Анатомія схеми: Як працює автоматизований конвеєр крадіжки грошей на маркетплейсах

Сьогоднішній даркнет пропонує шахраям готовий бізнес за передплатою: їм більше не потрібно власноруч створювати фішингові сайти, налаштовувати серверну частину чи вигадувати складні скрипти спілкування. Усе це беруть на себе спеціалізовані Telegram-боти та готові «фішинг-паки». Нижній ланці зловмисників — так званим «воркерам» — залишається лише знайти жертву, заманити її у месенджер і скинути згенероване ботом посилання.

В середньому, за один місяць блокується близько 1500 фішингових доменів під сервіс оголошень OLX.ua. Як працює шахрайський конвеєр та чому навіть досвідчені користувачі віддають власні кошти шахраям? Розбираємося на прикладі реальної історії та аналізуємо внутрішню механіку схеми разом з видавництвом dev.ua

 

Історія одного оголошення: як працює пастка

Все почалось зі звичайного оголошення. Донька мешканки Сваляви виставила на OLX вінтажні вимпели, додала фото та чекала на покупця. Та замість зацікавленного колекціонера на оголошення  одразу відреагував автоматичний шахрайський скрипт-парсер, який цілодобово сканує нові публікації на маркетплейсі. Він виявив лот і автоматично запустив шахрайський сценарій.

Далі все відбувалося за відпрацьованим алгоритмом. Кожен наступний крок був спрямований на те, щоб знизити пильність жертви та наблизити її до втрати грошей.

Крок 1. Вихід із «безпечного периметра»

Зловмисник пише не у внутрішній чат OLX, а напряму у Telegram чи Viber. Привід завжди звучить переконливо: «Не отримую сповіщень у застосунку», «Тупить інтернет» або просто «Мені зручніше тут». Суть цього маневру — позбавити продавця захисту автоматичних фільтрів маркетплейсу, які блокують підозрілі посилання та попереджають про ризики.

Крок 2. Легенда про оплачену «OLX Доставку»

Покупець стверджує, що вже сплатив товар через офіційну послугу «OLX Доставка» та надсилає посилання у месенджер: мовляв, пройдіть за ним, щоб «підтвердити замовлення та отримати гроші».

Дисклеймер: при справжньому оформленні «OLX Доставки» продавець отримує сповіщення безпосередньо в особистому кабінеті в застосунку або на сайті OLX. 

Крок 3. Підключення фейкової «техпідтримки»

Коли у дівчини виникли запитання, їй запропонували «допомогу» — контакт «технічної підтримки OLX» у Telegram. Людина на іншому кінці дроту, майстерно видаючи себе за співробітника техпідтримки, запевнила: для успішного зарахування коштів потрібно виконати «процедуру верифікації картки» та переказати кошти для «підтвердження балансу».

Крок 4. Списання та швидкий вивід

Під дією психологічного тиску та переконливих аргументів «техпідтримки» потерпіла самостійно переказала зі своєї картки 48 918,96 гривень. Щойно гроші потрапили на рахунок підставної особи (так званого «дропа»), їх одразу було розподілено між іншими рахунками,  аби ускладнити відстеження руху коштів.

За даним фактом поліція Мукачівського РУП розслідує кримінальне провадження, а Свалявський районний суд Закарпатської області ухвалою від 24 квітня 2026 року надав дізнавачам доступ до банківських таємниць, руху коштів, IP-адрес та відеозаписів із банкоматів.

 

Базові сценарії шахрайства на маркетплейсах

Шахраям байдуже, чим займається платформа —  продажем вживаної техніки чи автодорожними поїздками. Для них важливо, щоб сервіс мав можливість внутрішньої комунікації між користувачами та функцію «безпечних» угод безпосередньо на самому сайті. Саме це дозволяє підмінити кінцеве посилання співзвучним доменом і перенаправити жертву на фішингову сторінку для переказу коштів.

Зловмисники (у внутрішній ієрархії — «воркери») діють за чіткими сценаріями, розрахованими як на покупців, так і на продавців.

Схема №1: Атака на покупця

Приманка: «Воркер» публікує оголошення про продаж популярного товару за ціною, значно нижчою за ринкову.

Перехід у месенджер: Шахрай під будь-яким приводом переводить спілкування з офіційного чату маркетплейсу в Telegram або Viber.

Імітація угоди: Покупцеві пропонують оформити захищену доставку та оплату (Safe Deal, Secure Payment, Buyer Protection, OLX Доставка тощо), і надсилають фішингове посилання, де потрібно ввести реквізити картки для передоплати.

Списання коштів: Замість заморожування грошей на гарантійному рахунку сервісу, відбувається звичайний P2P-переказ на картку підставної особи («дропа»).

Повторне списання (Double-Pay): Для подвоєння прибутку «воркер» або спеціальний оператор («прозвонщик») повідомляє жертві про «технічний збій» і надсилає друге посилання для «повернення коштів». Щоб отримати гроші назад, від жертви вимагають повторно ввести всі реквізити та суму, яка відповідає сумі попереднього списання, — в результаті з її картки повторно списується сума шахрайської операції.

Схема №2: Атака на продавця

Реальне оголошення: «Воркер» знаходить оголошення реального продавця і в месенджері запевняє, що готовий купити товар прямо зараз.

Імітація угоди: Покупець-шахрай стверджує, що вже сплатив замовлення через сервіс захищеної доставки та оплати, і надсилає продавцю посилання на фішинговий сайт для «отримання грошей».

Крадіжка даних: На фейковій сторінці продавця просять ввести реквізити картки (включно з тризначним кодом безпеки зі звороту картки) та банківський код підтвердження — нібито для зарахування коштів. Якщо жертва вагається, їй надсилають підроблені фальшиві правила роботи сервісу або підключають «соціальну інженерію».

Поштові схеми 

Окремий пласт атак будується навколо фішингових сайтів поштових операторів. Згенеровані через автоматизовані Telegram-боти фішингові сторінки повністю копіюють бренд поштової служби.

Поштова схема з покупцем (Шахрай-Продавець): «Воркер» під приводом оформлення доставки через поштову службу дізнається ПІБ та адресу покупця, після чого надсилає посилання на фішингову сторінку поштового оператора, де потрібно ввести дані картки для здійснення захищеної доставки. Далі діє вже стандартна механіка крадіжки коштів із подальшою спробою повторного списання через «помилку системи».

Поштова схема з продавцем (Шахрай-Покупець): Зловмисник шукає оголошення, де вказано відкритий номер телефону, контактує в месенджері та повідомляє про оформлення захищеної доставки та оплати. Продавцю надсилають посилання з текстом: «Я вже все оплатив, переходьте за посиланням і забирайте гроші на картку». Результат — введення платіжних даних на фішинговому ресурсі та спустошення рахунку продавця.

Банківські схеми

Окремий напрям шахрайства на маркетплейсах — фішингові атаки, мета яких не викрасти дані платіжної картки, а отримати логін і пароль від онлайн-банкінгу. Для цього жертву перенаправляють на підроблений сайт, що зовні не відрізняється від сторінки входу до до онлайн-банкінгу.

Чому люди вірять: психологічні та технічні пастки

  1. Повна візуальна копія. Сторінка, на яку переходить жертва, повністю копіює сторінку маркетплейсу: логотипи, плашки, шрифти та навіть картку конкретного товару з фотографіями та описом.
  2. Фейковий інтерактив. На підроблених сайтах нерідко вбудовано «віконце чату підтримки», де бот або реальний оператор миттєво відповідає на запитання, створюючи ілюзію, що користувач спілкується з офіційною службою підтримки сервісу.
  3. Маніпуляція правилами сервісу та банку. Шахраї часто вигадують неіснуючі вимоги: «На вашому рахунку має бути сума, рівна вартості товару, щоб банк переконався, що картка активна». Це дозволяє переконати людину ввести дані або підтвердити списання навіть тоді, коли з картки замість зарахування знімаються гроші.

Ось реальний приклад шахрайського повідомлення:

«У зв’язку з великою кількістю шахрайства, команда OLX змінила правила використання послуги OLX доставка. Для того, щоб банк зміг підтвердити картку продавця, на його картці повинна бути сума, еквівалентна ціні товару. Банк утримує дану суму, після підтвердження картки кошти повертаються на картку продавця протягом 5-10 хвилин…»

 

Читайте URL-адресу з кінця: правило, яке допоможе викрити фішинговий сайт

Читайте URL-адресу справа наліво — тобто з кінця. Саме там міститься найважливіша інформація про те, кому насправді належить сайт. Це правило особливо корисне на смартфонах, де через невеликий екран адресний рядок часто відображається не повністю. Користувач зазвичай бачить лише початок URL, і саме на це й розраховують шахраї. Щоб не потрапити в пастку, спочатку зверніть увагу на домен верхнього рівня (.ua, .com, .org тощо), а потім — на домен другого рівня, тобто справжню назву сайту.

Наприклад, у адресі https://www.olx.ua/ домен другого рівня — olx, а домен верхнього рівня — .ua, отже це офіційний сайт OLX. Натомість у https://olx.ua.dostavka24.com/ справжнім сайтом є dostavka24.com, а olx.ua — лише субдомен, який шахраї використали для маскування. 

Водночас важливо розуміти, що сьогодні шахраї значно рідше використовують у назвах фішингових сайтів назви легальних сервісів, таких як OLX. За останні кілька років їхня тактика змінилася. Причина проста: домени, що містять назви популярних брендів (наприклад, olx), перебувають під постійним моніторингом правовласників, реєстраторів і компаній, які займаються протидією фішингу. Такі сайти часто блокуються ще до того, як шахраї встигають розмістити на них шкідливий контент.  Саме тому дедалі частіше зловмисники використовують випадкові або автоматично згенеровані доменні імена, які не містять жодних згадок про бренд, наприклад: verip4ynetdrivecatchboosthub.workers.dev, tineg60775.workers.dev тощо. У таких схемах назва домену вже не повинна викликати довіру. Натомість шахраї роблять ставку на інше: жертву заманюють на сайт через повідомлення в месенджері, а вже після переходу відкривається сторінка, яка зовні  повністю копіює інтерфейс маркетплейсу.

Попри зміну тактики шахраїв, правило залишається незмінним: уважно перевіряйте URL-адресу вебсайту. Це досі ефективний спосіб вчасно помітити фішинговий ресурс.

Офіційні адреси OLX: Усі операції, пов’язані з OLX, відбуваються виключно на домені olx.ua (m.olx.ua — для мобільних пристроїв або бізнес-сторінка на OLX – name.olx.ua), застерігає компанія.  У новій формі для входу ви також можете побачити переадресацію на ua.login.olx.com. Це безпечний домен, який також належить OLX.

 

Чек-лист безпеки від ЄМА: як захиститися?

Щоб не стати героєм наступної судової ухвали, ми радимо дотримуватися  простих правил цифрової гігієни:

1. Не переходьте у месенджери!

Обговорюйте деталі угоди лише у внутрішньому чаті OLX. Якщо співрозмовник наполягає на переході у Viber, Telegram чи WhatsApp — це привід припинити спілкування.

2.  Усі угоди з «OLX Доставка» лише на OLX.UA

Справжня інформація про покупку, скасування чи оплату відображається лише у вкладці «OLX Доставка» у вашому акаунті.

3. Перевіряйте адресу сайту, перш ніж перейти за посиланням

Перевіряйте посилання з OLX Доставка тут.

Як це зробити: якщо ви отримали посилання на оформлення угоди з OLX Доставка або для отримання грошей, введіть повну адресу посилання (включаючи https://) і перевірте, чи це справжній сайт OLX. Якщо результат зелений — сайт справжній, якщо червоний — це спроба фішингу!

І наостанок — перевірте свої знання в онлайн-грі “Здолай шахрая”!

 

другие материалы