В іншій роботі на вибірці з 1006 людей показано, що з даних про рухи можна вивести понад 40 особистих характеристик — від демографії до відомостей про здоровʼя. «Анонімний» аватар у VR-грі насправді не анонімний.

Погляд як канал витоку паролів

У 2024 році науковці описали атаку GAZEploit на Apple Vision Pro. Гарнітура дозволяє друкувати поглядом, а цифровий аватар користувача (Persona) під час відеодзвінків і трансляцій точно повторює рух очей. Аналізуючи відео аватара, дослідники відновлювали символи, які людина вводила на віртуальній клавіатурі. Apple виправила вразливість (CVE-2024-40865): тепер Persona призупиняється, коли відкрита віртуальна клавіатура.

Підмінена реальність

Дослідники Чиказького університету продемонстрували так звану inception-атаку на Meta Quest. Шкідливий застосунок підміняє головний екран і застосунки гарнітури точними копіями, після чого зловмисник може перехоплювати дані й змінювати те, що бачить людина, — наприклад, показувати неправильний баланс банківського рахунку. Атака спрацьовувала, якщо на гарнітурі увімкнено режим розробника, а зловмисник перебував у тій самій мережі Wi-Fi. Досвідчені користувачі VR, на яких перевіряли атаку, переважно не помітили підміни.

Окуляри з камерою і люди довкола

Найгостріша суперечка 2025–2026 років стосується розумних окулярів, бо вони записують не стільки власника, скільки інших людей. У 2024 році двоє студентів Гарварду поєднали окуляри Ray-Ban Meta з пошуковиком за обличчям і мовною моделлю: за кілька секунд система знаходила імʼя, адресу та інші дані випадкових перехожих. Студенти підключили розпізнавання облич самостійно, але показали, що для доксингу достатньо загальнодоступних сервісів.

Офіційно такої функції в окулярах Meta немає, проте компанія її розробляла. У лютому 2026 року The New York Times повідомила про внутрішній проєкт Name Tag, який мав би дозволити власникам окулярів ідентифікувати людей у полі зору через ШІ-асистента. Понад 70 правозахисних організацій вимагають від Meta відмовитися від цих планів. У червні журналісти WIRED знайшли неактивований код розпізнавання облич у застосунку Meta AI, встановленому на понад 50 мільйонах смартфонів, — і вже наступного дня компанія його видалила.

Друге питання — що відбувається з даними самого власника. У квітні 2025 року Meta змінила політику для окулярів Ray-Ban Meta: ШІ-функції увімкнено за замовчуванням, а можливість відмовитися від зберігання голосових записів прибрали. Записи можуть зберігатися до року; щоб вони не використовувалися для навчання ШІ, їх доводиться видаляти вручну в застосунку-компаньйоні.

Реакція установ і правозахисників посилюється. З 20 липня 2026 року окуляри та головні убори із записувальною технологією заборонено в понад 1240 судах штату Нью-Йорк. У Німеччині правозахисна організація HateAid подала кримінальну скаргу на Meta, вважаючи, що непомітна зйомка окулярами може порушувати місцеве законодавство про захист даних. Виробники відповідають індикаторами запису: Samsung обіцяє, що світлодіоди на оправі сигналізуватимуть про зйомку, а камера вимикатиметься, якщо зовнішній індикатор закрити.

Як користуватися XR-пристроями безпечніше

• Встановлювати застосунки лише з офіційних магазинів і не тримати постійно увімкненим режим розробника — саме він відкрив шлях для inception-атаки.
• Регулярно оновлювати прошивку гарнітури чи окулярів: виправлення на кшталт захисту від GAZEploit надходять саме з оновленнями.
• Захистити акаунт Meta, Apple або Google, до якого привʼязано пристрій, двофакторною автентифікацією: через нього доступні покупки, історія використання, а часто й фото та відео з камер.
• Переглянути дозволи застосунків на доступ до камер, мікрофона, карти приміщення, відстеження рук і очей та вимкнути ті, без яких застосунок працює.
• У розумних окулярах перевірити налаштування ШІ-асистента, вимкнути голосову активацію, якщо вона не потрібна, і періодично видаляти збережені голосові записи.
• Не вводити паролі на віртуальній клавіатурі під час трансляцій чи відеодзвінків з аватаром.
• Перед продажем або передаванням пристрою скидати його до заводських налаштувань. Дослідники inception-атаки називають таке скидання і способом позбутися підмінених застосунків.
• Поважати приватність оточення: не знімати людей без їхньої згоди і враховувати, що в судах, лікарнях, школах та на режимних обʼєктах окуляри з камерами можуть бути заборонені.
• Для дітей — налаштувати батьківський контроль у фірмовому застосунку та обмежити соціальні VR-простори, де можна спілкуватися з незнайомцями.

Від гарнітур до окулярів

Ринок зміщується від громіздких гарнітур, які надягають удома на годину, до легких окулярів із ШІ, які носять увесь день серед інших людей. Що менш помітний пристрій, то важливіше розуміти, що саме він записує, куди передає ці дані і хто ще може ними скористатися.

Ця стаття VR, AR, MR і XR: чим відрізняються види цифрової реальності та які ризики вони несуть раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Firefox не залежить від рішень Google щодо рушія Chromium, і за останні два роки ця різниця стала відчутною на практиці. Після того як Chrome остаточно відключив розширення старого формату, повноцінний блокувальник uBlock Origin серед найпопулярніших браузерів працює передусім у Firefox. Водночас частина захисних функцій Firefox за замовчуванням увімкнена в мʼякому режимі, а сама Mozilla у 2025 році визнала, що ділиться частиною даних із рекламними партнерами. Нижче — девʼять налаштувань, які варто перевірити одразу після встановлення браузера.

Чому саме Firefox: що змінилося за два роки

Головна зміна стосується розширень. Chrome поетапно відмовлявся від платформи Manifest V2: з 24 липня 2025 року такі розширення вимкнені в усіх каналах Chrome без можливості повторного ввімкнення, у Chrome 139 їхню підтримку прибрали повністю, а 31 серпня 2026 року всі залишки Manifest V2 видалили з Chrome Web Store. Під цю хвилю потрапив і uBlock Origin — він покладається на інтерфейс blockingWebRequest, який Google замінив обмеженішим declarativeNetRequest.

Mozilla пішла іншим шляхом: Firefox зберігає підтримку і Manifest V2, і Manifest V3, а також обох інтерфейсів фільтрації контенту. Тож для uBlock Origin та інших потужних блокувальників Firefox залишається повноцінним середовищем.

Друга зміна — файли cookie. Google роками обіцяв прибрати сторонні cookie з Chrome, але у квітні 2025 року остаточно відмовився від цих планів: у звичайних вікнах Chrome сторонні cookie й далі дозволені, а за замовчуванням блокуються лише в режимі інкогніто. У Firefox навіть стандартний режим захисту обмежує кожен файл cookie сайтом, який його створив, тож стежити за користувачем від сайту до сайту через cookie значно складніше.

Це не робить Chrome небезпечним браузером: він швидко отримує виправлення вразливостей і має власні механізми захисту. Різниця — у налаштуваннях за замовчуванням і в тому, наскільки глибоко користувач може контролювати браузер. Докладне порівняння двох браузерів — у матеріалі Chrome проти Firefox.

1. Увімкнути суворий захист від стеження

Розширений захист від стеження працює у Firefox за замовчуванням у стандартному режимі. Згідно з довідкою Mozilla, він блокує трекери соціальних мереж, міжсайтові файли cookie для стеження, скрипти для збирання цифрових відбитків і криптомайнери. Але вміст для стеження, вбудований у рекламу, відео та інші елементи сторінки, стандартний режим блокує лише в приватних вікнах.

Суворий режим поширює це блокування на всі вікна й додає захист від так званих bounce-трекерів — ланцюжків переадресацій через проміжні адреси, які збирають дані під час переходів між сайтами. Ціна — окремі сайти можуть працювати некоректно, наприклад частина вбудованого вмісту не завантажується. Для таких сайтів захист можна вимкнути точково, клацнувши значок щита ліворуч від адресного рядка.

1. Відкрити «Налаштування» → «Приватність і безпека».
2. У розділі «Розширений захист від стеження» вибрати «Надійний».
3. Перезавантажити відкриті вкладки, щоб зміни набули чинності.

Режим «Власний» дає змогу самостійно вибрати, які категорії трекерів блокувати, — це компроміс для тих, кому суворий режим заважає.

2. Увімкнути режим «лише HTTPS»

Більшість сайтів уже працюють через зашифроване зʼєднання HTTPS, але частина досі відкривається й через незахищений HTTP. Режим «лише HTTPS» змушує Firefox завжди переходити на зашифровану версію сайту. Якщо її немає, браузер показує попередження і дає вибір: повернутися назад або свідомо відкрити незахищену версію.

Режим можна ввімкнути для всіх вікон, лише для приватних або вимкнути. Він розташований у розділі «Приватність і безпека», у налаштуваннях безпеки зʼєднання. Для сайтів, яким користувач довіряє, але які не підтримують HTTPS, можна додати винятки.

3. Перевірити DNS через HTTPS

Коли в адресному рядку вводять назву сайту, браузер спершу надсилає DNS-запит, щоб дізнатися його IP-адресу. Традиційно цей запит іде відкритим текстом, тож інтернет-провайдер або будь-хто в тій самій мережі Wi-Fi бачить, які сайти відкриває користувач. DNS через HTTPS (DoH) шифрує такі запити.

Для України ця функція має особливе значення: Mozilla почала вмикати DoH за замовчуванням для українських користувачів десктопного Firefox у березні 2022 року. Працює він у резервному режимі: якщо захищений запит не вдається, браузер переходить на звичайний DNS операційної системи замість того, щоб показувати помилку.

Важливий нюанс: у типовому режимі Firefox автоматично вимикає DoH, якщо на пристрої активні VPN, батьківський контроль, корпоративні політики або мережа сигналізує, що захищений DNS використовувати не слід. Тому варто перевірити статус у налаштуваннях і за потреби вибрати інший рівень захисту:

• Типовий — DoH працює там, де доступний, і вимикається за описаних вище умов.
• Підвищений — DoH працює постійно з вибраним провайдером; на звичайний DNS браузер переходить лише у разі збою провайдера. Оптимальний вибір для публічних мереж Wi-Fi.
• Максимальний — лише захищений DNS; якщо провайдер недоступний, Firefox показує попередження з можливістю додати виняток для конкретного сайту.
• Власний — постійний DoH із можливістю вмикати попередження, коли захищений DNS недоступний.

Варто розуміти й обмеження: DNS-провайдер, якому Firefox надсилає запити, бачить їх. Mozilla зобовʼязує своїх партнерів договірною політикою не збирати персональні дані. Крім того, DoH потрібен для роботи технології Encrypted Client Hello, яка шифрує початковий етап встановлення зʼєднання із сайтом.

4. Не вимикати захист від фішингу та шкідливого ПЗ

Захист від фішингових сайтів і шкідливих завантажень у Firefox увімкнений за замовчуванням і працює на основі списків Google Safe Browsing — тих самих, що використовує Chrome. Відмінність — у тому, які дані браузер передає. Під час регулярного оновлення списків інформація про користувача чи відвідані сайти не надсилається. Якщо ж користувач відкриває сайт зі списку, Firefox перед блокуванням перепитує сервіс, але передає не повну адресу, а лише частину даних, обчислену з неї.

Для завантажених виконуваних файлів Firefox може надіслати сервісу Google Safe Browsing імʼя файлу, його походження, розмір і криптографічний хеш. Ці прапорці в розділі «Приватність і безпека» → «Безпека» варто залишити ввімкненими: саме вони попереджають про підроблені сторінки входу в банк чи пошту.

5. Встановити uBlock Origin

Вбудований захист від стеження блокує відомі трекери, але не рекламу як таку. Для цього потрібне розширення, і uBlock Origin — найпоказовіший приклад того, чому вибір браузера має значення. Він фільтрує рекламу, трекери та шкідливі домени, а у Firefox працює в повній версії, тоді як у Chrome доступні лише блокувальники, адаптовані під обмеженішу платформу Manifest V3.

Кілька правил, які стосуються будь-яких розширень:

• Встановлювати лише з офіційного каталогу addons.mozilla.org, а не за посиланнями зі сторонніх сайтів.
• Не ставити кілька блокувальників реклами одночасно: вони конфліктують і сповільнюють браузер, не додаючи захисту.
• Перед встановленням перевіряти, які дозволи запитує розширення. Доступ до «всіх даних на всіх сайтах» означає, що розширення бачить усе, що відбувається в браузері.

6. Обмежити збір даних Mozilla

Firefox за замовчуванням надсилає Mozilla технічні дані та дані взаємодії: час завантаження сторінок, використання памʼяті, інформацію про те, якими функціями браузера користуються, а також версію операційної системи й характеристики обладнання. За даними Mozilla, історія переглядів, пошукові запити та збережені паролі до цих даних не входять.

Вимкнути збір можна в розділі «Приватність і безпека» → «Збір та використання даних Firefox», знявши прапорець про надсилання технічних даних і даних взаємодії. Mozilla розцінює таку відмову як запит на видалення вже зібраних даних і видаляє їх протягом 30 днів. Окремий щоденний сигнал про активного користувача цей прапорець не вимикає — для нього в довідці Mozilla описано окреме налаштування.

Що змінилося з умовами використання

У лютому 2025 року Mozilla вперше запровадила Умови використання Firefox і оновила Повідомлення про конфіденційність. Розмите формулювання про ліцензію на введені користувачем дані викликало хвилю критики, і за два дні компанія переписала його, уточнивши, що не отримує права власності на ці дані.

Водночас Mozilla відмовилася від категоричної обіцянки ніколи не продавати дані. Компанія пояснила це тим, що в деяких юрисдикціях, зокрема в Каліфорнії, поняття «продаж даних» визначене ширше, ніж зазвичай розуміють, і прямо визнала, що ділиться частиною даних із партнерами — для реклами на сторінці нової вкладки та спонсорованих підказок у рядку пошуку. За словами Mozilla, ці дані знеособлюються, агрегуються або передаються через технології захисту приватності.

Практичний висновок: рекламні елементи варто вимкнути. Спонсоровані ярлики й матеріали на новій вкладці, які Mozilla показує в окремих регіонах, вимикаються в налаштуваннях розділу «Домівка»; спонсоровані підказки в адресному рядку — у розділі «Пошук».

7. Вирішити, чи потрібен ШІ в браузері

Mozilla поступово додає у Firefox функції на основі генеративного ШІ, але з Firefox 148, що вийшов 24 лютого 2026 року, у налаштуваннях зʼявився окремий розділ «Керування ШІ». Один перемикач блокує всі поточні й майбутні генеративні ШІ-функції браузера, а також спливні підказки й нагадування про них.

Функції можна вмикати й вимикати окремо. На момент запуску розділ охоплював переклад сторінок, автоматичні альтернативні описи зображень у PDF, групування вкладок за допомогою ШІ, попередній перегляд посилань із ключовими тезами та чатбот на бічній панелі з вибором постачальника — Anthropic Claude, ChatGPT, Microsoft Copilot, Google Gemini або Le Chat Mistral. Вибрані налаштування зберігаються після оновлень браузера.

Для тих, хто не хоче передавати вміст сторінок хмарним ШІ-сервісам, розумна стратегія — заблокувати все, а потім увімкнути лише потрібні функції, наприклад переклад.

8. Користуватися поштовими масками Firefox Relay

Firefox Relay — сервіс Mozilla, який створює адреси-посередники для реєстрації на сайтах. Листи на маску пересилаються у справжню скриньку, але сайт її не бачить, а маску, що почала збирати спам, можна просто вимкнути. Relay вбудований у менеджер паролів Firefox: після входу в обліковий запис Mozilla поле для email на сайтах пропонує створити безкоштовну маску.

Безкоштовний обліковий запис дає 50 масок, і це не пробний період. Mozilla радить використовувати окрему маску для кожного сервісу, але не застосовувати маски для банків та інших сайтів, яким користувач довіряє. Платна підписка Relay Premium із необмеженою кількістю масок продається в 15 країнах, серед яких України немає. Пропозицію масок можна вимкнути в розділі «Паролі» налаштувань.

9. Змінити пошукову систему й увімкнути Global Privacy Control

Захист від стеження обмежує збір даних на сайтах, але пошукова система все одно отримує кожен запит користувача. Тому вибір пошуковика — така сама частина налаштувань приватності, як і вибір браузера.

Типову пошукову систему змінюють у розділі «Пошук» налаштувань Firefox: у випадному списку «Типова пошукова система» можна вибрати, наприклад, DuckDuckGo. Згідно з її політикою конфіденційності, DuckDuckGo не зберігає й не передає історію пошуку та переглядів. Варто знати й інше: деякі розширення можуть самі змінювати типову пошукову систему. Якщо пошуковик у Firefox раптом змінився, першим ділом слід перевірити нещодавно встановлені розширення.

Друге налаштування — сигнал Global Privacy Control (GPC). Firefox підтримує його з версії 120: браузер повідомляє кожному сайту, що користувач не погоджується на продаж або передачу даних про свої відвідування. В окремих штатах США сигнал має юридичну силу як механізм відмови від продажу даних, а в ЄС, Великій Британії та ще кількох юрисдикціях може тлумачитися як відмова від таргетованої реклами. Україна серед цих юрисдикцій у довідці Mozilla не згадується.

Mozilla прямо попереджає: GPC — це сигнал, а не блокувальник, і частина сайтів його ігнорує. Тому він доповнює захист від стеження, а не замінює його. Раніше GPC вмикали через about:config, але зараз це звичайний прапорець у розділі «Приватність і безпека»: пункт із проханням до вебсайтів не продавати й не передавати дані користувача.

Чого налаштування браузера не вирішать

Навіть максимально налаштований Firefox не робить користувача анонімним: сайти бачать його IP-адресу, а облікові записи, у які він входить, ідентифікують його напряму. Для анонімності потрібні інші інструменти, наприклад Tor Browser. VPN приховує IP-адресу від сайтів, але варто памʼятати, що з увімкненим VPN типовий режим DoH у Firefox вимикається.

Найважливіше налаштування безпеки — автоматичні оновлення. Виправлення вразливостей надходять саме з ними, тому оновлення не варто відкладати. Друге за значенням — мінімум розширень: кожне з них розширює поверхню атаки.

Завантажувати Firefox слід лише з офіційного сайту.

Ця стаття Безпечний Firefox: як налаштувати браузер для захисту приватності раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Знайти в інтернеті номер телефону, місце роботи, коло друзів, а іноді й приблизну адресу людини часто можна за кілька хвилин — без хакерських навичок і платних сервісів. Цифровий слід складається з тисяч дрібних фрагментів, і кожен окремо здається нешкідливим. Разом вони перетворюються на досьє.

Нижче — що таке цифровий слід, навіщо його зменшувати, як за пʼять хвилин перевірити, що про вас бачить сторонній, і що з цим робити в українських реаліях.

Що таке цифровий слід

Цифровий слід — це сукупність даних про людину, які залишаються в інтернеті внаслідок її онлайн-активності. Розрізняють два його типи.

• Активний цифровий слід — те, що людина публікує свідомо: дописи та фото в соцмережах, коментарі, відгуки, резюме, профілі на форумах і сайтах знайомств.
• Пасивний цифровий слід — те, що фіксується без її прямої участі: IP-адреси, геолокація, дані про пристрій, файли cookie, історія покупок і переглядів, а також записи в базах компаній і державних реєстрах.

Окремий фрагмент рідко становить загрозу. Проблема виникає, коли фрагменти з різних джерел зводять докупи: імʼя та посаду з LinkedIn, фото з Instagram, номер телефону зі злитої бази служби доставки. На виході — цілісний профіль, яким можна скористатися.

Навіщо зменшувати цифровий слід

Мета — не зникнути з інтернету, а скоротити кількість відомостей, які можна обернути проти людини. Менший цифровий слід ускладнює:

• соціальну інженерію та фішинг — дзвінок «зі служби безпеки банку» чи лист «від роботодавця» звучить переконливіше, коли шахрай знає імʼя, місце роботи й останні покупки жертви;
• крадіжку особистості — оформлення кредитів, відновлення доступу до акаунтів чи створення фейкових профілів від чужого імені;
• переслідування, доксинг і шантаж — встановлення адреси, розпорядку дня, кола спілкування;
• збирання розвідданих ворогом — у воєнний час дописи, фото й геомітки військових, їхніх родин і працівників критичної інфраструктури стають джерелом розвідки;
• репутаційні ризики — старі дописи й фото, які бачать потенційний роботодавець, орендодавець чи бізнес-партнер.

Хто і навіщо шукає інформацію про людину

Найчастіше — зовсім не хакери. Роботодавець перевіряє кандидата, орендодавець — майбутнього орендаря, людина перед першим побаченням — співрозмовника із застосунку знайомств. Колишні знайомі чи родичі, з якими перервано контакт, намагаються відновити звʼязок.

Серед зловмисних мотивів — бажання дізнатися маршрути й розклад людини, зібрати достатньо даних для шахрайства від її імені або для тиску й погроз. Для України до цього переліку додається ворог, для якого відкриті дані є повноцінним джерелом розвідки.

Самоперевірка за 5 хвилин: що бачить сторонній

Найкращий спосіб оцінити масштаб власного цифрового сліду — подивитися на себе очима стороннього. Наведені кроки відтворюють те, що зробить зацікавлена людина без спеціальних інструментів. Перед початком варто відкрити вікно браузера в режимі інкогніто, щоб пошукова видача й соцмережі не підлаштовувалися під уже авторизований акаунт.

Крок 1. Пошук за іменем у лапках (30 секунд)

У пошуковий рядок Google варто ввести імʼя та прізвище в лапках і додати уточнення — місто, роботодавця чи професію. Наприклад: “Олена Коваленко” Львів або “Олена Коваленко” бухгалтер.

Лапки змушують пошуковик шукати точний збіг фрази, а не схожі імена, тож видача стає значно точнішою. Для України варто перевірити кілька варіантів написання: кирилицею, латиницею за паспортною транслітерацією (Olena Kovalenko) і російськомовний варіант, якщо людина колись ним користувалася.

Уважно переглянути варто щонайменше першу сторінку результатів. Найчастіше там зʼявляються профілі в соцмережах і LinkedIn, згадки на сайті роботодавця, у новинах, списках учасників конференцій чи результатах змагань. Окремо — вкладка «Зображення».

Крок 2. Пошук за номером телефону та поштою (1 хвилина)

Англомовні інструкції на цьому етапі зазвичай радять сервіси пошуку людей на кшталт Whitepages чи Spokeo, які агрегують публічні записи. Для України вони майже марні. Натомість варто перевірити, що зʼявляється в пошуку за номером телефону й адресою пошти.

Номер слід вводити в кількох форматах: +380 67 123 45 67, 0671234567, 067-123-45-67. Так знаходяться оголошення на OLX, старі резюме, сторінки бізнесу, згадки на форумах. Окремо варто зʼясувати, під якими іменами номер записаний у чужих телефонних книгах: цю інформацію розкривають застосунки-«визначники номерів». Детальніше — у матеріалі чому GetContact небезпечний для українців і як видалити з нього свій номер.

Так само, у лапках, варто пошукати основну адресу електронної пошти.

Крок 3. Зворотний пошук за фото (30 секунд)

Фото профілю з Facebook, LinkedIn чи месенджера варто завантажити в пошук за зображенням Google (Google Lens) або в TinEye. Сервіс покаже, на яких сайтах трапляється це саме або схоже фото: забуті акаунти, знімки з заходів, публікації друзів. Відкривши результати, можна зʼясувати, звідки саме взято зображення.

Для такої перевірки не варто користуватися російськими сервісами пошуку за зображенням: власне фото в такому разі потрапляє на сервери компаній країни-агресора.

Крок 4. Пошук за нікнеймом (1 хвилина)

Багато людей роками користуються одним і тим самим нікнеймом — і саме він повʼязує між собою акаунти, які на перший погляд здаються анонімними. Безкоштовний сервіс WhatsMyName перевіряє імʼя користувача на сотнях сайтів: у соцмережах, на форумах, ігрових платформах, сервісах знайомств.

Можна ввести кілька варіантів через кому — наприклад, olena_k, olenak1990, olena.kovalenko — і пройти перевірку CAPTCHA. Результати згруповано за категоріями, їх можна фільтрувати. До речі, нікнейм на кшталт olenak1990 сам по собі підказує рік народження.

Варто звернути увагу на акаунти, про які давно забуто: вони теж розширюють цифровий слід, а якщо пароль до них використовувався ще десь — створюють ризик злому.

Крок 5. Соцмережі очима стороннього (2 хвилини)

Профілі в соцмережах — перше, що переглядає кожен, хто цікавиться людиною. Найпростіше вийти з акаунта або відкрити вікно інкогніто й знайти себе на кожній платформі.

• Facebook — чи бачать сторонні список друзів, місто, роботу, навчання, родинні звʼязки, давні публічні дописи.
• Instagram — чи не видно на фото адреси, номерних знаків автомобіля, краєвиду з вікна, шкільної форми дітей; чи додаються геомітки до публікацій і сторіз.
• Telegram — чи видно номер телефону тим, хто знає лише нікнейм, і чи привʼязане до профілю публічне імʼя користувача.
• X — сторінка x.com/нікнейм без входу показує публічні дописи, відповіді й медіа.
• Bluesky — аналогічно, bsky.app/profile/нікнейм.
• TikTok — tiktok.com/@нікнейм відкриває всі публічні відео навіть без входу.
• LinkedIn — зазвичай тут видно повну історію карʼєри, освіту й місто; варто перевірити, що з цього бачать неавторизовані відвідувачі.

Бонус: досьє від ШІ (5 хвилин)

Чат-боти з доступом до вебпошуку — ChatGPT, Claude, Gemini — здатні за хвилину зібрати з відкритих джерел профіль людини: карʼєру, проєкти, інтереси, публічні висловлювання. Популярні моделі здебільшого не розкривають домашні адреси й контакти приватних осіб, а деякі взагалі відмовляються складати звіти про людей без публічного статусу. Але поєднувати розрізнені факти в цілісну картину вони вміють добре — і скористатися цим може будь-хто.

Для самоперевірки підійде запит на кшталт:

«Проведи ґрунтовне дослідження про [імʼя та прізвище, місто або професія] і склади детальний звіт про все, що вдасться знайти у відкритих джерелах. Знайди щось неочевидне — деталь, яку сторонній навряд чи помітить з першого погляду».

Якщо звіт містить більше, ніж хотілося б показувати незнайомцям, варто переглянути джерела, на які посилається ШІ, — саме з них і слід почати чищення.

Перевірка на витоки: Have I Been Pwned (1 хвилина)

Роботодавець навряд чи перевірятиме витоки даних, а от шахрай — цілком. На сайті Have I Been Pwned, який створив дослідник безпеки Трой Гант, достатньо ввести адресу електронної пошти: сервіс покаже, у скількох відомих витоках вона фігурувала, коли вони сталися, яким компаніям належали бази та які саме дані опинилися в мережі. Перевірка безкоштовна.

Для скомпрометованих акаунтів варто щонайменше змінити паролі, а непотрібні — видалити. Там само можна підписатися на сповіщення про появу адреси в нових витоках.

Українська специфіка: де ще зберігаються дані

Боти «пробиву» та злиті бази

У США основне джерело досьє — легальні брокери даних, які купують і перепродають записи з публічних реєстрів. В Україні такої легальної індустрії немає, натомість існує нелегальний ринок: у Telegram-каналах і ботах «пробиву» продають зведені бази витоків.

Ще у 2020 році правоохоронці, розслідуючи продаж персональних даних через Telegram-бот, встановили джерела таких баз: компанії з автострахування, комерційні та державні банки, бази державних органів рф, логістичні компанії, служби таксі та ігрові сервіси. Ринок не зник. У 2023 році кіберполіція викрила адміністратора закритих Telegram-каналів, який продавав бази з даними понад 300 мільйонів громадян України та ЄС — паспортними даними, номерами платників податків, водійськими посвідченнями, банківськими рахунками — за 500–2000 доларів. Серед покупців, за даними слідства, були й громадяни рф.

Зі злитих баз дані видалити неможливо. Тому головне — мінімізувати наслідки: не використовувати однакові паролі, увімкнути двофакторну автентифікацію, бути готовими до того, що шахрай у телефонній розмові може назвати справжні паспортні дані чи адресу, — і не вважати це доказом того, що дзвонить банк чи держустанова.

Публічні реєстри

Якщо людина зареєстрована як ФОП, її імʼя та статус підприємця містяться в Єдиному державному реєстрі. Доступ до відкритих даних ЄДР, обмежений після початку повномасштабного вторгнення, Мінʼюст відновив з 19 січня 2026 року — але вже без контактних даних, точного місцезнаходження та КВЕДів. Водночас сервіси перевірки контрагентів могли зберегти архівні записи, зроблені до 2022 року, тож варто перевірити, що вони показують за власним прізвищем.

Воєнний контекст

Фото з геоміткою, знімки наслідків обстрілів із привʼязкою до місцевості, дописи родичів військових про ротації чи переведення, профілі військовослужбовців із детальною біографією — усе це ворог може використати як розвіддані. З березня 2022 року поширення інформації про переміщення чи розміщення Збройних сил України в умовах воєнного стану є злочином за статтею 114-2 Кримінального кодексу. Але навіть дописи, які не порушують закон, здатні розкрити більше, ніж здається: місце служби, звичні маршрути, адресу сімʼї.

Як зменшити цифровий слід: покроковий план

1. Закрити зайве в соцмережах

• «Перевірка конфіденційності» («Налаштування та конфіденційність» → «Перевірка конфіденційності») послідовно проводить через ключові налаштування: хто бачить номер телефону, пошту, дату народження та дописи, хто може знайти профіль за номером чи адресою пошти. Функція «Обмежити минулі дописи» одним кліком робить усі давні публічні публікації видимими лише для друзів. Варто також приховати список друзів — він розкриває коло спілкування й родинні звʼязки.
• У налаштуваннях «Конфіденційність облікового запису» можна зробити профіль приватним: публікації бачитимуть лише схвалені підписники. Варто вимкнути автоматичне додавання геоміток і переглянути старі фото на предмет адрес, номерних знаків і краєвидів з вікна.
• У розділі «Конфіденційність» → «Номер телефону» варто обрати «Ніхто» для пункту «Хто бачить мій номер» і «Мої контакти» — для «Хто може знайти мене за номером». Так незнайомці, які мають номер, не зможуть зіставити його з профілем. Детальніше про налаштування — у матеріалі чи безпечний Telegram.
• У розділі «Конфіденційність і безпека» можна захистити дописи — їх бачитимуть лише схвалені читачі. Там само варто перевірити, що до дописів не додається місцеположення.
• У налаштуваннях конфіденційності є перемикач видимості для неавторизованих користувачів. Важливо розуміти його межі: він лише просить застосунки не показувати профіль людям без акаунта, але не робить його приватним. Bluesky — відкрита мережа, і дописи залишаються доступними через сторонні клієнти та API.
• У розділі «Конфіденційність» можна зробити акаунт приватним, обмежити, хто бачить список підписок і може завантажувати відео.
• У розділі «Видимість» налаштувань можна визначити, що бачать неавторизовані відвідувачі публічного профілю, і приховати фото чи частину даних від тих, хто не входить до мережі контактів.

2. Прибрати персональні дані з пошуку Google

Для результатів пошуку з номером телефону, домашньою адресою, електронною поштою, документами чи доксинговим контентом у Google є запит на видалення особистого контенту. Ці правила, за даними Google, діють в усьому світі. Прямо з видачі запит можна подати через меню з трьома крапками біля результату → «Видалити результат».

В окремих країнах доступний інструмент Results about you. Користувач вводить імʼя та контакти, які варто відстежувати, а Google протягом кількох годин повідомляє, чи знайшлися збіги, і надалі сповіщає про нові. У лютому 2026 року інструмент навчили шукати ще й номери документів, але цю можливість спершу запустили в США. Перевірити доступність в Україні можна в застосунку Google: меню профілю → Результати з інформацією про вас.

Обмеження варто розуміти заздалегідь. Видалення з пошуку не видаляє саму сторінку — інформація залишається на сайті-джерелі. Крім того, Google не прибирає результати з сайтів державних і освітніх установ та ЗМІ, вважаючи їх суспільно цінними. Щоб дані зникли повністю, потрібно звертатися до власника сайту.

3. Вимагати видалення даних від власника

Закон «Про захист персональних даних» (стаття 8) дає кожному право знати, хто і з якою метою обробляє його дані, заперечувати проти такої обробки, відкликати згоду, а також вимагати змінити або знищити дані, якщо вони обробляються незаконно чи є недостовірними. Скаргу можна подати Уповноваженому Верховної Ради з прав людини або до суду.

На практиці це означає: якщо номер телефону чи адресу оприлюднено на сайті оголошень, у каталозі чи на форумі без згоди, варто письмово звернутися до адміністрації ресурсу з посиланням на закон.

Для українців, які живуть в ЄС, діє ширше право — право на стирання, відоме як «право бути забутим» (стаття 17 Загального регламенту захисту даних, GDPR).

4. Видалити забуті акаунти

Кожен старий акаунт — в інтернет-магазині, на форумі, у фітнес-застосунку — зберігає імʼя, пошту, іноді дату народження й адресу доставки і може «витекти» разом з базою сервісу. Знайти забуті акаунти допомагають:

• результати WhatsMyName з кроку 4;
• збережені паролі в браузері чи менеджері паролів;
• пошук у поштовій скриньці за фразами «ласкаво просимо», «підтвердіть реєстрацію», «welcome», «verify your email»;
• списки сторонніх застосунків і сайтів в акаунтах Google, Apple та Facebook — там видно сервіси, в які виконувався вхід через ці акаунти.

Непотрібні акаунти варто саме видалити, а не просто покинути.

5. Розділити контакти

Для реєстрацій в інтернет-магазинах і розсилках зручно мати окрему адресу пошти або користуватися аліасами — додатковими адресами, які пересилають листи на основну. Основний номер телефону варто давати лише тим, кому він справді потрібен.

6. Налаштувати моніторинг

Google Alerts надсилатиме сповіщення, коли імʼя зʼявиться на нових сторінках, а Have I Been Pwned — коли пошта потрапить у новий витік. Пʼятихвилинну самоперевірку варто повторювати хоча б раз на кілька місяців.

Чи можна повністю зникнути з інтернету

Ні. Архіви сторінок, скриншоти, злиті бази й записи в реєстрах залишаються поза контролем людини. Але мета не в тому, щоб стати невидимим, а в тому, щоб збирання досьє стало довшим, дорожчим і складнішим, ніж воно того варте для зловмисника.

Більшість тих, хто шукає інформацію про людину, обмежуються першою сторінкою пошуку та відкритими профілями в соцмережах. Саме тут кілька годин роботи дають найбільший ефект.

Ця стаття Цифровий слід: що про людину можна знайти в інтернеті за 5 хвилин і як його зменшити раніше була опублікована на сайті CyberCalm, її автор — Семенюк Валентин

Позначка «Я прочитав і погоджуюсь з умовами використання» — найпоширеніший підпис в інтернеті й майже завжди неусвідомлений. Документ гортають до кінця, ставлять галочку і забувають. За українським законодавством цієї дії достатньо, щоб виник повноцінний договір. А за останні два роки в таких договорах зʼявився пункт, якого раніше не було: право сервісу використовувати завантажений контент для навчання ШІ-моделей.

Галочка — це підпис

Закон України «Про електронну комерцію» визначає, що відповідь на пропозицію укласти електронний договір може бути надана через вчинення дій, які вважаються прийняттям такої пропозиції, — за умови, що зміст цих дій чітко розʼяснено в інформаційній системі, де розміщено пропозицію. Саме на цій нормі тримається вся конструкція «натиснув — погодився»: жодного паперу, жодного підпису, але договір укладено, і він виконується в порядку, передбаченому Цивільним та Господарським кодексами.

Другий шар, про який зазвичай не думають, — юрисдикція. Умови використання майже завжди визначають, право якої країни застосовується до спору і де його розглядати. Для сервісів зі США це найчастіше законодавство штату Каліфорнія чи Делавер і обовʼязковий арбітраж. Для користувача з України це означає, що навіть очевидно виграшна претензія впирається в процедуру, яку фізично неможливо пройти.

Що зазвичай написано в умовах, які ніхто не читає

Структура таких документів повторюється від сервісу до сервісу. Основне, заради чого їх узагалі пишуть:

• Арбітражне застереження і відмова від колективного позову. Спір вирішує приватний арбітр, а не суд; обʼєднатися з іншими постраждалими не можна.
• Ліцензія на контент користувача. Завантажені фото, тексти й файли залишаються власністю автора, але сервіс отримує право їх зберігати, відтворювати, змінювати і — залежно від формулювання — використовувати для розробки нових продуктів.
• Право змінювати умови в односторонньому порядку. Найчастіше без повторної згоди: подальше користування сервісом вважається прийняттям нової редакції.
• Обмеження відповідальності. Стеля компенсації зазвичай дорівнює сумі, сплаченій за останні дванадцять місяців, тобто для безкоштовного сервісу — нулю.
• Обовʼязки користувача і санкції. Заборона передавати акаунт, втручатися в роботу програмного забезпечення, використовувати чити. Порушення — блокування без повернення витрачених коштів.

Останній пункт рідко сприймають серйозно, хоча санкції не обмежуються блокуванням. У 2017 році Epic Games подала позов проти 14-річного гравця Fortnite за використання й рекламування читів; справа тривала три роки і завершилася мировою угодою в лютому 2021-го.

Ціна непрочитаного: справа подружжя МакГінті

У березні 2022 року Джорджія і Джон МакГінті з Нью-Джерсі дістали тяжких травм у ДТП, коли автомобіль Uber, у якому вони їхали, зіткнувся з іншою машиною. Подружжя подало позов, але Uber зажадав перевести спір в арбітраж — на підставі умов використання, з якими, за версією компанії, Джорджія погоджувалася неодноразово, починаючи з реєстрації у 2015 році. Сама вона наполягала, що оновлену редакцію умов прийняла її 12-річна донька, замовляючи піцу через Uber Eats.

20 вересня 2024 року апеляційний суд Нью-Джерсі став на бік компанії: колегія з трьох суддів постановила, що арбітражне застереження в умовах є чинним і таким, що підлягає виконанню.

Історія на цьому не закінчилася — і це та частина, якої бракує в більшості публікацій. Справа МакГінті стала приводом для законодавчих змін: 8 липня 2025 року в Нью-Джерсі ухвалили закон (P.L.2025, c.93), за яким споживчий договір на певну послугу поширюється лише на цю послугу і не може регулювати купівлю інших товарів чи послуг у тієї самої компанії або повʼязаних із нею осіб. Тобто замовлення їжі більше не визначає умови вирішення спору про ДТП.

Коли компанія відступає — і коли ні

Восени 2023 року Канокпорн Тангсуан померла від анафілаксії після вечері в ресторані на території Disney Springs. Її чоловік Джеффрі Пікколо подав позов, і Disney спробувала перевести спір в арбітраж, посилаючись на умови, прийняті під час оформлення місячної пробної підписки Disney+ у 2019 році. Після суспільного резонансу компанія відкликала це клопотання і відмовилася від права на арбітраж.

Фінал настав у лютому 2026 року: Пікколо подав до суду Флориди повідомлення про добровільну відмову від позову з упередженням, тобто без права подати його повторно. Чи передувало цьому фінансове врегулювання, з доступних документів незрозуміло.

Відступ Disney був винятком, спричиненим розголосом, а не правилом. У типовій ситуації арбітражне застереження працює так, як його написали юристи компанії.

Новий пункт: контент користувача як навчальний матеріал для ШІ

У липні 2025 року WeTransfer оновила умови. Пункт 6.3 нової редакції, що мала набути чинності 8 серпня, надавав компанії безстрокову, всесвітню, безоплатну й субліцензовану ліцензію на завантажені файли — з правом відтворювати, змінювати, створювати похідні твори і комерціалізувати їх, зокрема для покращення роботи моделей машинного навчання. Після хвилі критики компанія за кілька днів переписала пункт, прибравши згадки про машинне навчання, похідні твори й комерціалізацію, і заявила, що не використовує ШІ для обробки контенту користувачів і не продає його третім особам.

LinkedIn вчинив інакше. 18 вересня 2025 року компанія повідомила, що з 3 листопада 2025 року почне використовувати дані учасників — профілі, дописи, резюме, публічну активність — для навчання генеративних ШІ-моделей у ЄС, ЄЕЗ, Швейцарії, Великій Британії, Канаді та Гонконзі. Налаштування ввімкнено за замовчуванням, правовою підставою названо законний інтерес, а відмовитися можна вручну — у розділі Data for Generative AI Improvement. Відмова діє лише на майбутнє: дані, зібрані до цієї дати, залишаються в навчальному середовищі.

Для українських акаунтів тут є суттєвий нюанс. Перелік регіонів, які LinkedIn тимчасово виводив з-під цієї практики, Україну не включав — тобто дані українських користувачів потрапили в навчання ШІ ще на першому етапі впровадження, у 2024 році, без окремого повідомлення й без дати, до якої можна було встигнути відмовитися.

Спільне в обох випадках одне: зміна прийшла не з пресрелізу, а з оновленої редакції документа, який ніхто не читає.

Умови змінюються — і згоди не перепитують

Практика «продовження користування дорівнює прийняттю нової редакції» поширена настільки, що стала галузевим стандартом. Компанія надсилає лист або показує банер, після чого мовчання користувача тлумачиться як згода. Саме так у справі МакГінті арбітражне застереження опинилося в редакції умов, ухваленій значно пізніше за реєстрацію акаунта.

Практичний наслідок простий: лист із темою на кшталт «Ми оновлюємо наші умови» — єдиний момент, коли зміну ще можна помітити до того, як вона набуде чинності.

Що з цим можна зробити за українським правом

Повна безвихідь тут перебільшена. Стаття 18 Закону «Про захист прав споживачів» забороняє включати в договори зі споживачем несправедливі умови — тобто ті, що всупереч принципу добросовісності створюють істотний дисбаланс договірних прав та обовʼязків на шкоду споживачеві. Перелік таких умов у законі не є вичерпним, а нечіткі або двозначні положення договорів зі споживачами тлумачаться на користь споживача.

Окремо варто знати, що ухвалений у 2023 році «євроінтеграційний» Закон «Про захист прав споживачів» № 3153-IX, який значно детальніше регулює дистанційну торгівлю та онлайн-договори, станом на вересень 2026 року ще не набув чинності: його введення привʼязане до припинення або скасування воєнного стану.

Як перевірити умови за десять хвилин

Повне прочитання лишається найнадійнішим способом, але на практиці достатньо цілеспрямованого пошуку по тексту (Ctrl+F):

• «арбітраж», arbitration, class action — чи забрано право на суд і на колективний позов;
• «ліценз», license, derivative works — які саме права передаються на завантажений контент;
• machine learning, AI, «навчання моделей» — чи згадано використання контенту для ШІ;
• «змінювати умови», modify these terms — як оформлюється оновлення документа;
• «третім особам», third parties, affiliates — кому ще передаються дані.

Швидша альтернатива — проєкт ToS;DR (Terms of Service; Didn’t Read), який оцінює умови використання й політики конфіденційності популярних сервісів за шкалою від A до E і пояснює окремі пункти простою мовою. Оцінки доступні на сайті проєкту та в розширеннях для Chrome, Edge, Safari, Firefox і Opera. Це не заміна повного прочитання, але дає орієнтир за хвилину.

І найпростіше правило: якщо в сервіс планується завантажувати чужий або неопублікований матеріал — робочі файли, фотографії клієнтів, чернетки, вихідники, — ці десять хвилин варто витратити. Саме в цій категорії ризик найвищий, а ціна помилки не вимірюється грошима.

Ця стаття Умови використання: що насправді приймає користувач, натискаючи «Погоджуюсь» раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

OpenAI розгорнула власну рекламну платформу, а разом із нею — ідентифікатор, який повʼязує акаунт у ChatGPT з поведінкою людини на сторонніх сайтах. У політиці компанії щодо файлів cookie цей ідентифікатор віднесено до аналітичних, а не до маркетингових. Практичний наслідок такий: той, хто в банері згоди відмовився від маркетингових файлів cookie, все одно його отримує.

Як влаштований механізм

Розбір механізму 20 вересня опублікував автор бюлетеня Buchodi’s Threat Intel. Він відтворив послідовність на власному смартфоні, зафіксував її двома незалежними методами перехоплення трафіку та звірив із масивом спостережень за кілька місяців, що охопив 936 пікселів рекламодавців на 1029 хостах.

На chatgpt.com клієнт генерує 16 випадкових байтів і запитує в бекенду підписаний токен. Той діє 60 секунд і містить три ключові поля: ідентифікатор акаунта, власне рекламний ідентифікатор obi та позначку про надану згоду на аналітику. Далі клієнт надсилає токен на bzr.openai.com — збирач рекламних подій OpenAI. У відповідь той встановлює файл cookie __obi для домену .openai.com строком на один рік.

Від решти файлів cookie OpenAI цей відрізняє набір атрибутів. Він позначений як SameSite=None і Secure — саме ця комбінація дозволяє браузеру надсилати файл cookie в міжсайтових запитах. Інші ідентифікатори OpenAI, перевірені в тому ж експерименті, у таких запитах блокувалися: одні через SameSite=Lax, інші через невідповідність домену.

Як ідентифікатор повертається до OpenAI

Компанії, які купують рекламу в ChatGPT, встановлюють на своїх сайтах вимірювальний піксель OpenAI — так само, як встановлюють код Meta чи Google. Документація OpenAI описує його як браузерний SDK: скрипт завантажується з bzrcdn.openai.com, а події конверсій надсилаються на bzr.openai.com.

Дослідник зафіксував, що файл cookie __obi приєднується до всіх трьох класів запитів від сторінки рекламодавця до інфраструктури OpenAI — зокрема й до завантаження самого скрипта. Останнє суттєве: браузер додає файл cookie до запиту за тегом script ще до того, як виконається бодай рядок коду OpenAI, тож передбачений у SDK режим «без облікових даних» тут нічого не змінює.

Разом з ідентифікатором передається інформація про сторінку, на якій спрацював піксель. Адреси скорочуються до домену та шляху, і в жодному зі спостережених запитів не було рядка параметрів. Але шлях зберігається — а серед шляхів, які дійшли до збирача, трапилися сторінка, повʼязана з медичним станом, воронка послуг із реструктуризації боргів і форма прийому до судового провадження.

Що піксель збирає на сайті рекламодавця

Документація OpenAI прямо описує режим автоматичного розширеного зіставлення: коли він увімкнений, піксель самостійно виявляє на сайті підтримувані дані клієнта, нормалізує їх, хешує просто в браузері алгоритмом SHA-256 і додає до конверсійних подій. Хешуванню підлягають електронна адреса, номер телефону, імʼя, прізвище та зовнішній ідентифікатор. Країна, регіон, місто і поштовий індекс передаються у відкритому вигляді — це видно зі специфікації полів.

За спостереженнями дослідника, дані, які SDK зчитує зі сторінки самостійно — з полів форм, з видимого тексту та з шини тег-менеджера, — переважають над тими, що рекламодавець передає свідомо: 685 подій проти 255. Найбільшим джерелом електронних адрес виявилася шина тег-менеджера. Автоматичне зіставлення було увімкнене для 638 із 881 пікселя з відомим налаштуванням, зокрема для всіх кредитних і позикових рекламодавців у вибірці.

Перелік заборонених до збору полів існує: до нього входять паролі, одноразові коди, номери платіжних карток, номери соціального страхування, дата народження, медична історія, діагноз і судові поля.

Аналітика чи маркетинг

Політика OpenAI щодо файлів cookie, оновлена 10 вересня, містить у розділі аналітичних файлів cookie рівно один запис — __obi, строком на рік, для доменів chatgpt.com та openai.com. Файли cookie для вимірювання рекламних кампаній Google, Meta, LinkedIn, TikTok, Reddit і Microsoft перелічені окремо, у маркетинговому розділі.

Відмінність не косметична. OpenAI розводить згоду на аналітику та згоду на маркетинг у два незалежні перемикачі. Кожен розшифрований дослідником токен містив позначку про дозволену аналітику. Тобто людина, яка свідомо погодилася на аналітику й відмовилася від маркетингу, рекламний ідентифікатор усе одно отримує.

Вихід з акаунта не допомагає

З 932 розшифрованих токенів 736 стосувалися авторизованих акаунтів, а 196 — анонімних сесій. Анонімний ідентифікатор виявився не менш стабільним, ніж привʼязаний до акаунта: один на пристрій, незмінний щонайменше 27 діб.

Чого дослідження не доводить

Це поки що одне незалежне дослідження, відтворене на одному пристрої під Chrome для Android. Настільний Chrome не перевірявся. Сам факт зіставлення подій з акаунтом на серверах OpenAI напряму не спостерігався: код відповіді 202 означає лише, що збирач прийняв подію разом із файлом cookie, а решта випливає з конструкції механізму. Токен видавався приблизно в одній сесії ChatGPT із пʼяти, тож піксель цілком може спрацювати і без прикріпленого файлу cookie. Чи працює механізм так само в Європейському економічному просторі та в Україні, з наявних даних не випливає.

14 вересня дослідник надіслав опис механізму та два запитання на адреси press@ і privacy@ OpenAI: чому __obi класифіковано як аналітичний файл cookie та чи отримує її користувач, який погодився на аналітику й відмовився від маркетингу. У відповідь надійшло підтвердження отримання і обіцянка передати спостереження на внутрішній розгляд. На жодне з двох запитань відповіді не було.

Що можна зробити зараз

• Заблокувати сторонні файли cookie в налаштуваннях браузера. Це прибирає маршрут, яким __obi потрапляє на сайти рекламодавців.
• Відкрити налаштування файлів cookie внизу будь-якої сторінки OpenAI. __obi — єдиний запис в аналітичному розділі, тож відмова саме від маркетингових файлів cookie його не стосується.
• Очистити файли cookie для openai.com. Ідентифікатор скидається, але наступний візит створює новий.
• Врахувати, що вихід з акаунта механізм не вимикає: анонімний ідентифікатор так само стабільний.
• На iPhone та iPad механізм не працює: Intelligent Tracking Prevention блокує сторонні файли cookie, а всі браузери в iOS побудовані на WebKit.

Чому це не просто ще один піксель

Структурно механізм не новий — Meta побудувала його еквівалент роками раніше: авторизований акаунт, сторонні файли cookie на спрацюваннях пікселя, позасайтові конверсії, зведені до профілю. Безпрецедентне тут інше — середовище. Досі такі схеми працювали навколо пошуку і соцмереж. Тепер той самий ідентифікатор привʼязаний до продукту, якому люди довіряють запити, що їх не сформулювали б публічно, і який дедалі частіше діє від їхнього імені.

Ця стаття Рекламний файл cookie ChatGPT передає OpenAI дані про відвідані сайти раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Старий телефон, який ви збираєтеся виставити на продаж, або ноутбук, що переходить до родичів, досі зберігає фото, листування, збережені паролі, доступ до банківських застосунків і облікових записів. Звичайне видалення файлів цього не прибирає, а незнятий захист від крадіжки може взагалі заблокувати пристрій для нового власника.

Нижче — порядок дій, який підходить для будь-якого гаджета: смартфона, планшета чи компʼютера. Для кожної платформи ми вказали вбудований засіб стирання, тож сторонні програми здебільшого не знадобляться.

Коротко: що зробити перед продажем

1. Зробіть резервну копію всього, що хочете зберегти.
2. Відвʼяжіть смарт-годинник та інші аксесуари.
3. Вийдіть з облікових записів і вимкніть функцію «Знайти пристрій».
4. Видаліть платіжні картки з гаманця, вийдіть з банківських застосунків і Дії.
5. Скиньте пристрій до заводських налаштувань вбудованим засобом.
6. Вийміть SIM-картку й карту памʼяті, видаліть eSIM.
7. Приберіть пристрій зі списку довірених у своєму обліковому записі.

Крок 1. Зробіть резервну копію

Скидання до заводських налаштувань знищує все, що зберігається на самому пристрої. Тому спершу збережіть фото, документи, листування в месенджерах і коди двофакторної автентифікації: у хмару (iCloud, Google Диск, OneDrive) або на зовнішній диск.

Окремо перевірте застосунки-автентифікатори. Якщо коди зберігаються лише на старому телефоні, перенесіть їх на новий до скидання, інакше можна втратити доступ до власних акаунтів.

Крок 2. Вийдіть з облікових записів і вимкніть захист від крадіжки

Це найважливіший крок, який найчастіше пропускають. І Apple, і Google привʼязують пристрій до облікового запису власника. Якщо цей звʼязок не розірвати, після скидання телефон попросить пароль попереднього власника, і покупець не зможе ним користуватися.

iPhone і iPad. Відкрийте «Параметри», торкніться свого імені, прокрутіть униз і натисніть «Вийти». Так ви вийдете з iCloud і App Store, а функція «Локатор» (Find My) вимкнеться разом із блокуванням активації.

Android. Захист від скидання (Factory Reset Protection, FRP) вмикається автоматично, щойно на пристрій додано обліковий запис Google. Samsung прямо радить видалити Google-акаунт перед тим, як передавати пристрій іншій людині. Зробіть це в «Налаштуваннях» → «Облікові записи» (або «Акаунти») → Google → «Видалити обліковий запис». На смартфонах Samsung так само видаліть акаунт Samsung.

Порада від Google: якщо ви нещодавно змінювали пароль облікового запису Google, зачекайте 24 години перед скиданням.

Крок 3. Приберіть платіжні картки, банківські застосунки й Дію

Видаліть банківські картки з Apple Pay, Google Wallet чи Samsung Wallet. На iPhone повне стирання й так прибирає картки, але краще зробити це вручну заздалегідь.

Вийдіть з банківських застосунків, Дії та месенджерів. У налаштуваннях безпеки багатьох сервісів є перелік активних пристроїв або сеансів — після продажу перевірте його з нового телефона й завершіть сеанс старого пристрою, якщо він там лишився.

Крок 4. Відвʼяжіть смарт-годинник та аксесуари

Якщо до iPhone підʼєднаний Apple Watch, Apple радить спершу розірвати пару. Годинник на Wear OS чи Galaxy Watch скиньте окремо в його власних налаштуваннях. Бездротові навушники та фітнес-браслети варто видалити зі списку Bluetooth-пристроїв і з відповідних застосунків.

Крок 5. Скиньте пристрій до заводських налаштувань

Скидання — це не просто видалення файлів. На сучасних пристроях воно знищує ключі шифрування, і дані стають непридатними до відновлення. Порядок дій залежить від платформи.

iPhone та iPad

Перейдіть у «Параметри» → «Загальні» → «Перенести або скинути iPhone» → «Стерти весь вміст і параметри». Якщо увімкнено «Локатор», система попросить пароль Apple Account.

Під час стирання вимикаються iCloud, iMessage, FaceTime та інші служби, а картки Apple Pay видаляються. Зверніть увагу: вміст, збережений в iCloud, лишається в хмарі. Якщо телефон використовує eSIM, на запит системи оберіть варіант, що стирає і пристрій, і профіль eSIM.

Android

Google попереджає, що скидання може тривати до години, тож зарядіть телефон щонайменше до 70% і підключіть його до Wi-Fi. На більшості пристроїв шлях такий: «Налаштування» → «Система» → «Параметри скидання» → «Видалити всі дані (скинути до заводських налаштувань)». На Samsung — «Загальне керування» → «Скидання» → «Скидання даних».

Назви пунктів у різних виробників відрізняються, тому за потреби звіряйтеся з інструкцією на сайті виробника. Для скидання система попросить PIN-код, графічний ключ або пароль екрана.

Компʼютер на Windows

У Windows 10 і 11 є вбудований засіб, окремі програми не потрібні. Відкрийте «Параметри» → «Система» → «Відновлення» → «Скинути ПК» і оберіть «Видалити все».

Далі обовʼязково натисніть «Змінити параметри» та увімкніть очищення даних. Без цього Windows лише швидко видаляє файли, і частину з них можна відновити спеціальними програмами. З очищенням процес триває довше, але для продажу чи передачі компʼютера Microsoft рекомендує саме цей варіант.

Mac

На Mac з процесором Apple silicon або з чипом безпеки T2 і macOS Monterey чи новішою відкрийте «Системні параметри» → «Загальні» → «Перенесення або скидання» → «Стерти весь вміст і параметри».

Асистент стирання сам вийде з iCloud, вимкне «Локатор» і блокування активації, видалить усі облікові записи користувачів і всі томи диска, зокрема розділ Boot Camp з Windows. На старіших Mac без цієї функції диск стирають через Дискову утиліту в режимі відновлення, а потім перевстановлюють macOS.

Чому форматування — не те саме, що стирання

Швидке форматування чи просте видалення файлів лише позначає місце на диску як вільне. Самі дані лишаються, доки їх не перезапише щось інше, і їх можна дістати програмами для відновлення.

З класичними жорсткими дисками (HDD) допомагає багаторазовий перезапис. Із твердотільними накопичувачами (SSD) так не вийде: контролер сам розподіляє запис по комірках, і програма-«шредер» не гарантує, що перезапише все. Для SSD надійніші вбудоване скидання системи або фірмова утиліта виробника з функцією Secure Erase, наприклад Samsung Magician чи Crucial Storage Executive.

Смартфони, iPad і сучасні Mac шифрують сховище за замовчуванням. Під час стирання система знищує ключі шифрування, тож навіть якщо фізичні дані лишаються в памʼяті, прочитати їх неможливо. Саме тому вбудоване скидання на цих пристроях — надійний спосіб.

Крок 6. Вийміть SIM-картку й карту памʼяті

Фізичну SIM-картку заберіть із собою. Карту памʼяті microSD теж вийміть: на ній часто зберігаються фото й документи, а скидання телефона залежно від моделі може її не зачепити. Якщо віддаєте карту разом із телефоном, відформатуйте її окремо.

eSIM видаліть під час скидання або в налаштуваннях мобільного звʼязку. За потреби оператор перевипустить профіль для нового пристрою.

Крок 7. Приберіть пристрій зі списку довірених

Після скидання зайдіть у свій обліковий запис з іншого пристрою та видаліть старий гаджет зі списку. В Apple Account це розділ зі списком пристроїв, у Google — «Безпека» → «Ваші пристрої». Так він перестане отримувати коди підтвердження й не вважатиметься довіреним.

Якщо пристрій не вмикається або йде на утилізацію

Несправний пристрій стерти програмно не вийде. Якщо це компʼютер, накопичувач можна вийняти й залишити собі або підʼєднати до іншого компʼютера та стерти. Фізичне знищення накопичувача має сенс лише тоді, коли інших варіантів немає.

Зі смартфоном, який не вмикається, краще звернутися до авторизованого сервісного центру. Утилізувати техніку варто через програми повернення від виробників або спеціалізовані пункти прийому електроніки, а не викидати разом із побутовим сміттям: у пристроях є акумулятори та цінні матеріали для переробки.

Ця стаття Як видалити свої дані зі старого смартфона чи ноутбука перед продажем: покроковий чекліст раніше була опублікована на сайті CyberCalm, її автор — Олена Кожухар

VPN захищає приватність лише доти, доки працює. Якщо зʼєднання непомітно обривається, трафік повертається на звичайний канал, і справжню IP-адресу знову бачать сайти та провайдер. Функція Kill Switch закриває цю прогалину.

Що таке Kill Switch

Kill Switch («аварійний вимикач») — функція VPN-застосунку, яка блокує доступ пристрою до інтернету, щойно зʼєднання з VPN-сервером переривається. Попри грізну назву, до шпигунських фільмів вона не має стосунку: це запобіжник, що не дає розкрити IP-адресу та DNS-запити в момент збою.

VPN не є універсальним засобом безпеки, проте добре захищає приватність: приховує IP-адресу та інші дані, за якими можна ідентифікувати користувача, за зашифрованим зʼєднанням. Утім, захист діє лише доти, доки тунель активний. Мобільний інтернет, що зникає в метро, перевантажена публічна Wi-Fi-мережа, автоматичне перемикання з домашнього роутера на мобільні дані під час відключення електроенергії — усе це типові причини коротких обривів, яких користувач може навіть не помітити.

Стежити за стабільністю зʼєднання вручну непрактично. Kill Switch перетворює VPN на сервіс, який достатньо налаштувати один раз.

Як працює Kill Switch

VPN створює зашифрований тунель між пристроєм і VPN-сервером ще до того, як браузер звертається до сайту. Сайт бачить IP-адресу сервера, а не користувача, а провайдер і власник публічної Wi-Fi-мережі — лише зашифрований потік даних до VPN-сервера. Це ускладнює стеження за трафіком та атаки «людина посередині» (man-in-the-middle) у локальній мережі, а також приховує активність користувача від рекламодавців, сайтів та інтернет-провайдера.

Kill Switch постійно відстежує стан цього тунелю. Щойно фіксується збій, функція блокує інтернет-зʼєднання пристрою. Без неї операційна система просто відправила б трафік звичайним маршрутом, і справжня IP-адреса та DNS-запити потрапили б назовні. Навіть короткочасного витоку може вистачити, щоб скомпрометувати користувача.

Багато реалізацій Kill Switch спрацьовують також під час перемикання між серверами. Це знижує ризик витоку DNS-запитів у момент автоматичного перепідключення. Щойно тунель відновлюється, VPN повертає доступ до мережі.

Два типи: на рівні застосунків і системний

Kill Switch на рівні застосунків блокує мережевий доступ лише для вибраних програм, які можуть передати чутливі дані стороннім спостерігачам. Решта застосунків у разі обриву продовжує працювати через звичайне зʼєднання. Такий підхід гнучкіший: браузер і месенджер захищені, а оновлення системи чи відеодзвінок не перериваються.

Системний (мережевий) Kill Switch повністю перекриває весь інтернет-трафік пристрою. Він надійніший, але за нестабільного підключення може часто повністю відрізати пристрій від мережі.

Вбудований Kill Switch в Android

Android має власний системний механізм, який працює з більшістю VPN-застосунків. За даними довідки Google для Android Enterprise, функція постійно ввімкненої VPN (Always-on VPN) доступна з Android 7.0: система запускає VPN під час увімкнення пристрою і підтримує зʼєднання, доки пристрій працює. Поруч розташований перемикач блокування зʼєднань без VPN, який змушує весь мережевий трафік проходити лише через тунель.

Увімкнути обидві опції можна в системних налаштуваннях: розділ мережі та інтернету, далі пункт VPN і значок налаштувань поруч із потрібним сервісом. Назви пунктів і шлях до них відрізняються залежно від виробника смартфона.

Системне блокування має свої особливості. Як зазначено в документації ExpressVPN, воно доступне з Android 8.0 і блокує трафік навіть тоді, коли користувач сам вимкнув VPN. Водночас ця опція вимикає роздільне тунелювання (split tunneling) і доступ до пристроїв у локальній мережі, як-от принтерів чи смарт-телевізорів, а на прошивках деяких виробників її може не бути взагалі.

Як налаштувати Kill Switch у VPN-застосунку

Більшість провідних VPN-сервісів мають Kill Switch, однак у безплатних і бюджетних рішеннях його може не бути. Функцію слід шукати в налаштуваннях VPN-застосунку. Вона може називатися Kill Switch, Internet Kill Switch, Network Lock, «захист мережі», «захист від витоків» або «блокувати зʼєднання в разі відключення». Якщо в головному меню її немає, варто перевірити розділи «Безпека», «Приватність», «Захист мережі» чи «Додатково».

Якщо Kill Switch працює на рівні застосунків, його доцільно активувати для пошти, браузера, месенджерів та інших інструментів, що працюють із чутливими даними. Для програм, яким обрив зʼєднання може зашкодити, як-от відеоконференцій чи онлайн-ігор, розумно зробити винятки.

Разом із Kill Switch варто налаштувати автоматичне підключення. Більшість VPN-застосунків уміють вмикати захист під час підключення до публічної мережі або одразу після запуску пристрою, тож памʼятати про це вручну не доведеться.

Як перевірити, що Kill Switch працює

Найпростіший тест — вручну вимкнути VPN і спробувати відкрити будь-який сайт. Проте його результат слід тлумачити обережно: у багатьох сервісах застосунковий Kill Switch спрацьовує лише в разі непередбаченого обриву. Наприклад, ExpressVPN прямо зазначає, що його Internet Kill Switch для Android не блокує інтернет, якщо VPN відключено вручну. Тому надійніше імітувати реальний збій: перемкнутися з Wi-Fi на мобільний інтернет або ненадовго вимкнути роутер, не закриваючи VPN-застосунок.

Другий тест — перевірка на витік IP-адреси. Для цього підходять сервіси ipleak.net або whatismyipaddress.com, а для DNS-запитів — dnsleaktest.com. Відкривши сторінку з увімкненим VPN, слід зафіксувати показану адресу, а потім імітувати обрив зʼєднання й оновити сторінку. Справний Kill Switch не дозволить сайту завантажитися зі справжньою IP-адресою.

Від чого Kill Switch не захищає

Kill Switch реагує лише на падіння тунелю. Витоки, що відбуваються при активному VPN, він не блокує. Типовий приклад — WebRTC: браузерна технологія для відеодзвінків і передачі файлів, яка за певних налаштувань може розкрити справжню IP-адресу в обхід VPN. Схожий ризик виникає, якщо VPN-сервіс не підтримує IPv6 і такий трафік іде звичайним каналом. Захист від цих витоків налаштовують окремо: у VPN-застосунку та в браузері.

Інший приклад — техніка TunnelVision (CVE-2024-3661), описана дослідниками Leviathan Security Group. Зловмисник, який перебуває в тій самій локальній мережі, через підконтрольний DHCP-сервер і опцію 121 перенаправляє трафік повз тунель. VPN-зʼєднання при цьому формально залишається активним, тож, як зазначають автори дослідження, Kill Switch не спрацьовує. Техніка працює у Windows, Linux, macOS та iOS. Android не вразливий, оскільки не підтримує DHCP-опцію 121.

Для користувачів це означає просте правило: навіть з VPN та увімкненим Kill Switch у публічних мережах варто обмежувати роботу з чутливими даними. Шифрування HTTPS на самих сайтах залишається додатковим рівнем захисту, який приховує вміст трафіку навіть у разі витоку.

Ця стаття Kill Switch у VPN: що це таке, як працює і як перевірити раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня