СМС про посилку від шахраїв: як працює схема і як захиститися

СМС про посилку шахраї розсилають масово і за однією схемою: вам приходить повідомлення нібито від Нової пошти, Укрпошти чи міжнародного перевізника з текстом про те, що посилка затримана, не доставлена або потребує доплати, і з коротким посиланням. Пряма відповідь: справжні служби доставки ніколи не просять у СМС ввести повні дані картки, CVV-код чи код з банківського повідомлення. Якщо в СМС є лінк на оплату 'мита', 'доставки' чи 'зберігання' - це майже напевно фішинг. Не переходьте за посиланням, перевірте статус відправлення вручну в офіційному застосунку перевізника і видаліть повідомлення.

Ця схема особливо добре працює на покупцях, які реально чекають замовлення з інтернет-магазину чи закордонного маркетплейсу. Людина бачить слово 'посилка' - і клікає на автоматі. Тому перший рівень захисту - правильно організувати самі покупки: ми детально розбирали, коли безпечніше платити при отриманні, у матеріалі про накладений платіж проти передоплати. Що менше передоплат на сумнівних сайтах, то менше у шахраїв приводів 'зловити' вас на очікуванні.

Як працює схема з фейковим СМС про посилку?

Механіка проста і відпрацьована роками. Шахраї масово розсилають СМС, повідомлення у Viber, Telegram або email від імені відомого перевізника. У тексті - тригер терміновості: 'посилку буде повернено відправнику', 'не вдалося доставити', 'необхідно сплатити мито' або 'підтвердіть адресу протягом 24 годин'. Поруч - скорочене посилання, за яким відкривається сайт, що візуально копіює сторінку Нової пошти, Укрпошти, Meest чи міжнародної служби.

На фейковій сторінці вас просять 'оплатити' дрібну суму - умовні 5-30 гривень за 'переадресацію' чи 'зберігання'. Сума спеціально маленька, щоб не викликати підозри. Але форма оплати передає шахраям повний номер картки, термін дії та CVV. Далі можливі два сценарії: з картки одразу списують усе, що можуть, або дані продають і використовують пізніше. У просунутих варіантах сайт ще й просить ввести код з СМС банку - тобто ви власноруч підтверджуєте шахрайську операцію або прив'язку вашої картки до чужого гаманця Apple Pay чи Google Pay.

Окрема гілка схеми працює проти продавців на OLX та інших дошках оголошень: 'покупець' каже, що вже оформив доставку, і надсилає лінк 'для отримання оплати'. Це той самий фішинг, тільки під виглядом отримання грошей - детальніше ми розбирали це у статті про шахрайство при продажі на OLX.

Які повідомлення найчастіше розсилають шахраї?

Формулювання змінюються, але набір сценаріїв стабільний. Ось найпоширеніші варіанти, які фіксує кіберполіція та самі перевізники у своїх попередженнях:

• 'Ваша посилка затримана на митниці, сплатіть мито за посиланням' - тиск на тих, хто замовляє з-за кордону.
• 'Не вдалося доставити відправлення, підтвердіть адресу' - лінк веде на форму з полями для даних картки.
• 'Посилку буде повернено відправнику через несплату зберігання' - створює паніку і дедлайн.
• 'Вам надійшов переказ/оплата за товар, отримайте кошти' - варіант для продавців на дошках оголошень.
• 'Виграш/подарунок від Нової пошти до свята, заберіть приз' - сезонні розсилки під Чорну п'ятницю та Новий рік.
• Повідомлення у Viber з логотипом перевізника від неверифікованого акаунта - підробити ім'я відправника там найпростіше.

Спільна риса всіх варіантів - вас квапляться і ведуть на сторонній сайт платити або 'підтверджувати' дані. Справжній перевізник у СМС максимум повідомить номер ТТН і відділення, а всі розрахунки проводить у відділенні, в офіційному застосунку або через накладений платіж.

Як відрізнити фейкове СМС від справжнього?

У редакційній перевірці ми порівняли реальні сповіщення Нової пошти та Укрпошти зі зразками фішингових розсилок, які публікує кіберполіція. Відмінності видно за кілька секунд, якщо знати, куди дивитися:

Найнадійніший тест - домен. Шахраї реєструють адреси, схожі на справжні: зайвий дефіс, інша доменна зона (.site, .top, .info замість .ua), переставлені літери. Як системно перевіряти адресу сайту, сертифікат і вік домену, ми покроково показували у статті про ознаки фішингового сайту.

Чому ця схема спрацьовує навіть на досвідчених покупцях?

По-перше, статистична ймовірність: українці щомісяця відправляють і отримують десятки мільйонів посилок, тож масова розсилка майже гарантовано влучає в людину, яка реально щось чекає. По-друге, фішинг залишається наймасовішим видом онлайн-шахрайства в Україні - за даними кіберполіції України, 2025, саме фішингові посилання та підроблені сайти платіжних сервісів і перевізників становлять основу шахрайських схем у сфері онлайн-покупок. По-третє, технічно підміна імені відправника СМС (alpha-name spoofing) дозволяє шахрайському повідомленню потрапити в той самий ланцюжок, де лежать справжні СМС від перевізника.

Додає вразливості і витік персональних даних: якщо шахраї знають ваше ім'я, телефон і навіть факт нещодавнього замовлення, повідомлення виглядає переконливо персоналізованим. Звідки беруться такі бази і як мінімізувати свій слід, читайте у матеріалі про захист персональних даних при покупках.

До чого тут мито і чому 'доплата за розмитнення' - брехня?

Сценарій з 'митом' експлуатує реальні правила, які мало хто знає напам'ять. В Україні у 2026 році посилки з-за кордону вартістю до 150 євро для особистого користування не оподатковуються. Якщо вартість перевищує 150 євро, з суми перевищення сплачується 10% мита та 20% ПДВ. Ключовий момент: ці платежі ніколи не збирають через випадкові лінки з СМС.

Якщо ваша посилка справді підлягає оподаткуванню, ви дізнаєтеся про це через офіційні канали перевізника або брокера: сповіщення в особистому кабінеті, офіційний застосунок, рахунок з реквізитами. Оплата проходить у відділенні або через офіційний кабінет - і завжди з документами. Будь-яке СМС 'сплатіть мито 27 грн за лінком' - шахрайство за визначенням, бо реальні митні платежі рахуються від вартості товару понад поріг, а не фіксованою дрібною сумою.

Що робити, коли отримали підозріле СМС про посилку?

1. Не переходьте за посиланням і нічого не завантажуйте. Навіть просто відкритий фішинговий сайт може спробувати підсунути шкідливий APK-файл на Android.
2. Перевірте статус відправлення вручну: відкрийте офіційний застосунок Нової пошти, Укрпошти чи іншого перевізника або введіть адресу сайту самостійно в браузері.
3. Звірте номер ТТН. Якщо в повідомленні його немає або трекінг не знаходить такого відправлення - це фейк.
4. Якщо сумніваєтеся - зателефонуйте на офіційну гарячу лінію перевізника з номера, вказаного на офіційному сайті, а не з СМС.
5. Заблокуйте і поскаржтеся: відмітьте повідомлення як спам, у Viber - заблокуйте відправника і натисніть 'Поскаржитися'.
6. Надішліть скриншот і посилання до кіберполіції через форму на ticket.cyberpolice.gov.ua - так фішинговий домен швидше заблокують.
7. Видаліть повідомлення, щоб випадково не повернутися до нього пізніше.

Що робити, якщо вже ввели дані картки на фейковому сайті?

Рахунок іде на хвилини, тому дійте у жорсткій послідовності. Перше і головне - заблокуйте картку: через мобільний застосунок банку (найшвидше) або за телефоном гарячої лінії, вказаним на звороті картки. Друге - якщо гроші вже списали, одразу повідомте банк про шахрайську операцію і письмово оскаржте її: процедуру повернення через платіжну систему ми розписали у покроковій інструкції про чарджбек.

Третє - змініть паролі до банківських застосунків і пошти, якщо вводили їх на підозрілому сайті, та перевірте, чи не з'явилися у вашому банкінгу нові прив'язані пристрої або токени Apple Pay/Google Pay. Четверте - подайте заяву до кіберполіції та до поліції за фактом шахрайства: без офіційного звернення банку складніше обґрунтувати повернення коштів. Що робити в перші години після несанкціонованого списання, ми детально розбирали у статті списали гроші з картки - що робити.

Важливий нюанс: якщо ви самі ввели код підтвердження з СМС банку, операція вважається авторизованою, і банк може відмовити у поверненні. Це не привід здаватися - подавайте скаргу в банк письмово, далі до НБУ як регулятора, і фіксуйте все: скриншоти СМС, адресу фішингового сайту, час операцій.

Як захистити картку від подібних схем наперед?

Повністю прибрати фішингові розсилки зі свого життя неможливо, але можна зробити так, щоб навіть успішний фішинг коштував вам мінімум. Базовий набір виглядає так:

• Заведіть окрему картку для онлайн-оплат з нульовим залишком - гроші переказуйте на неї безпосередньо перед покупкою. Як це організувати, читайте в гайді про безпечну картку для покупок.
• Для разових оплат на незнайомих сайтах використовуйте віртуальну картку - її можна видалити одразу після платежу.
• Увімкніть ліміти на інтернет-операції та СМС-сповіщення про кожну транзакцію в застосунку банку.
• Ніколи нікому не називайте CVV і коди з банківських СМС - ні 'службі безпеки банку', ні 'оператору пошти'.
• Оновлюйте застосунки банку та перевізників лише з офіційних магазинів App Store і Google Play.

Окремо нагадаємо: 3-D Secure (код підтвердження при онлайн-оплаті) захищає лише тоді, коли ви розумієте, що саме підтверджуєте. Уважно читайте текст банківського СМС перед введенням коду - там вказані сума та отримувач.

Куди повідомляти про шахрайські СМС в Україні?

Скарга - це не формальність: за зверненнями громадян кіберполіція та реєстратори блокують фішингові домени, і розсилка перестає працювати для тисяч інших людей. Основні канали:

• Кіберполіція України - онлайн-форма зворотного зв'язку на офіційному сайті cyberpolice.gov.ua (можна додати скриншоти і посилання).
• Перевізник, від імені якого розсилають фейк: у Нової пошти та Укрпошти є офіційні канали для повідомлень про шахрайство - контакти шукайте на їхніх сайтах.
• Ваш банк - якщо фішинг стосувався платіжних даних, навіть без списання коштів.
• Національний банк України - якщо банк відмовляється розглядати скаргу про несанкціоновану операцію.
• Месенджери: у Viber і Telegram блокуйте відправника та використовуйте вбудовану кнопку скарги на спам.

Головне: як не стати жертвою СМС-шахраїв з 'посилкою'?

Фейкові СМС про посилку - це конвеєрний фішинг, який тримається на двох речах: ефекті очікування замовлення і штучній терміновості. Зламати схему просто: ніколи не переходьте за лінками з повідомлень про доставку, перевіряйте статус лише в офіційному застосунку, не вводьте дані картки для 'доплат' і пам'ятайте, що реальні митні платежі (10% мита + 20% ПДВ з суми понад 150 євро) ніколи не збирають через випадкові посилання. Тримайте для онлайн-покупок окрему або віртуальну картку з мінімальним балансом - і навіть успішна фішингова атака обернеться для шахраїв нулем. А якщо помилка вже сталася - блокуйте картку, запускайте чарджбек і пишіть заяву до кіберполіції: швидкість реакції тут вирішує все.

Часті запитання

Джерела

1. Кіберполіція України - попередження про фішингові схеми
2. Нова пошта - офіційні застереження щодо шахрайства
3. Національний банк України - платіжна безпека та шахрайство
4. Укрпошта - офіційний сайт і трекінг відправлень