Волонтерські проєкти працюють у середовищі високої довіри. Люди донатять кошти, передають авто, документи, контакти, персональні дані — і роблять це, вірячи, що все піде за призначенням. Саме тому кібератака на волонтерський проєкт — це не просто технічна проблема. Це ризик для репутації, для зборів, а зрештою і для реальної допомоги, яка через це може не дійти до тих, хто на неї чекає.

Ми у волонтерському проєкті Trucks4U щодня працюємо з донатами, логістикою, документами й партнерами, тому на власному досвіді знаємо: захищені акаунти, надійні паролі та прозора звітність — це не дрібниці порівняно з пошуком і доставкою техніки для ЗСУ. Саме ці «дрібниці» тримають на собі довіру донорів і партнерів, і без них навіть найкраща логістика втрачає сенс. Тому ділимося практичними правилами, які допомагають нам і можуть стати в пригоді іншим волонтерським командам.

Чому волонтерські проєкти є ціллю для шахраїв

Волонтерські ініціативи — приваблива мішень з кількох причин. Вони ведуть публічні збори з відкритими банківськими реквізитами, мають активні сторінки в соцмережах з великою аудиторією, зберігають бази донорів і контакти партнерів. Часто у робочому обігу є документи військових частин, маршрути доставки, логістична інформація, фото- та відеозвіти.

Усе це — цінні дані для зловмисників: одні хочуть викрасти кошти, інші — використати авторитет проєкту для власного шахрайського збору, треті — просто отримати доступ до персональних даних людей, які довірили проєкту свої контакти.

Які кіберзагрози найчастіше трапляються

Найпоширеніший сценарій — фішингові листи та повідомлення, які маскуються під банк, платіжну систему чи «підтримку» соцмережі. Далі йде злам сторінок у Facebook, Instagram чи Telegram-каналів — часто через слабкий пароль або відсутність двофакторної автентифікації. Окрема небезпека — підміна реквізитів у зборах: шахраї копіюють оформлення поста й публікують його з власною карткою.

Трапляються й фейкові збори від імені відомого проєкту, шкідливі файли під виглядом «звіту» чи «списку документів», а також необмежений доступ сторонніх людей до спільних Google Drive-папок. Ще один недооцінений ризик — втрачений або вкрадений телефон з активними сесіями в робочих чатах і поштових скриньках.

Безпека донатів і звітності

Для проєктів, які працюють з донатами напряму, прозорість — це не просто гарне слово, а щоденна практика. Люди мають бачити, куди йдуть їхні кошти, і бути впевненими, що це справді офіційний канал.

Кілька практичних правил:

• перевіряти реквізити перед кожною публікацією, особливо якщо пост готує не одна людина;
• мати чітко визначені офіційні канали комунікації, про які знають усі підписники;
• ніколи не передавати банківські доступи чи паролі в чатах і месенджерах;
• регулярно публікувати оновлені звіти про використання коштів;
• швидко й публічно спростовувати фейкові збори, щойно про них стає відомо.

У проєктах, де кошти йдуть напряму на закупівлю й доставку техніки, кожен такий крок — це ще й спосіб показати донорам, що їхня довіра виправдана на кожному етапі, від збору коштів до передачі авто підрозділу.

Захист акаунтів команди

Команда проєкту — це не одна людина, а часто десятки волонтерів з різним рівнем доступу. У нашій практиці саме ці прості правила рятували не раз, тому рекомендуємо зробити їх обов’язковими:

• двофакторна автентифікація на всіх ключових акаунтах — пошті, соцмережах, хмарних сховищах;
• менеджер паролів замість таблиць чи нотаток у месенджерах;
• окремі ролі доступу — не всі мають бачити фінанси, і не всі мають права адміністратора сторінки;
• щонайменше один резервний адміністратор на кожен важливий акаунт, аби проєкт не завис через відпустку чи хворобу однієї людини;
• періодична перевірка активних сесій і підключених пристроїв.

Захист документів і персональних даних

Волонтерські проєкти нерідко працюють із контактами військових, водіїв-волонтерів, партнерів, донорів і продавців техніки. Це чутлива інформація, і поводитися з нею варто за принципом мінімального доступу: кожен учасник команди бачить лише те, що потрібно саме для його задачі.

Логісту не обов’язково мати доступ до фінансової звітності, а людині, що веде соцмережі, — до особистих контактів донорів. Чим менше людей мають доступ до чутливих даних, тим менше точок, де ці дані можуть витекти.

Безпечна комунікація з партнерами та волонтерами

Термінові прохання — улюблений інструмент шахраїв: «швидко скинь реквізити», «терміново підтверди переказ». Будь-яке термінове прохання, пов’язане з грошима чи доступами, варто перевіряти іншим каналом зв’язку — телефонним дзвінком чи особистим повідомленням довіреній людині.

Інші прості звички: не відкривати підозрілі вкладення від незнайомих відправників, не надсилати скани документів у відкриті групи, використовувати окремі робочі чати для логістики, фінансів і публічних комунікацій, щоб чутлива інформація не губилася серед загального потоку повідомлень.

Що робити, якщо стався інцидент

Якщо злам чи витік уже стався, радимо діяти швидко й послідовно — за таким алгоритмом:

1. Змінити паролі на всіх пов’язаних акаунтах.
2. Вийти з усіх активних сесій на всіх пристроях.
3. Заблокувати скомпрометований доступ і відкликати права.
4. Попередити команду та за потреби — аудиторію проєкту.
5. Зберегти докази — скриншоти, листування, підозрілі повідомлення.
6. Звернутися до CERT-UA або профільних фахівців з кібербезпеки за консультацією.

Чим швидша реакція, тим менше шкоди для репутації й зборів.

Довіра — це теж інфраструктура

Кібербезпека волонтерського проєкту — це не розкіш і не додаткова опція. Це частина відповідального волонтерства, поряд із чесною звітністю та якісною логістикою. Ми переконані: захищені акаунти, прозорі збори й контрольований доступ до даних допомагають зберігати довіру людей — а разом з нею й здатність проєкту не зупиняти допомогу тим, хто на неї чекає.

Ця стаття Кібербезпека волонтерських проєктів: захист довіри починається з простих правил раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня