Фішинг через ШІ: як розпізнати шахрайські листи в 2026 році

Штучний інтелект кардинально змінив ландшафт фішингових атак, перетворивши їх з досить очевидних спроб обману на витончені та майже непомітні інструменти викрадення грошей та даних. За даними Держспецзв’язку, протягом січня–вересня 2026 року фахівці CERT-UA неодноразово фіксували ознаки можливого використання ШІ зловмисниками для підготовки фішингових повідомлень, створення підроблених вебсторінок та навіть розробки шкідливого програмного коду. Ця технологія не лише підвищила якість шахрайських листів, але й значно здешевила та автоматизувала процес атаки, зробивши її доступною навіть для недостатньо кваліфікованих злочинців.

Як ШІ покращив фішинг: головні зміни

Раніше основним індикатором фішингового листа були граматичні помилки, дивний стиль викладу або невідповідність офіційному тону справжніх установ. Сьогодні ці ознаки швидко зникають. За словами Анни Довгальської, заступниці голови правління Глобус Банку, понад 80% проаналізованих фішингових листів вже мають ознаки використання штучного інтелекту. Європейські дослідження оцінюють цей показник у 82,6%.

Ключові покращення завдяки ШІ:

• Бездоганна граматика та стиль: ШІ генерує тексти без помилок, імітуючи офіційний тон банків, держустанов (ДПС, Дія) або популярних сервісів (Нова пошта, Rozetka).
• Швидкість і масштаб: автоматизація дозволяє шахраям готувати та розсилати тисячі персоналізованих повідомлень за лічені хвилини.
• Мовна адаптація: як зазначає, російські кіберзлочинці активно використовують ШІ для створення листів красивою українською мовою, що значно підвищує рівень довіри.
• Дешевизна: у деяких випадках витрати на підготовку атак знизилися до 95%.

Нові ознаки фішингових листів, створених ШІ

Оскільки старі ознаки (помилки, поганий переклад) більше не працюють, користувачам потрібно зосередитися на інших деталях. Головна небезпека сучасного фішингу — це поєднання технічно бездоганного листа з психологічним тиском або надто привабливою пропозицією.

1. Персоналізація та соціальна інженерія

ШІ дозволяє шахраям аналізувати відкриті дані з соціальних мереж (LinkedIn, Facebook), публічних профілів, коментарів або згадок. У листі можуть згадати:

• Реальне ім’я вашого керівника.
• Назву компанії, де ви працюєте.
• Недавню подію, яку ви відвідали або про яку писали.
• Сервіс, яким ви активно користуєтеся (наприклад, конкретний банк або маркетплейс).

Як зазначає експертка у, саме така персоналізація різко підвищує ефективність атак. Якщо середній рівень кліків за фішинговими посиланнями становить близько 2,7%, то для точніших AI-атак фіксуються показники до 54%.

2. Соціальний інжиніринг та маніпуляції

ШІ відмінно справляється зі створенням контексту, що викликає довіру або страх. Найпоширеніші сценарії:

• Погрози: листи від імені податкової з повідомленням про штраф або блокування рахунку в банку (таку тактику використовували ChatGPT, Grok і Meta AI, як повідомляє).
• Надзвичайно вигідні пропозиції: повідомлення про виграш у лотереї, яку ви не купували, або про унікальну акцію з неймовірними знижками.
• Листи з підтримки: новий вид атаки, виявлений у сервісі Gemini, де ШІ генерує фальшиві системні попередження прямо в інтерфейсі пошти (наприклад, про витік пароля), спрямовуючи на номер телефону шахраїв.

3. Технічні особливості: посилання та домени

Найуразливіше місце залишається незмінним — це посилання, на яке вас просять перейти.

• Підроблені домени: шахраї реєструють домени, схожі на справжні (наприклад, privatbank.secure.com замість privatbank.ua, nova-poshta.help замість novaposhta.ua). Завжди уважно перевіряйте адресний рядок браузера.
• Скорочувачі посилань: використання сервісів типу bit.ly для приховування справжньої URL-адреси.

Хто під загрозою найбільше?

За даними досліджень, представлених, однією з найуразливіших груп є літні люди. ФБР попереджає, що шахраї цілеспрямовано використовують ШІ для масштабних атак проти них, імітуючи листи від благодійних організацій, банків або державних органів. Однак під загрозою опиняються всі: від звичайних користувачів до співробітників великих компаній, які можуть стати жертвами атак на корпоративні сервіси на кшталт Microsoft 365.

Як захистити себе: основні правила

1. Ніколи не переходьте за прямою ланкою з листа чи SMS. Навіть якщо лист виглядає правдоподібно, самостійно введіть адресу офіційного сайту банку чи сервісу в браузері. Користуйтеся офіційними додатками з App Store чи Google Play.
2. Уважно перевіряйте адресу відправника та домен сайту. Звертайте увагу на найменші відмінності в написанні.
3. Не надавайте конфіденційні дані. Ні справжній банк, ні державна установа ніколи не попросить вас повідомити PIN-код, CVV-код картки, пароль від онлайн-банкінгу чи одноразові SMS-коди через email, месенджер чи телефонну розмову.
4. Не поспішайте. Будь-яке повідомлення, що стверджує про терміновість дії («рахунок заблокується через 2 години», «виграш згорить») — це класична маніпуляція. Зупиніться і перевірте інформацію офіційними каналами.
5. Увімкніть двофакторну автентифікацію (2FA) для всіх важливих акаунтів (банкінг, пошта, соцмережі). Це значно ускладнить доступ шахраїв навіть у разі викрадення логіна та пароля.

Часті запитання

Чим фішинг через ШІ відрізняється від звичайного? Звичайний фішинг часто мав помилки, поганий переклад і був масовим. Фішинг, створений ШІ, — грамотний, може бути персоналізованим (з використанням даних про вас) і майже не відрізняється від листів справжніх компаній за стилем і змістом.

Які сервіси найчастіше підробляють? Найчастіше шахраї маскуються під сторінки банків, державних програм (Дія, єПідтримка), служб доставки (Нова пошта, Укрпошта), маркетплейсів (Rozetka, Prom.ua) та благодійних фондів.

Що робити, якщо я все ж таки перейшов за посиланням і ввів дані? Негайно подзвоніть у ваш банк на офіційний номер з сайту, щоб заблокувати картку та доступ до онлайн-банкінгу. Далі слідуйте інструкціям фахівця. Також рекомендується змінити паролі до всіх облікових записів, де ви використовували схожі комбінації.