Документ від «колеги», архів зі «звітом наради» чи PDF від «благодійного фонду» — більшість атак на звичайних користувачів починається з файлу, який людина відкриває сама. За даними звіту CERT-UA за перше півріччя 2026 року, понад 88% кіберінцидентів в Україні були повʼязані зі шкідливим ПЗ, соціальною інженерією та компрометацією систем. Кілька простих перевірок перед відкриттям файлу відсікають більшість таких сценаріїв.
Звідки беруться небезпечні файли
Найчастіше шкідливі файли надходять не з підозрілих сайтів, а з каналів, яким люди звикли довіряти.
- Вкладення в пошті. Листи імітують рахунки, накладні, «повістки» чи повідомлення від держорганів. Навесні 2026 року CERT-UA фіксувала розсилки з «гуманітарною допомогою» та «повістками до суду», де посилання вело до архіву з файлом-ярликом .lnk.
- Месенджери. Signal, Telegram і WhatsApp стали повноцінним каналом атак. Держспецзвʼязку описувала атаку APT28, у якій через Signal надсилали документ Word «Акт.doc» із вбудованим макросом. Такі повідомлення часто приходять зі зламаних акаунтів знайомих, тому довіра до відправника не є гарантією.
- Файлообмінники та хмарні сховища. Зловмисники розміщують архіви на відомих файлообмінниках і GitHub, щоб посилання виглядало легітимно, — це також відзначено у звіті CERT-UA.
- Фальшиві кнопки завантаження. На сайтах із безкоштовним контентом справжню кнопку легко сплутати з рекламною — як їх розрізнити, CyberCalm розповідав окремо.
Для програм ризики й правила дещо інші — їм присвячено окремий матеріал «Чому небезпечно завантажувати програми з неофіційних джерел».
Як перевірити файл перед відкриттям
Перевірка займає кілька хвилин і складається з чотирьох кроків.
Крок 1. Перевірити справжнє розширення
Windows за замовчуванням приховує розширення відомих типів файлів, тому «Звіт.docx.exe» у Провіднику виглядає як «Звіт.docx». Показ розширень у Windows 11 вмикається в Провіднику: «Перегляд» → «Показати» → «Розширення імен файлів». Наприкінці 2025 року CERT-UA фіксувала атаки від імені нібито благодійних фондів: архіви з паролем містили файли на кшталт «.docx.pif» — виконувані програми, замасковані під документи.
Насторожити мають розширення .exe, .scr, .pif, .bat, .cmd, .js, .vbs, .lnk і .hta, а також архіви й образи дисків (.zip, .rar, .7z, .iso) від невідомих відправників. Особливо підозрілі архіви з паролем: він ускладнює перевірку вмісту антивірусом. Повний перелік потенційно небезпечних форматів наведено в статті про пʼять типів файлів, що можуть містити шкідливе ПЗ.
Крок 2. Просканувати файл антивірусом
Вбудований у Windows 10 і 11 Microsoft Defender дозволяє перевірити окремий файл: правий клік → «Показати додаткові параметри» → «Сканувати за допомогою Microsoft Defender». Перевірка триває кілька секунд, результат зʼявляється у вікні «Безпека Windows». Важливо, щоб захист у режимі реального часу був увімкнений — тоді Defender перевіряє файли автоматично.
Крок 3. Перевірити хеш або файл у VirusTotal
VirusTotal аналізує файл десятками антивірусних рушіїв одночасно. Почати краще з пошуку за хешем SHA-256, який у Windows обчислює команда PowerShell Get-FileHash: якщо файл уже аналізували, результат зʼявиться без завантаження. Нуль спрацювань не гарантує безпеки, а файли, завантажені через публічний інтерфейс, стають доступними спільноті безпеки. Тому документи з особистими чи службовими даними туди надсилати не можна — для таких випадків сервіс пропонує окрему послугу приватного сканування.
Крок 4. Відкривати документи в захищеному режимі
Word, Excel і PowerPoint відкривають файли з інтернету та вкладення Outlook у режимі захищеного перегляду — лише для читання й без активного вмісту. Якщо документ від невідомого відправника одразу просить «Увімкнути редагування» чи «Увімкнути вміст», варто зупинитися. Крім того, Microsoft 365 у Windows за замовчуванням блокує макроси у файлах, які Windows позначила як завантажені з інтернету. Зняти таке блокування можна через «Властивості» файлу, тому інструкція «щоб побачити документ, розблокуйте його» — типова ознака атаки.
Що не гарантує безпеки файлу
- HTTPS і значок замка. Захищене зʼєднання шифрує передачу даних, але нічого не каже про вміст сайту чи файлу. Google замінила іконку замка в адресному рядку Chrome 117 якраз тому, що користувачі помилково сприймали її як ознаку надійності сайту.
- Знайомий відправник. Акаунт друга чи колеги могли зламати — у разі неочікуваного файлу краще уточнити в людини іншим каналом.
- Іконка PDF чи Word. Іконку виконуваного файлу легко підробити, тож орієнтуватися варто на розширення.
- Велика кількість завантажень і схвальні коментарі. Їх так само легко накрутити.
Як антивірус реагує на небезпечний файл
Коли антивірус вважає файл небезпечним, він зазвичай блокує його завантаження чи запуск, переміщує в карантин або видаляє. Карантин — це ізольоване сховище, звідки файл не може запуститися, але його ще можна відновити.
У Windows усі такі дії видно в розділі «Журнал захисту» застосунку «Безпека Windows», де записи зберігаються два тижні. Для файлу в карантині доступні дві дії: «Видалити» прибирає загрозу з пристрою, а «Відновити» повертає файл на місце, і Defender знову позначить його як загрозу. Ще одна кнопка, «Дозволити», додає файл до винятків. Хибні спрацювання трапляються, але дозволяти файл варто лише тоді, коли його походження точно відоме.
Налаштування, що знижують ризик
- Показ розширень файлів — як описано вище, це найпростіший захист від подвійних розширень.
- Запит місця збереження в браузері. Якщо браузер сам зберігає й відкриває файли, підміну легко не помітити. Як змінити це в Chrome, Edge, Firefox і Safari, пояснює окрема інструкція.
- Заборона запуску .exe з певних папок — інструкція для Windows.
- Оновлення системи та застосунків. Шкідливі документи часто використовують уже виправлені вразливості в офісних програмах і переглядачах PDF.
- Резервні копії. Вони не завадять зараженню, але дозволять відновити дані після атаки програми-вимагача.
Що робити, якщо підозрілий файл уже відкрито
- Відʼєднати компʼютер від інтернету — вимкнути Wi-Fi або відʼєднати кабель. Це перериває звʼязок шкідливої програми із сервером зловмисників.
- Не вводити на цьому пристрої паролі й не заходити в банківські застосунки до завершення перевірки.
- Запустити повне сканування, а краще — офлайн-перевірку Microsoft Defender, яка працює ще до завантаження Windows. Як це зробити, описано в інструкції зі сканування. Ознаки зараження, на які варто звернути увагу, зібрано в статті «Як перевірити, чи має компʼютер віруси».
- Змінити паролі з іншого, чистого пристрою — до пошти, банкінгу, месенджерів і соцмереж, — завершити активні сеанси та увімкнути двофакторну автентифікацію. Інфостілери крадуть і файли cookie сеансів, тому сама зміна пароля без виходу з усіх пристроїв може не допомогти.
- За серйозної загрози — відновити або перевстановити систему. Можна скористатися точкою відновлення або перевстановити Windows. Перед перенесенням документів їх варто перевірити: CERT-UA попереджала, що навіть один інфікований файл, залишений після очищення, з високою ймовірністю спричинить повторне зараження.
- Робочий компʼютер — повідомити ІТ-службу. Організації також можуть повідомити про інцидент до CERT-UA.
Як навчити дітей безпечно завантажувати файли
Діти частіше за дорослих шукають безкоштовні ігри, моди й «чит-програми» — і саме під них маскують шкідливе ПЗ, як це було з Myth Stealer. Варто пояснити дитині просте правило: ігри та застосунки завантажувати лише з офіційних магазинів, а перед запуском будь-якого файлу — питати дорослих. На Android окремий ризик становлять APK-файли зі сторонніх сайтів. Додатковий захист дає батьківський контроль — інструкції для різних пристроїв зібрано в розділі «Безпека дітей в інтернеті».
