Apple 26 жовтня випустила оновлення безпеки для своїх операційних систем. Лише в найновіших версіях iOS і macOS компанія усунула 286 вразливостей. Виправлення для вади, яку зловмисники вже використовували в атаках, Apple перенесла також на iOS 18, тож його отримали й старіші iPhone та iPad.

Що виправлено в iOS та iPadOS 27.2

macOS Golden Gate 27.2 усуває 263 вразливості, а iOS та iPadOS 27.2 виправляють 163. Приблизно 140 із них спільні для обох систем.

В iOS та iPadOS 27.2 виправлено багато помилок пошкодження памʼяті в рушії WebKit, ядрі системи та компонентах, що обробляють зображення, шрифти, PDF-документи, аудіо- та відеофайли. Частину з них можна було використати для виконання довільного коду.

Apple також усунула вади, через які застосунки могли отримати доступ до конфіденційних даних користувача або обійти налаштування приватності. Серед виправлених є й кілька інших помилок. Деякі дозволяли вийти за межі пісочниці WebContent. Ще одна давала змогу зловмиснику видавати себе за центр розподілу ключів (KDC) Kerberos. Окрема вада відкривала атакувальнику, що перебуває поблизу, доступ до мережі Thread, протоколу, на якому працюють пристрої розумного дому.

macOS Golden Gate 27.2: права root і віддалені атаки

macOS Golden Gate 27.2 закриває понад десяток вад підвищення привілеїв, через які застосунки могли отримати права root. Оновлення також усуває способи вийти за межі пісочниці й обійти захисний механізм Gatekeeper. Крім того, воно виправляє помилки пошкодження памʼяті ядра в компонентах файлових систем і образів дисків.

Окрема група виправлень стосується служб Screen Sharing (спільний доступ до екрана), Remote Management (віддалене керування) і протоколу SMB. Ці вади можна атакувати віддалено або з локальної мережі. Зокрема, помилка автентифікації в Remote Management (CVE-2026-112427) дозволяла віддаленому зловмиснику виконати довільний код.

Атакована вразливість: виправлення для iOS 18

iOS та iPadOS 18.7.11 виправляють три вразливості. Найважливіша з них — CVE-2026-86950 у компоненті CoreGraphics. Це помилка запису за межами буфера, яка дозволяла виконати довільний код під час обробки спеціально створеного файлу. За даними Apple, ваду могли використати як вразливість нульового дня в «надзвичайно складній атаці» проти конкретних осіб на версіях iOS, старіших за iOS 27.

Вразливість виявила команда безпеки продуктів Meta. Уперше Apple закрила її наприкінці вересня в iOS 26.7.1, iPadOS 26.7.1, macOS Tahoe 26.7.1 і macOS Sequoia 15.8.1. Системи iOS і macOS 27, імовірно, не вразливі.

Публічних подробиць про атаки з використанням CVE-2026-86950 наразі немає.

iOS 18.7.11 призначена для пристроїв, які не підтримують новіші версії системи: iPhone XS, iPhone XS Max, iPhone XR та iPad 7-го покоління.

Інші оновлення

Того ж дня Apple випустила iOS та iPadOS 26.7.2 (134 виправлені вразливості), macOS Tahoe 26.7.2 (213) і macOS Sequoia 15.8.2 (197). Оновлення отримали також tvOS 27.2 (72 вразливості), watchOS 27.2 (62), visionOS 27.2 (125) і браузер Safari 27.2 (33).

Як оновитися

На iPhone та iPad оновлення встановлюється в меню «Параметри» → «Загальні» → «Оновлення ПЗ». На Mac це «Системні параметри» → «Загальні» → «Оновлення ПЗ». Власникам iPhone XS, XS Max і XR варто встановити iOS 18.7.11 якнайшвидше, адже виправлена в ній вразливість уже використовувалася в атаках.

Ця стаття Apple закрила 286 вразливостей в iOS і macOS 27.2 та виправила вже атаковану ваду для старих iPhone на iOS 18 раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Реклама на весь екран, яка вискакує на головному екрані, під час розблокування телефону чи поверх месенджера, — не «особливість Android» і не неминуча плата за безкоштовні застосунки. Це симптом: у більшості випадків за нею стоїть один конкретний застосунок або сайт, якому колись дали зайвий дозвіл. Його можна знайти й прибрати без скидання телефону до заводських налаштувань — від найпростіших причин до найскладніших.

Що таке спливаючі вікна і чому вони зʼявляються на телефоні

Спливаюче вікно (pop-up) — це елемент інтерфейсу, який зʼявляється поверх поточного вмісту екрана без прямого запиту користувача: нова вкладка браузера, банер, повноекранне оголошення або діалог із кнопками «Дозволити» та «Заблокувати». Сам механізм нейтральний: так само працюють системні запити дозволів, нагадування календаря чи екран вхідного дзвінка.

Проблемою спливаючі вікна стають тоді, коли через них показують рекламу, яку ніхто не замовляв. Тут важливо розрізняти два випадки. Реклама всередині відкритого застосунку — наприклад, ролик між рівнями безкоштовної гри — легальна модель монетизації: з нею можна погодитися або перейти на платну версію. Реклама, що зʼявляється, коли застосунок навіть не запущено, — на головному екрані, під час дзвінка чи розблокування, — Google називає позаконтекстною (out-of-context) і забороняє правилами Google Play. Ще 2020 року компанія видалила з магазину майже 600 застосунків за таку рекламу й закрила їм доступ до рекламних платформ AdMob і Google Ad Manager.

Отже, якщо реклама вискакує поза будь-яким застосунком, це не норма, і її джерело можна знайти.

Звідки береться спливаюча реклама: пʼять основних джерел

Сповіщення від сайтів

Найпоширеніша і найпростіша причина. Багато сайтів під час першого відвідування показують запит на надсилання сповіщень, часто з маніпулятивним текстом на кшталт «натисніть «Дозволити», щоб підтвердити, що ви не робот». Одне випадкове натискання — і сайт отримує право надсилати повідомлення через Chrome навіть тоді, коли браузер закрито. Такі сповіщення виглядають майже як системні: «телефон заражено», «ви виграли приз», «терміново оновіть застосунок».

Chrome автоматично блокує сповіщення від сайтів, які визнає навʼязливими або оманливими, але відловлює не всі.

Застосунки з дозволом на показ поверх інших вікон

Цей дозвіл дає змогу застосунку малювати власні вікна поверх будь-якого іншого. Легітимно ним користуються, наприклад, «бульбашки» чатів у месенджерах, навігатори чи інструменти спеціальних можливостей. Рекламне ПЗ використовує той самий механізм, щоб перекривати екран оголошеннями.

Рекламне ПЗ, замасковане під корисні утиліти

Шкідливі застосунки з навʼязливою рекламою регулярно потрапляють навіть у Google Play. У березні 2025 року дослідники Bitdefender описали кампанію Vapor: щонайменше 331 застосунок у Google Play із сумарною кількістю завантажень понад 60 млн. Вони маскувалися під QR-сканери, трекери витрат, застосунки для здоровʼя та шпалер, а після встановлення показували повноекранну рекламу поверх інших застосунків — навіть без відповідного дозволу.

Ця кампанія добре ілюструє, чому такі програми важко знайти. За даними Bitdefender, вони ховали свою іконку з меню застосунків, зникали зі списку нещодавніх, блокували кнопку «Назад» під час показу реклами, а деякі в налаштуваннях перейменовували себе на Google Voice, щоб виглядати як офіційний сервіс. Частина застосунків показувала фальшиві форми входу у Facebook і YouTube та намагалася виманити дані банківських карток. Старіші застосунки з цієї кампанії спершу були безпечними — шкідливі функції зʼявилися в них згодом, з оновленнями.

Системна реклама виробника

На смартфонах Xiaomi, Redmi і POCO реклама вбудована в саму оболонку HyperOS (раніше — MIUI): її показують системні застосунки «Безпека», «Завантаження», «Теми», «Музика», фірмовий браузер, а частину оголошень і рекомендацій доставляє системна служба msa. Це не шкідливе ПЗ, а частина бізнес-моделі виробника, тому вимикається вона не видаленням застосунку, а в налаштуваннях — про це нижче.

Фальшиві попередження про віруси

Окремий різновид — спливаюче вікно в браузері, яке імітує системне попередження: «Виявлено 4 віруси», «Батарею пошкоджено», «Негайно встановіть захист». Ні Android, ні Play Захист не показують попереджень про загрози у вигляді сторінки в браузері. Мета такого вікна — змусити встановити застосунок за посиланням. За спостереженням Bitdefender, зловмисники залякують користувачів «зараженням» пристрою, щоб ті самі встановили небезпечне ПЗ, зокрема банківські трояни. Правильна реакція — закрити вкладку й нічого не встановлювати.

Як визначити застосунок, що показує рекламу

Перевіряти варто від простого до складного. Назви пунктів меню залежать від виробника і версії Android: розділ із застосунками може називатися «Застосунки», «Програми» або «Додатки». Якщо потрібний пункт не знаходиться, найшвидше скористатися пошуком у налаштуваннях.

Крок 1. Подивитися, від кого сповіщення

Якщо реклама приходить як сповіщення, достатньо довго натиснути на нього в шторці. Android покаже назву застосунку або, у випадку Chrome, адресу сайту, а значок налаштувань поруч відкриє параметри сповіщень саме цього джерела. Якщо відправник — Chrome із незнайомою адресою, причина в підписці на сайт, і її вимкнення описано в наступному розділі.

Крок 2. Перевірити список нещодавніх застосунків

Коли реклама зʼявилася на весь екран, варто одразу відкрити огляд нещодавніх застосунків — свайпом від нижнього краю з утриманням або кнопкою з квадратом. Над вікном оголошення часто видно іконку чи назву застосунку, який його показує, а утримання цієї іконки відкриває пункт «Про застосунок». Утім, складніші рекламні програми, як у кампанії Vapor, уміють ховатися з цього списку, тому відсутність підказки ще нічого не означає.

Крок 3. Перевірити спеціальні дозволи

У налаштуваннях відкрити «Застосунки» → «Спеціальний доступ» → «Показ поверх інших застосунків». Увімкненим дозвіл має залишатися лише в тих, кому він справді потрібен: месенджерів, навігації, засобів спеціальних можливостей. Ліхтарику, калькулятору чи QR-сканеру показ поверх інших вікон не потрібен — дозвіл варто вимкнути, а сам застосунок узяти на замітку.

Там само або в розділі «Безпека» є список «Застосунки адміністратора пристрою». Незнайомий застосунок із правами адміністратора — серйозний сигнал: саме ці права не дають видалити його звичайним способом.

Крок 4. Переглянути нещодавно встановлені застосунки

У списку застосунків варто ввімкнути сортування за датою встановлення або останнього оновлення і пригадати, коли саме почалася реклама. Підозрілими є застосунки із загальними назвами на кшталт «Service» чи «System Update», без іконки, а також ті, яких власник телефону не памʼятає, щоб установлював. Для кандидатів корисно відкрити сторінку в Google Play і подивитися не на пʼятизіркові оцінки, а на свіжі відгуки з однією-двома зірками: про навʼязливу рекламу там зазвичай пишуть першими.

Крок 5. Запустити перевірку Play Захисту

Вбудований у Google Play сервіс Play Захист (Play Protect) перевіряє встановлені застосунки, зокрема й завантажені не з магазину, попереджає про потенційно шкідливі та може вимкнути або видалити їх. Щоб запустити перевірку вручну, потрібно відкрити Google Play → значок профілю → «Play Захист» → «Сканувати». Там же варто переконатися, що сканування застосунків за допомогою Play Захисту увімкнено.

Крок 6. Перезавантажити телефон у безпечному режимі

Якщо попередні кроки не дали відповіді, допоможе безпечний режим. У ньому Android не запускає сторонні застосунки, тож якщо проблема зникає, її майже напевно спричиняє один із них. Якщо ж реклама зʼявляється і в безпечному режимі, причина не в завантаженому застосунку.

На більшості смартфонів потрібно утримувати кнопку живлення, а потім довго натиснути пункт «Вимкнути» або «Перезавантажити» на екрані — зʼявиться пропозиція перезавантажитися в безпечному режимі. На деяких моделях спосіб інший, тому Google радить звірятися з довідкою виробника. Безпечний режим тимчасово прибирає частину віджетів із головного екрана, тож перед перезавантаженням корисно зробити знімок екрана.

1. Увімкнути безпечний режим і переконатися, що реклама зникла.
2. У налаштуваннях застосунків відсортувати список за датою встановлення.
3. Видалити найсвіжіший підозрілий застосунок.
4. Перезавантажити телефон у звичайному режимі й перевірити, чи повернулася реклама.
5. Якщо повернулася — повторити з наступним кандидатом.

Саме такий порядок рекомендують Google і Samsung: видаляти по одному застосунку й після кожного перевіряти результат. Коли винуватця знайдено, решту видалених застосунків можна встановити знову.

Як вимкнути сповіщення від сайтів у Chrome

Якщо джерелом виявився браузер, видаляти нічого не треба — досить відкликати дозвіл.

Для всіх сайтів одразу

1. Відкрити Chrome і натиснути «Більше» (три крапки праворуч від адресного рядка) → «Налаштування».
2. Перейти в «Налаштування сайтів» → «Сповіщення».
3. Вимкнути перемикач угорі. Інший варіант — залишити сповіщення, але ввімкнути тихі запити: тоді сайти не зможуть перекривати сторінку вікном із проханням підписатися.

Для одного сайту

Найшвидше — прямо зі сповіщення: на деяких пристроях у ньому є кнопка «Скасувати підписку», а Chrome після цього пропонує повідомити Google про спам. Інший спосіб — відкрити сам сайт, натиснути значок ліворуч від адресного рядка → «Дозволи» і вимкнути сповіщення. Обидва способи описано в довідці Chrome.

Спливаючі вікна й переспрямування

У тому ж розділі «Налаштування сайтів» є пункт «Спливаючі вікна й переспрямування» — він має бути вимкнений. Так сайти не зможуть відкривати рекламні вкладки та перекидати на сторонні сторінки. У Samsung Internet аналогічна опція розташована в меню → «Налаштування» → «Панель конфіденційності» → «Блокувати спливаючі вікна» (інструкція Samsung).

Chrome також час від часу сам відкликає дозвіл на сповіщення в сайтів, які давно не відкривали, і нагадує переглянути підписки. Таке нагадування не варто пропускати.

Як вимкнути системну рекламу на Xiaomi, Redmi і POCO

Повністю прибрати рекламу з оболонки Xiaomi не вдасться, але її кількість можна суттєво зменшити. Шляхи нижче наведено для HyperOS за інструкцією Notebookcheck; на старіших версіях MIUI розділ безпеки називається «Паролі та безпека», а назви пунктів можуть дещо відрізнятися залежно від версії прошивки.

• Служба msa. «Налаштування» → «Відбитки пальців, дані обличчя та блокування екрана» → «Авторизація та відкликання» → вимкнути перемикач msa і підтвердити кнопкою «Відкликати». Якщо система повідомить, що відкликати не вдалося, спробу варто повторити.
• Персоналізована реклама. У розділі конфіденційності знайти «Рекламні служби» й вимкнути персоналізовані рекомендації.
• Системні застосунки. У налаштуваннях «Безпеки», «Завантажень», «Тем», «Музики» та Mi Browser вимкнути пункти «Показувати рекламу» та «Рекомендації». У відеоплеєрі Mi Video рекомендації вимикаються лише на 90 днів, після чого налаштування доведеться повторити.
• Екран блокування. Якщо на заблокованому екрані зʼявляються «цікаві факти» з посиланнями, це функція каруселі шпалер — її вимикають у налаштуваннях екрана блокування.

Samsung у своїй довідці стверджує, що спливаюча реклама на смартфонах Galaxy повʼязана зі сторонніми застосунками, а не з самим телефоном, — тож для них діють кроки з попередніх розділів.

Що робити, якщо застосунок не видаляється

Звичайне видалення — довге натискання на іконку → «Видалити» або «Налаштування» → «Застосунки» → потрібний застосунок → «Видалити». Якщо кнопка неактивна чи система повідомляє, що застосунок є адміністратором пристрою, спершу треба забрати в нього ці права.

1. Ввести в пошуку налаштувань «адміністратор» і відкрити «Застосунки адміністратора пристрою».
2. Вибрати підозрілий застосунок і вимкнути його права.
3. Повернутися до списку застосунків і видалити його звичайним способом.

Якщо шкідливий застосунок заважає це зробити — закриває налаштування чи перекриває екран рекламою, — ті самі дії варто виконати в безпечному режимі, де він не запускається. Якщо ж система пише, що застосунком керує організація, ідеться про корпоративний чи навчальний телефон: зміни в такому разі вносить адміністратор організації.

Окремо варто придивитися до застосунків із назвами відомих сервісів, особливо якщо їх не встановлювали свідомо: як показала кампанія Vapor, шкідливе ПЗ може видавати себе за сервіс Google. Перевірити це просто: якщо знайти застосунок із такою назвою в Google Play і магазин пропонує «Встановити», а не «Відкрити», то на телефоні стоїть зовсім інша програма. Якщо є підозра, що разом із рекламою на телефоні опинилося стеження, знадобиться окрема інструкція про те, як знайти й видалити шпигунське ПЗ.

Коли допоможе лише скидання до заводських налаштувань

Скидання до заводських налаштувань видаляє всі застосунки й дані, тому це крайній захід. Він виправданий, якщо реклама не зникає після всіх попередніх кроків, якщо шкідливий застосунок не вдається видалити навіть у безпечному режимі або якщо телефоном уже неможливо нормально користуватися. Перед скиданням варто:

• зробити резервну копію фото, контактів і листувань;
• переконатися, що відомий пароль від облікового запису Google: після скидання телефон попросить його для захисту від крадіжки;
• після скидання встановлювати застосунки вручну, а не відновлювати все з резервної копії одним натисканням, — інакше разом із потрібними програмами може повернутися й винуватець.

Загальну інструкцію Google наводить у довідці Android, але для конкретної моделі краще звіритися із сайтом виробника.

Якщо реклама зʼявляється навіть після скидання, причина може бути вшита в прошивку — таке трапляється з дешевими смартфонами маловідомих брендів. У цьому випадку допоможе лише перепрошивка офіційною версією в сервісному центрі.

Як не підхопити рекламне ПЗ знову

• Обережно навіть із Google Play. Магазин перевіряє застосунки, але кампанія Vapor показала, що шкідливі програми можуть пройти перевірку й місяцями залишатися доступними. Перед встановленням варто дивитися на розробника, кількість завантажень і свіжі негативні відгуки.
• Без «очищувачів» і «прискорювачів». Застосунки для очищення памʼяті, економії батареї та «антивіруси» невідомих розробників — типове маскування рекламного ПЗ. Базову перевірку на Android уже виконує Play Захист.
• Не натискати «Дозволити» на незнайомих сайтах. Сповіщення варто дозволяти лише сервісам, якими справді користуються.
• Дивитися на дозволи. Якщо простий застосунок просить показ поверх інших вікон, права адміністратора або доступ до спеціальних можливостей, це привід відмовитися від встановлення.
• Оновлювати Android і застосунки. Нові версії системи закривають лазівки, якими користується рекламне ПЗ.
• Блокувати рекламу на рівні мережі. Частину рекламних і шкідливих доменів можна відсікти через приватний DNS, а в браузері — скористатися одним із блокувальників реклами для Android. Персоналізацію оголошень додатково зменшує скидання рекламного ідентифікатора.

Здебільшого, щоб позбутися спливаючої реклами, вистачає перших кроків: вимкнути підписку на сайт у Chrome або знайти один застосунок із зайвим дозволом. Безпечний режим і скидання знадобляться рідко — але саме вони гарантують, що джерело реклами зникне з телефону, а не лише сховається.

Ця стаття Спливаючі вікна з рекламою на Android: звідки беруться і як їх прибрати раніше була опублікована на сайті CyberCalm, її автор — Семенюк Валентин

Ключі доступу (passkeys) поступово витісняють паролі: вхід в акаунт зводиться до дотику до сканера відбитків пальців або погляду в камеру смартфона. Проте за цією зручністю стоїть питання, яке мало хто ставить собі заздалегідь: що буде з усіма акаунтами, захищеними ключами доступу, якщо телефон раптово вийде з ладу, загубиться чи його вкрадуть? Відповідь залежить передусім від того, де саме зберігаються ключі, — і здебільшого вона цілком заспокійлива.

Смартфон — не обовʼязково єдине сховище ключів

Якщо ключ доступу створено на Android-смартфоні й збережено в Google Password Manager, він не залишається «замкненим» у телефоні. Менеджер паролів шифрує ключі доступу та синхронізує їх через акаунт Google, тож вони стають доступними на інших підтримуваних пристроях, де виконано вхід у той самий акаунт.

Отже, зламаний телефон не забирає ці ключі з собою. Щоб повернути синхронізовані ключі на новому пристрої, потрібно увійти в акаунт Google і підтвердити особу способом розблокування екрана, який використовувався на Android-пристрої, — PIN-кодом, паролем або графічним ключем. Сам старий телефон для цього не потрібен: достатньо памʼятати його код. Інший варіант — PIN-код Google Password Manager, якщо його було налаштовано.

Apple працює за схожим принципом: ключі доступу синхронізуються між схваленими пристроями через iCloud Keychain. Для відновлення звʼязки ключів на новому пристрої використовуються акаунт Apple, SMS на довірений номер телефону та код-пароль пристрою. Ще один шлях — контакт для відновлення облікового запису, якщо його додано заздалегідь: він допоможе повернути доступ, навіть коли забуто пароль акаунта Apple чи код-пароль пристрою. Оскільки стандартна процедура відновлення спирається на SMS, такий контакт особливо цінний у разі одночасної втрати телефона й SIM-картки.

Сторонні менеджери паролів, що синхронізують ключі доступу, забезпечують аналогічне резервування. Тож знати, де саме зберігаються ключі, означає позбавити себе неприємних здогадок у момент, коли телефон уже розбився об асфальт.

Чому сайт тут не допоможе

Водночас сайт, на який виконується вхід, сам відновити ключ доступу не може. Під час реєстрації операційна система створює унікальну криптографічну пару ключів: сервіс зберігає лише відкритий ключ, яким перевіряє користувача, а закритий залишається в постачальника ключів доступу або на пристрої. Якщо закритий ключ утрачено й постачальник не може його повернути, сайт, як правило, не здатен його відтворити. Тоді доведеться скористатися іншим способом відновлення акаунта, а потім зареєструвати новий ключ доступу.

Ключі, привʼязані до пристрою, справді зникають разом із ним

Заспокійлива відповідь вище має суттєве застереження: ключі доступу бувають синхронізованими або привʼязаними до конкретного пристрою (device-bound). Останні на інші пристрої не синхронізуються.

Альянс FIDO використовує цей термін для облікових даних, які не можуть залишити пристрій, що їх видав, — зокрема ключів доступу на апаратних ключах безпеки. Microsoft застосовує той самий підхід до ключів доступу Microsoft Entra для робочих і навчальних облікових записів: вони зберігаються в локальному контейнері Windows Hello й не синхронізуються між пристроями. Якщо такий пристрій — єдине місце, де існує ключ доступу, то з утратою пристрою зникає і ключ.

Доступ до акаунта все ще можна повернути — через інший зареєстрований ключ доступу, апаратний ключ безпеки, код відновлення, пароль або процедуру відновлення, яку пропонує сервіс. Після цього варто створити новий ключ доступу. Складність у тому, що кожен сервіс організовує відновлення по-своєму, тож наявність одного ключа доступу ще не гарантує однакової страховки всюди.

QR-код не замінить робочий телефон

Хибне враження можуть створювати й входи через QR-код. Крос-пристроєва автентифікація дає змогу компʼютеру показати QR-код, а смартфону з ключем доступу, що лежить поруч, — підтвердити вхід. Для цього телефон має бути поруч і розблокований, а Bluetooth — увімкнений: через нього пристрої перевіряють, що перебувають близько один до одного. Смартфон зі згорілою материнською платою в цій схемі вже не бере участі.

Для акаунтів, утрата яких неприпустима, доцільно зареєструвати додатковий автентифікатор, якщо сервіс це дозволяє. Апаратний ключ безпеки може зберігати власний ключ доступу — і це шлях назад в акаунт, який не залежить від того самого телефона.

Як підготуватися, поки всі пристрої працюють

Головний висновок не в тому, що ключі доступу ненадійні. Синхронізовані ключі значно спрощують повернення в акаунти після втрати телефона. Але питання відновлення не варто залишати на волю випадку. Для кожного акаунта, втрата якого була б болісною, варто заздалегідь виконати кілька перевірок.

1. Зʼясувати, де зберігається ключ доступу. У Google Password Manager чи в застосунку «Паролі» від Apple? У сторонньому менеджері паролів? Чи він існує лише на одному автентифікаторі?
2. Переконатися, що доступ до самого постачальника ключів можна відновити. Менеджер паролів нерідко є «вхідними дверима» до десятків акаунтів, тож його налаштування відновлення варто перевірити до того, як ці двері зачиняться.
3. Мати більше ніж один автентифікатор. Не варто робити ставку на єдиний пристрій: якщо сервіс дозволяє зареєструвати другий ключ доступу на іншому автентифікаторі, цим слід скористатися.
4. Зберегти резервні коди. Якщо сервіс пропонує резервні коди або інший запасний механізм, їх слід тримати в надійному місці.
5. Не покладатися лише на SMS. Текстове повідомлення мало чим допоможе, якщо разом із телефоном утрачено й доступ до номера. Там, де сервіс дозволяє, варто мати незалежний спосіб відновлення, — тим паче що є й інші вагомі причини відмовитися від двофакторної автентифікації через SMS.

Що зробити після відновлення доступу

Повернувшись в акаунт, варто видалити втрачений пристрій або повʼязаний із ним ключ доступу. Google, наприклад, дає змогу переглянути зареєстровані ключі доступу в налаштуваннях акаунта, а ключі, які Android створив автоматично, прибрати, вийшовши з акаунта на відповідному пристрої в розділі керування пристроями. Варто також урахувати, що новим ключем доступу Google іноді можна скористатися лише через сім днів після створення. Пришвидшити цей процес допомагає вже наявний довірений ключ доступу або апаратний ключ безпеки.

Резервний шлях має бути деінде

Зламаний телефон — лише половина проблеми, до якої варто підготуватися. Значно гірший сценарій — одночасна втрата смартфона, SIM-картки та доступу до акаунта, через який синхронізуються ключі доступу. В умовах війни, коли телефон можна втратити під час евакуації чи обстрілу, такий сценарій зовсім не теоретичний. Тому резервний варіант повинен вести назад в акаунти шляхом, який не залежить від того самого пристрою, що вже зник.

Ця стаття Що станеться з ключами доступу, якщо смартфон зламається чи загубиться раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

eSIM — це SIM-картка, вбудована в смартфон у вигляді чипа, на який оператор дистанційно завантажує профіль абонента. Фізична SIM — звична пластикова картка, яку вставляють у лоток. Обидві виконують одну роботу: ідентифікують абонента в мережі та дають доступ до дзвінків, SMS і мобільного інтернету.

Для більшості власників сучасних смартфонів eSIM зручніша: її можна підключити без візиту до магазину, тримати кілька номерів в одному телефоні й заздалегідь додати тариф для поїздки за кордон. Але автоматично безпечнішою вона не є — номер так само можуть викрасти через злам акаунта в операторі. А в деяких ситуаціях, зокрема коли телефон розбився, фізична картка досі практичніша.

Що таке фізична SIM-картка і що таке eSIM

Фізична SIM-картка (від англ. Subscriber Identity Module — модуль ідентифікації абонента) — невеликий чип у пластиковій оправі. На ньому зберігаються ідентифікатор абонента та криптографічні ключі, за якими мережа оператора розпізнає номер. У сучасних смартфонах використовують формат nano-SIM, а картку вставляють у лоток на корпусі.

eSIM (embedded SIM, у пошукових запитах її часто пишуть як «есім») — той самий модуль, але впаяний у плату пристрою. Замість пластикової картки абонент отримує від оператора QR-код, посилання або оформлює номер у застосунку, і смартфон завантажує профіль на чип. Apple описує eSIM як цифрову SIM-картку галузевого стандарту, вбудовану в iPhone, яка усуває потребу у фізичній картці.

Мережа оператора працює з обома варіантами однаково, тож швидкість інтернету, покриття й тарифи від типу SIM не залежать. Відмінності — у тому, як номер зʼявляється в телефоні, як його переносити і що відбувається з ним, коли з телефоном щось трапилося.

Чим eSIM відрізняється від фізичної SIM: порівняння

Переваги eSIM

Підключення без візиту до магазину

В Україні eSIM можна оформити повністю дистанційно. Київстар ще у 2024 році запустив онлайн-підключення eSIM з контрактом через BankID або «Дію»; Vodafone і lifecell продають eSIM у власних застосунках і через monobank. З лютого 2026 року eSIM усіх трьох операторів можна купити в Приват24: після оплати QR-код для активації надходить на електронну пошту.

Кілька номерів в одному смартфоні

Один чип eSIM вміщує кілька профілів. За даними Apple, iPhone може зберігати вісім і більше eSIM. Це зручно, коли потрібно розділити особистий і робочий номер або тримати окремий номер для банків. На смартфонах зі слотом eSIM можна поєднувати з фізичною карткою.

Зручніше в подорожах і за кордоном

Перед поїздкою можна заздалегідь встановити eSIM місцевого оператора або туристичну eSIM для мобільного інтернету, не виймаючи українську картку. Для українців, які живуть за кордоном, це спосіб зберегти український номер для банків і державних сервісів поряд із місцевим. Київстар, наприклад, дає змогу оформити eSIM дистанційно й абонентам, які перебувають за кордоном.

Номер не витягнуть з украденого телефону

Фізичну картку злодій може вийняти та вставити в інший пристрій, щоб отримувати SMS. eSIM вийняти неможливо, тож разом із заблокованим телефоном номер залишається недоступним для сторонніх. Саме цей аргумент Apple наводила, просуваючи iPhone без слота для SIM.

Недоліки eSIM

Розбитий телефон ускладнює відновлення номера

Якщо смартфон з eSIM перестав вмикатися, номер не можна просто переставити в запасний телефон. Доведеться звертатися до оператора по нову eSIM — онлайн або в магазині — і мати під рукою пристрій із підтримкою eSIM. В умовах війни, коли телефон може постраждати, а дістатися до магазину оператора не завжди просто, це варто враховувати. Фізична картка в такій ситуації переїжджає в запасний телефон за хвилину.

Підтримують не всі пристрої

Старіші й бюджетні моделі eSIM не мають, а в межах однієї моделі підтримка може залежати від регіональної версії. Окремі тарифи або форми обслуговування, наприклад корпоративні, можуть мати власні умови переходу — їх варто уточнювати в операторі.

Перенесення залежить від оператора

Швидке перенесення eSIM між смартфонами працює лише тоді, коли його підтримує оператор. Якщо ні, доведеться отримувати новий QR-код. Повернутися з eSIM на пластикову картку теж можна тільки через оператора.

Чи безпечніша eSIM за фізичну SIM-картку

Від крадіжки самої картки — так. Від головної загрози для мобільного номера, атаки підміни SIM-картки (SIM-swap), — ні. Під час такої атаки зловмисник не торкається телефону жертви, а домагається, щоб оператор переніс номер на картку або eSIM, яку контролює він сам. Після цього SMS із кодами від банків і сервісів надходять шахраєві.

Масштаб проблеми зростає. Британська служба запобігання шахрайству Cifas зафіксувала майже 3000 випадків несанкціонованої заміни SIM у 2024 році — на 1055% більше, ніж роком раніше. В Україні, за даними НБУ, збитки від шахрайства з платіжними картками у 2025 році зросли на 24% і сягнули 1,4 млрд грн, а SIM-swap Нацбанк називає однією з ключових схем.

eSIM додає до цієї схеми ще один варіант: через фішинг або злам особистого кабінету на сайті чи в застосунку оператора шахраї ініціюють перенесення номера на власний смартфон, і жертва дізнається про це, лише коли зникає звʼязок. Тобто з переходом на eSIM ключем до номера стає акаунт в операторі — і захищати треба насамперед його.

Як захистити номер — з eSIM чи без

1. Заборонити дистанційний перевипуск SIM. У застосунку оператора або через контакт-центр можна встановити заборону на заміну картки без особистого візиту з документом.
2. Захистити акаунт в операторі. Складний унікальний пароль, кодове слово та двофакторна автентифікація, якщо оператор її пропонує.
3. Не називати коди з SMS. Ні PUK-код, ні коди підтвердження, ні паспортні дані не варто повідомляти тим, хто телефонує «від оператора» чи «з банку». Краще покласти слухавку й самостійно передзвонити на офіційний номер.
4. Не покладатися лише на SMS. Для пошти, банку й месенджерів надійніші другі фактори — застосунок-автентифікатор, ключі доступу (passkeys) або апаратний ключ безпеки.
5. Мати окремий фінансовий номер. Кіберполіція радить використовувати для банків номер, який ніде не публікується: ні в оголошеннях, ні в соцмережах.
6. Діяти одразу, якщо зник звʼязок. Якщо смартфон раптово показує «Немає мережі» там, де вона зазвичай є, варто з іншого телефону звʼязатися з оператором і банком та заблокувати доступ.

Як перейти на eSIM в Україні

Перед переходом варто перевірити, чи підтримує смартфон eSIM (про це — нижче), і переконатися, що він не привʼязаний до іноземного оператора. Далі є три основні шляхи.

У застосунку оператора

Замінити фізичну SIM на eSIM зі збереженням номера й тарифу можна в застосунках «Мій Київстар», My Vodafone і «Мій lifecell». Абоненти контракту Київстар, за інформацією оператора, оформлюють перехід через чат підтримки в застосунку. Після активації eSIM стара пластикова картка перестає працювати.

У банківському застосунку

Новий номер на eSIM можна купити в monobank (Vodafone і lifecell) або в Приват24 (усі три оператори). Після оплати надходить QR-код, який потрібно відсканувати смартфоном.

У магазині оператора

Варіант для тих, кому потрібна допомога з налаштуванням, а також для корпоративних абонентів і випадків, коли онлайн-перехід для тарифу недоступний.

Як встановити eSIM на смартфоні

На iPhone потрібно відкрити «Параметри» → «Мобільний звʼязок» → «Додати eSIM» і відсканувати QR-код або вибрати інший спосіб. На Samsung — «Налаштування» → «Підключення» → «Диспетчер SIM-карт» → «Додати eSIM». На Pixel — «Налаштування» → «Мережа й інтернет» → «SIM-картки». Для завантаження профілю смартфон має бути підключений до Wi-Fi або мобільного інтернету.

Як перенести eSIM на новий телефон

Між двома iPhone номер переносять функцією eSIM Quick Transfer, якщо її підтримує оператор. За вимогами Apple, обидва пристрої мають лежати поруч з увімкненим Bluetooth, працювати на iOS 18.4 або новішій версії та використовувати один обліковий запис Apple, а старий iPhone має бути розблокований. Перенесення пропонується під час налаштування нового смартфона або пізніше в параметрах мобільного звʼязку. Щойно номер активується на новому iPhone, SIM на старому вимикається.

З iOS 26 частина операторів і виробників смартфонів підтримує перенесення eSIM між Android і iPhone в обидва боки. Якщо оператор такого не підтримує, номер переносять через нього: він надсилає новий QR-код або активує eSIM дистанційно. Так само діють, коли старого телефону немає під рукою — він загублений чи розбитий.

Повернутися з eSIM на фізичну картку теж можна — через оператора, отримавши нову SIM-картку в його магазині.

Які смартфони підтримують eSIM у 2026 році

eSIM давно стала стандартом для середнього й флагманського сегмента:

• iPhone: усі моделі, починаючи з iPhone XS, XS Max і XR (2018), за даними Apple.
• Google Pixel: усі моделі, починаючи з Pixel 4.
• Samsung Galaxy: флагмани серії S, починаючи з S20, складані Z Fold і Z Flip та частина моделей серії A; підтримка залежить від регіональної версії.
• Інші виробники: багато Android-смартфонів теж мають eSIM, але це залежить від конкретної моделі та ринку, для якого її випустили.

Найпростіший спосіб перевірити конкретний телефон — знайти в налаштуваннях пункт «Додати eSIM» або переглянути ідентифікатори пристрою: якщо серед них є EID (унікальний номер чипа eSIM), смартфон eSIM підтримує. На багатьох моделях EID показує команда *#06#.

Смартфони без слота для SIM-картки

Деякі смартфони взагалі не мають лотка для SIM.У США iPhone постачаються без слота для SIM-картки, починаючи з iPhone 14 (2022): американські версії iPhone 14, 15 і 16 працюють лише з eSIM. З iPhone 17 Apple поширила цей підхід на інші ринки: iPhone 17, 17 Pro і 17 Pro Max продаються у версіях лише з eSIM у 12 країнах і регіонах — США, Канаді, Мексиці, Японії, ОАЕ, Саудівській Аравії, Катарі, Кувейті, Омані, Бахрейні, на Гуамі та Американських Віргінських островах. Той самий список діє для iPhone 18 Pro і 18 Pro Max, а iPhone Air і складаний iPhone Duo працюють лише з eSIM у всьому світі. У Європі решта цих моделей зберігає слот для nano-SIM. Google Pixel 10, 10 Pro і 10 Pro XL, куплені в США, теж не працюють із фізичними SIM-картками.

Для України це практичне питання: смартфон, привезений зі США чи Канади або куплений там уживаним, працюватиме лише з eSIM. Перед купівлею варто переконатися, що пристрій не привʼязаний до американського оператора — інакше встановити eSIM українського оператора не вдасться.

eSIM чи фізична SIM: що обрати

eSIM варто обрати, якщо:

• смартфон її підтримує, а номер не потрібно часто переставляти між телефонами;
• потрібно кілька номерів в одному пристрої — особистий, робочий, окремий для банків;
• часто доводиться їздити за кордон або жити на дві країни;
• хочеться підключатися й змінювати тариф без візитів до магазину.

Фізична SIM практичніша, якщо:

• номер часто переставляють між основним і запасним телефоном;
• смартфон старий або не підтримує eSIM;
• йдеться про простий кнопковий телефон, наприклад для літніх родичів;
• немає впевненості, що в разі поломки телефону вдасться швидко відновити eSIM через оператора.

Обидва варіанти можна поєднувати: на більшості смартфонів зі слотом одночасно працюють фізична картка та eSIM. А незалежно від вибору номер захищає не тип SIM, а налаштування акаунта в операторі й відмова від SMS як єдиного способу підтвердити вхід.

Часті запитання

Чим eSIM відрізняється від фізичної SIM-картки?

Фізична SIM — пластикова картка, яку вставляють у лоток, а eSIM — чип усередині смартфона, на який профіль номера завантажують через QR-код або застосунок. Звʼязок і тарифи однакові; різниця — у способі підключення, перенесенні номера та поведінці при крадіжці чи поломці телефону.

Чи можна перенести eSIM назад на фізичну SIM-картку?

Так, через оператора: потрібно отримати нову SIM-картку в його магазині. Після активації пластикової картки eSIM перестане працювати.

Чи потрібен інтернет для роботи eSIM?

Лише для встановлення: щоб завантажити профіль, смартфон має бути підключений до Wi-Fi або мобільного інтернету. Після активації eSIM працює як звичайна картка, зокрема для дзвінків і SMS без інтернету.

Чи можна користуватися фізичною SIM і eSIM одночасно?

Так, якщо смартфон має слот для SIM і підтримує eSIM. Наприклад, основний номер може бути на пластиковій картці, а робочий або туристичний — на eSIM.

Чи захищає eSIM від шахраїв?

Частково. Номер на eSIM неможливо вийняти з украденого телефону, але шахраї можуть перенести його на свій пристрій, якщо зламають акаунт в операторі або виманять коди підтвердження. Тому важливо заборонити дистанційний перевипуск SIM і не покладатися на SMS як єдиний другий фактор.

Ця стаття eSIM чи фізична SIM-картка: що краще і чим вони відрізняються раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Коли бюджет на новий Android-смартфон обмежений, вибір часто зводиться до двох варіантів: новий пристрій середнього класу або флагман дво-трирічної давнини, який за ті самі гроші продають на вторинному ринку чи на розпродажах. Ще кілька років тому відповідь здавалася очевидною: новий телефон середнього класу довше отримував оновлення. Відтоді виробники суттєво змінили політику підтримки, а в ЄС запрацювали нові вимоги до смартфонів, тож порівнювати варто вже інші параметри.

Що змінилося: оновлення тепер тривають довше

У 2023 році Google першою з великих виробників пообіцяла сім років підтримки: Pixel 8, Pixel 8 Pro і Pixel 8a отримують оновлення Android і безпеки протягом семи років від появи в Google Store у США. Для Pixel 6 і Pixel 7 гарантія становить щонайменше пʼять років.

Samsung наздогнала Google на початку 2024 року: для серії Galaxy S24 компанія оголосила сім поколінь оновлень ОС і сім років оновлень безпеки. Попередня серія Galaxy S23 отримала чотири оновлення One UI і пʼять років патчів безпеки.

Довшою стала підтримка й у середньому класі. Galaxy A26, A36 і A56 2025 року стали першими моделями серії A із шістьма оновленнями ОС і шістьма роками патчів безпеки — у Galaxy A35 і A55 було чотири оновлення ОС і пʼять років безпеки. Водночас багато бюджетних смартфонів інших виробників донедавна отримували лише два-три роки оновлень.

Тож твердження «новий телефон середнього класу завжди підтримуватиметься довше за старий флагман» більше не працює. Pixel 8 Pro, що вийшов восени 2023 року, має гарантовані оновлення щонайменше до жовтня 2030 року. Galaxy S23 Ultra, випущений у лютому 2023-го з пʼятирічною гарантією безпеки, отримуватиме патчі приблизно до початку 2028 року. Новий бюджетний смартфон із трьома роками підтримки, купений сьогодні, залишиться без оновлень раніше за обидва.

Samsung застерігає, що доступність і графік оновлень можуть відрізнятися залежно від моделі та ринку. Тому дату завершення підтримки варто перевіряти для конкретної модифікації на сайті виробника.

Нові правила ЄС для смартфонів

З 20 червня 2025 року в Євросоюзі діють вимоги екодизайну для смартфонів і планшетів, закріплені в регламенті 2023/1670. Нові моделі мають відповідати таким умовам:

• акумулятор витримує щонайменше 800 циклів заряджання і зберігає принаймні 80% початкової ємності;
• ключові запчастини доступні щонайменше сім років після завершення продажів моделі в ЄС, а постачати їх виробник має за 5–10 робочих днів;
• оновлення операційної системи надходять щонайменше пʼять років від дати продажу останнього пристрою моделі;
• корпус має вищу стійкість до падінь, подряпин, пилу та води.

Крім того, на енергетичній етикетці смартфона тепер зазначають клас ремонтопридатності — від A (найлегше відремонтувати) до E.

Важливе обмеження: ці правила стосуються лише моделей, що надійшли в продаж з 20 червня 2025 року, і не поширюються на пристрої, випущені раніше. Флагман 2023–2024 років захищений лише власною політикою виробника. До того ж вимоги юридично діють на ринку ЄС, тож для смартфонів, придбаних в Україні, умови підтримки варто уточнювати для конкретної моделі.

Коли краще купити новий телефон середнього класу

Новий акумулятор

Літій-іонні акумулятори з часом втрачають ємність, і навіть дбайливе користування не зупинить цей процес. Частину ресурсу вживаного флагмана вже витратив попередній власник, тоді як новий телефон починає з повної ємності, а моделі для ринку ЄС, випущені після червня 2025 року, мають гарантований мінімальний ресурс батареї. Заміна акумулятора у флагмані можлива, але це додаткові витрати, які варто одразу закласти в ціну.

Гарантія і сервіс

Новий смартфон, придбаний в офіційного продавця, має гарантію виробника. На вживаний пристрій гарантії здебільшого немає, а ремонт флагмана коштує дорожче: дисплеї, заднє скло і модулі камер преміальних моделей помітно дорожчі в заміні.

Відома історія пристрою

Новий телефон не має прихованих сюрпризів — блокування акаунтом попереднього власника, зміненої прошивки, слідів ремонту неоригінальними запчастинами. У випадку вживаного пристрою все це доводиться перевіряти самостійно.

Коли вживаний флагман — кращий вибір

Камера

Флагмани зазвичай мають більші сенсори, оптичну стабілізацію та окремий телеобʼєктив. Обчислювальна фотографія в телефонах середнього класу щороку покращується, але за слабкого освітлення і під час зйомки на відстані різниця залишається помітною.

Продуктивність

Для дзвінків, месенджерів, банківських застосунків і соцмереж сучасного середнього класу цілком достатньо. Різниця проявляється у важких сценаріях: монтажі відео, іграх із високою графікою, ШІ-функціях, що працюють безпосередньо на пристрої. Флагманський процесор, більший обсяг оперативної памʼяті та краще охолодження означають менше перегріву й уповільнень під навантаженням.

Апаратні можливості

Якісніші дисплеї, бездротове заряджання, захист від води та пилу, міцніші матеріали корпусу — саме на цьому виробники телефонів середнього класу найчастіше економлять.

Проте всі ці переваги мають сенс лише тоді, коли конкретна модель ще отримуватиме оновлення безпеки достатньо довго.

Як перевірити вживаний смартфон перед купівлею

Найбільші ризики вживаного телефона — не подряпини на корпусі, а завершена підтримка і привʼязка до чужих акаунтів. Перед оплатою варто перевірити кілька речей.

1. Рівень оновлення безпеки. У налаштуваннях відкрити «Про телефон» → «Версія Android» і знайти поле з датою оновлення системи безпеки. Якщо дата давніша за кілька місяців, слід зʼясувати, чи модель узагалі ще підтримується.
2. Строк підтримки. На сайті виробника знайти, до якої дати модель отримуватиме патчі. Розумний мінімум — щонайменше три роки оновлень безпеки в запасі.
3. Відвʼязка від акаунтів. Захист від скидання до заводських налаштувань (FRP) діє в Android з версії 5.1: після скидання телефон вимагає дані останнього акаунта Google. Продавець має видалити свій акаунт Google, а на смартфонах Samsung — ще й акаунт Samsung, і лише після цього скинути налаштування. Найнадійніше — скинути телефон у присутності продавця та пройти початкове налаштування до кінця.
4. IMEI. Набрати *#06# і порівняти номер із вказаним на коробці та в налаштуваннях. Невідповідність може свідчити про заміну плати або підробку.
5. Стан акумулятора. На частині моделей стан батареї видно в налаштуваннях або в діагностичному застосунку виробника. Якщо такої функції немає, варто хоча б простежити, як швидко падає заряд під час огляду.
6. Ознаки модифікації. Розблокований завантажувач, root-доступ чи стороння прошивка послаблюють захист пристрою, а частина банківських застосунків на таких телефонах не працює. На багатьох моделях розблокований завантажувач видає попередження під час увімкнення.

Після купівлі телефон варто ще раз скинути до заводських налаштувань, увійти у власні акаунти, встановити всі доступні оновлення і завантажувати застосунки лише з Google Play.

Окремий ризик — шахрайство на дошках оголошень: фальшиві посилання на «безпечну доставку», вимога передоплати або даних картки. Безпечніше купувати під час особистої зустрічі й платити після огляду пристрою.

Що обрати

Для більшості покупців новий телефон середнього класу залишається спокійнішим вибором: свіжий акумулятор, гарантія, відома історія і, у випадку Samsung Galaxy A 2025 року та новіших, до шести років оновлень.

Вживаний флагман має сенс, якщо важливі камера, продуктивність чи якість екрана — і якщо конкретній моделі залишається щонайменше три роки оновлень безпеки, а акумулятор у доброму стані або його заміну враховано в ціні.

Флагман без оновлень безпеки, навіть із найкращою камерою, — поганий вибір для пристрою, на якому зберігаються банківські застосунки, паролі та листування.

Ця стаття Новий телефон середнього класу чи вживаний флагман: що вибрати у 2026 році раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Google Assistant майже десять років був голосовим помічником Google на смартфонах, колонках, годинниках і в автомобілях. З 4 вересня 2026 року компанія поступово вимикає його на Android-пристроях і замінює на Gemini — помічника на основі генеративного ШІ. Для користувачів це означає не лише новий інтерфейс, а й інші правила зберігання голосових запитів і розмов. Нижче — що саме змінилося, де Assistant ще працює і які налаштування варто перевірити одразу після переходу.

Що таке Google Assistant

Google Assistant — голосовий помічник, який Google запустила у 2016 році. Він дебютував у травні 2016 року як частина месенджера Allo, а згодом зʼявився на смартфонах Android, iPhone, годинниках Wear OS, розумних колонках, телевізорах і в автомобілях.

Помічник реагував на фрази «Hey Google» та «Ok Google» і виконував типові команди: ставив таймери й будильники, телефонував, надсилав повідомлення, відповідав на запитання, керував освітленням та іншими розумними пристроями. На відміну від сучасних чатботів, Assistant був розрахований насамперед на короткі команди, а не на тривалу розмову.

Чому Google замінює Assistant на Gemini

У березні 2025 року Google оголосила, що переводить користувачів мобільних пристроїв з Assistant на Gemini, а класичний помічник зникне з більшості смартфонів і з магазинів застосунків. Початково перехід планували завершити до кінця 2025 року, але згодом перенесли на 2026-й.

На початку серпня 2026 року Google розіслала користувачам листи з конкретною датою: доступ до Assistant на мобільних пристроях компанія почала прибирати 4 вересня 2026 року, а розгортання може тривати кілька тижнів. Вимкнення охоплює смартфони, планшети, годинники Wear OS, навушники, а також Android Auto, якщо система працює через підключений телефон.

Google пояснює заміну тим, що можливості Gemini значно ширші, ніж у Assistant. Новий помічник веде діалог, працює з текстом, голосом, зображеннями й камерою, аналізує вміст екрана і взаємодіє з підключеними застосунками. Водночас частина користувачів скаржиться, що на простих командах Gemini інколи працює повільніше й менш надійно, ніж старий помічник.

Де Google Assistant ще працює

Вимкнення, яке стартувало 4 вересня, стосується не всіх пристроїв. Assistant поки лишається:

• в автомобілях із вбудованими сервісами Google (Google built-in) — там помічник працюватиме й після 4 вересня;
• на колонках і дисплеях Nest та пристроях Google TV. Для колонок і дисплеїв Google поступово розгортає окремий продукт Gemini for Home: поки що перехід на нього добровільний, але повернутися до Assistant після нього не можна. Для Google TV конкретних термінів компанія не називала;
• на смартфонах і планшетах, які не відповідають мінімальним вимогам Gemini. Застосунок потребує щонайменше 2 ГБ оперативної памʼяті й не підтримує Android Go. На таких пристроях функціональність Assistant поки не змінюється, однак як довго діятиме виняток, Google не уточнює.

Україна входить до переліку країн, де доступний застосунок Gemini, тож сумісні Android-смартфони українських користувачів переходять на новий помічник на загальних підставах.

Що тепер відбувається у відповідь на «Hey Google»

Після переходу фраза «Hey Google» і довге натискання кнопки живлення викликають уже Gemini. Поверх відкритого застосунку зʼявляється компактне вікно, а помічник може скористатися вмістом екрана — наприклад, запропонувати поставити запитання про відео на YouTube.

Для україномовних користувачів є важливий нюанс. Згідно з довідкою Google, українська мова в Gemini не підтримує голосову активацію «Hey Google» і частину функцій дій. Тому фраза «Привіт, Google» помічника не викликає. Якщо мовою Gemini вибрано українську, помічника запускають дотиком — утриманням кнопки живлення чи кнопки «Головний екран» або жестом від нижнього кута екрана, — чи через мікрофон у самому застосунку.

Gemini на заблокованому екрані

Gemini може працювати й тоді, коли телефон заблоковано: відповідати на загальні запитання, керувати розумними пристроями, ставити будильники й таймери, читати сповіщення про повідомлення та відповідати на них. Дзвінки й надсилання повідомлень без розблокування доступні лише після окремої згоди, а для персональних даних на кшталт календаря помічник попросить розблокувати пристрій.

З погляду безпеки ці можливості варто обмежити: будь-хто, хто тримає телефон у руках, може продиктувати повідомлення від імені власника. У налаштуваннях Gemini є розділ про заблокований екран із двома перемикачами — для роботи помічника без розблокування загалом і окремо для дзвінків та повідомлень.

Як Gemini зберігає дані і чим це відрізняється від Assistant

Assistant зберігав текст запитів в історії Web & App Activity, якщо це налаштування було увімкнене. Записи можна було переглянути й видалити в розділі «Мої дії» або налаштувати автоматичне видалення через 3, 18 чи 36 місяців. Частину запитів, попередньо відʼєднаних від облікового запису, читали й анотували рецензенти.

Gemini веде окрему історію — Gemini Apps Activity, якою керує перемикач Keep Activity. Ключові правила описують Privacy Hub Gemini та довідка Google щодо історії:

• для користувачів від 18 років збереження історії увімкнене за замовчуванням. Записи автоматично видаляються через 18 місяців; цей строк можна змінити на 3 або 36 місяців або вимкнути автовидалення;
• частину розмов перевіряють люди, зокрема працівники підрядників Google. Перед передачею розмови відʼєднують від облікового запису, проте перевірені розмови зберігаються до трьох років і не видаляються разом з історією;
• навіть коли збереження історії вимкнено, розмови лишаються в обліковому записі до 72 годин — щоб помічник міг відповісти, обробити відгук і захистити сервіс;
• аудіозаписи, відео й трансляції екрана з Gemini Live за замовчуванням не використовуються для покращення сервісів Google — для цього потрібна окрема згода;
• запис звуку може розпочатися за кілька секунд до активації, а сам помічник інколи вмикається випадково — коли чує звук, схожий на «Hey Google»;
• повідомлення, які користувач створює й надсилає через Gemini, Google не захищає наскрізним шифруванням.

Google прямо радить не вводити в Gemini конфіденційну інформацію, яку небажано показувати рецензентам. Водночас компанія запевняє, що розмови з Gemini не використовуються для показу реклами.

Історія старого Assistant після переходу не зникає: вона лишається у Web & App Activity, доки користувач не видалить її власноруч. Крім того, Google може перенести до історії Gemini до 90 днів запитів, які користувач надсилав Assistant для дзвінків і повідомлень.

Як налаштувати приватність після переходу на Gemini

1. Відкрити історію Gemini і вирішити, чи потрібне збереження розмов. Якщо персоналізація не важлива, Keep Activity можна вимкнути; якщо важлива — скоротити автовидалення до 3 місяців.
2. Переконатися, що використання аудіо й записів Gemini Live для покращення сервісів вимкнене: за замовчуванням так і є, але налаштування могли змінити раніше.
3. Для чутливих тем користуватися тимчасовими чатами. Вони не потрапляють до історії й не використовуються для навчання моделей, хоча так само зберігаються до 72 годин.
4. Обмежити роботу Gemini на заблокованому екрані — насамперед дзвінки й повідомлення без розблокування.
5. Переглянути підключені застосунки й відʼєднати ті, доступ до яких помічнику не потрібен.
6. Перевірити дозволи застосунку Google. Саме він обслуговує Gemini на Android, тому доступ помічника до мікрофона, контактів і точного місцезнаходження визначають дозволи застосунку Google. Їх можна знайти, утримуючи значок застосунку Google і відкривши інформацію про застосунок.
7. Якщо голосова активація не потрібна, вимкнути «Hey Google» у налаштуваннях Gemini — у розділі про голосове керування без рук.
8. Окремо переглянути й за потреби видалити стару історію Assistant у Web & App Activity.

Чи можна повернути Google Assistant

Доки міграція не дійшла до конкретного пристрою, у застосунку Gemini ще може бути доступний пункт для повернення до Assistant. Після того як Google прибирає доступ, повернутися до класичного помічника на телефоні, планшеті чи підключених пристроях уже не можна. Виняток — пристрої, що не відповідають вимогам Gemini: на них Assistant поки працює як раніше.

Тим, хто не хоче користуватися Gemini взагалі, лишається обмежити його можливості налаштуваннями або вимкнути помічника — про це окремий матеріал CyberCalm.

Перехід на Gemini — це не лише нова назва знайомого помічника. Змінилися місце зберігання історії, строки зберігання і роль людей-рецензентів, тож налаштування приватності, які колись були виставлені для Assistant, на Gemini автоматично не поширюються і їх варто перевірити заново.

Ця стаття Що таке Google Assistant і що з ним сталося: перехід на Gemini, приватність і налаштування раніше була опублікована на сайті CyberCalm, її автор — Олена Кожухар

APK — стандартний формат інсталяційних пакетів Android і водночас один із головних каналів, через який на смартфони українців потрапляє шкідливе ПЗ. Фейкова «Дія», підроблений «Резерв+», «оновлений застосунок банку» — усе це поширюється саме такими файлами, поза офіційними магазинами. Водночас із 30 вересня 2026 року Google починає змінювати правила гри: встановлення застосунків від неверифікованих розробників поступово обмежуватимуть.

Що таке файл APK

APK (Android Package) — це формат інсталяційного пакета для Android, приблизний аналог EXE або MSI у Windows. Технічно це ZIP-архів, усередині якого міститься скомпільований код застосунку, ресурси, графіка, файл маніфесту з переліком потрібних дозволів і цифровий підпис розробника.

Цифровий підпис — ключова деталь для теми безпеки. Android дозволяє оновити застосунок лише файлом, підписаним тим самим ключем. Саме тому будь-який «модифікований», «зламаний» або «преміальний» APK завжди має чужий підпис: оригінальний розробник його не підписував і не контролює, що туди додали.

Із серпня 2021 року розробники завантажують у Google Play не APK, а AAB (Android App Bundle) — універсальний пакет, з якого магазин сам збирає APK під конкретну модель пристрою. Формат нікуди не зник: у вигляді APK застосунок урешті потрапляє на телефон, просто складання відбувається на боці Google.

Поза магазином APK досі використовують, щоб установити бета-версію, повернути попередню версію застосунку, поставити програму, недоступну в регіоні, або застосунок, якого немає в Play Маркеті. Це легітимні сценарії — проблема не у форматі, а в джерелі файлу.

Що змінюється у 2026 році: верифікація розробників Google

Найбільша за останні роки зміна в механіці встановлення застосунків на Android стосується не користувачів, а розробників — але наслідки відчують саме користувачі. Google запровадив обовʼязкову верифікацію особи розробника: застосунок має бути зареєстрований на реального підтвердженого автора, незалежно від того, поширюється він через магазин чи окремим файлом.

Згідно з офіційним таймлайном Google, етапи такі:

• червень 2026 — на більшість пристроїв з Android 8 і новіших автоматично встановлюється системна служба, яка згодом перевірятиме реєстрацію розробника;
• серпень 2026 — глобально запускаються облікові записи з обмеженим розповсюдженням (для студентів і любителів, без держпосвідчення та оплати) і «розширений сценарій» встановлення застосунків від неверифікованих розробників;
• 30 вересня 2026 — реєстрація стає обовʼязковою для семи магазинів застосунків (Google Play, Galaxy Store, Xiaomi GetApps, HONOR, OPPO, vivo, Palm Store) у Бразилії, Індонезії, Сінгапурі й Таїланді;
• 2027 рік — вимогу планують поширити на всі сертифіковані пристрої Android у світі.

Для України це означає, що прямо зараз нічого не блокується: країна не входить до першої четвірки. Але глобальний етап 2027 року торкнеться й українських користувачів. Для переважної більшості людей, які ставлять застосунки з Play Маркета, не зміниться нічого. Зміниться сценарій для тих, хто встановлює файли вручну: незареєстрований застосунок доведеться ставити або через Android Debug Bridge з компʼютера, або через розширений сценарій.

Окрема деталь, важлива для української аудиторії: Google прямо зазначає, що розширений сценарій містить контрольні точки, які мають протидіяти схемам із примусом — тобто ситуаціям, коли жертву по телефону вмовляють встановити файл. За описом The Hacker News, цей шлях передбачає увімкнення режиму розробника, перезавантаження, добу очікування та повторну автентифікацію. Шахрай, який тисне на жертву в режимі реального часу, такої паузи не витримує.

Деталі процедури верифікації — на сторінці Android Developers.

Чому APK — улюблений інструмент шахраїв в Україні

Формат APK став універсальним інструментом для атак на українців саме тому, що дозволяє обійти магазин застосунків разом із усіма його перевірками. Кілька задокументованих прикладів 2026 року.

Банківський троян Manic

У серпні 2026 року компанія ThreatFabric опублікувала дослідження шкідливого ПЗ Manic, яке діє щонайменше з лютого 2026 року і має виражену українську спрямованість. Програма відстежує 169 ідентифікаторів застосунків — переважно це українські банки, державні та ідентифікаційні сервіси, месенджери, а також засоби звʼязку військового призначення.

Manic перебуває на перетині банківського шкідливого ПЗ і мобільного шпигунського ПЗ

Manic поширюється через фішингові сайти та застосунки-дропери, які маскуються під утиліти. Після отримання доступу до спеціальних можливостей і сповіщень він здатен перехоплювати одноразові коди, фіксувати введений PIN-код і фактично керувати пристроєм. Окрема особливість — передавання викрадених даних через сусідні заражені смартфони по Wi-Fi Direct або Bluetooth: відключення телефона від інтернету не гарантує, що витік припинився.

Фейкова «Дія» і Дія.BankID

У червні 2026 року виявили підроблену сторінку, яка імітувала сервіс Дія.BankID і замість переходу в Google Play чи App Store запускала завантаження APK-файлу просто з браузера. Після встановлення застосунок просив доступ до SMS, сповіщень і файлів — набір, який дозволяє перехоплювати банківські коди підтвердження.

Практичний висновок простий: офіційна «Дія» не існує у вигляді APK-файлу. Жоден державний застосунок не поширюється посиланням на файл.

Підроблений «Резерв+»

У червні 2026 року кіберполіція спільно зі СБУ припинила діяльність групи, яка створила копію державного застосунку «Резерв+» і продавала до неї доступ. Клон зовні повністю імітував оригінал, але дозволяв вносити фіктивні дані про відстрочку; користувачів було понад чотири тисячі, доступ коштував 1200 гривень на місяць.

Розсилки під виглядом органів влади

Починаючи з січня 2026 року CERT-UA фіксує листи нібито від центральних органів виконавчої влади та обласних адміністрацій із закликом терміново оновити мобільні застосунки цивільних і військових систем. Активність відстежується за ідентифікатором UAC-0252; за даними Інтерфакс-Україна, у підтверджених випадках вкладення містило виконуваний файл для компʼютера — приманкою було саме «оновлення застосунку».

Спільна ознака всіх схем однакова: файл надходить не з магазину, а з месенджера, SMS, електронного листа або напряму з браузера — і завжди під приводом терміновості.

Як перевірити APK перед встановленням

Якщо встановлення файлу вручну справді потрібне, перед цим варто пройти короткий чекліст.

1. Джерело. Тільки офіційний сайт розробника. Державні та банківські застосунки в Україні поширюються виключно через Google Play і App Store — будь-яка інша пропозиція є шахрайством за визначенням.
2. Назва пакета. Її варто звірити зі сторінкою застосунку в Google Play: ідентифікатор видно в адресному рядку сторінки маркета після параметра id. Підробки зазвичай мають схожу, але не тотожну назву.
3. Контрольна сума. Якщо розробник публікує хеш SHA-256 файлу, його слід порівняти з реальним. Розбіжність означає, що файл змінено.
4. Перевірка у VirusTotal. Корисний, але не достатній крок: дропери спеціально проєктують так, щоб на момент перевірки вони були «чистими», а шкідливий модуль довантажували пізніше.
5. Дозволи. Червоні прапорці — спеціальні можливості (Accessibility), доступ до SMS, читання сповіщень, накладання поверх інших вікон, права адміністратора пристрою та дозвіл встановлювати інші застосунки. Калькулятору чи ліхтарику вони не потрібні.
6. Play Protect має бути увімкнений — вимикати його «щоб файл встановився» не варто ніколи.
7. Жодних установок під супровід по телефону. Якщо «співробітник банку», «рекрутер» чи «служба підтримки» диктує кроки встановлення — це шахрайство, незалежно від того, наскільки переконливо звучить співрозмовник.

Як встановити APK-файл на Android

Технічно процедура проста: завантажений файл потрібно відкрити, після чого система запропонує надати дозвіл на встановлення застосунків з невідомих джерел. Важливий нюанс: дозвіл видається не системі загалом, а конкретному застосунку-джерелу — браузеру, месенджеру або файловому менеджеру. Після встановлення його варто одразу відкликати в налаштуваннях, щоб випадковий файл не встановився наступного разу.

Два обмеження, про які варто знати заздалегідь:

• починаючи з Android 14, система блокує встановлення застосунків зі значенням targetSdkVersion нижче 23. Це прямий антималварний захід: шкідливе ПЗ роками використовувало старі рівні API, щоб уникати сучасної моделі дозволів. Обійти блок можна лише через ADB;
• в Android 16 зʼявився режим «Додатковий захист», який вимикає встановлення застосунків поза Play Маркетом і попередньо встановленими магазинами, не дає вимкнути Play Protect і блокує зʼєднання 2G. Для журналістів, військових, активістів і всіх, хто перебуває в зоні ризику цільових атак, це розумний компроміс: сайдлоадинг стає недоступним, зате зникає ціла категорія загроз.

Наскільки захищає Google Play Protect

Play Protect перевіряє не лише застосунки з магазину. За річним звітом Google, у 2025 році сканування в реальному часі виявило понад 27 мільйонів нових шкідливих застосунків поза Google Play. Окремий механізм блокує встановлення з «інтернет-джерел» — браузера чи месенджера, — якщо застосунок одразу запитує чутливі дозволи, характерні для фінансового шахрайства.

Це суттєвий захист, але не підстава вважати сайдлоадинг безпечним. Дропери на кшталт Manic будують свою логіку саме на обході перевірки на етапі встановлення: у момент інсталяції застосунок виглядає нешкідливим.

Чи законно завантажувати APK-файли

Завантаження APK з офіційного сайту розробника законне. Використання сайтів, які пропонують «зламані» версії платних застосунків, розблокований преміум або обхід підписки, порушує авторські права — і водночас гарантує, що файл підписаний чужим ключем і в нього могли додати будь-що.

Чи можна встановити APK на iPhone, iPad або macOS

Ні. iOS та iPadOS використовують власний формат інсталяційних пакетів — IPA, і APK на цих системах не відкривається в принципі. macOS теж не запускає APK: єдиний варіант — емулятор Android, з усіма ризиками, які супроводжують запуск неперевіреного коду.

Запит «як відкрити APK на айфоні» найчастіше виникає, коли користувачеві надіслали файл і просять його встановити. Сама неможливість це зробити — непогана перевірка: якщо співрозмовник наполягає, що «зараз усе налаштуємо», розмову варто завершити.

Що робити, якщо підозрілий застосунок уже встановлено

1. Увімкнути режим польоту, щоб обмежити передавання даних.
2. Зняти з застосунку доступ до спеціальних можливостей і права адміністратора пристрою — без цього видалення часто блокується.
3. Видалити застосунок; якщо він не видаляється, завантажити телефон у безпечному режимі.
4. Зателефонувати в банк і заблокувати доступ до рахунків. Номер слід брати з платіжної картки або офіційного сайту, а не з історії дзвінків.
5. З іншого пристрою змінити паролі до ключових акаунтів і завершити активні сесії.
6. Подати повідомлення на сайті Кіберполіції або зателефонувати на 102.

Якщо є підозра на глибоку компрометацію, надійний варіант — повне скидання пристрою до заводських налаштувань із подальшим відновленням лише перевірених застосунків із Play Маркета.

Ця стаття Що таке APK-файл і чи безпечно його встановлювати у 2026 році раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Смартфон розряджається за кілька годин, реклама виринає поверх інших застосунків, а в списку програм зʼявилося щось, чого власник не встановлював. Найімовірніше, на пристрої працює шкідливе ПЗ.

Прибрати його можна вручну й безкоштовно, але порядок дій у 2026 році відрізняється від того, що радили кілька років тому: сучасні банківські трояни навмисно блокують кнопку «Видалити» і вміють вимикати системний захист. Нижче — як відрізнити зараження від буденних причин, як перевірити пристрій і як видалити шкідливий застосунок крок за кроком.

Що насправді ховається за словом «вірус»

Класичних вірусів — програм, які самостійно копіюють себе з файлу у файл — на Android практично немає: система ізолює застосунки один від одного. Те, що користувачі за звичкою називають вірусом, на практиці означає кілька різних типів загроз:

• рекламне ПЗ (adware) — заробляє на примусових показах реклами. Найпомітніший і найменш небезпечний клас;
• дропери — нешкідливі на вигляд застосунки (PDF-рідери, сканери документів, «чистильники» памʼяті), які після встановлення підтягують основне навантаження;
• банківські трояни — перехоплюють логіни, паролі й одноразові коди, а в найновіших версіях здатні самостійно керувати пристроєм;
• сталкерське ПЗ — стеження за конкретною людиною, яке зазвичай встановлює хтось із близького оточення.

Остання категорія виявляється інакше, і їй присвячено окремий матеріал — як знайти та видалити шпигунські програми на смартфоні. Ця інструкція — про решту.

Масштаб явища показує річний звіт Google: у 2025 році компанія не допустила до публікації в Google Play понад 1,75 млн застосунків, що порушували правила, і заблокувала понад 80 тисяч акаунтів розробників. Play Захист щодня сканує понад 350 млрд застосунків, і саме його сканування в реальному часі виявило понад 27 млн нових шкідливих застосунків поза Google Play. Останнє число пояснює, звідки береться більшість заражень: не з офіційного магазину, а з APK-файлів, завантажених через браузер або месенджер.

Ознаки того, що на смартфоні шкідливе ПЗ

Прямої «сигналізації» Android не подає, тож орієнтуватися доводиться на непрямі симптоми:

• батарея сідає помітно швидше, ніж раніше, а корпус нагрівається без навантаження;
• реклама зʼявляється поверх системного інтерфейсу або на заблокованому екрані;
• у списку встановлених програм є незнайомі застосунки, часто з «технічними» назвами;
• різко зросло споживання мобільного трафіку, особливо вихідного;
• банківський застосунок поводиться незвично: повторно просить PIN, зависає на вході, показує повідомлення про тимчасову недоступність сервісу;
• надходять SMS із кодами підтвердження, яких ніхто не запитував, — або, навпаки, очікуваний код не приходить;
• іконка нещодавно встановленої програми зникла з робочого столу;
• Google Play Захист виявився вимкненим, хоча власник його не вимикав.

Жодна з цих ознак окремо не доводить зараження. Але поєднання двох-трьох симптомів, особливо якщо вони зʼявилися після встановлення застосунку не з Google Play або переходу за посиланням із повідомлення, є вагомою підставою для перевірки.

Коли справа не в шкідливому ПЗ

Значна частина підозр на «вірус у телефоні» пояснюється прозаїчніше:

• акумулятор після двох-трьох років експлуатації природно втрачає ємність;
• перші дні після великого оновлення системи пристрій переіндексовує дані й гріється сильніше;
• реклама всередині безкоштовного застосунку — це бізнес-модель, а не зараження;
• браузерні push-сповіщення від сайтів, на яких колись натиснули «Дозволити», маскуються під системні попередження — зокрема під повідомлення «ваш телефон заражений»;
• заповнена памʼять і десятки фонових процесів гальмують систему без жодного шкідливого коду.

Тому перед видаленням застосунків варто спокійно звірити симптоми зі списком вище — і лише потім переходити до інструкції.

Чому старі інструкції більше не працюють

Поширена порада «почистити кеш браузера, щоб видалити вірус» не має сенсу: шкідлива програма — це окремий застосунок, а не запис в історії відвідувань. Змінилися й самі загрози.

Сучасні мобільні трояни тримаються на двох дозволах — спеціальні можливості (Accessibility) і доступ до сповіщень. Перший дає програмі змогу бачити вміст екрана й натискати за користувача, другий — читати коди підтвердження. Саме через спеціальні можливості шкідливе ПЗ перехоплює керування й перешкоджає власному видаленню.

Наскільки це актуально для України, показує звіт ThreatFabric від 20 серпня 2026 року про шкідливе ПЗ Manic — гібрид банківського трояна та шпигунської програми. Дослідники встановили, що Manic стежить за 169 застосунками, і основна частина цілей — українські: банки, державні та ідентифікаційні сервіси, месенджери. Серед команд, які оператори надсилають на заражений пристрій, є спроба вимкнути Google Play Захист через автоматизацію інтерфейсу.

Три технічні деталі з цього звіту прямо впливають на порядок дій. Manic уміє передавати зібрані дані через сусідній заражений телефон по Wi-Fi Direct або Bluetooth, коли власного доступу до інтернету немає, — тобто вимкнення мобільних даних саме по собі не гарантує, що витік припинився. Його пакети маскуються під системні компоненти виробників: у переліку індикаторів фігурують назви на кшталт tech.intel.dialer.updater та org.honor.secure.helper, тож «системна» назва не означає «безпечна». І найважливіше для користувача банківських застосунків: Manic не малює підроблений інтерфейс поверх справжнього, а накриває прозорим шаром саме цифрову клавіатуру, фіксує координати натискань і відтворює їх через спеціальні можливості. Банк при цьому відкривається нормально й працює штатно — а введений PIN уже в зловмисника.

Як видалити шкідливе ПЗ з телефону Android

Крок 1. Обмежити доступ пристрою до мережі

Перше, що варто зробити, — увімкнути режим «У літаку». Це зупиняє передавання зібраних даних на сервери зловмисників і не дає програмі довантажити додаткові модулі.

Окремо варто вимкнути Bluetooth: через нього деякі сімейства шкідливого ПЗ шукають інший заражений пристрій поблизу, щоб скористатися його інтернетом як ретранслятором. Режим «У літаку» вимикає Bluetooth не на всіх оболонках, тому перемикач краще перевірити вручну.

Крок 2. Перезавантажити смартфон у безпечному режимі

У безпечному режимі Android запускає лише передвстановлені застосунки — усі завантажені, разом зі шкідливими, тимчасово вимкнені. Це прибирає рекламні накладки й не дає програмі заважати видаленню. Google зазначає, що спосіб входу в безпечний режим залежить від виробника, тож точну інструкцію варто шукати на сайті виробника пристрою.

Два найпоширеніші сценарії:

• Pixel і більшість пристроїв із «чистим» Android: натиснути й утримувати кнопку живлення, потім затиснути пункт «Вимкнути» або «Перезапустити», доки не зʼявиться запит про перехід у безпечний режим.
• Альтернативний спосіб: вимкнути пристрій повністю, увімкнути знову і, щойно почнеться завантажувальна анімація, утримувати кнопку зменшення гучності до кінця запуску.

Напис «Безпечний режим» унизу екрана підтверджує, що все вийшло. Варто врахувати: разом із безпечним режимом Android автоматично вмикає режим «У літаку».

Крок 3. Відкликати права адміністратора та спеціальні можливості

Це той крок, через відсутність якого більшість інструкцій в інтернеті не працює. Якщо кнопка «Видалити» неактивна або сіра, застосунок має права адміністратора пристрою — доки їх не зняти, система не дозволить його прибрати.

Перевірити потрібно три розділи налаштувань (назви пунктів відрізняються залежно від оболонки — швидше знайти їх через пошук у «Налаштуваннях»):

• Спеціальні можливості. «Налаштування» → «Спеціальні можливості» → «Завантажені застосунки» або «Встановлені сервіси». Вимкнути все, чого власник свідомо не вмикав.
• Доступ до сповіщень. «Налаштування» → «Сповіщення» → «Доступ до сповіщень». Зняти дозвіл у незнайомих програм.
• Адміністратори пристрою. «Налаштування» → «Безпека» → «Додаткові налаштування» → «Застосунки для адміністрування пристрою». Зняти позначку біля підозрілого запису.

Варто перевірити й дозвіл «Поверх інших застосунків» — саме він дає змогу малювати вікна поверх банківського застосунку.

Починаючи з Android 13 система сама обмежує доступ до спеціальних можливостей для програм, встановлених поза магазинами застосунків: перемикач стає неактивним, а на екрані зʼявляється повідомлення про недоступне налаштування. Механізм описали в Esper одразу після виходу системи. Захист не абсолютний: дослідники Zimperium зафіксували кампанії, у яких дропери використовують сесійний інсталятор Android, щоб система вважала їх магазином застосунків і не вмикала обмеження.

Крок 4. Знайти й видалити шкідливий застосунок

Далі — «Налаштування» → «Застосунки» → «Усі застосунки». Список варто відсортувати за датою встановлення: зараження майже завжди збігається за часом із появою проблем.

На що звертати увагу:

• назви, що імітують системні компоненти: «System Update», «Play Service Update», «Device Helper», «Media Processor»;
• програми без іконки або з іконкою, яка нічого не відкриває;
• застосунки, яким надано спеціальні можливості чи доступ до сповіщень;
• дублікати вже встановлених програм — два однакові месенджери або дві «Дії»;
• усе, що встановлено не з Google Play, якщо власник цього не робив свідомо.

Натиснути на застосунок → «Видалити». Якщо кнопка й далі неактивна, варто повернутися до кроку 3: щось із дозволів лишилося ввімкненим.

Приховані пакети видно через меню з трьома крапками в списку застосунків — пункт «Показати системні процеси». Саме там зазвичай і знаходять компоненти з підробленими «вендорськими» назвами. Окрема причина перевіряти цей список: у липневій версії Manic імплант прибирає себе з робочого столу й запускається через застосунок-обгортку, тож за іконками його не знайти.

Крок 5. Перевірити пристрій через Google Play Захист

Play Захист вбудований у Google Play і, за документацією Google, сканує всі застосунки на пристрої незалежно від джерела встановлення, включно із завантаженими поза магазином. Найнебезпечніші програми сервіс видаляє автоматично, менш небезпечні — вимикає, залишаючи дані доступними для відновлення.

Щоб запустити перевірку вручну, відкрийте Google Play, торкніться значка профілю у верхньому правому куті й виберіть «Play Захист». На екрані буде напис про те, знайдено шкідливі застосунки чи ні, і час останньої перевірки. Натисніть «Сканувати».

Сканування проходить по всіх встановлених застосунках, разом із системними, і зазвичай триває менше хвилини.

Окремо варто переконатися, що сканування взагалі ввімкнене: у налаштуваннях Play Захисту є відповідний перемикач, і саме його намагається вимкнути шкідливе ПЗ на кшталт Manic.

Одне застереження: порожній результат перевірки не означає, що пристрій точно чистий. Play Захист розпізнає відомі зразки, а свіжі модифікації якийсь час лишаються для нього невидимими. Тому кроки 3 і 4 важливі навіть тоді, коли сканування нічого не показало.

Крок 6. Скидання до заводських налаштувань

Якщо після перезавантаження у звичайний режим симптоми повертаються, залишається скидання: «Налаштування» → «Система» → «Параметри скидання» → «Видалити всі дані».

Ключовий нюанс, який рідко згадують: резервну копію треба робити вибірково — фото, документи, контакти. Відновлення повного образу разом зі списком застосунків може повернути на пристрій і шкідливу програму.

Що зробити одразу після очищення

Видалення застосунку не скасовує того, що вже встигли перехопити. Наступні дії варто виконувати з іншого, свідомо чистого пристрою:

• змінити паролі до банківських застосунків, Google-акаунта, месенджерів і пошти;
• переглянути активні сесії в Google-акаунті та завершити всі незнайомі;
• перевірити банківські виписки й ліміти на перекази, повідомити банк про підозрілі операції;
• перевипустити ключі двофакторної автентифікації, якщо застосунок-автентифікатор стояв на зараженому пристрої;
• перевірити правила переадресації та фільтри в поштовій скриньці — їх часто додають після компрометації;
• попередити контакти, якщо з номера могли надходити повідомлення з посиланнями.

Як не заразитися повторно

• встановлювати застосунки лише з Google Play або магазину виробника пристрою;
• не надавати спеціальні можливості програмам, які не призначені для людей із порушеннями зору чи слуху;
• не вмикати «Дозволити обмежені налаштування», якщо система заблокувала дозвіл для завантаженого ззовні застосунку;
• вчасно встановлювати оновлення Android і застосунків;
• ігнорувати повідомлення на кшталт «пристрій заражено, встановіть оновлення захисту» — саме так поширюють дропери.

Окремо про державні сервіси. В Україні поширена схема, коли фейкова сторінка імітує державний портал і пропонує завантажити APK-файл через браузер замість переходу в магазин застосунків. Офіційна позиція незмінна — застосунок Дія доступний лише в App Store і Play Market, і те саме стосується решти державних сервісів.

Приманка «оновіть мобільний застосунок» давно вийшла за межі самих смартфонів. У березні 2026 року CERT-UA описала кампанію UAC-0252: з січня зловмисники розсилали листи нібито від центральних органів виконавчої влади та обласних адміністрацій із закликом оновити мобільні застосунки цивільних і військових систем. Шкідливе навантаження при цьому було розраховане на компʼютер — у вкладеннях і за посиланнями лежали виконувані файли з назвами на зразок офіційного оновлення «Дії». Звідси універсальне правило: жодне легітимне оновлення застосунку не приходить ані електронною поштою, ані посиланням у месенджері.

Власникам пристроїв на Android 16 доступний режим «Посилений захист» (Advanced Protection). Це один перемикач, який, за описом Google, блокує встановлення застосунків поза магазином, вимикає мережі 2G і WEP та обмежує доступ через USB, коли пристрій заблоковано. Режим створювали для журналістів, активістів та інших груп підвищеного ризику, але ввімкнути його може будь-хто.

Чи відрізняється процедура на планшеті

Ні. Планшети працюють на тій самій Android, тому послідовність кроків ідентична: режим «У літаку», безпечний режим, відкликання дозволів, видалення застосунку, перевірка Play Захисту. Відрізнятися можуть лише назви пунктів меню та спосіб входу в безпечний режим — він залежить від виробника, а не від типу пристрою.

Питання і відповіді

Чи обовʼязково встановлювати антивірус для Android?

Ні. Play Захист сканує пристрій за замовчуванням, а більшість заражень відбувається не «сама по собі», а після того, як користувач встановив програму ззовні й надав їй розширені дозволи. Сторонній антивірус має сенс як додатковий рівень — детальне порівняння рішень із результатами незалежних тестів є в огляді антивірусів для Android.

Чи допоможе очищення кешу браузера?

Ні. Кеш і історія відвідувань не містять шкідливої програми. Очищення браузера прибирає навʼязливі переадресації на конкретному сайті, але не впливає на встановлений застосунок.

Чи можна обійтися без скидання до заводських налаштувань?

У більшості випадків так — якщо вдалося зняти дозволи й видалити застосунок вручну. Скидання потрібне тоді, коли шкідливе ПЗ відновлюється після перезавантаження або система не дає його прибрати.

Що робити, якщо екран заблокувала програма з вимогою оплати?

Платити не варто. Слід перезавантажитися в безпечний режим — у ньому блокувальний екран не завантажується — і видалити застосунок за описаною схемою. Якщо це не спрацювало, залишається скидання до заводських налаштувань.

Ця стаття Як видалити вірус з телефону Android: покрокова інструкція раніше була опублікована на сайті CyberCalm, її автор — Олена Кожухар

14 вересня Apple випустила iOS 27, iPadOS 27, macOS Golden Gate 27 та оновлення для попередніх версій своїх систем. Лише два нові великі релізи закривають понад 200 вразливостей, серед яких — десятки помилок у ядрі. Даних про використання цих вразливостей в атаках немає, проте після публікації технічних деталей ризик для неоновлених пристроїв зростає.

Що виправлено в iOS 27 та iPadOS 27

За даними бюлетеня безпеки Apple, iOS 27 та iPadOS 27 усувають близько 126 вразливостей. Двадцять із них стосуються ядра системи: це помилки, які могли дозволити застосунку аварійно завершити роботу системи, пошкодити чи прочитати памʼять ядра або отримати права root.

Адам Бойнтон із компанії Jamf, що спеціалізується на керуванні пристроями Apple, виокремлює вразливість CVE-2026-64752 у фреймворку обробки медіа CoreMedia. Згідно з описом Apple, обробка спеціально створеного зображення могла призвести до виконання довільного коду.

Зловмисник міг скомпрометувати iPhone, просто показавши користувачеві шкідливе зображення. Цікаво, що Apple не стала виправляти вразливий код, а повністю його видалила.

Серед інших помітних виправлень в iOS 27:

• CVE-2026-65414 у Bluetooth — віддалений зловмисник міг спричинити аварійне завершення застосунку або виконати довільний код;
• дві вразливості в модемі (Baseband) — атакувальник у радіусі дії радіосигналу міг спричинити збій системи або відмову в обслуговуванні;
• CVE-2026-65329 у компоненті Telephony — зловмисник із привілейованою позицією в мережі міг обійти автентифікацію IPSec і перехопити трафік;
• CVE-2026-43674 у Wi-Fi — людина з фізичним доступом до розблокованого пристрою могла переглянути паролі Wi-Fi без автентифікації;
• CVE-2026-84607 в AVEVideoEncoder — застосунок у пісочниці міг виконати довільний код із привілеями ядра.

Виправлення охоплюють понад 90 компонентів систем, зокрема AppleKeyStore, Authentication Services, Foundation, Safe Browsing, Sandbox, Security, TCC і WebKit.

macOS Golden Gate 27, Tahoe 26.7 і Sequoia 15.8

macOS Golden Gate 27 усуває 210 вразливостей, приблизно сотня з яких спільна з iOS 27. Нова система доступна лише для Mac з процесорами Apple silicon та MacBook Neo, тож власники Mac на Intel залишаються на гілці Tahoe.

Для них Apple випустила macOS Tahoe 26.7, яка, за підрахунком SecurityWeek, виправляє 153 унікальні CVE. Бюлетень Apple містить 27 записів про вразливості ядра: вони могли призвести до пошкодження памʼяті, підвищення привілеїв, аварійного завершення роботи системи чи витоку даних. Серед інших виправлень — CVE-2026-65400 у Screen Sharing, через яку атакувальник у мережі міг автентифікуватися без дійсних облікових даних, і CVE-2026-43692 у системі друку CUPS, що дозволяла віддалене виконання коду.

Більшість вразливостей виявили у 2026 році, однак оновлення закриває й давню CVE-2022-3437 — переповнення буфера в купі в бібліотеці Heimdal, яку використовує Samba. У відкритих базах вразливостей її оцінюють як середню за небезпекою: вона може використовуватися для атак типу «відмова в обслуговуванні» (DoS). Apple у своєму бюлетені зазначає, що атакувальник із привілейованою позицією в мережі міг отримати доступ до конфіденційної інформації.

macOS Sequoia 15.8 містить понад 150 виправлень, більш ніж 140 з яких збігаються з Tahoe 26.7.

Хто отримає iOS 27, а хто — iOS 26.7

Згідно зі сторінкою оновлень Apple, iOS 27 доступна для iPhone 11 і новіших моделей. Вимоги до iPad зросли: iPadOS 27 підтримує iPad Pro 12,9 дюйма 4-го покоління та новіші, iPad Pro 11 дюймів 2-го покоління та новіші, iPad Air 4-го покоління, iPad 9-го покоління та iPad mini 6-го покоління і новіші.

Власники iPad Pro 12,9 дюйма 3-го покоління, iPad Pro 11 дюймів 1-го покоління, iPad Air 3-го покоління, iPad 8-го покоління та iPad mini 5-го покоління отримують iPadOS 26.7. Це оновлення доступне й для iPhone тим, хто поки не хоче переходити на iOS 27. Воно закриває понад 80 вразливостей, більшість із яких виправлено і в iOS 27.

Оновлення для інших пристроїв

Одночасно Apple випустила tvOS 27, watchOS 27 і visionOS 27, кожна з яких усуває кілька десятків вразливостей, а також Safari 27 із шістьма виправленнями та Xcode 27 з одним.

Чи використовуються вразливості в атаках

Apple не повідомляє, що якусь із виправлених вразливостей використовували в реальних атаках. Водночас, як зауважує MacRumors, після публікації деталей неоновлені пристрої можуть опинитися під загрозою, тому оновлення варто встановити якнайшвидше.

Для організацій, за словами Бойнтона, важлива не лише кількість виправлень, а й швидкість їх розгортання.

Кількість виправлень в iOS 27 важить менше, ніж те, де саме вони розташовані, а цей реліз зосереджений на ядрі, а не на браузері. Для компаній щовересня постає те саме питання: скільки часу потрібно, щоб виправлення, яке Apple випустила в перший день, дісталося до кожного пристрою з доступом до корпоративних даних? Раніше ця затримка була вимушеним обмеженням, а тепер це вибір: завдяки підтримці в день релізу весь парк пристроїв можна оновити за кілька годин, а не тижнів.

Як встановити оновлення

На iPhone та iPad оновлення доступне в меню Параметри → Загальні → Оновлення ПЗ, на Mac — у Системні параметри → Загальні → Оновлення ПЗ.

Фахівці SANS Internet Storm Center повідомляють про дві особливості. По-перше, частина користувачів бачить завантаження iOS 26.7 замість iOS 27, хоча фактично може встановлюватися саме iOS 27, тож після оновлення варто перевірити номер версії. По-друге, деякі захисні утиліти для Mac, зокрема Little Snitch, потребують оновлення ще до переходу на macOS Golden Gate 27. Також варто памʼятати, що після встановлення нових версій iOS і iPadOS повернутися до попередньої неможливо.

Ця стаття Apple виправила понад 200 вразливостей в iOS 27 та macOS Golden Gate 27 раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Смартфон на Android або iPhone може працювати як ключ безпеки для Google-акаунта: вхід підтверджується відбитком пальця, обличчям або PIN-кодом телефона, а пароль і SMS-код стають непотрібними. Технологія називається passkey (ключ доступу).

Google зробив її варіантом входу за замовчуванням для особистих акаунтів ще в жовтні 2023 року, проте багато користувачів досі не налаштували її або не знають, як увійти за допомогою телефона на чужому компʼютері.

Що таке passkey і чому він захищає від фішингу

Passkey — це пара криптографічних ключів. Публічний ключ зберігається на сервері Google, приватний — лише на пристрої користувача і нікуди не передається. Щоб скористатися приватним ключем, потрібно розблокувати пристрій біометрією, PIN-кодом або графічним ключем.

Головна перевага — стійкість до фішингу. Passkey привʼязаний до конкретного сайту чи застосунку, для якого його створено, тож на підробленій сторінці він просто не спрацює. Технологію розробили в FIDO Alliance на основі відкритих стандартів, тому вона працює на Android, iOS, Windows, macOS і в більшості сучасних браузерів.

Чи можна використовувати телефон як FIDO2-ключ

Так. Passkey на смартфоні побудований на тих самих стандартах FIDO2/WebAuthn, що й апаратні USB- чи NFC-ключі на кшталт Titan Security Key. Різниця в тому, де зберігається секрет.

Passkey на смартфоніАпаратний FIDO2-ключ

Для людей із підвищеним ризиком Google пропонує Програму додаткового захисту (Advanced Protection Program) із найсуворішими налаштуваннями безпеки.

Що потрібно для роботи

За даними довідки Google, passkey підтримують:

• телефони з Android 9 і новішим або з iOS 16 і новішим;
• компʼютери з Windows 10, macOS Ventura, ChromeOS 109 і новішими версіями;
• браузери Chrome 109+, Safari 16+, Edge 109+, Firefox 122+;
• апаратні ключі з підтримкою протоколу FIDO2.

Перед налаштуванням потрібно:

• увімкнути блокування екрана на телефоні;
• увімкнути Bluetooth — без нього телефон не зможе підтвердити вхід на компʼютері;
• на iPhone, iPad і Mac — увімкнути  Вʼязку ключів iCloud (iCloud Keychain).

Як створити passkey для Google-акаунта

На Android-смартфоні, де виконано вхід у Google-акаунт, система зазвичай сама пропонує створити passkey під час входу. Щоб зробити це вручну:

1. Відкрити google.com/security у будь-якому підтримуваному браузері.
2. У розділі входу в Google знайти пункт «Ключі доступу й ключі безпеки».
3. Натиснути «Створити ключ доступу».
4. Підтвердити створення відбитком пальця, обличчям або PIN-кодом пристрою.

Passkey, збережені в Google Password Manager, синхронізуються з наскрізним шифруванням і доступні на всіх пристроях, де виконано вхід у той самий акаунт у Chrome або Android. Chrome на macOS зберігає їх у Google Password Manager за замовчуванням, а на iPhone та iPad цю можливість вмикають у системних налаштуваннях.

Двоетапна перевірка для створення passkey не обовʼязкова: passkey замінює одночасно і пароль, і другий фактор. Водночас інші способи входу залишаються доступними як резервні.

Як увійти на компʼютері за допомогою телефона

Цей сценарій і перетворює смартфон на ключ безпеки: passkey лишається на телефоні, а вхід підтверджується на ньому.

1. На сторінці входу Google на компʼютері ввести адресу електронної пошти.
2. Натиснути «Спробувати інший спосіб» і вибрати «Використати ключ доступу».
3. На екрані зʼявиться QR-код — відсканувати його камерою телефона.
4. Підтвердити вхід на телефоні біометрією або PIN-кодом.

Після сканування QR-коду пристрої перевіряють через Bluetooth, що перебувають поруч. Саме тому зловмисник, який надіслав жертві QR-код дистанційно, не зможе ним скористатися. Якщо пристрої вже повʼязувалися раніше, замість QR-коду на телефон може одразу прийти запит на підтвердження.

Якщо passkey зберігається на апаратному FIDO2-ключі, у цьому ж вікні можна вибрати його.

Що робити, якщо телефон втрачено

Злодій не зможе скористатися passkey без розблокування телефона. Проте втрачений пристрій варто одразу прибрати з акаунта:

• з іншого пристрою відкрити google.com/security і видалити passkey втраченого телефона в розділі ключів доступу;
• у списку пристроїв, з яких виконано вхід, завершити сеанс на втраченому телефоні;
• якщо passkey синхронізувалися, на новому телефоні вони зʼявляться після входу в той самий акаунт.

Щоб не втратити доступ зовсім, варто тримати в акаунті щонайменше один резервний спосіб входу. Google радить обирати для двоетапної перевірки підказки Google замість SMS — вони захищають від атак із підміною SIM-картки.

Нюанси та обмеження

• Вихід з акаунта на Android. Після виходу увійти за допомогою passkey на цьому пристрої можна ще протягом 6 годин. Потім знадобиться інший спосіб входу, а під час наступного входу Android створить новий passkey, і старий перестане діяти.
• Сторонні менеджери паролів. На Android 14 і новіших можна зберігати passkey не лише в Google Password Manager, а й у сторонніх менеджерах паролів.
• Спільні пристрої. Не варто створювати passkey на чужому чи публічному компʼютері: будь-хто, хто його розблокує, отримає доступ до акаунта. Для таких випадків і призначений вхід через QR-код із власного телефона.
• Старі апаратні ключі. Якщо FIDO2-ключ додано в акаунт до травня 2023 року, для створення на ньому passkey його, можливо, доведеться видалити й додати знову.

Детальніше про інші способи захисту — у матеріалі про двофакторну автентифікацію на всіх пристроях, а власникам техніки Apple — у гайді про passkey на iPhone, iPad і Mac.

Ця стаття Як використовувати смартфон як ключ безпеки для Google-акаунта: passkey замість пароля раніше була опублікована на сайті CyberCalm, її автор — Побокін Максим

Якщо у вас iPhone 11 або новіший і заздалегідь було увімкнено «Мережу локатора», вимкнений телефон залишається видимим у Локаторі ще приблизно добу. Це головне, що варто знати в перші хвилини: час обмежений, і витратити його краще на дії, а не на паніку. Нижче — що зробити просто зараз, чого не робити в жодному разі та як не потрапити на фішинг, який чекає саме на тих, хто щойно втратив iPhone.

Скільки часу у вас насправді є

Apple визначає три різні терміни, і їх легко переплутати — хоча саме від них залежить, що ви побачите на карті.

• До 24 годин після вимкнення телефона — пристрій ще передає своє місце через Мережу локатора. Потрібні iPhone 11 або новіший та iOS 15 і вище.
• До 5 годин у режимі резерву живлення, коли акумулятор сів. Ця можливість зʼявилася в iOS 15.2.
• До 7 днів у Локаторі зберігається остання відома локація — навіть коли пристрій уже нічого не передає. Через тиждень карта покаже «Жодної геопозиції не знайдено».

Які моделі це вміють

Пошук вимкненого пристрою працює на iPhone 11 і новіших. Моделі iPhone SE до цього списку не входять — на них вимкнений телефон не знайдеться, залишиться лише остання локація до моменту вимкнення.

Як це працює насправді

Коли ви вимикаєте iPhone, він не знеструмлюється повністю: модуль Bluetooth продовжує живитися від резерву й розсилає зашифрований сигнал-маячок. Будь-який чужий iPhone, iPad чи Mac поблизу чує цей сигнал і анонімно передає координати на сервери Apple. Мережа локатора — це понад мільярд пристроїв Apple по всьому світу. Тобто ваш телефон не «повідомляє про себе» сам: його знаходять чужі пристрої, які випадково опинилися поруч.

Практичний наслідок: у центрі великого міста вимкнений iPhone найімовірніше проявиться на карті протягом кількох хвилин, а в полі чи в порожньому підʼїзді може не проявитися взагалі.

Перші 15 хвилин: покроково

1. Відкрийте Локатор на іншому пристрої Apple — або зайдіть на icloud.com/find із будь-якого браузера, зокрема з чужого компʼютера. Другий пристрій Apple мати не обовʼязково.
2. Подивіться, що показує карта. Точка на карті означає, що сигнал надходив упродовж останньої доби. Напис «Жодної геопозиції не знайдено» — що минуло понад сім днів або Мережа локатора була вимкнена ще до зникнення.
3. Відтворіть звук, якщо телефон може бути десь поруч. Він спрацює навіть у беззвучному режимі — але лише якщо пристрій увімкнений і в мережі.
4. Увімкніть Режим втрати. Це найважливіша дія у всьому списку, і відкладати її не варто. Режим втрати блокує пристрій код-паролем, призупиняє картки та перепустки в Apple Pay і зберігає Замок активації. Ви також можете вивести на екран блокування повідомлення з контактом — але зробіть це обережно, і чому саме, читайте в наступному розділі.
5. Заблокуйте SIM-картку в оператора. Це не допоможе знайти телефон, зате не дасть скористатися вашим номером для відновлення доступу до інших сервісів — від банківського застосунку до месенджерів.
6. Подайте заяву в поліцію та вкажіть IMEI. Це єдиний законний шлях, у якому номер пристрою справді щось означає: за запитом правоохоронців оператори можуть відстежити активність IMEI у мережі. Як подивитися свій IMEI — у нашій інструкції про номер IMEI. Записати його варто заздалегідь: після зникнення телефона це вже не вийде.

Пастка, яка чекає саме на постраждалих

Восени 2025 року Національний центр кібербезпеки Швейцарії (NCSC) попередив про хвилю фішингу, націленого виключно на власників щойно втрачених iPhone. Схема виглядає так.

• Через кілька днів — а іноді через кілька місяців — на ваш номер або пошту приходить SMS чи iMessage нібито від Apple: ваш пристрій знайдено, часто «за кордоном».
• У повідомленні є точні характеристики телефона: модель, колір, обʼєм памʼяті. Саме це знімає підозри — звідки б шахраям це знати?
• За посиланням відкривається копія сторінки Локатора, яка просить увійти під Apple ID, щоб «побачити місцезнаходження».
• Введені логін і пароль ідуть просто до зловмисників.

Звідки вони знають ваш номер і модель? Від вас. Модель, колір і памʼять видно на самому пристрої. А контакт вони беруть із того самого повідомлення, яке ви залишили на екрані блокування, коли вмикали Режим утрати.

Що з цього випливає:

• Apple ніколи не надсилає SMS, iMessage чи листи про те, що ваш пристрій знайдено. Будь-яке таке повідомлення — фішинг, без винятків.
• Ніколи не вводьте Apple ID за посиланням із повідомлення. Статус пристрою перевіряйте лише в застосунку «Локатор» або самостійно набравши icloud.com/find.
• На екрані блокування залишайте не основну пошту й не основний номер, а окрему адресу, заведену саме для цього. Тоді витік контакту нічим вам не загрожує.

Чому злодію потрібен ваш Apple ID, а не ваш телефон

Замок активації жорстко привʼязує iPhone до облікового запису власника. Поки замок активний, пристрій неможливо стерти, активувати заново чи перепродати — це просто скло й метал. Обійти замок технічно ніхто не вміє, тому єдиний реалістичний шлях для зловмисника — умовити самого власника віддати пароль. Звідси й уся фішингова індустрія навколо викрадених телефонів.

Головне, чого не можна робити: не видаляйте зниклий iPhone зі списку пристроїв у своєму обліковому записі Apple. Це знімає Замок активації і перетворює безнадійну для злодія «цеглину» на товар. Пристрій має залишатися у списку доти, доки ви остаточно не переконаєтеся, що повернути його неможливо, — і навіть тоді видаляти його немає жодної потреби.

Стирання пристрою — окрема історія. З iOS 15 і новішими стертий iPhone усе одно залишається видимим у Локаторі, тож віддалене стирання не позбавляє вас шансів на пошук. Але це незворотна дія, тож залишіть її на момент, коли вже вичерпали інші варіанти.

Якщо Локатор був вимкнений

Знайти такий телефон самостійно не вийде. Це неприємно чути, але краще почути одразу, ніж витратити добу на сервіси, які обіцяють «пошук за номером телефона» чи «пошук за IMEI». Приватна особа не має доступу до даних мобільної мережі, і жоден сайт, який пропонує таку послугу за гроші, цього доступу теж не має.

Що ще можна зробити:

• Подати заяву в поліцію та вказати IMEI.
• Заблокувати SIM-картку в оператора.
• Змінити паролі до пошти, банківських застосунків і месенджерів, привʼязаних до цього номера.
• Перевірити, чи не було спроб входу у ваш обліковий запис Apple з невідомих пристроїв.

Що увімкнути зараз, поки телефон при вас

Усе описане вище працює тільки за умови, що потрібні перемикачі були увімкнені до зникнення пристрою. Перевірка займає дві хвилини.

Мережа локатора

Параметри → ваше імʼя → Локатор. Тут мають бути увімкнені три перемикачі: «Де iPhone», «Мережа локатора» та «Надіслати останнє місце». Перший відповідає за пошук у принципі, другий — за пошук вимкненого пристрою, третій автоматично надсилає координати Apple, коли акумулятор майже сів.

Перевірити результат просто: затисніть бічну кнопку разом із кнопкою гучності, і під повзунком вимкнення має зʼявитися напис про те, що iPhone можна знайти після вимкнення. Якщо напису немає — щось із трьох перемикачів вимкнене.

Захист украденого пристрою

Функція зʼявилася в iOS 17.3 і задумана рівно для сценарію, коли злодій підглянув ваш код-пароль. Коли iPhone перебуває в незнайомому місці, зміна пароля Apple ID, вихід з облікового запису чи доступ до збережених паролів вимагають Face ID або Touch ID — без запасного варіанту у вигляді коду. Для найкритичніших дій додається ще й годинна затримка: за цей час ви встигнете помітити проблему й увімкнути Режим втрати.

Вмикається в розділі «Face ID і код-допуску». За повідомленнями профільних видань, Apple планує вмикати цей захист автоматично в одному з найближчих оновлень iOS 26 — але покладатися на це не варто, увімкніть вручну.

Дрібниці, які насправді важать

• Поставте PIN на SIM-картку — інакше її просто переставлять в інший телефон.
• Вимкніть доступ до Центру керування з екрана блокування, щоб зникнення телефона не почалося з увімкненого Авіарежиму.
• Запишіть IMEI і збережіть його окремо від телефона — у поштовій скриньці, менеджері паролів чи паперовому блокноті.
• Робіть резервні копії: телефон повернути вдається не завжди, а от фотографії й контакти цілком реально не втратити.

Коротко

• Є доба. iPhone 11 і новіші видно в Локаторі ще близько 24 годин після вимкнення й 5 годин у режимі резерву живлення.
• Режим втрати — перша дія, а не остання. Він зберігає Замок активації і блокує Apple Pay.
• Жодних повідомлень від «Apple». Компанія не пише SMS про знайдені пристрої. Це фішинг заради вашого Apple ID.
• Не видаляйте пристрій зі списку в обліковому записі — це знімає Замок активації.
• Пошуку за IMEI для приватних осіб не існує. Тільки заява в поліцію.

Ця стаття Як знайти iPhone, якщо він вимкнений або розряджений: 24 години на пошук раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Хмарна архітектура Telegram робить переїзд на новий смартфон справою однієї хвилини: достатньо встановити застосунок і ввести той самий номер. Кабелі, резервні копії та сторонні утиліти не потрібні. Проте у цієї простоти є два підводні камені: одна категорія переписки не переноситься взагалі й зникає безповоротно, а без доступу до старого номера телефону акаунт можна втратити остаточно. Нижче — порядок дій для Android та iPhone, перелік того, що переїде саме, і те, що варто зберегти вручну ще до того, як старий пристрій буде вимкнено.

Чому Telegram переносити простіше за інші месенджери

Telegram зберігає стандартні (хмарні) чати, групи, канали та медіафайли на власних серверах, а не в памʼяті смартфона. Акаунт привʼязаний до номера телефону, а не до конкретного пристрою, тому застосунок можна запустити на будь-якій кількості телефонів, планшетів і компʼютерів одночасно — переписка синхронізується миттєво, пояснюють у довідці Telegram. Для порівняння, WhatsApp історично покладався на локальні резервні копії, які потрібно створювати й відновлювати вручну.

Масштаб сервісу за власними даними компанії — понад 1 мільярд активних користувачів; застосунок входить до пʼятірки найпопулярніших у світі за кількістю завантажень.

Практичний наслідок простий: для переїзду не потрібно нічого копіювати вручну. Потрібен лише вхід в акаунт — і доступ до номера, на який його зареєстровано.

Що зробити до того, як старий телефон буде вимкнено

Це найважливіший етап, який більшість інструкцій пропускає. Після входу на новому пристрої повернути втрачене буде вже неможливо.

1. Перевірити, що номер працює. Номер телефону — єдиний ідентифікатор користувача в Telegram. У компанії формулюють це прямо: хто володіє номером, той володіє акаунтом, і без доступу до номера або до застосунку підтримка допомогти не може. Викидати стару SIM-картку до завершення переїзду не варто.
2. Згадати пароль двоетапної перевірки. Якщо двоетапну перевірку увімкнено, самого лише коду з SMS для входу буде замало.
3. Врятувати вміст секретних чатів. Вони не переносяться в жодний спосіб — деталі нижче.
4. За потреби вивантажити архів переписки через десктопний застосунок.
5. Створити passkey. Це дозволить увійти без SMS, якщо з кодом виникнуть проблеми.

Покрокова інструкція: як перенести Telegram на новий телефон

Процедура ідентична для Android та iPhone — окремих інструментів міграції Telegram не потребує.

1. Встановити офіційний застосунок. Google Play для Android або App Store для iOS. Копії Telegram зі сторонніх джерел встановлювати не варто: акаунт у месенджері дає доступ до всієї хмарної переписки.
2. Ввести номер у міжнародному форматі — з кодом країни, наприклад +380… Telegram підтримує лише мобільні номери, стаціонарні для реєстрації не годяться.
3. Отримати код підтвердження — куди саме він прийде, залежить від того, чи є активні сесії на інших пристроях (див. наступний розділ).
4. Ввести код у відповідне поле на новому телефоні.
5. Ввести пароль двоетапної перевірки, якщо її було налаштовано раніше.
6. Дочекатися синхронізації. Список чатів зʼявляється практично одразу, а медіафайли підвантажуються на вимогу — застосунок займає менш ніж 100 МБ, решта залишається у хмарі.

Куди приходить код підтвердження і що робити, якщо його немає

Найпоширеніша помилка — чекати SMS. Якщо користувач нещодавно заходив у Telegram на іншому пристрої, код надходить не в SMS, а всередині самого Telegram — у чаті з верифікованим службовим акаунтом «Telegram» із синьою позначкою. Саме тому старий телефон варто тримати увімкненим і підключеним до інтернету до завершення переїзду.

Важливий нюанс для безпеки. Код для входу в акаунт приходить у службовий чат «Telegram», а не в чат «Verification Codes» — останній призначений виключно для кодів від сторонніх сервісів. Код входу не можна передавати нікому — ні знайомим, ні «службі підтримки», ні жодному іншому застосунку. Прохання переслати код — типовий сценарій викрадення акаунтів у месенджерах.

Якщо код не приходить

• Перевірити чат «Telegram» на старому пристрої, планшеті або в десктопній версії.
• Переконатися, що номер введено у міжнародному форматі, і запросити повторне надсилання.
• Замовити код голосовим дзвінком. Тут є обмеження, про яке зазвичай не пишуть: продиктований дзвінком код доступний лише для акаунтів з увімкненою двоетапною перевіркою.
• Якщо нічого не допомогло — заповнити форму підтримки Telegram.

Вхід без SMS: як працюють passkey

Telegram підтримує passkey — метод входу, який замінює SMS-код. Ключ створюється на пристрої, де користувач уже авторизований, після чого вхід в акаунт відбувається так само, як розблокування смартфона: PIN-кодом, відбитком пальця або сканом обличчя. У компанії наголошують, що цей спосіб надійніший за SMS і працює навіть тоді, коли мобільний звʼязок недоступний — наприклад, у поїздці за кордон.

Керувати ключами можна в розділі Налаштування → Конфіденційність і безпека → Passkeys, де видно дату створення кожного ключа й час останнього використання. Passkey варто зберегти в менеджері паролів — iCloud Keychain, Google Password Manager або сторонньому сервісі, — щоб не втратити його разом зі старим пристроєм.

Passkey не скасовує потреби в номері. Telegram окремо попереджає: можливість запросити SMS-код зберігається завжди, тому до акаунта має бути привʼязаний актуальний номер, який контролює сам користувач. Інакше акаунт можна втратити назавжди.

Що переїжджає автоматично

Після входу на новому пристрої зʼявляються:

• усі хмарні чати з повною історією листування;
• групи й канали, до яких приєднаний акаунт;
• контакти Telegram;
• медіафайли й документи з хмарних чатів — до 2 ГБ кожен або до 4 ГБ для передплатників Telegram Premium;
• чат «Збережене» (Saved Messages);
• стікери, емодзі та налаштування профілю;
• хмарні чернетки — незакінчені повідомлення синхронізуються між пристроями.

Частина локальних налаштувань — тема оформлення, тонкі параметри сповіщень для окремих чатів — може не перенестися й потребуватиме ручного налаштування.

Що зникає назавжди

Секретні чати

Секретні чати — головний виняток. Вони не є частиною хмари Telegram і привʼязані до конкретного пристрою: прочитати їх можна лише там, де їх було створено. Через наскрізне шифрування ключі не залишають пристрій, тому серверної копії такої переписки просто не існує.

Менш очевидна деталь: секретні чати привʼязані не лише до пристрою, а й до поточної сесії. У Telegram прямо зазначають, що після виходу з акаунта й повторного входу секретні чати зникають разом з усім вмістом — навіть на тому самому телефоні.

Що можна зробити до переїзду: скопіювати важливий текст, зберегти файли поза Telegram або зробити знімки екрана. Варто памʼятати, що в секретних чатах співрозмовник отримує сповіщення про скриншот — хоча Telegram визнає, що на деяких системах перехопити знімок екрана неможливо.

Окремо про видалення. Вихід з акаунта не стирає секретну переписку на пристрої співрозмовника. Щоб прибрати її з обох боків, потрібно спершу обрати «Очистити історію».

Локальний кеш

Завантажені раніше фото, відео й документи доведеться підвантажити заново з хмари. На вміст це не впливає, але перші дні застосунок активніше витрачатиме мобільний трафік.

Android → iPhone і навпаки: чи потрібні окремі інструменти

Ні. Перенесення Telegram між платформами не відрізняється від переїзду в межах однієї: історія лежить на серверах, а застосунок лише відображає її. Вхід за тим самим номером на iPhone дає рівно той самий результат, що й на Android.

Це головна відмінність Telegram від месенджерів із локальним зберіганням, де міграція між Android та iOS історично вимагала окремих службових утиліт. Спеціальні інструменти на кшталт Move to iOS або фірмових застосунків виробників Android переносять фотогалерею, контакти телефонної книги й частину програм, але до хмарної переписки Telegram відношення не мають. Докладніше про повний переїзд між платформами — в окремому матеріалі про те, як перенести дані з Android на iPhone.

Єдина категорія, яку не врятує жоден інструмент міграції, — ті самі секретні чати.

Чи є в Telegram резервна копія чатів

Прямого аналога резервної копії WhatsApp у Telegram немає — і, за задумом розробників, не повинно бути. Компанія пояснює свою позицію так: хмарні чати самі виконують роль резервної копії, зберігаються на серверах у зашифрованому вигляді й доступні з будь-якого нового пристрою, навіть якщо старий втрачено. Натомість системні резервні копії Telegram вимикає навмисно, вважаючи розшифровувані бекапи стороннього сховища ризиком для приватності.

Якщо локальний архів усе-таки потрібен — наприклад, для тривалого зберігання робочої переписки, — Telegram пропонує інструмент експорту в десктопному застосунку. Порядок дій такий:

1. Встановити Telegram Desktop на компʼютері й увійти в акаунт.
2. Відкрити Налаштування → «Експортувати дані Telegram».
3. Обрати типи даних і формат вивантаження — JSON для машинної обробки або HTML для читання.
4. Для окремої розмови скористатися меню «…» у самому чаті → «Експортувати історію чату».

Секретні чати в експорт не потрапляють: на серверах їх фізично немає. Загальні принципи правильного архівування даних розібрано в матеріалі про резервне копіювання.

Якщо змінюється не телефон, а номер

Кожен номер у Telegram — це окремий акаунт. Якщо старий номер більше не використовуватиметься, акаунт слід перевести на новий: Налаштування → торкнутися номера телефону над іменем користувача → «Змінити номер».

Ключова відмінність від виходу з акаунта: зміна номера зберігає все — контакти, повідомлення, медіа з хмари й навіть секретні чати на всіх пристроях. Якщо на цільовому номері вже зареєстровано інший акаунт Telegram, його доведеться спершу видалити.

Якщо ж новий номер потрібен тимчасово — на час поїздки чи відрядження, — змінювати нічого не треба: акаунт продовжить працювати зі старим номером, доки є доступ до інтернету.

Що зробити відразу після переїзду

Новий телефон — зручний привід перевірити безпеку акаунта.

1. Завершити сеанс на старому пристрої. Налаштування → Пристрої (або Конфіденційність і безпека → Активні сеанси). У списку варто закрити не лише сеанс старого телефона, а й усі, які не вдається впізнати.
2. Увімкнути двоетапну перевірку. Налаштування → Конфіденційність і безпека → Двоетапна перевірка. Після цього для входу знадобиться і код, і пароль — самого лише перехопленого SMS зловмиснику буде замало. Резервну e-mail адресу для відновлення теж варто захистити окремим паролем.
3. Встановити код-пароль на застосунок — окремо від блокування екрана телефона.
4. Переглянути налаштування приватності — зокрема, кому видно номер телефону і хто може додавати акаунт у групи.

Якщо старий телефон загублено або вкрадено

Telegram рекомендує такий порядок дій, коли доступ до Telegram зберігся на іншому пристрої:

1. Увімкнути двоетапну перевірку — тоді самого номера для входу буде недостатньо.
2. Завершити сеанс на втраченому пристрої.
3. Звернутися до мобільного оператора, щоб заблокувати SIM-картку й перевипустити її з тим самим номером.
4. За потреби змінити номер у налаштуваннях акаунта.

Якщо ж доступу до Telegram немає на жодному пристрої, першим і єдиним кроком стає перевипуск SIM-картки: тільки повернувши контроль над номером, можна увійти в акаунт і закрити чужу сесію.

Коротко про головне

Чи зникнуть чати, якщо видалити застосунок зі старого телефона?

Ні. Хмарна переписка зберігається на серверах Telegram і доступна після повторного входу. Зникнуть лише секретні чати.

Чи можна користуватися Telegram на двох телефонах одночасно?

Так. Кількість одночасних сесій не обмежена — достатньо входити за тим самим номером. Це зручно на час переїзду: старий пристрій залишається джерелом кодів підтвердження.

Скільки триває синхронізація?

Список чатів і текст доступні майже одразу. Медіафайли підвантажуються поступово, у міру відкриття розмов.

Чи видалиться акаунт, якщо ним довго не користуватися?

Так. За замовчуванням неактивний акаунт самознищується через 18 місяців разом з усіма повідомленнями, медіа й контактами. Період можна змінити в налаштуваннях. Тим, хто працює з чутливою перепискою, варто також налаштувати автовидалення повідомлень.

Ця стаття Як перенести Telegram на новий телефон: інструкція і що зникає назавжди раніше була опублікована на сайті CyberCalm, її автор — Олена Кожухар