Шахрайство за допомогою ШІ: що змінилося за 5 місяців 2026 року

За перші п’ять місяців 2026 року шахрайство у фінансовій сфері стало значно технологічнішим, швидшим і більш персоналізованим. Ключова зміна полягає в тому, що штучний інтелект більш активно використовується як інструмент масштабування вже відомих схем: соціальної інженерії, фішингу, фейкових дзвінків, підроблених повідомлень, шахрайських онлайн-пропозицій, псевдозборів і маніпуляцій у месенджерах.

Про це розповіла Анна Довгальська, заступниця голови правління ГЛОБУС БАНКУ.

Як зазначила банкірка, шахрайство частіше ґрунтується на психологічному тиску- злочинці намагаються змусити людину самостійно зробити переказ, ввести дані картки, повідомити код із SMS або перейти за небезпечним посиланням. Штучний інтелект лише поглиблює цю загрозу: він робить повідомлення переконливішими, дзвінки — правдоподібнішими, а атаки значно швидшими, — пояснила Анна Довгальська.

Посилаючись на дані Національного банку України, вона повідомила, що у 2025 році кількість незаконних дій та шахрайських операцій із платіжними картками, за якими були завдані збитки, зменшилася на 5% — до 256 тис. операцій. Однак сума збитків, навпаки, зросла майже на чверть — до 1,4 млрд грн. Середня сума однієї незаконної операції збільшилася на 30% — із 4247 грн у 2024 році до 5536 грн у 2025 році. При цьому 83% усіх шахрайських операцій відбувалися через інтернет, а 90% загальної суми збитків були спричинені соціальною інженерією.

Найпоширеніші шахрайські схеми: соціальна інженерія, фішинг, фейкові сервіси та P2P-шахрайство

Анна Довгальська зазначає, що наймасовішою загрозою залишається соціальна інженерія: в Україні найчастіше зловмисники видають себе за працівників банку, мобільного оператора, державної установи, благодійної організації або навіть знайомих людини. Їхня головна мета — це змусити клієнта власноруч розкрити конфіденційні дані або підтвердити операцію.

“Типові випадки — це нав’язливі дзвінки нібито від “служби безпеки банку” із повідомленням про підозрілу операцію, блокування рахунку чи необхідність “захистити кошти” тощо. Людину силоміць занурюють у стан тривоги, змушують діяти квапливо, негайно. Такий тиск блокує критичне сприйняття, вимикає логіку, що допомагає злодіям випитати реквізити картки, CVV-код, логін до онлайн-банкінгу або одноразовий пароль”, — зауважила банкірка.

Друга поширена схема — це фішинг. Йдеться про підроблені сайти банків, державних програм, служб доставлення, благодійних фондів, маркетплейсів або онлайн-магазинів. Людина переходить за посиланням, вводить дані картки, після чого шахраї отримують можливість списати кошти або отримати доступ до фінансового номера та онлайн-банкінгу.

Окремий напрям — шахрайські онлайн-підписки та фейкові магазини. Користувачеві пропонують товар за нереалістично низькою ціною, “акційний” доступ до сервісу, розіграш, безпрограшну лотерею, пробний період або оформлення невеликого платежу, який насправді відкриває регулярне списання коштів. Часто такі сайти виглядають професійно, мають логотипи відомих брендів, відгуки, чат-боти та навіть імітацію служби підтримки.

Четверта схема — фейкові збори, псевдодопомога та маніпуляції на темі війни. Зловмисники створюють сторінки зборів “на ЗСУ”, “на лікування”, “на гуманітарну допомогу”, підробляють світлини, звіти, чеки, документи, а в окремих випадках можуть використовувати діпфейк-відео або згенеровані ШІ зображення.

Ще один стабільно небезпечний напрям — P2P-шахрайство, тобто перекази з картки на картку. Найчастіше воно маскується під продажі в інтернеті, “OLX-доставку”, передоплату за товар, бронювання житла, оплату вигаданих послуг або “страховий платіж”.

“Клієнтові варто послуговуватися простим правилом: якщо вас підганяють, лякають, обіцяють надзвичайну вигоду або просять діяти негайно — це вже привід, як мінімум, зупинитися, відкинути зайві емоції. Аферисти майже завжди працюють через надмірну експресію: страх втратити гроші, бажання швидко отримати допомогу, співчуття, довіру до знайомого або спокусу купити щось дуже вигідно”, — акцентувала Анна Довгальська.

Як ШІ вдосконалює шахрайство

Банкірка зауважила, що штучний інтелект суттєво змінив якість шахрайських схем. Насамперед ШІ допомагає генерувати тексти без типових помилок, якими раніше можна було легко розпізнати фішингові повідомлення. Тепер підроблений лист, SMS або повідомлення в месенджері можуть бути граматично правильними, стилістично схожими на офіційну комунікацію банку, компанії, державної установи чи служби доставки.

За її даними, саме фішинг став одним із головних напрямів використання ШІ. Вже понад 80% проаналізованих фішингових листів мають ознаки використання штучного інтелекту. Європейські дослідження оцінюють показник використання ШІ у фішингу у 82,6%. Фактично автоматизація дала змогу шахраям різко здешевити підготовку атак, у деяких випадках до 95%, а також суттєво прискорити їх.

Крім того, ШІ дає можливість персоналізувати атаки. Зловмисники можуть використовувати відкриті дані із соціальних мереж, професійних профілів, зокрема LinkedIn, месенджерів, публічних фото, коментарів чи згадок, щоб зробити повідомлення більш правдоподібним. Наприклад, у листі можуть згадати місце роботи, ім’я керівника, недавню поїздку, подію або сервіс, яким людина справді користується. Саме тому жертві дедалі частіше здається, що лист або повідомлення “реальні”.

Експертка зазначила, що у таких персоналізованих атаках ефективність може бути значно вищою, ніж у звичайному масовому фішингу. Якщо середній рівень кліків за фішинговими посиланнями може становити близько 2,7%, то для більш точних AI-атак фіксуються показники клікабельності до 54%. За великого масштабу навіть невеликий відсоток переходів перетворюється на колосальну кількість ризикових дій: за окремими оцінками, це може сягати близько 92 млн кліків на день у глобальному вимірі.

“Найнебезпечніше в сучасному фішингу — це поєднання посилання з контекстом. Людина бачить знайоме ім’я, правильний тон, логотип, згадку про реальну подію і цілком природно може втратити пильність. ШІ дає шахраям змогу створити ілюзію правди там, де раніше були очевидні помилки”, — пояснила Анна Довгальська.

На її думку, окрема загроза — це deepfake-технології (підроблений голос, відео або зображення). Експертка зауважила, що ШІ може використовуватися для створення підроблених голосів і відео реальних людей. Шахраї здатні клонувати голос людини за короткими аудіофрагментами, а іноді для базової імітації може бути достатньо кількох секунд запису. Такі записи можна отримати з відкритих відео, голосових повідомлень, соцмереж або чатів.

У найпростіших випадках людині телефонують від імені “родича” або “друга” і просять терміново переказати гроші. У складніших — імітують керівника компанії, який нібито просить бухгалтера або фінансового менеджера терміново провести платіж. Такі схеми особливо небезпечні, коли поєднують голосову імітацію, психологічний тиск і вимогу негайної дії: “переказати кошти”, “підтвердити операцію”, “не ставити зайвих питань”, “зробити це просто зараз”.

“Діпфейки також можуть використовуватися для зламу акаунтів у месенджерах, створення фальшивих відеозвернень, маніпуляцій у псевдозборах або навіть для спроб проходження ідентифікації на окремих онлайн-платформах, зокрема криптобіржах. Водночас важливо розуміти: найскладніші deepfake-схеми поки що використовуються точково, а не масово, адже вони дорожчі, потребують підготовки, достатнього обсягу даних і продуманого сценарію. Натомість фішинг, повідомлення в месенджерах, фейкові сайти, шахрайські дзвінки та маніпуляції з фінансовим номером залишаються значно масовішими”, — деталізувала банкірка.

У ширшому контексті більшість сучасних випадків зловмисних дій так чи інакше пов’язані з фішингом або соціальною інженерією. За окремими оцінками, до 80% інцидентів включають фішинговий компонент, а якщо враховувати всі форми соціальної інженерії, до 98% атак можуть бути пов’язані з маніпуляцією поведінкою людини. Середній час кліку на фішингове посилання в окремих дослідженнях оцінюється приблизно у 21 секунду. Тобто шахраям часто потрібно менше ніж пів хвилини, щоб підштовхнути людину до ризикової дії.

“Раніше людина могла орієнтуватися на помилки в тексті, дивну мову, неприродний голос або незграбну логіку повідомлення. Тепер ці маркери працюють гірше. ШІ допомагає аферистам звучати переконливіше. Тому головний захист — не намагатися “впізнати” шахрая за інтонацією, а перевіряти саму дію: хто просить, через який канал, чому терміново, чи можна підтвердити це іншим способом”, — підкреслила Анна Довгальська.

Як захиститися від ШІ-шахрайства: практичні поради

Щоб не потрапити в тенета злочинців, Анна Довгальська радить дотримуватись базового “алгоритму безпеки”. Головне правило — ніколи не поспішати. Будь-яке повідомлення або дзвінок, що вимагає негайної дії з грошима, карткою, кодами, паролями або доступом до застосунку, потрібно сприймати як потенційно ризикове.

“У нових технологічних умовах важливо зрозуміти: атакують насамперед людину. Шахрай прагне не стільки обійти банківський захист, скільки змусити клієнта самому відкрити “двері”: натиснути посилання, назвати код, підтвердити платіж або переказати гроші”, — наголосила експертка.

Вона радить громадянам ніколи нікому не повідомляти CVV-код, термін дії картки, PIN-код, логін і пароль до інтернет-банкінгу, одноразові паролі з SMS або push-повідомлень, коди мобільного оператора, дані для входу в застосунки. Також не варто вводити дані картки на сумнівних сайтах, навіть якщо сторінка виглядає професійно, має логотип відомої компанії, “офіційний” стиль або нібито службу підтримки. Також варто уважно перевіряти доменну адресу, не довіряти схожим написанням і користуватися лише офіційними застосунками з App Store або Google Play.

“Якщо ви отримали дзвінок буцімто з банку, то краще завершити розмову і самостійно передзвонити за номером, вказаним на офіційному сайті або на картці. Якщо знайома людина написала повідомлення з проханням терміново переказати гроші, то зв’яжіться з нею іншим каналом комунікації або ж перетелефонуйте їй”, — порадила вона.

Окреме правило — піддавати сумніву “терміновість”. Саме поспіх є одним із головних інструментів шахраїв. Вони створюють відчуття, що рахунок заблокують, гроші зникнуть, допомогу втратять, акція завершиться, товар “заберуть просто зараз”, а платіж потрібно зробити негайно. У таких ситуаціях найкраща дія — пауза, перевірка і відмова від імпульсивного рішення.

“Варто також звертати увагу на незвичні фрази, помилки, дивну логіку в розмові або невідповідність стилю людини, яка нібито пише чи телефонує. Але важливо не покладатися лише на ці ознаки: у часи ШІ повідомлення може бути грамотно написаним, а голос — схожим на реальний. Тому перевіряти потрібно не тільки форму, а насамперед саму дію: хто просить, що саме просить, чому терміново і чи можна підтвердити це незалежним способом”, — наголосила фахівчиня.

Для захисту фінансового номера телефону експертка радить ідентифікувати SIM-картку у мобільного оператора, не використовувати неперсоніфікований номер як фінансовий, а також підключити додаткові сервіси захисту SIM-картки, щоб у разі втрати телефона або підозри на несанкціонований доступ була змога негайно заблокувати картку та інтернет-банкінг.

Окремо важливо використовувати двофакторну автентифікацію всюди, де це можливо: у банківських застосунках, пошті, месенджерах, соціальних мережах, маркетплейсах. За окремими оцінками, двофакторна автентифікація може забезпечувати близько 99% захисту від значної частини несанкціонованих доступів до акаунтів. Це не робить людину абсолютно невразливою, але суттєво ускладнює доступ шахраїв до її фінансових і персональних даних.

“Злочинці хочуть, щоб людина діяла швидко. Клієнт має зробити навпаки — зупинитися, перевірити, поставити під сумнів і лише потім ухвалювати рішення. У часи ШІ фінансова безпека починається саме з критичного мислення”, — підсумувала Анна Довгальська.