У 2025 році CERT-UA опрацювала 5927 кіберінцидентів — на 37,4% більше, ніж у 2024 році. Серед них було 1727 випадків фішингу проти 843 роком раніше. Ці дані відображають кількість опрацьованих інцидентів, а не загальну кількість усіх спроб атак на український бізнес і державні установи.
У глобальному звіті Verizon DBIR 2026 людський чинник був наявний у 62% досліджених порушень безпеки. Це ширша категорія, ніж фішинг: вона охоплює також соціальну інженерію, помилки та використання скомпрометованих облікових даних. У симуляціях фішингу медіанний показник успішних переходів для мобільних векторів — голосових дзвінків і текстових повідомлень — був на 40% вищим, ніж для електронної пошти.
Чому саме перші 48 годин
Період у 48 годин є практичним горизонтом для організації невідкладних дій, а не встановленим законом строком і не гарантованою межею повернення коштів. Після компрометації паралельно розвиваються щонайменше три процеси: зловмисник закріплюється в системі, цифрові журнали можуть перезаписуватися, а кошти — переміщуватися між рахунками. Тому технічне, фінансове та юридичне реагування не слід виконувати послідовно одне після одного.
Звіт FBI IC3 за 2025 рік містить 24 768 звернень щодо компрометації ділового листування (BEC) із задекларованими втратами понад 3,046 млрд доларів США. Американська Recovery Asset Team того року ініціювала 3900 процедур Financial Fraud Kill Chain і повідомила про блокування 58% суми заявлених спроб викрадення. Ці результати не можна автоматично переносити на Україну або розглядати як гарантію повернення коштів; вони підтверджують лише критичне значення негайного контакту з банком і повного документування транзакції.
Ключове уточнення. Жодне надійне джерело не підтверджує універсальне правило, за яким після 24 чи 48 годин шанси на повернення коштів автоматично знижуються до певного відсотка. Результат залежить від виду переказу, юрисдикцій, часу звернення, залишку коштів і процедур конкретних банків.
Орієнтовна хронологія перших 48 годин: 0–2 години — ізоляція уражених систем, фіксація часу виявлення, запуск плану реагування, контакт із банком, якщо кошти вже переказано; 2–6 годин — збереження журналів, листів і платіжних документів, блокування скомпрометованих сесій, первинна оцінка масштабу; 6–24 години — повідомлення CERT-UA та правоохоронних органів, перевірка регуляторних, договірних і страхових строків; 24–48 годин — поглиблений форензик-аналіз, оцінка витоку персональних даних, документування рішень і план безпечного відновлення.
Крок 1. Локалізувати інцидент і не втратити докази
Уражений пристрій або сегмент мережі необхідно ізолювати, але рішення про вимкнення живлення, очищення чи перевстановлення системи слід узгоджувати з фахівцем з реагування: такі дії можуть знищити оперативну пам'ять, журнали та інші нестійкі артефакти. CERT-UA рекомендує перед відновленням зберегти копії дисків, журнали подій, мережеві дані та інші сліди інциденту.
Зокрема варто: зафіксувати точні дату й час виявлення інциденту та часовий пояс; зберегти оригінал підозрілого листа у форматі .eml або .msg разом із повними заголовками; експортувати журнали входів, змін правил пошти, OAuth-дозволів і дій адміністраторів; зберегти платіжні доручення, рахунки, реквізити одержувача та листування з банком; працювати з копіями, за можливості обчислити контрольні хеш-значення та вести журнал осіб, які отримували доступ до матеріалів.
Мета цих дій — забезпечити відтворюваність і цілісність матеріалів. Саме по собі хешування не робить файл допустимим доказом, але разом із документованим походженням, способом вилучення та зберігання допомагає підтвердити, що дані не були змінені. Загальна модель реагування має охоплювати виявлення, реагування, відновлення та подальше вдосконалення процедур.
Крок 2. Повернути контроль над обліковими записами
Зміни слід проводити з довіреного пристрою, який не використовувався під час компрометації. Зміна лише одного пароля може бути недостатньою, якщо зловмисник створив правила пересилання, підключив сторонній застосунок або зберіг активний токен сесії.
Необхідно: примусово завершити активні сесії та відкликати токени доступу; змінити паролі скомпрометованих і пов'язаних привілейованих облікових записів; увімкнути багатофакторну автентифікацію, бажано стійку до фішингу; перевірити правила пересилання, делегування поштових скриньок, фільтри та OAuth-застосунки; переглянути зміни платіжних шаблонів, довірених одержувачів і контактних даних.
Крок 3. Негайно звернутися до банку
Якщо платіж уже виконано, банк-відправник потрібно повідомити негайно через офіційний канал і письмово попросити ініціювати відкликання або іншу доступну процедуру зупинення коштів. Передайте повні реквізити операції, суму, час, підставу платежу, дані одержувача та пояснення способу шахрайства. Просіть зафіксувати звернення і надати його реєстраційний номер.
Необхідно розрізняти неавторизовану операцію та платіж, який уповноважена особа сама підтвердила під впливом обману. Це може змінювати правову оцінку, порядок оскарження і розподіл відповідальності. Сам факт шахрайства не означає автоматичного обов'язку банку відшкодувати всю суму; значення мають Закон України «Про платіжні послуги», договір, спосіб автентифікації та фактична послідовність дій.
Паралельно перевірте строки повідомлення страховика та обов'язки за договорами з клієнтами, постачальниками або платіжними партнерами. Повідомлення має бути фактичним і виваженим: передчасні висновки про причину чи масштаб інциденту можуть ускладнити подальше врегулювання.
Крок 4. Повідомити CERT-UA та правоохоронні органи
Про кіберінцидент можна повідомити CERT-UA за адресою incidents@cert.gov.ua або через контакти на офіційному сайті. CERT-UA є національною командою реагування у складі Держспецзв'язку: вона допомагає дослідити, локалізувати інцидент і надати рекомендації, але не замінює орган досудового розслідування.
За наявності ознак заволодіння коштами чи несанкціонованого втручання слід подати заяву до Національної поліції або її підрозділу кіберполіції. Кваліфікація залежить від способу атаки та наслідків: за конкретних обставин можуть розглядатися, зокрема, стаття 190 КК України (шахрайство) і стаття 361 КК України (несанкціоноване втручання). Остаточну кваліфікацію не слід визначати автоматично лише за назвою інциденту.
Для окремих суб'єктів — об'єктів критичної інфраструктури, банків, надавачів платіжних або фінансових послуг — діють спеціальні правила повідомлення та взаємодії. Наприклад, банки повідомляють НБУ про значні кіберінциденти в порядку, встановленому постановою Правління НБУ № 24. Обов'язок повідомлення Держфінмоніторингу не виникає лише через факт фішингової атаки: окремо потрібно оцінити, чи є фінансова операція такою, що підлягає повідомленню за законодавством про фінансовий моніторинг.
Якщо скомпрометовано персональні дані
GDPR застосовується не просто тому, що серед постраждалих є «резиденти ЄС». Необхідно перевірити територіальну сферу дії Регламенту за статтею 3. Якщо GDPR застосовний, контролер повідомляє компетентний наглядовий орган без невиправданої затримки і, якщо це можливо, не пізніше 72 годин після того, як йому стало відомо про порушення, крім випадку, коли порушення навряд чи створює ризик для прав і свобод фізичних осіб. За високого ризику постраждалих осіб повідомляють без невиправданої затримки.
Чинний Закон України «Про захист персональних даних» не встановлює загального 72-годинного строку, аналогічного статті 33 GDPR. Законопроєкт № 8153 був прийнятий за основу 20 листопада 2024 року та станом на дату цього матеріалу готується до другого читання. Його положення не можна подавати як чинне право, хоча їх доцільно враховувати під час побудови внутрішніх процедур.
Що потрібно зберегти для юридичної роботи
Для подальшої юридичної роботи варто зберегти: хронологію подій із точним часом кожної дії та особою, яка її виконала; оригінали електронних листів, повні заголовки, доменні та DNS-дані; журнали автентифікації, VPN, хмарних сервісів, поштового шлюзу та засобів захисту; банківські виписки, платіжні інструкції, записи телефонних звернень і відповіді банку; образи носіїв або інші форензик-копії, хеш-значення та журнал передачі матеріалів; договори з банком, страховиком, IT-підрядниками та контрагентами; усі повідомлення CERT-UA, поліції, регуляторам, постраждалим особам і партнерам.
Висновок
Після фішингової атаки першочерговим є не пошук винного всередині компанії, а кероване обмеження шкоди. У перші години потрібно одночасно ізолювати скомпрометовані системи, зберегти цифрові сліди, повернути контроль над обліковими записами, звернутися до банку та визначити обов'язкових адресатів повідомлення.
Універсального відсотка повернення коштів або однакового алгоритму для всіх інцидентів не існує. Рішення залежать від технічної картини, виду платежу, юрисдикцій, статусу постраждалої компанії та її договорів. Тому практичний орієнтир у 48 годин варто використовувати як строк для мобілізації команди, а не як обіцянку результату.
Застереження. Матеріал має виключно інформаційний характер, не є індивідуальною правничою чи технічною консультацією та не гарантує повернення коштів. Порядок дій залежить від обставин інциденту, договорів, юрисдикцій і чинних на момент події регуляторних вимог.
Джерела: Держспецзв'язку — CERT-UA у 2025 році опрацювала 5927 кіберінцидентів; Verizon 2026 Data Breach Investigations Report; FBI Internet Crime Complaint Center — 2025 IC3 Annual Report; CERT-UA — як відновити роботу компанії після кібератаки; CERT-UA — коли і як повідомляти про кіберінцидент; Закон України «Про основні засади забезпечення кібербезпеки України»; Кримінальний кодекс України, статті 190 і 361; Постанова Правління НБУ від 25.02.2025 № 24; Регламент (ЄС) 2016/679 (GDPR), статті 33 і 34; Закон України «Про захист персональних даних»; картка законопроєкту № 8153; NIST SP 800-61 Rev. 3.