Корисне

Мешканці громади отримують посилання на «оформлення виплати» на сторінці з гербом і назвою сільради. Клієнти інтернет-магазину платять на сайті, що відрізняється від справжнього однією літерою. Бухгалтерія партнера отримує лист «від вас» про нові реквізити. Ваших систем ніхто не зламував, але гроші й довіра втрачені.

Підробки під організації — масова схема: зловмисники реєструють схожі домени пачками і вставляють у листи назву атакованої організації. Добра новина: багато таких підробок можна помітити рано, а прибрати — скаргами, без суду.

Як виглядає схожий домен

Припустімо, ваш сайт nasha-gromada.gov.ua. Ось що зареєструє шахрай:

• Пропущена або подвоєна літера: nasha-gormada…, nashaa-gromada….
• Схожі символи: rn замість m, l замість i, 0 замість o.
• Інша зона: ваш .com.ua, а підробка на .com, .online, .info.
• Додане слово: nasha-gromada-vyplaty.com, nasha-pay.site.
• Ваша назва як піддомен чужого сайту: nasha-gromada.gov.ua.vyplata-online.com. Людина бачить знайомий початок і не дочитує.
• Кирилиця замість латиниці. Літери «а», «е», «о», «с» виглядають однаково, а для браузера це інший домен.

Окрема категорія — сторінки й акаунти: група у Facebook з вашим логотипом, Telegram-канал «служби підтримки», реклама «акції» від вашого імені.

Як шукати самостійно: 20 хвилин на тиждень

1. Журнали сертифікатів. Більшість фішингових сайтів отримує безкоштовний HTTPS-сертифікат, а кожен виданий сертифікат потрапляє у відкриті журнали Certificate Transparency. На сайті crt.sh введіть ключову частину вашої назви з символом % з обох боків, наприклад %nasha%. Ви побачите всі домени із цим словом, на які видавали сертифікати, з датами. Новий незнайомий домен — привід подивитися.

2. Генератор схожих доменів. Безкоштовна відкрита утиліта dnstwist бере ваш домен, будує сотні варіантів з помилками й перевіряє в DNS, які з них зареєстровані. У звичайному режимі, без додаткових параметрів, вона нічого не атакує, а лише робить звичайні запити до DNS. Корисно запустити раз на місяць.

3. Пошукові системи. Шукайте назву організації разом зі словами «виплата», «допомога», «акція», «розіграш», «оплата». Пошук за зображенням вашого логотипа (Google Lens) знаходить сайти, які його скопіювали.

4. Соцмережі й месенджери. Пошук за назвою у Facebook, Instagram, Telegram. У бібліотеці реклами Meta видно, чи хтось крутить рекламу від вашого імені.

5. Звіти DMARC про вашу пошту. Якщо для домену налаштовано DMARC зі звітами, поштові сервіси надсилають вам, хто намагався відправляти листи від вашого імені. Це ранній сигнал про підробку пошти.

6. Скарги людей. Часто перший сигнал — дзвінок: «Я оплатив, а де замовлення?» Попросіть людину надіслати посилання або скриншот.

Знайшли підробку: спершу докази

Сайт можуть прибрати чи змінити будь-якої миті, тому спочатку фіксуйте:

• Повну адресу з усім, що після домену.
• Скриншоти з видимою адресою, датою й часом. Знімайте кожен крок, наприклад форму оплати.
• Збережену сторінку (у браузері «Зберегти як», повна вебсторінка).
• Дані домену: дату реєстрації й реєстратора з пошуку WHOIS або RDAP. IP-адресу й хостинг можна дізнатися через будь-який сервіс перевірки DNS.
• Лист повністю з технічними заголовками, якщо підробка прийшла поштою. У поштовому клієнті це «Показати оригінал» або «Вихідний код».

Для скарг платформам цього досить. Для суду чи спору UA-DRP може знадобитися нотаріальне засвідчення сторінки — спитайте юриста.

Безпека під час огляду: не вводьте жодних даних і не завантажуйте файлів. Відкривайте з робочого комп’ютера без входу в банк, а краще з окремого пристрою. І не «відповідайте» атакою на сайт шахраїв: це теж злочин, а доказів не додасть.

Куди скаржитися

Подавайте скарги паралельно, а не по черзі:

1. Google Safe Browsing (форма «Report phishing page»). Після підтвердження Chrome, Firefox і Safari показують червоне попередження. Часто це найшвидший спосіб захистити людей. Окремо повідомте Microsoft через форму звіту про небезпечний сайт.
2. Реєстратор домену. Адреса для скарг (abuse) є в даних WHOIS або RDAP.
3. Хостинг. Визначте за IP-адресою. Якщо сайт за Cloudflare, у нього є власна форма скарг на фішинг. Сам Cloudflare вміст не видаляє, а пересилає скаргу хостингу, тож пишіть і йому.
4. Meta, Telegram, інші платформи. Для сторінок і акаунтів — вбудована кнопка «Поскаржитися» з вибором «Видає себе за організацію». У Meta є окрема форма для власника бренду.
5. CERT-UA ([email protected]) — якщо підробляють державний орган, громаду чи установу, повідомляйте в першу чергу; бізнесу теж варто.
6. Кіберполіція — через онлайн-форму звернення, особливо якщо вже є постраждалі й гроші переказано.

Рішення ухвалюють платформа, реєстратор чи хостинг. Хтось реагує за години, хтось за тижні, а дехто не відповідає зовсім. Якщо відповіді немає, повторіть скаргу з новими доказами.

Шаблон скарги

Тема: Phishing site impersonating [назва організації] / Фішинговий сайт, що видає себе за [назва]

Доброго дня. Ми, [повна назва організації, код ЄДРПОУ], офіційний сайт [ваш домен]. Домен [підробний домен], зареєстрований через ваш сервіс, використовують для фішингу: сайт копіює наш логотип і дизайн і збирає [платіжні дані / паролі / персональні дані] наших клієнтів.

Адреса фішингової сторінки: [повний URL]. Виявлено: [дата, час]. Скриншоти додаємо.

Просимо призупинити домен (хостинг) відповідно до ваших правил щодо зловживань. Контакт для зв’язку: [ім’я, посада, робоча пошта, телефон].

Англійською пишіть для іноземних реєстраторів і хостингів. Українською — для українських реєстраторів, CERT-UA й кіберполіції.

Якщо домен у зоні .ua

Для доменів .ua, .com.ua, .org.ua, .net.ua і більшості регіональних зон діє процедура UA-DRP, яку розглядає Всесвітня організація інтелектуальної власності (WIPO). Вона допомагає, коли домен не зник після скарг або його тримають «про запас». Потрібна торговельна марка, права на яку ви маєте, і докази недобросовісної реєстрації або використання домену. Якщо марки немає, лишаються скарги реєстратору й хостингу.

Це не позов до суду, а скарга до WIPO. Готувати її найкраще з юристом, мито сплачується окремо, розгляд триває зазвичай кілька місяців. Рішення можна оскаржити в суді України протягом 14 днів.

Для .com, .online, .info та інших загальних зон є схожа міжнародна процедура UDRP. Для національних зон інших країн правила свої.

Попередьте людей

Поки підробка жива, головне — щоб ваші клієнти чи мешканці їй не повірили:

• Розмістіть на сайті й у своїх соцмережах коротке повідомлення з адресою підробки (без активного посилання).
• Опублікуйте один офіційний перелік ваших сайтів, сторінок і телефонів, щоб людям було з чим звірити.
• Напишіть прямо, чого ви ніколи не робите: не просите дані картки на сторонніх сайтах, не повідомляєте про зміну реквізитів листом.
• Для громади — оголошення через старост, ЦНАП і місцеві групи.

Як ускладнити життя шахраям

• DMARC з політикою reject разом із SPF і DKIM. Тоді більшість поштових сервісів не доставить лист, підроблений під ваш точний домен.
• Зареєструйте очевидні варіанти свого домену: ключові помилки й основні зони. Це дешевше за один інцидент.
• Займіть назву в соцмережах і месенджерах, навіть якщо не плануєте там вести сторінку.
• Навчіть працівників перевіряти адресу відправника й підтверджувати зміну реквізитів дзвінком на відомий номер.

Чекліст

• ☐ Раз на тиждень: пошук %назва% у журналах сертифікатів (crt.sh)
• ☐ Раз на місяць: перевірка схожих доменів (dnstwist) і пошук у соцмережах
• ☐ Налаштовано DMARC зі звітами, ціль — політика reject
• ☐ Зареєстровано основні схожі домени
• ☐ Є відповідальний за реакцію і шаблон скарги
• ☐ При підробці: докази → Google Safe Browsing → реєстратор і хостинг → платформи → CERT-UA і кіберполіція
• ☐ Повідомлення для клієнтів і офіційний перелік каналів опубліковано

Якщо стежити за цим ніколи

Пошук нових доменів і сторінок — нудна, але регулярна робота. Ми можемо взяти її на себе: стежимо за схожими доменами, сертифікатами й підробними акаунтами від імені вашої організації, фіксуємо докази, за вашою довіреністю подаємо скарги через офіційні канали і готуємо звернення до CERT-UA та кіберполіції. Рішення про видалення ухвалює платформа чи реєстратор, тому гарантувати його не може ніхто. Деталі — на сторінці захист бренду від фішингу. Якщо через підробку вже зламано пошту чи акаунти, почніть зі сторінки кібербезпека.