Фішинг — це атака, у якій працівника або власника бізнесу змушують перейти за шкідливим посиланням, відкрити файл, ввести пароль, підтвердити вхід або переказати гроші. Для магазину наслідки можуть бути практичними: злам пошти, крадіжка доступу до банку, зараження касового комп’ютера, шифрування бази обліку, втрата замовлень, зупинка продажів.
Станом на липень 2026 року фішинг залишається одним із головних способів первинного доступу до бізнесу. Атаки стали переконливішими: листи пишуть без грубих помилок, шахраї копіюють стиль банків, служб доставки, маркетплейсів, державних сервісів, постачальників і навіть внутрішні листування компанії.
Для українського ритейлу фішинг небезпечний тим, що більшість робочих процесів проходить через пошту, месенджери, інтернет-банк, маркетплейси, віддалений доступ, ПРРО, CRM, облікову програму та Windows-комп’ютери. Один необережний клік може дати зловмиснику доступ до всієї операційної системи магазину.
Короткий алгоритм дій
Якщо працівник уже відкрив підозріле посилання або файл Не сваріть людину і не просіть «подивитися, що там». Важливо швидко зупинити поширення атаки, зберегти сліди й перевірити резервні копії.
- Від’єднайте підозрілий комп’ютер від інтернету та локальної мережі. Не вимикайте його силою, якщо є можливість передати технічному спеціалісту для аналізу.
- Змініть паролі до пошти, банку, Google/Microsoft-акаунтів, маркетплейсів, ПРРО, кабінетів служб доставки та облікових систем.
- Завершіть активні сеанси в акаунтах і перевірте підключені пристрої.
- Заблокуйте підозрілі платежі через банк, якщо вводили карткові або банківські дані.
- Перевірте сервер, касові комп’ютери, мережеві папки та резервні копії. Відновлювати роботу можна лише з копії, створеної до зараження.
- Зафіксуйте інцидент: дата, час, хто отримав повідомлення, що відкрив, які акаунти могли постраждати, які дії виконано.
Чому це актуально для українського ритейлу
Малий і середній бізнес часто працює без штатного адміністратора. Один комп’ютер може виконувати кілька ролей: сервер обліку, робоче місце власника, доступ до банку, пошта, месенджери, файли постачальників і віддалене підключення технічних спеціалістів. Така концентрація зручна, але підвищує ризик.
НБУ повідомив, що у 2025 році сума збитків від незаконних дій і шахрайських операцій з платіжними картками в Україні зросла до 1,4 млрд грн, хоча кількість шахрайських операцій на мільйон видаткових операцій зменшилася. Це означає, що окрема успішна атака стає дорожчою для жертви.
CERT-UA у 2025–2026 роках регулярно фіксувала атаки через електронні листи, скомпрометовані облікові записи, вкладення, архіви, посилання, підроблені повідомлення від державних органів і тематичні приманки. Це не означає, що кожен магазин є ціллю державного рівня. Але техніки, які використовують проти державних установ і великих організацій, швидко переходять у масове шахрайство проти бізнесу.
Як працює фішинг
Фішинг не зламує систему напряму. Він змушує людину зробити дію замість зловмисника: ввести пароль, відкрити файл, підтвердити вхід, встановити програму, переказати гроші або надати віддалений доступ.
| Сценарій | Що бачить працівник | Що може постраждати | Перша дія |
|---|---|---|---|
| Лист від «банку» | Повідомлення про блокування рахунку, перевірку платежу або нові правила | Інтернет-банк, фінансовий номер, платіжні дані | Не переходити за посиланням. Зайти в банк вручну або зателефонувати за офіційним номером |
| Файл від «постачальника» | Рахунок, акт, накладна, прайс або архів із паролем | Робочий комп’ютер, облікова база, мережеві папки | Перевірити відправника окремим каналом. Не відкривати макроси й виконувані файли |
| Повідомлення від «маркетплейсу» | Посилання на оплату, доставку, повернення коштів або підтвердження замовлення | Картки, кабінет продавця, дані клієнтів | Працювати тільки через офіційний кабінет маркетплейсу |
| Фейковий вхід у пошту | Сторінка, схожа на Gmail, Microsoft 365 або корпоративну пошту | Пошта, документи, доступи до сервісів, листування з клієнтами | Перевірити адресу сайту. Увімкнути MFA та змінити пароль, якщо дані вже введено |
| Дзвінок від «техпідтримки» | Просять встановити програму віддаленого доступу або назвати код | Комп’ютер, банк, облікова програма, файли | Припинити розмову. Самостійно звернутися до офіційної підтримки |
Основні види фішингу
- Масовий email-фішинг. Однакові листи надсилають тисячам адрес. Мета — отримати хоча б частину паролів або заражених комп’ютерів.
- Цільовий фішинг. Лист готують під конкретну компанію, працівника або власника. Використовують відкриту інформацію з сайту, соцмереж, вакансій, реєстрів і попередніх витоків.
- Фішинг через месенджери. Посилання надсилають у Telegram, Viber, WhatsApp, Facebook Messenger або Instagram Direct. Часто пишуть зі зламаного акаунта знайомої людини.
- Фішинг через QR-коди. Код веде на підроблену сторінку входу або оплати. Це зручно для шахрая, бо користувач не бачить адресу до переходу.
- Голосовий фішинг. Дзвінок від імені банку, служби безпеки, постачальника, техпідтримки або керівника. Мета — змусити людину діяти швидко.
- Фішинг із перехопленням MFA. Підроблена сторінка просить не тільки пароль, а й одноразовий код. Тому звичайна двофакторна автентифікація з SMS або кодом у застосунку знижує ризик, але не є абсолютним захистом.
- Фішинг через фейкові застосунки. Людині пропонують встановити «додаток банку», «доставку», «оновлення кабінету» або «перегляд документа». Насправді це шкідлива програма.
Як атака розвивається після кліку
Небезпека фішингу не закінчується на крадіжці одного пароля. У багатьох випадках це перший етап ширшої атаки.
- Первинний доступ. Працівник вводить пароль, відкриває файл або запускає програму.
- Закріплення. Зловмисник додає новий пристрій, створює правило пересилання пошти, встановлює віддалений доступ або краде файли cookie сесії.
- Розвідка всередині системи. Переглядають листування, документи, папки, назви серверів, доступи до банків, маркетплейсів, ПРРО, облікових систем.
- Розширення доступу. Пробують ті самі паролі в інших сервісах, шукають адміністратора, відкритий RDP, VPN, мережеві папки, постійно підключені диски.
- Основна дія. Крадуть гроші, змінюють реквізити в рахунках, видаляють або шифрують файли, вивантажують бази клієнтів, блокують доступи.
- Приховування слідів. Видаляють листи, правила пересилання, журнали, резервні копії або повідомлення про вхід.
Типові помилки бізнесу
- Один пароль використовується для пошти, банку, маркетплейсів і робочих сервісів.
- Двофакторна автентифікація не ввімкнена для пошти, Google/Microsoft, банку, хостингу, маркетплейсів і віддаленого доступу.
- Касир або менеджер працює з правами адміністратора Windows.
- Сервер або основний комп’ютер використовують для пошти, браузера, месенджерів і завантаження файлів.
- RDP відкритий напряму з інтернету.
- Програми віддаленої підтримки встановлені постійно й доступні без контролю власника.
- Резервна копія лежить на тому самому комп’ютері або на постійно підключеному диску.
- Резервні копії створюються, але їх ніколи не відновлювали для перевірки.
- Працівники не знають, кому повідомляти про підозрілий лист.
- Після інциденту комп’ютер одразу «чистять», не фіксуючи сліди атаки.
Що робити під час інциденту
- Зупиніть роботу підозрілого пристрою в мережі. Від’єднайте кабель Ethernet або Wi-Fi. Якщо це каса, переведіть продажі на резервний сценарій.
- Повідомте відповідального. Власник, адміністратор або підрядник має знати про інцидент одразу, а не в кінці дня.
- Не вводьте паролі повторно. Якщо сторінка «не прийняла пароль», це може бути ознакою фішингу.
- Змініть паролі з чистого пристрою. Не змінюйте пароль із комп’ютера, який міг бути заражений.
- Перевірте правила пошти. Особливо автоматичне пересилання, фільтри, делегований доступ, підключені застосунки.
- Перевірте банківські операції. За потреби одразу зверніться до банку.
- Перевірте резервні копії. Потрібна копія, створена до інциденту, і бажано така, що не була постійно доступна з зараженого комп’ютера.
- Зафіксуйте хронологію. Це допоможе зрозуміти, що саме постраждало.
Що не можна робити
- Не платити «штраф», «комісію», «митний збір» або «розблокування» за посиланням із листа чи месенджера.
- Не відкривати повторно підозрілий файл «для перевірки».
- Не пересилати підозрілий лист іншим працівникам із проханням подивитися.
- Не вводити пароль на сторінці, адресу якої ви не перевірили.
- Не надавати коди з SMS, застосунку банку або автентифікатора телефоном.
- Не підключати заражений комп’ютер до мережевих папок і резервних дисків.
- Не відновлювати роботу з першої знайденої копії без перевірки дати й цілісності.
- Не вважати, що антивірус самостійно вирішить інцидент.
Порядок технічного відновлення
Відновлення має йти від критичних процесів до другорядних. Для магазину пріоритет — продажі, облік товару, каса, банк, замовлення, база клієнтів і документи.
- Визначити межі інциденту. Які пристрої, акаунти, папки й сервіси могли бути зачеплені.
- Ізолювати заражені пристрої. Не підключати їх назад до мережі до перевірки.
- Перевірити акаунти. Пошта, Google/Microsoft, банк, маркетплейси, ПРРО, хостинг, служби доставки, віддалений доступ.
- Перевірити резервні копії. Копія має бути створена до проникнення зловмисника. Якщо атака почалася тиждень тому, вчорашня копія може вже містити проблему.
- Відновити систему на чистому середовищі. Не розгортати базу на комп’ютері, який ще не перевірено.
- Оновити Windows, браузери, офісні програми, антивірус і засоби віддаленого доступу.
- Скасувати зайві доступи. Видалити старі акаунти працівників, тимчасові доступи підрядників, невідомі програми й підключені пристрої.
- Провести короткий розбір. Що стало причиною, які дії спрацювали, що потрібно змінити.
Захист Windows-сервера магазину
Якщо сервер або основний комп’ютер з обліковою програмою працює на Windows, його потрібно розглядати як критичний елемент бізнесу. На ньому не варто читати пошту, відкривати вкладення, працювати в месенджерах, переглядати випадкові сайти, встановлювати сторонні програми або використовувати його як звичайний комп’ютер власника.
- Створіть окремі облікові записи Windows для адміністратора, касирів, менеджерів і підрядників.
- Звичайні працівники не повинні працювати з правами адміністратора.
- Увімкніть автоматичні оновлення Windows і основних програм.
- Використовуйте антивірус або захист Microsoft Defender із регулярними оновленнями.
- Відокремте Wi-Fi для відвідувачів від робочої мережі.
- Обмежте доступ до мережевих папок: працівник має бачити тільки те, що потрібно для роботи.
- Не зберігайте паролі в текстових файлах, браузері на сервері або на робочому столі.
Віддалений доступ
Віддалений доступ потрібен для підтримки, але саме він часто стає слабким місцем. Прямий RDP із загальнодоступного інтернету не варто використовувати. Якщо віддалене підключення необхідне, його потрібно організувати через VPN, окремі облікові записи, складні паролі, журнал підключень і багатофакторну автентифікацію, якщо вона підтримується.
| Доступ | Ризик | Як зробити безпечніше |
|---|---|---|
| RDP відкритий в інтернет | Підбір пароля, атаки на вразливості, шифрування сервера | Закрити прямий доступ. Використовувати VPN і MFA |
| Один пароль для всіх підрядників | Неможливо зрозуміти, хто підключався | Окремий акаунт для кожного виконавця |
| Постійно активна програма віддаленої підтримки | Доступ може використати не той, кому його давали | Вмикати доступ на час робіт і контролювати сеанс |
| Адміністраторський доступ для касира | Шкідлива програма отримує більше прав | Окремі ролі й мінімальні права |
Резервне копіювання
Резервна копія має сенс тільки тоді, коли її можна відновити. Копія на тому самому сервері або на постійно підключеному диску може бути зашифрована разом з основними файлами. Тому потрібні різні типи копій: локальна для швидкого відновлення, хмарна або відокремлена для захисту від фізичної поломки й окрема копія, недоступна для звичайних робочих акаунтів.
- Щодня створюйте копію критичних даних: база обліку, документи, замовлення, файли інтеграцій.
- Щотижня перевіряйте, що копія реально створилася і не має помилок.
- Щомісяця робіть тестове відновлення на окремому комп’ютері або в окремому середовищі.
- Після інциденту не перезаписуйте старі копії, доки не зрозумієте дату проникнення.
- Окремо зберігайте паролі до резервного сховища й обмежте доступ до нього.
Для користувачів Торгсофт доречна опція Хмарний архів даних | Ліцензія на 1 рік. Вона створює архів бази даних або каталогу програми та відправляє його в Google Drive за розкладом. У налаштуваннях можна вибрати тип завдання: архів бази даних, каталог з програмою або синхронізація фотографій. Для архіву бази доступне стискання файлів, журнал виконання, строк зберігання копій і папка TORGSOFT_CLOUD у хмарному сховищі.
Важливо розуміти межі такої опції. Хмарний архів не заважає працівнику ввести пароль на фішинговому сайті й не розшифровує заражені файли. Його цінність в іншому: якщо база пошкоджена, комп’ютер зламався або дані втрачено, бізнес має шанс відновити роботу з придатної копії.
Багатофакторна автентифікація
Багатофакторна автентифікація означає, що для входу потрібен не тільки пароль, а ще один фактор: код у застосунку, апаратний ключ або підтвердження на довіреному пристрої. Для бізнесу її потрібно ввімкнути щонайменше для пошти, Google/Microsoft, банку, хостингу, маркетплейсів, CRM, ПРРО, VPN і віддаленого доступу.
Найкращий варіант для критичних акаунтів — фішингостійка автентифікація, наприклад апаратні ключі безпеки або passkeys, якщо сервіс це підтримує. SMS краще, ніж один пароль, але SMS-код можна виманити або втратити через перевипуск SIM-карти.
Навчання працівників
Навчання не повинно зводитися до лекції «не натискайте на підозрілі посилання». Працівник має знати конкретну процедуру: що вважати підозрілим, кому переслати повідомлення, як перевірити постачальника, що робити з архівом, коли зупинити операцію і кого викликати.
- Проводьте короткий інструктаж для нових працівників до доступу до пошти, каси й облікової системи.
- Повторюйте інструктаж не рідше одного разу на рік.
- Окремо навчайте працівників, які працюють з банком, маркетплейсами, доставкою, поверненнями й документами постачальників.
- Не карайте за повідомлення про помилку. Якщо працівник боїться сказати, бізнес дізнається про атаку запізно.
Розподіл відповідальності
| Хто відповідає | Зона відповідальності | Періодичність |
|---|---|---|
| Власник | Правила доступу, бюджет на захист, відповідальні особи, резервний сценарій роботи | Перегляд раз на квартал і після інциденту |
| Адміністратор або ІТ-підрядник | Оновлення, антивірус, VPN, RDP, акаунти, резервні копії, журнали | Щомісяця, критичні оновлення — одразу |
| Керівник магазину | Дотримання правил працівниками, повідомлення про підозрілі ситуації | Постійно |
| Касир або менеджер | Не відкривати підозрілі файли, не вводити паролі на невідомих сайтах, повідомляти про інциденти | Щодня |
| Бухгалтер або фінансист | Перевірка реквізитів, платежів, листів від банків і контрагентів | Перед кожною оплатою |
Практичний чекліст для власника
- Усі робочі пошти мають унікальні паролі та MFA.
- Паролі зберігаються в менеджері паролів, а не в таблиці чи блокноті.
- У працівників немає прав адміністратора Windows без потреби.
- RDP не відкритий напряму з інтернету.
- Віддалений доступ надається окремими акаунтами й тільки на час робіт.
- Сервер обліку не використовується для пошти, месенджерів і браузинга.
- Wi-Fi для клієнтів відокремлений від робочої мережі.
- Резервні копії створюються автоматично.
- Є копія, недоступна для зараженого робочого комп’ютера.
- Тестове відновлення проводилося протягом останнього місяця.
- Працівники знають, кому повідомити про підозрілий лист або дзвінок.
- Є коротка інструкція на випадок фішингу: ізоляція комп’ютера, зміна паролів, перевірка банку, перевірка копій.
Джерела
- CERT-UA — повідомлення про актуальні кібератаки, фішингові кампанії та шкідливе програмне забезпечення в Україні.
- Держспецзв’язку — методичні рекомендації щодо кібергігієни та навчання працівників.
- Кіберполіція України — рекомендації щодо фішингу, фейкових акаунтів і шахрайських посилань.
- Національний банк України — статистика шахрайства з платіжними картками у 2025 році.
- NCSC: Phishing attacks — defending your organisation — багаторівневий підхід до захисту від фішингу.
- NIST Small Business Cybersecurity: Phishing — рекомендації для малого бізнесу щодо розпізнавання й реагування на фішинг.
- CISA StopRansomware Guide — резервні копії, MFA, оновлення, віддалений доступ і реагування на шифрувальники.
- ENISA Threat Landscape 2025 — європейський огляд актуальних кіберзагроз.
- Verizon Data Breach Investigations Report — дані про роль фішингу, соціальної інженерії, викрадених облікових даних і ransomware у витоках.
- Google Mandiant M-Trends — дані про вектори первинного проникнення, зокрема експлуатацію вразливостей, фішинг і голосову соціальну інженерію.
- Закон України «Про захист персональних даних» — загальні вимоги до обробки й захисту персональних даних.
- Закон України «Про платіжні послуги» — загальні правила платіжного ринку та автентифікації користувачів платіжних послуг.
Повернутися до попереднього кроку