Загрози в інтернеті діляться на дві групи, які постійно плутають між собою. Перша, кібератаки на державні реєстри, енергетику і бізнес, це предмет роботи CERT-UA і Держспецзв’язку. Друга, шахрайство проти конкретної людини через дзвінок, лист чи фейковий сайт, це те, що щодня фіксує Національний банк за скаргами постраждалих власників карток. У 2025 році CERT-UA опрацювала 5927 кіберінцидентів, на 37% більше, ніж 4315 у 2024 році. За той самий рік українці втратили від шахрайства з картками 1,4 мільярда гривень, на 24% більше, ніж роком раніше.
Обидва ряди цифр ростуть, але означають різне. Перший показує тиск на інфраструктуру країни. Другий, наскільки легко зловмисник переконує людину саму назвати код з SMS. Новина про атаку на державний реєстр не привід перевіряти власну картку. Плутанина між цими двома рядами заважає зрозуміти, від чого саме треба захищатися в конкретному випадку.
Шкідливе програмне забезпечення
Класична загроза, вірус, черв’як, троян, шифрувальник, лишається базовим інструментом атаки, але рідко діє сама по собі. Троян найчастіше потрапляє на пристрій разом із піратським додатком або через вкладення листа, що видає себе за рахунок чи акт. Шифрувальник, потрапивши в систему, блокує доступ до файлів і вимагає викуп. За даними CERT-UA саме розповсюдження шкідливого ПЗ, 2058 випадків за 2025 рік, лишається найчастішим типом інциденту серед атак на державні та бізнес-системи. Другий за частотою тип, DDoS-атака: сервер чи сайт заливають потоком фіктивних запитів, поки він не перестане відповідати справжнім користувачам. Для звичайного відвідувача це виглядає як тимчасова недоступність сайту банку чи держпослуги. Саме тому DDoS часто супроводжує масштабніші кампанії, розтягнуті в часі. Захист від шкідливого ПЗ технічний: оновлення системи, обмеження прав встановлення програм, резервні копії файлів окремо від основного диска.
Фішинг і соціальна інженерія
Фішинг більше не про безграмотний лист із проханням надіслати пароль. Робоча версія 2025 року, лист чи СМС, які точно копіюють стиль конкретного банку, державного органу чи маркетплейсу. Тема підганяється під ситуацію, актуальну саме зараз: виплату, компенсацію, блокування картки. За даними CERT-UA кількість фішингових інцидентів зросла з 843 у 2024 році до 1727 у 2025, більш ніж удвічі. Механізм працює не через технічну вразливість, а через тиск часу: людині не лишають хвилини подумати, вимагаючи діяти негайно, поки картку не заблокували чи виплату не скасували.
Шахрайство з платіжними картками: цифри НБУ
Національний банк веде окрему статистику. Вона показує парадокс: кількість шахрайських операцій із картками у 2025 році зменшилась, а збитки зросли.
| Показник | 2024 рік | 2025 рік |
|---|---|---|
| Кількість шахрайських операцій | 269,3 тис. | 256 тис. |
| Загальні збитки | близько 1,13 млрд грн | 1,4 млрд грн |
| Середня сума однієї операції | 4,2 тис. грн | 5,5 тис. грн |
| Частка онлайн-шахрайства в сумі збитків | 93% | 91% |
Арифметика пояснює парадокс сама. 1,4 мільярда гривень поділені на 256 тисяч операцій дають середню операцію 5,5 тисячі гривень. Це точно та цифра, яку називає НБУ. Вона на 30% вища за середню операцію 2024 року. Кількість шахрайств стала меншою, бо масові дешеві списання через скіммінг карток витісняються соціальною інженерією: менш масовою, зате результативнішою. У 90% випадків збитків 2025 року людина сама повідомила зловмиснику дані картки, пароль до інтернет-банкінгу чи код із SMS, проти 84% у 2024 році. Справжній банк ці дані ніколи не запитує, тому що вони йому не потрібні для жодної законної операції.
НБУ виділяє чотири схеми, що дають більшість збитків. Дзвінок нібито з банку про термінову потребу підтвердити дані картки через блокування. Повідомлення про грошову компенсацію чи державну допомогу з посиланням на фішинговий сайт, що копіює вигляд офіційного порталу. Прохання нібито від родича переказати гроші терміново на новий номер. Афера на маркетплейсі, коли покупець надсилає продавцю посилання нібито для отримання оплати, а насправді для введення реквізитів картки.
Кібератаки на державні та бізнес-системи
Тут рахунок веде CERT-UA, об’єкт інший: атаки на органи влади, оборонний сектор, енергетику і комерційні організації. Приватні картки громадян до цієї статистики не входять.
| Сектор | Кількість інцидентів у 2025 році | Частка |
|---|---|---|
| Місцеві органи влади | 2115 | 35,7% |
| Урядові організації | 1170 | 19,7% |
| Сектор безпеки та оборони | 1039 | 17,5% |
| Енергетика | 279 | 4,7% |
Понад половина всіх інцидентів припадає на місцеву і центральну владу разом. Це пояснюється кількістю точок входу: тисячі невеликих установ із різним рівнем захисту дають більше вразливих цілей, ніж кілька централізованих енергетичних операторів. Держспецзв’язку відстежує понад 150 кластерів загроз, позначених як UAC. Найактивніший, UAC-0010, відомий також як Gamaredon, працює проти державних установ роками, тоді як окремі кластери спеціалізуються вужче: UAC-0184 і UAC-0200 атакують через месенджери військовослужбовців, а UAC-0050 і UAC-0006 будують фінансово мотивовані схеми проти бізнесу. Розподіл цілей за кластерами показує, що напрямок атаки визначає, хто саме за нею стоїть: розвідувальна ціль, диверсія в інфраструктурі чи звичайне збагачення.
Два способи рахувати атаки і чому цифри розходяться у сотні разів
У червні 2025 року Мінцифри називало цифру близько 100 тисяч кібератак щомісяця, тоді як CERT-UA за весь 2025 рік підтвердила 5927 інцидентів, у середньому 494 на місяць. Різниця у 200 разів не означає, що одне відомство помиляється. Перша цифра, це автоматично зафіксовані спроби сканування і проникнення, які відбивають фаєрволи і системи виявлення вторгнень без участі людини. Друга, це інциденти, які пройшли триаж CERT-UA і підтверджені як реальна компрометація чи спроба, що вимагала реагування фахівців. Порівнювати їх напряму не можна: це різні визначення слова атака, а не суперечність у даних.
Окрема перевірка узгодженості: у липні 2025 року Держспецзв’язку повідомляло про приблизно 15 кіберінцидентів на день з початку року. Річний підсумок 5927 інцидентів дає середнє 16,2 на день, цифри збігаються в межах похибки проміжного і річного підрахунку.
Витік персональних даних і стеження
Кожен акаунт, форма реєстрації чи мобільний застосунок збирає дані, які самі по собі не крадіжка, але стають матеріалом для наступної атаки. Кукі-файли і трекери фіксують поведінку в браузері і формують профіль, який потім використовують для точного налаштування фішингового листа під конкретну людину. Окрема небезпека, витік бази одного сервісу, де лишився пароль. Той самий пароль часто підходить до пошти чи банківського застосунку, якщо людина не змінювала комбінацію роками, тому одна вкрадена база відкриває доступ одразу до кількох акаунтів. Захист тут не технічний прийом, а звичка: окремий пароль для кожного сервісу і двофакторна перевірка там, де вона доступна.
Кібербулінг і загрози для неповнолітніх
Окрема категорія стосується дітей і підлітків, які проводять в мережі години щодня без постійного контролю дорослих. Цькування в чатах, поширення приватних фото без згоди, маніпуляція довірою з боку незнайомця, це загрози, де технічний захист майже не працює. Головним інструментом тут лишається розмова вдома і реакція школи, антивірус проти цього безсилий. Тема виходить за межі цього тексту, вона заслуговує окремого розбору з профільними даними Міністерства освіти і психологічної служби.
Як перевірити підозріле повідомлення
Перш ніж вводити будь-які дані, варто перевірити три речі. Адресу сайту посимвольно: підмінені літери і зайві символи в домені видають підробку. Канал звернення: банк і державні органи не просять код із SMS ні дзвінком, ні листом, ні чатом. Терміновість вимоги, тиск часу, це основний інструмент соціальної інженерії. Будь-яке рішення можна відкласти на десять хвилин і перевірити його офіційним номером із зворотного боку картки чи офіційного сайту установи, без переходу за посиланням з підозрілого повідомлення.
Канали повідомлення різняться залежно від типу загрози. Про фішинговий лист чи сайт, спрямований проти державних реєстрів чи бізнесу, повідомляють CERT-UA через форму на офіційному сайті. Про шахрайство з карткою повідомляють у службу підтримки свого банку одразу, до того як зловмисник встигне провести операцію: чим швидше картку заблокують, тим менша сума під ризиком. Про підозрілий контакт, спрямований проти конкретної людини, можна звернутися в кол-центр Національної поліції, а функція перевірки додатків і посилань є в застосунку Дія.
Чого ці дані не показують
Статистика CERT-UA і НБУ охоплює зафіксовані і підтверджені випадки, а не всі спроби атак чи шахрайства. Частина людей не звертається до банку через невеликі суми або через сором, тому реальний масштаб шахрайства з соціальною інженерією, ймовірно, вищий за офіційні 1,4 мільярда гривень збитків. Так само дані CERT-UA не охоплюють інциденти в приватному секторі, які компанії не зобов’язані розкривати публічно. Обидва ряди цифр варто читати як нижню межу, повної картини вони не дають.
