Безпека та права

Фішингові SMS і повідомлення про «схвалений кредит»

Як розпізнати фішингове SMS про кредит, прочитати домен у посиланні, що робити, якщо ви вже ввели дані, і куди повідомити про шахраїв.

23.09.20266 хв читанняДодам Київ — Кредит онлайн на карту

Фішингове SMS про кредит — це повідомлення, яке під приводом «схваленої позики» веде вас на підроблену сторінку, щоб ви ввели там дані картки, одноразовий код чи особисті дані. Якщо ви не подавали заявку, за посиланням не переходьте. Якщо подавали, однаково відкривайте сайт чи застосунок кредитора самостійно, а не з повідомлення.

Як виглядає фішингове повідомлення про «схвалений кредит»

Такі тексти надходять в SMS, месенджерах, соцмережах чи електронною поштою. Вони зазвичай короткі й написані так, щоб ви діяли не замислюючись. Насторожитися варто, якщо в одному повідомленні збігається кілька ознак:

вам «схвалили» кредит, про який ви не просили;
сума вже нібито «чекає», але її треба «забрати» чи «активувати» до певного строку;
у тексті є посилання, а назва установи розмита або написана з помилкою;
вас просять «підтвердити картку», ввести код або внести невеликий платіж «для зарахування»;
відправник — незнайомий номер або ім’я, схоже на назву відомого сервісу.

Окремо жодна з цих ознак не доводить обману, але їх поєднання — привід зупинитися. Мета фішингу одна: привести вас на сторінку, де ви самі віддасте те, що мали б берегти.

Як перевірити домен у посиланні

НБУ попереджає, що шахраї створюють сайти-клони популярних сервісів, зокрема банків, і адреса такого сайту може відрізнятися від справжньої лише одним чи кількома символами. Тому адресу сторінки варто перевіряти ще до того, як вводити дані картки.

Щоб прочитати посилання, знайдіть у ньому домен: це частина між «https://» і першою скісною рискою «/». Читайте домен справа наліво. Спершу йде закінчення на кшталт «.ua», «.com» чи «.com.ua», перед ним — назва, яка разом із закінченням і становить домен сайту. Усе, що стоїть лівіше через крапку, — піддомени, і власник може назвати їх як завгодно.

Умовні схеми підробок (замість [назва] уявіть назву справжнього сервісу):

«[назва].ua.[інший домен].com» — знайома назва стоїть на початку, але справжній домен тут «[інший домен].com»;
«[назва]-ua.com» або «[назва]-kredyt.com» — до назви дописали слово чи дефіс, і це вже зовсім інша адреса;
назва з підміною символів: пара «rn» замість «m», «vv» замість «w», цифра замість схожої літери, одна зайва чи пропущена літера;
скорочене посилання, з якого взагалі не видно, куди воно веде.

Якщо посилання на екрані обрізане й повної адреси не видно, не відкривайте його, щоб дочитати: так ви вже опинитеся на сторінці, яку хотіли перевірити заздалегідь.

Значок замка чи «https» на початку адреси означають лише, що з’єднання шифроване. Вони не підтверджують, що сайт належить банку чи кредитору. Якщо сумніваєтеся в адресі, закрийте сторінку і відкрийте сайт установи самостійно, ввівши адресу, у якій ви впевнені.

Чому не варто відкривати посилання навіть «просто подивитися»

Фішингову сторінку створюють, щоб зібрати дані, які ви на ній введете. Зазвичай вона просить щось із такого переліку.

Реквізити картки «для зарахування кредиту». НБУ нагадує: для переказу на картку достатньо її 16-значного номера, а цифри на звороті, одноразові коди й PIN треба тримати в секреті. Вимога ввести їх, щоб «отримати гроші», — ознака шахрайства.
Код із повідомлення. Він підтверджує дію від вашого імені. Чому його не можна вводити на чужих сторінках і диктувати іншим, пояснено в матеріалі про CVV, PIN і коди з SMS.
«Підтвердження особи через BankID». BankID НБУ — державна система віддаленої ідентифікації: за вашою згодою вона передає установі, що надає послугу, дані з банку чи небанківського надавача платіжних послуг, де у вас відкрито рахунок, причому лише ті, які ви вказували під час відкриття рахунку. Серед них можуть бути ПІБ, дата народження, ідентифікаційний код, серія і номер паспорта, адреси, телефон та e-mail. Передача відбувається лише з ініціативи користувача, тож погоджуйтеся на неї тільки на сайті, який ви відкрили самі й перевірили.

Зауважте: BankID НБУ лише ідентифікує особу і рішень про кредит не ухвалює. Можливий і такий сценарій: після повідомлення телефонує «менеджер» і просить перейти за посиланням та ввести дані. НБУ радить у такому разі класти слухавку; як діяти під час подібних розмов, розповідаємо в статті про дзвінки «з банку» чи «з НБУ».

Ви вже перейшли за посиланням: що робити

Що сталося	Що зробити
Відкрили сторінку, але нічого не вводили	Закрийте її, не повертайтеся і не пересилайте повідомлення знайомим
Ввели номер картки, термін дії, CVV чи код	Негайно заблокуйте картку, рахунки й доступ до онлайн-банкінгу за номером на звороті картки чи через гарячу лінію банку, потім напишіть звернення до банку і зверніться до кіберполіції. Якщо кошти вже списано без вашої згоди, закон «Про платіжні послуги» вимагає негайно повідомити про це банк
Ввели логін і пароль від інтернет-банку	Зателефонуйте в банк за офіційним номером з картки чи сайту, попросіть заблокувати доступ до онлайн-банкінгу, опишіть ситуацію і змініть пароль
Пройшли «ідентифікацію» або погодилися на якийсь договір	Перевірте, чи не з’явилися у вашій кредитній історії позики, яких ви не оформлювали

Кредитну історію НБУ радить перевіряти регулярно саме для того, щоб вчасно помітити чужі позики. Не відповідайте на фішингове повідомлення і не намагайтеся «розібратися» з відправником: навіть коротка відповідь може показати шахраям, що номер активний.

Куди повідомити про фішингове SMS

Перш ніж видаляти повідомлення, зробіть знімок екрана. На ньому має бути видно номер чи ім’я відправника, дату і текст із посиланням.

Кіберполіція. Якщо ви постраждали, подайте заяву онлайн через систему електронних звернень кіберполіції або зверніться за телефоном 0 800 505 170 чи на callcenter@cyberpolice.gov.ua. Щоб лише повідомити про фішингове посилання, на сайті кіберполіції є окрема форма для шкідливого контенту: вона приймає тільки інформацію про такий контент, а не заяви.
Ваш банк. Якщо повідомлення прикривається назвою вашого банку або ви ввели на сторінці дані картки чи інтернет-банку, повідомте банк за номером з картки.
Національний банк. Якщо в повідомленні рекламують компанію, яка, схоже, кредитує без ліцензії, про неї можна повідомити НБУ через онлайн-форму «Повідомити про безліцензійну діяльність». Форма передає інформацію регулятору, а подальші кроки визначає НБУ.
Рідні та знайомі. Якщо подібні повідомлення надходять і вашим близьким, розкажіть, як виглядав текст і на що звернути увагу. Саме посилання при цьому не пересилайте.

Якщо ви справді шукаєте позику, не відгукуйтеся на пропозиції з випадкових повідомлень: відкривайте сайт кредитора самостійно. Як переконатися, що перед вами не підробка, розповідаємо в статті про фейкові сайти кредиторів.

Матеріал має довідковий характер і не є юридичною чи фінансовою консультацією. Умови конкретного кредиту визначає договір; якщо ви вже постраждали від шахраїв, зверніться до юриста.

Джерела

Норми перевірено станом на 16.09.2026.