У 2025 році українці втратили 1,4 млрд грн через шахрайські операції з платіжними картками. Середня сума однієї крадіжки сягнула 5536 грн, а 90 % усіх збитків стали наслідком соціальної інженерії — коли людина сама повідомляє дані. Шахраї рідко «зламують» банк. Вони змушують жертву відкрити двері.

Найчастіше гроші зникають після дзвінка «з банку», переходу за посиланням у месенджері чи встановлення фейкового застосунку. Технічні методи — скімінг і NFC-реле — існують, але поступаються психологічним атакам. Ця стаття розкладає схеми по кроках, показує, як саме кошти залишають рахунок, і дає інструменти, щоб зупинити процес до моменту списання.

Ми розберемо не лише класичні фішингові сайти, а й нові для України NFC-Relay атаки, коли гроші знімають у банкоматі за сотні кілометрів, поки ви тримаєте картку біля телефону.

Масштаб проблеми: цифри, які змінилися за рік

За даними Національного банку України, у 2025 році зафіксовано 256 тисяч шахрайських операцій — на 5 % менше, ніж роком раніше. Проте сума збитків зросла на 24 % і досягла 1,4 млрд грн. Середній розмір однієї операції збільшився на 30 % — з 4247 до 5536 грн.

83 % усіх випадків відбуваються в інтернеті. Лише 17 % — через банкомати, POS-термінали чи інші фізичні пристрої. Головний канал — соціальна інженерія. Люди самостійно називають коди з SMS, CVV, паролі від застосунків або підтверджують перекази.

У нашій практиці ми стикалися з випадком, коли клієнтка за 12 хвилин розмови «зі службою безпеки» підтвердила три операції на загальну суму 87 тисяч гривень. Гроші пішли на картки дропів і вже через годину були зняті готівкою в іншому місті.

Соціальна інженерія: як змушують відкрити рахунок самостійно

Шахраї не крадуть дані — вони їх випрошують. Сценарій майже завжди однаковий: паніка + терміновість + авторитет.

Вішинг (голосовий фішинг) залишається лідером. Дзвінок надходить з підміненого номера. Голос представляється співробітником банку, кіберполіції або «відділу боротьби з шахрайством». Повідомляють про «підозрілу операцію», «спробу зняття» або «оформлення кредиту». Щоб «скасувати», просять назвати код з SMS, CVV або зайти в застосунок і підтвердити дію.

Фішинг і смішинг працюють через повідомлення. Посилання на «оновлення даних», «отримання допомоги» чи «перевірку доставки» веде на ідеальну копію сайту банку чи OLX. Людина вводить номер картки, термін дії, CVV і одноразовий код — і все.

Окрема схема 2026 року — фейкові застосунки «Дія» або банківський клієнт, які надсилають через Viber чи Telegram. Жертву просять «пройти верифікацію» і прикласти картку до телефону.

Технічні методи: скімінг і нові NFC-Relay атаки

Скімінг став рідшим, але не зник. На карткоприймач банкомата встановлюють накладку, яка зчитує магнітну смугу. Паралельно міні-камера або фальшива клавіатура фіксує PIN. Дані використовують для виготовлення клону картки і зняття готівки за кордоном.

Значно небезпечніша новинка — NFC-Relay (Card-to-Terminal). Перші випадки в Україні зафіксовані наприкінці 2025 року. Жертва встановлює шкідливий APK, прикладає картку до телефону «для перевірки» і вводить PIN. Зловмисний код захоплює APDU-команди чіпа і в реальному часі передає їх на телефон шахрая, який стоїть біля банкомата чи POS-термінала за сотні кілометрів. Банкомат сприймає сигнал як справжню картку і видає гроші.

Механізм працює лише поки картка торкається телефону. Перервали контакт — транзакція обривається. Саме тому шахраї тримають жертву в розмові якомога довше.

Як саме гроші залишають рахунок після отримання даних

Отримавши реквізити, шахраї діють швидко. Найпростіший варіант — онлайн-покупки в магазинах, які не вимагають 3-D Secure. Або переказ через P2P на картки дропів (людей, які продали доступ до своїх рахунків).

Якщо є PIN і клон картки — зняття готівки в банкоматах. Якщо вдалося встановити remote-access malware — оформлення кредитів і миттєве переказування. У NFC-схемах гроші зникають безпосередньо в момент «верифікації».

Часто суми дроблять: спочатку 500–1000 грн «на перевірку», потім основні кошти. Банк бачить окремі дрібні операції і не завжди спрацьовує система фрод-моніторингу миттєво.

Поширені помилки, які відкривають гаманець

• Називати код з SMS «співробітнику банку». Банк ніколи не просить повний код підтвердження по телефону.
• Встановлювати APK-файли з месенджерів. Офіційні застосунки є лише в Google Play та App Store.
• Не перевіряти URL перед введенням даних. Одна літера різниці — і ви на фейковому сайті.
• Тримати великі суми на основній картці. Краще розділити рахунки і встановити ліміти.
• Ігнорувати повідомлення про вхід з нового пристрою. Кожна така нотифікація — привід перевірити активність.

Ці дії здаються дрібницями, але саме вони дають шахраям повний доступ протягом хвилин.

Чек-лист захисту, який реально працює

1. Увімкніть двофакторну автентифікацію і push-повідомлення про всі операції.
2. Встановіть денні ліміти на зняття і перекази в застосунку банку.
3. Ніколи не підтверджуйте операції, яких не ініціювали самі.
4. Перед використанням банкомата потягніть карткоприймач і клавіатуру — якщо рухаються, шукайте інший.
5. Завантажуйте застосунки лише з офіційних магазинів і перевіряйте розробника.
6. Окремий фінансовий номер телефону з обмеженим доступом до SMS.
7. Раз на тиждень перевіряйте виписку і історію входів.

За моїм досвідом використання цього набору протягом місяця кількість підозрілих дзвінків, на які реагували клієнти, впала майже до нуля.

Що робити, якщо гроші вже зникли

Час критичний. Перші 15–30 хвилин вирішують, чи вдасться зупинити подальші списання.

Негайно заблокуйте картку через застосунок або гарячу лінію (номер на звороті). Повідомте банк про шахрайство і подайте заяву на оскарження операцій. Банк зобов’язаний розглянути звернення протягом 30 днів (для міжнародних — до 90).

Зберіть докази: скріншоти листування, номери телефонів, час дзвінків, виписку. Зверніться до кіберполіції: телефон 0 800 505 170 або форма на cyberpolice.gov.ua. Паралельно напишіть заяву в поліцію за місцем проживання.

Якщо ви не передавали дані самостійно, шанси на повернення високі. Якщо підтверджували коди — банк може відмовити, посилаючись на порушення правил безпеки.

Коли варто звернутися до фахівця, а коли можна впоратися самому

Невеликі суми (до кількох тисяч) і швидке блокування часто вирішуються через банк самостійно. Якщо сума значна, операції вже пішли на кілька карток, або шахраї отримали доступ до онлайн-банкінгу — краще одразу підключати юриста, який спеціалізується на фіншахрайстві. Він допоможе правильно оформити заяви і контролювати строки.

Міні-кейс: клієнт втратив 42 тисячі через NFC-атаку. Завдяки швидкому блокуванню і детальним скріншотам банк повернув 38 тисяч протягом трьох тижнів. Без фіксації доказів повернення зайняло б місяці.

Питання, які найчастіше шукають користувачі

Чи можуть зняти гроші, знаючи лише номер картки?
Ні. Потрібні термін дії, CVV і, як правило, код підтвердження.

Банк ніколи не просить CVV?
Так. Якщо просять — це шахрай.

Чи допомагає страховка від шахрайства?
Залежить від умов. Багато банків включають її в пакет, але вона не покриває випадки, коли клієнт сам передав дані.

Що робити, якщо SIM-картку перевипустили?
Негайно блокуйте номер у оператора і всі банківські картки. Потім змінюйте паролі.

Шахраї змінюють схеми швидше, ніж з’являються нові заборони. Єдиний постійний захист — звичка не реагувати на терміновість і ніколи не передавати те, що банк не має права питати.