Вам надіслали підозріле посилання: що перевірити перед натисканням

Підозріле посилання найчастіше виглядає не як «очевидний вірус», а як звичайне повідомлення: «Ваша посилка очікує оплати», «У вас нове повідомлення», «Потрібно підтвердити особу», «Ваш акаунт буде заблоковано».

Проблема в тому, що саме посилання може бути головною частиною атаки. Один перехід може привести на підроблену сторінку входу, сторінку оплати, сайт зі шкідливим завантаженням або сервіс, який намагається виманити код підтвердження.

У цій статті не потрібно вчитися визначати кожен різновид фішингу. Потрібно навчитися робити одну конкретну річ: перевіряти посилання до того, як воно отримає ваш пароль, гроші або доступ до акаунта.

Швидкий алгоритм: 60 секунд

Якщо ви отримали посилання і не впевнені, що воно безпечне, дійте в такому порядку:

Не натискайте посилання.
Подивіться, хто його надіслав. Ім’я контакту або логотип не є доказом справжності.
Скопіюйте URL, не відкриваючи його.
Знайдіть справжній домен у адресі.
Перевірте помилки, зайві слова, піддомени та дивні доменні зони.
Якщо URL скорочений — не довіряйте йому лише через те, що він короткий.
Для сумнівного URL використайте Google Safe Browsing.
Для додаткової перевірки можна використати VirusTotal, але не передавайте туди приватні посилання з токенами чи кодами відновлення.
Якщо повідомлення стосується грошей, акаунта або державної послуги — перевірте інформацію через офіційний застосунок або сайт, відкритий вами самостійно.

Якщо хоча б один крок викликає сумнів, не продовжуйте.

1. Спочатку з’ясуйте, звідки взялося посилання

Почніть не з URL, а з контексту.

Наприклад, вам приходить SMS:

«Нова пошта: для отримання посилки необхідно сплатити 24,90 грн. Перейдіть за посиланням: …»

Перед перевіркою URL поставте собі три питання:

Я справді зараз очікую посилку?
Чи користуюся я саме цим номером телефону для доставки?
Чи є в мене причина отримувати таке повідомлення саме зараз?

Якщо відповідь «ні» — це вже достатня причина не відкривати посилання.

Але навіть якщо ви справді чекаєте посилку, повідомлення все одно може бути шахрайським. Збіг із реальною подією не доводить справжність SMS.

Наприклад, якщо ви чекаєте посилку через Нову пошту, відкрийте застосунок або самостійно введіть адресу novaposhta.ua, а номер відправлення перевірте там. Офіційний сайт Нової пошти має окреме поле для відстеження відправлення.

2. Як скопіювати посилання, не відкриваючи його

На комп’ютері

Якщо посилання є на вебсторінці або в пошті:

Наведіть курсор на посилання.
У нижній частині вікна браузера часто з’явиться адреса, на яку веде посилання.
Для детальної перевірки натисніть правою кнопкою.
Оберіть «Копіювати адресу посилання» або аналогічний пункт.
Вставте URL у текстовий редактор — наприклад, Блокнот — і розгляньте його без переходу.

Не вставляйте URL одразу в адресний рядок браузера та не натискайте Enter.

На Android

У більшості браузерів можна натиснути й утримувати посилання, після чого вибрати «Копіювати адресу посилання» або аналогічний пункт.

Потім вставте URL у нотатку або текстове поле, не відкриваючи його.

На iPhone / iPad

У Safari натисніть і утримуйте посилання та скористайтеся пунктом копіювання адреси. Не вибирайте «Відкрити» або «Відкрити в новій вкладці», якщо ви ще не перевірили адресу.

3. Знайдіть справжній домен

Це найважливіший технічний крок.

URL складається з кількох частин. Наприклад:

https://login.example.com/account/reset?token=123

Тут:

https:// — протокол;
login — піддомен;
example.com — домен;
/account/reset — шлях;
?token=123 — параметри запиту.

Для визначення власника сайту насамперед дивіться на домен перед першим /, рухаючись праворуч.

Приклад із Дією

Справжній портал Дії — diia.gov.ua. Офіційна сторінка входу, наприклад, працює на id.diia.gov.ua.

А ось такі адреси були б підозрілими:

https://diia.gov.ua.example.com/login
https://diia-login.example.com/
https://id.diia.gov.ua.example.com/

У першому та третьому випадках diia.gov.ua лише виглядає як частина адреси. Справжній домен там — example.com.

У другому випадку справжній домен — також example.com, а diia-login — лише його піддомен.

Назву бренду в URL можна написати майже де завгодно. Це нічого не доводить.

Приклад із monobank

Офіційний сайт monobank — monobank.ua.

Підозрілими були б адреси на кшталт:

https://monobank.ua.example.com/
https://secure-monobank.example.com/
https://monobank-verification.example.net/

Не має значення, що URL містить слова monobank, secure, verification або навіть правильний логотип на сторінці. Якщо справжній домен не monobank.ua, ви не перебуваєте на офіційному домені monobank.

4. Не плутайте домен із піддоменом

Це одна з найпоширеніших помилок.

Порівняйте:

id.diia.gov.ua
id.diia.gov.ua.example.com

У першій адресі домен — diia.gov.ua.

У другій — example.com.

Тому правило просте:

Читайте URL справа наліво до першого / і визначайте доменну частину.

Ще один приклад:

support.monobank.ua
support.monobank.ua.example.org

support.monobank.ua може бути піддоменом домену monobank.ua.

support.monobank.ua.example.org належить уже до example.org.

5. Перевірте помилки та підміну символів

Шахрай може зареєструвати адресу, яка дуже схожа на справжню:

monobank.ua       ← справжній домен
monobаnk.ua       ← може містити іншу Unicode-літеру
monobannk.ua      ← зайва літера
monobank-login.ua ← інший домен

Особливо небезпечні homoglyphs — символи, які візуально схожі на латинські літери.

Наприклад, дві адреси можуть виглядати майже однаково, але одна з них містить символ із кирилиці або іншого алфавіту.

Якщо URL виглядає дивно, найкраща стратегія — не намагатися довести, що він справжній. Відкрийте офіційний сервіс самостійно.

Що має насторожити

помилка в назві компанії;
зайва або пропущена літера;
дефіс у незвичному місці;
незвична доменна зона;
багато випадкових символів;
xn-- у доменному імені, яке ви не очікували побачити;
незрозумілий піддомен;
адреса, яка не відповідає сервісу з повідомлення.

Окремо: xn-- не означає автоматично «шахрайський сайт». Це стандартне представлення деяких Unicode-доменів. Але для звичайного користувача незнайомий punycode-домен — хороший привід зупинитися і перевірити сайт іншим шляхом.

6. HTTPS не означає «сайт справжній»

Якщо адреса починається з:

https://

це означає, що з’єднання із сайтом шифрується за допомогою TLS.

Але сертифікат TLS не відповідає на питання: «Чи є цей сайт справжнім сайтом monobank, Дії або Нової пошти?»

Фішинговий сайт також може працювати через HTTPS.

Тому:

https://fake-bank.example

може мати захищене з’єднання, але це все одно fake-bank.example.

7. Що робити зі скороченими посиланнями

Посилання на кшталт:

https://bit.ly/abc123
https://t.co/AbCdEf

не показують кінцевий домен.

Це незручно саме для перевірки, тому не використовуйте скорочений URL як доказ безпеки.

Якщо коротке посилання прийшло несподівано, особливо через SMS або месенджер, безпечніше не переходити ним взагалі.

Якщо вам потрібно зрозуміти, куди воно веде, використовуйте сервіс розгортання URL або перевірку безпечності, яка не вимагає від вас відкривати сторінку у звичайному браузері.

Але навіть після розгортання URL все одно потрібно перевірити кінцевий домен.

8. Перевірте URL через Google Safe Browsing

Якщо ви вже маєте повний URL і хочете отримати додаткову оцінку, можна використати Google Safe Browsing Site Status.

Google описує Safe Browsing як систему, яка перевіряє мільярди URL і попереджає користувачів про відомі небезпечні сайти. Через сторінку Site Status можна перевірити, чи має Google інформацію про небезпечність конкретного сайту.

Важливо: відсутність попередження не означає, що сайт гарантовано безпечний. Новий фішинговий домен може ще не потрапити до бази.

Тому результат слід сприймати як додатковий сигнал, а не як сертифікат справжності.

9. VirusTotal: корисно, але з важливим застереженням

Для додаткової перевірки URL можна використати VirusTotal.

Сервіс збирає результати багатьох сканерів і сервісів репутації URL. Це може допомогти побачити, чи вже відомий домен або URL як фішинговий чи шкідливий.

Але для privacy-ресурсу тут є принциповий нюанс.

Не вставляйте у звичайний публічний сканер приватні URL, наприклад:

https://example.com/reset?token=YOUR_SECRET_TOKEN

або:

https://mail.example.com/login?code=123456789

Стандартні подання VirusTotal зберігаються, а результати та дані можуть бути доступні учасникам екосистеми сервісу.

Якщо URL містить персональний токен, одноразовий код, приватний ідентифікатор або посилання на скидання пароля — не передавайте його сторонньому сканеру.

10. Якщо посилання прийшло нібито від банку

Уявімо повідомлення:

«Ваш monobank акаунт буде заблоковано. Підтвердіть особу протягом 10 хвилин: [посилання]».

Не потрібно аналізувати повідомлення протягом десяти хвилин. Зробіть так:

Не натискайте посилання.
Відкрийте застосунок monobank самостійно.
Перевірте сповіщення та повідомлення всередині застосунку.
Якщо там немає такої інформації — не виконуйте вимоги SMS.
Якщо питання залишилося, використайте контакти банку з офіційного застосунку або сайту.

Якщо ви вже відкрили посилання, але нічого не вводили, просто закрийте сторінку і не завантажуйте файли.

Якщо ви ввели пароль — дійте вже як після потенційної компрометації облікових даних: змініть пароль через офіційний сайт або застосунок і перевірте активні сесії.

11. Якщо посилання стосується Дії або державної послуги

Наприклад:

«Вам нараховано державну виплату. Підтвердіть особу через Дію».

Не переходьте за посиланням із повідомлення.

Замість цього:

відкрийте застосунок Дія;
або самостійно введіть diia.gov.ua;
перевірте, чи є відповідна послуга або повідомлення;
якщо мова про конкретну державну установу — знайдіть її офіційний ресурс самостійно.

Для державних ресурсів Кіберполіція окремо радить перевіряти адресу та звертати увагу на домен gov.ua; водночас вона попереджає, що шахраї копіюють дизайн, логотипи та інші елементи офіційних сайтів.

12. Якщо посилання стосується доставки

Приклад:

«Ваша посилка не може бути доставлена. Сплатіть 12,50 грн за повторну доставку».

Якщо ви справді чекаєте посилку, це повідомлення може здатися правдоподібним.

Зробіть інакше:

Не відкривайте URL із SMS.
Відкрийте застосунок Нової пошти або самостійно введіть novaposhta.ua.
Введіть номер відправлення у відстеженні.
Перевірте статус посилки.
Якщо потрібна оплата, виконуйте її лише через офіційний сервіс.

Кіберполіція регулярно попереджає про фішингові схеми, де шахраї копіюють відомі ресурси та виманюють платіжні дані.

13. Що робити, якщо браузер уже попереджає

Якщо Chrome, Edge або інший браузер показує попередження про небезпечний або підозрілий сайт, не натискайте «продовжити» лише тому, що вам терміново потрібна сторінка.

Google Chrome використовує Safe Browsing для попередження про потенційно небезпечні сайти.

Microsoft Edge використовує Microsoft Defender SmartScreen, який перевіряє сайти за динамічним списком відомих фішингових і шкідливих ресурсів та може заблокувати відомо небезпечний сайт.

Якщо попередження з’явилося — закрийте вкладку. Потім знайдіть потрібний сервіс самостійно.

Наприклад, замість переходу з SMS:

SMS → посилання → попередження

зробіть:

закрити вкладку → відкрити офіційний застосунок / сайт → перевірити інформацію

Це простіше і безпечніше.

14. Що робити, якщо ви вже натиснули

Натискання саме по собі ще не означає, що акаунт або гроші викрадено. Важливо, що сталося після переходу.

Якщо просто відкрили сторінку

закрийте вкладку;
нічого не вводьте;
не натискайте «Дозволити» для повідомлень, сповіщень або інших дозволів;
не завантажуйте файли;
не встановлюйте застосунки за вимогою сторінки.

Якщо ввели пароль

Закрийте фішингову сторінку.
Відкрийте офіційний сайт сервісу самостійно.
Змініть пароль.
Завершіть невідомі активні сесії.
Перевірте резервні методи відновлення.
Якщо цей пароль використовувався деінде — змініть його і там.

Для базового захисту акаунтів дивіться нашу статтю «Вступ до паролів: як захистити свої акаунти» — зокрема розділи «Унікальні паролі для кожного сервісу» та «Менеджер паролів».

Якщо ввели дані банківської картки

Не чекайте, поки шахрай спробує провести операцію.

негайно зверніться до банку через офіційний застосунок або номер із офіційного джерела;
за потреби заблокуйте картку;
перевірте останні операції;
повідомте банку, що дані картки могли потрапити до шахраїв;
не повідомляйте нікому коди підтвердження наступних операцій.

Якщо завантажили файл

Не відкривайте його. Якщо файл уже запустили, це вже окрема ситуація: припиніть роботу з ним і проведіть перевірку пристрою засобами безпеки.

15. Чого не треба робити

Є кілька популярних «перевірок», які створюють хибне відчуття безпеки.

«На сайті є замочок — значить усе добре»

Ні. HTTPS захищає з’єднання, але не доводить чесність власника сайту.

«Посилання надіслала знайома людина»

Її акаунт міг бути зламаний. Особливо якщо повідомлення не схоже на звичайний стиль спілкування.

«Google показав сайт першим»

Висока позиція у пошуку не є доказом офіційності.

«Сайт виглядає точно як справжній»

Саме цього шахраї й домагаються. Кіберполіція прямо описує випадки, коли фейкові ресурси копіюють назви, дизайн, логотипи та контент офіційних сайтів.

«Антивірус нічого не сказав»

Відсутність попередження не означає, що сайт справжній. Фішинг часто працює без встановлення шкідливого ПЗ: ви самі вводите дані на підробленій сторінці.

16. Як зробити перевірку майже автоматичною

Найкращий захист — не запам’ятовувати сотні ознак, а змінити звичку.

Для банків

Не заходьте в інтернет-банкінг через SMS-посилання. Використовуйте офіційний застосунок або власну закладку.

Для державних сервісів

Для Дії та інших державних ресурсів відкривайте офіційний сайт самостійно. Для ресурсів органів влади перевіряйте домен gov.ua і конкретну адресу установи.

Для доставки

Зберігайте офіційний застосунок служби доставки та перевіряйте відправлення там.

Для пошти

Не входьте в поштовий акаунт через посилання з несподіваного листа. Відкрийте поштовий сервіс самостійно.

Для соцмереж

Якщо отримали повідомлення «ваш акаунт буде заблоковано», відкрийте застосунок соціальної мережі й перевірте попередження там.

Це зменшує кількість рішень, які вам потрібно приймати під тиском.

17. Простий чекліст перед натисканням

Збережіть собі ці сім питань:

Я очікував це повідомлення?
Хто його надіслав?
Який повний URL?
Який справжній домен?
Чи є помилки або дивні символи?
Чи можу я відкрити цей сервіс самостійно?
Чи потрібно мені взагалі переходити за посиланням?

Якщо остання відповідь — «ні», не переходьте.

Пов’язані матеріали

Фішинг: як розпізнати шахрайський сайт за 30 секунд — розділ «Перевірка за 30 секунд».
Веббраузери: як вибрати приватний і безпечний — розділ «Приватний режим браузера» та матеріал про захисні можливості браузерів.
Вступ до паролів: як захистити свої акаунти — розділи «Унікальні паролі для кожного сервісу» та «Менеджер паролів».