Соціальна інженерія – це коли шахраї забирають гроші чи доступ до акаунта не через злом техніки, а через тиск на емоції. Вони вдають представника банку, поліції чи служби підтримки, створюють відчуття терміновості й не дають часу подумати. За кілька секунд стресу критичне мислення вимикається, і людина сама називає код із СМС, переходить за посиланням або переказує гроші на «безпечний рахунок». Це одна з найпоширеніших форм шахрайства в Україні – і дзвінки нібито з банку, і повідомлення нібито від Нової Пошти чи Дії працюють за одним і тим самим психологічним сценарієм.
Чому спрацьовують терміновість, страх і авторитет
Шахраї не намагаються переконати людину логікою – вони просто не дають на це часу. Схема зазвичай будується на трьох емоціях одразу.
- Терміновість. «У вас 3 хвилини, інакше картку заблокують» – людина починає діяти, а не аналізувати.
- Страх. Погроза кримінальної справи, арешту рахунку чи миттєвої втрати всіх грошей паралізує здатність сумніватися.
- Авторитет. Голос «співробітника банку» чи «слідчого» підсвідомо сприймається як наказ, якому не заведено перечити.
Додатково працює ефект підробленого номера: на екрані телефону може висвітитися назва банку замість цифр, хоча дзвонить хтось інший. Це називається підміна номера, або спуфінг, і жоден банк не гарантує захист від такого відображення – орієнтуватися лише на напис на екрані не можна.
Типові сценарії дзвінків і повідомлень
Більшість атак соціальної інженерії в Україні повторюють кілька базових сюжетів. Різниця здебільшого лише в деталях – назва банку, служби доставки чи держоргану.
| Сценарій | На що грає | Що просять зробити | Головна ознака шахрайства |
|---|---|---|---|
| Дзвінок «із банку» про підозрілу операцію | Страх втратити гроші | Назвати код із СМС або встановити застосунок «для захисту» | Банк ніколи не питає код підтвердження чи повний номер картки |
| СМС про «проблему з посилкою» від Нової Пошти | Терміновість, дрібна сума | Перейти за посиланням і доплатити 20-50 грн | Посилання веде не на офіційний домен, а на схожий за написанням |
| Дзвінок нібито зі служби Дії чи податкової | Авторитет держоргану, страх штрафу | Продиктувати дані картки або встановити застосунок для віддаленого доступу | Державні органи не дзвонять із вимогою назвати платіжні дані |
| Повідомлення «родич у біді» (аварія, поліція) | Паніка, співчуття | Терміново переказати гроші на невідомий рахунок | Прохання не передзвонювати родичу напряму і тиск на швидкість рішення |
| Виграш призу чи компенсації | Приємний сюрприз, жадібність | Оплатити «комісію» або «розмитнення» наперед | Справжні виграші не вимагають оплати від переможця |
Схожі схеми працюють і в месенджерах: зламаний акаунт знайомого раптом просить позичити гроші, а фішингове посилання маскується під офіційний сайт банку чи маркетплейсу. Детальніше про конкретні механіки – в матеріалах про фішинг у Viber і про те, як діють шахрайські СМС про посилку.
Правило паузи: як не піддатися тиску за секунди
Головний захист від соціальної інженерії – не логіка, а час. Шахрайська схема ламається, якщо людина бере паузу хоча б на кілька хвилин.
- Покладіть слухавку або закрийте чат, навіть якщо співрозмовник обурюється – це нормально і законно.
- Передзвоніть на офіційний номер із зворотної сторони картки або з сайту банку, а не за номером, який продиктував «співробітник».
- Перевірте інформацію в застосунку – Приват24, монобанк чи Дія показують реальний статус операції чи справи без сторонніх дзвінків.
- Ніколи не називайте код із СМС чи push-повідомлення нікому, навіть якщо голос звучить дуже переконливо і представляється службою безпеки.
- Якщо йдеться про «родича в біді» – зателефонуйте йому напряму або іншому члену родини, а не за номером, який дали в повідомленні.
Це не гарантує стовідсоткового захисту – схеми постійно змінюються, і деякі шахраї готують «домашнє завдання», знаючи ім’я родича чи деталі останньої покупки з витоку даних (див. що робити, якщо дані злили). Але пауза в кілька хвилин прибирає головний інструмент шахраїв – тиск часом.
Як розмовляти про це з літніми родичами
Літні люди – одна з основних цілей соціальної інженерії, бо звикли довіряти голосу з авторитетом і рідше перевіряють інформацію в застосунку. Розмову варто будувати не через страх, а через прості домовленості.
- Домовтеся про кодове слово для родини – якщо хтось телефонує нібито від імені онука чи сина в біді, кодове слово одразу викриє підробку.
- Поясніть просте правило: жоден банк, поліція чи Дія ніколи не просять код із СМС по телефону – без винятків.
- Запишіть на папері біля телефону номер, за яким можна передзвонити для перевірки – офіційну гарячу лінію банку.
- Не соромте за минулі помилки – страх виглядати «нерозумним» змушує людей приховувати, що вони вже почали діяти за сценарієм шахраїв, і тоді втрачається час на блокування картки.
Що робити, якщо ви вже почали діяти за сценарієм
Якщо ви назвали код, перейшли за посиланням або ввели дані картки – головне не втрачати час на сором, а діяти відразу.
- Заблокуйте картку через застосунок банку або гарячу лінію – це можна зробити за кілька секунд, навіть без походу у відділення.
- Змініть паролі до акаунтів, де використовувався той самий пароль, і увімкніть двофакторну автентифікацію там, де її ще немає.
- Повідомте банк про підозрілу операцію письмово – є встановлений законодавством термін, протягом якого можна оскаржити несанкціоноване списання, і чим швидше звернення, тим більше шансів повернути кошти.
- Подайте заяву до кіберполіції через офіційний сайт – навіть якщо гроші не вдасться повернути одразу, заява допомагає у розслідуванні схеми.
- Попередьте контакти, якщо зламали месенджер – шахраї часто одразу пишуть від вашого імені друзям із проханням позичити гроші.
Це загальні орієнтири, а не юридична консультація. У складних випадках – велика сума, підозра на доступ до інших рахунків – варто звертатися до банку і поліції одразу, а не намагатися розібратися самостійно.
Соціальна інженерія працює саме тому, що б’є по емоціях швидше, ніж людина встигає подумати. Розпізнати тиск і взяти паузу – навичка простіша, ніж здається, і вона рятує гроші набагато частіше, ніж будь-яка антивірусна програма. Ті самі принципи діють і при дзвінках нібито з банку – варто ознайомитися з типовими фразами шахраїв заздалегідь, щоб упізнати їх одразу.
Часті питання
Чи можна довіряти номеру на екрані, якщо там написано назву банку?
Ні. Шахраї використовують підміну номера, або спуфінг, через яку на екрані з'являється назва банку чи навіть офіційний номер, хоча дзвонить зовсім інша людина. Орієнтуватися лише на напис не можна – при найменших сумнівах кладіть слухавку і передзвонюйте на номер із зворотної сторони картки або з офіційного сайту банку.
Що робити, якщо я вже назвав код підтвердження з СМС?
Негайно заблокуйте картку через застосунок банку або гарячу лінію – це займає буквально хвилину і не вимагає походу у відділення. Далі змініть паролі до пов'язаних акаунтів і письмово повідомте банк про ситуацію. Чим швидше ви звернетесь, тим більше шансів оскаржити несанкціоноване списання коштів.
Чи достатньо просто покласти слухавку, щоб захиститися?
Це вже найважливіший крок, бо він розриває тиск часу, на якому тримається вся схема. Але варто піти далі – самостійно передзвонити на офіційний номер банку і перевірити операцію в застосунку, а не довіряти словам співрозмовника, навіть якщо він передзвонив сам за кілька хвилин.
Чи може поліція або Дія справді зателефонувати з вимогою назвати дані?
Державні органи не телефонують з вимогою продиктувати пароль, код із СМС чи повний номер картки. Офіційне спілкування щодо справ відбувається через повістки, застосунок Дія або особистий візит до відділення, а не терміновий дзвінок із погрозою штрафу протягом кількох хвилин. Якщо сумніваєтесь – передзвоніть на офіційний номер відповідного органу самостійно.
Чому шахраї іноді знають моє ім'я чи останню покупку?
Такі дані могли потрапити у витоки з інтернет-магазинів, соцмереж чи публічних баз. Шахраї купують подібні списки й використовують деталі, щоб дзвінок звучав правдоподібніше. Персональна інформація в розмові – не доказ того, що дзвонить справжній банк чи державний орган. Перевірити, чи траплялися ваші дані у відомих витоках, можна через спеціалізовані сервіси.