Як перевірити сайт на безпеку та шахрайство перед покупкою чи входом

Новий інтернет-магазин із підозріло низькими цінами, SMS «вашу посилку затримано» з посиланням, сторінка входу, що відкрилася після кліку по рекламі. Перш ніж платити чи вводити пароль, варто витратити п’ять хвилин на кілька перевірок. Жодна з них не ідеальна сама по собі, але разом вони відсіюють більшість очевидного шахрайства й допомагають тверезо оцінити решту.

Чесне застереження одразу: жоден сервіс і жоден чек-лист не гарантує, що сайт безпечний. Шахрайські сайти з’являються й зникають за лічені дні, а сайт, який був у порядку рік тому, сьогодні можуть зламати. Кожна перевірка нижче — сигнал, а не вирок; вирішує загальна картина.

1. Прочитайте адресу по літерах

Фішинг майже завжди розрахований на те, що ви не вдивляєтеся в URL. Насамперед подивіться на домен в адресному рядку — частину одразу перед першою одинарною скісною рискою.

• Домени-двійники з одруківками (тайпсквотинг): paypa1.com, arnazon.com (r+n замість m), privatbank-online.help. Переставлені, подвоєні або схожі літери — класичний прийом.
• Бренд у піддомені: в адресі privatbank.ua.login-check.net справжній домен — login-check.net. Усе лівіше власник пише як заманеться.
• Незвична доменна зона: відомий бренд на .shop, .top, .xyz тощо — не доказ обману, але привід перевірити ретельніше.
• Схожі символи з інших абеток: кирилична «а» чи «о» не відрізняється від латинської. Браузери часто показують такі домени у вигляді xn--… — це вже тривожний знак.

Якщо ви прийшли за посиланням із листа, месенджера чи реклами — наберіть адресу бренду самі або відкрийте її із закладок.

2. Дізнайтеся вік домену

Шахрайські магазини зазвичай живуть на щойно зареєстрованих доменах: старі швидко потрапляють у скарги та блокування. Дату реєстрації покаже перевірка віку домену, повний запис — WHOIS (сучасні реєстри відповідають через RDAP — наступника WHOIS).

• Домен зареєстровано кілька тижнів тому, а на сайті «працюємо з 2005 року» — серйозний червоний прапорець.
• Молодий домен сам по собі не доказ: будь-який чесний бізнес теж починається з нового домену.
• Старий домен — теж не гарантія чесності. Звільнені домени перекуповують і використовують знову, а давно чинні сайти зламують.

Як читати дати реєстрації та закінчення, розібрано в статті про вік домену.

3. HTTPS і замок — це не «сайт надійний»

Замок в адресному рядку означає лише, що з’єднання між вами й сервером зашифроване. Про власника сайту він не каже нічого. Безкоштовні сертифікати видаються автоматично за хвилини, і фішингові сторінки давно працюють через HTTPS.

А от проблеми з HTTPS дещо кажуть: якщо в магазину чи сторінки входу немає HTTPS взагалі, сертифікат прострочений або виписаний на інший домен — ідіть. Видавця, терміни дії та список імен у сертифікаті покаже перевірка SSL.

4. Хто стоїть за сайтом

Справжній бізнес можна впізнати. Шукайте:

• юридичну назву, адресу реєстрації та реєстраційний чи податковий номер (ЄДРПОУ, РНОКПП для ФОП, NIP тощо) — і перевірте їх в офіційному реєстрі компаній відповідної країни;
• робочий телефон і пошту на домені компанії, а не лише форму зворотного зв’язку чи безкоштовну скриньку;
• умови продажу, повернення та політику конфіденційності, написані для цього магазину, а не скопійований текст із забутою чужою назвою;
• фізичну адресу, яка на мапі виявляється офісом чи складом, а не випадковою точкою.

Відсутність реквізитів не доводить шахрайства, але реквізити, що не сходяться (номер компанії, якого немає в реєстрі), — серйозне попередження.

5. Шукайте відгуки поза сайтом

Відгуки на сторінках самого магазину пише або добирає магазин. Пошукайте назва-сайту відгуки і назва-сайту шахраї, загляньте на незалежні майданчики — Trustpilot, форуми, соцмережі.

Пам’ятайте, що накручені відгуки трапляються всюди. Насторожують сплеск п’ятизіркових відгуків за кілька днів, шаблонні тексти без подробиць і повна відсутність відгуків у магазину, що заявляє «тисячі клієнтів». Детальні скарги з тією самою історією (оплатив, нічого не прийшло, підтримка зникла) важать більше за будь-який рейтинг.

6. Способи оплати й ціни

• Оплата карткою або через PayPal залишає шлях назад: чарджбек і програми захисту покупця існують саме для випадків «товар не прийшов» (правила залежать від банку й країни).
• Лише переказ на картку чи рахунок, криптовалюта або подарункові картки, прохання «оплатити напряму менеджеру» — одна з найсильніших ознак шахрайства. Такі гроші повернути дуже важко.
• Ціни набагато нижчі, ніж у всіх, вічний таймер «залишилося 2 години» і «залишилося 3 штуки» на кожному товарі — це тиск. Великі знижки бувають, але не на все й не щодня.

7. Перевірте Google Safe Browsing і довіру до домену

Статус сайту в Google Safe Browsing можна подивитися за адресою transparencyreport.google.com/safe-browsing/search. Він показує, чи вважає Google сайт небезпечним просто зараз (фішинг, шкідливе ПЗ, небажані програми). Чистий результат означає «поки не позначено», а не «безпечний»: нових шахрайських сайтів часто ще немає в жодному списку.

Для технічної картини запустіть перевірку довіри до домену: HTTPS, сертифікат, заголовки безпеки, DNS і поштові записи, базову SEO-гігієну. Акуратно налаштований сайт не обов’язково чесний, але «великий бренд» без елементарних налаштувань виглядає підозріло. Як читати звіт — у статті про перевірку довіри до домену. Сканер безпеки сайту додатково пасивно шукає ознаки шкідливого коду, застарілі версії ПЗ з відомими вразливостями та наявність адреси в базі URLhaus.

Як перевірити підозріле посилання, не переходячи за ним

Якщо посилання прийшло в повідомленні, не відкривайте його, «щоб подивитися». Натомість:

1. Подивіться справжню адресу. На комп’ютері наведіть курсор на посилання, на телефоні — довге натискання й читання адреси в прев’ю без відкриття.
2. Розгорніть коротке посилання. Скорочувачі ховають адресу призначення. Вставте короткий URL у перевірку редиректів: вона пройде всі переходи на нашому сервері й покаже, де закінчується ланцюжок, не завантажуючи сторінку у вашому браузері. Докладніше про ланцюжки — у статті як перевірити редиректи.
3. Спитайте сканери. VirusTotal перевіряє URL за базами десятків антивірусних вендорів, URLhaus відстежує адреси, що роздають шкідливе ПЗ, Google Safe Browsing ловить фішинг. Кілька чистих результатів заспокоюють, але гарантією не є.
4. Ідіть довгим шляхом. Якщо повідомлення нібито від банку чи служби доставки, відкрийте їхній застосунок або наберіть адресу сайту самі й знайдіть те саме сповіщення там.

Короткий чек-лист

• Домен написано точно як треба, і бренд — це сам домен, а не піддомен.
• Домену не кілька днів чи тижнів — а якщо так, усе інше бездоганне.
• HTTPS працює, сертифікат виписано на цей домен (необхідно, але недостатньо).
• Реквізити компанії є і збігаються з офіційним реєстром.
• Незалежні відгуки є і не повторюють ту саму скаргу.
• Можна платити карткою або PayPal; ніхто не просить криптовалюту, подарункові картки чи переказ.
• Google Safe Browsing і сканери не позначають сайт.

Якщо ви вже заплатили або ввели пароль

• Платили карткою: одразу телефонуйте в банк, заблокуйте картку, якщо вводили її дані, і запитайте про чарджбек (оскарження платежу). У банків є строки, не зволікайте.
• Платили через PayPal чи маркетплейс: відкрийте спір у їхньому центрі вирішення суперечок.
• Ввели пароль: змініть його на справжньому сайті й усюди, де він повторювався, увімкніть двофакторну автентифікацію та завершіть інші сеанси.
• Повідомте про сайт: у Google Safe Browsing (форма «повідомити про фішинг»), хостинг-провайдеру чи реєстратору з WHOIS, до CERT-UA або органу захисту прав споживачів вашої країни, а в разі втрати грошей — до кіберполіції. Скарги допомагають заблокувати сайт для наступних жертв.
• Збережіть докази: скриншоти, адресу, підтвердження замовлення та квитанції про оплату.