Перевірити сайт на шахрайство: чек-лист

Перевірити сайт на шахрайство: чек-лист, який працює у 2026 році

Перевірити сайт на шахрайство варто до того, як ви ввели дані картки. За даними Департаменту кіберполіції Національної поліції України, у 2025 році найчастіше скаржились саме на фейкові інтернет-магазини: людина бачить привабливу ціну, оплачує, а товар не приходить. Дзвонять на вказаний номер, а він «поза зоною». Сайт ще тиждень відкривається, бо власник збирає нові передплати, а потім зникає разом із доменом. Цей матеріал — практичний чек-лист із конкретними кроками, сервісами та ознаками, за якими визначають шахрайський сайт навіть без технічних знань.

Нижче — десять перевірочних кроків, які можна зробити за 10–15 хвилин. Вони не вимагають спеціальної освіти, тільки уважності та базового розуміння, як працюють реєстри доменів і платіжні системи. Матеріал допоможе і тим, хто купує вперше, і тим, хто вже стикався з неприємностями та хоче на майбутнє мати чіткий алгоритм перевірки.

Чому шахрайські сайти взагалі існують і як вони працюють

Схема фейкового магазину проста: шахрай реєструє домен, копіює дизайн реального бренду, наповнює сайт товарами зі значно заниженими цінами, приймає оплату на картку фізичної особи або підставну ФОП, а через кілька тижнів зникає. За цей час встигає зібрати сотні передплат. Коли зрозуміло, що це було шахрайство, повернути кошти вдається лише у випадку, якщо платіж пройшов через банк-еквайр і потерпілий одразу звернувся із заявою. Саме тому найкращий захист — не дати грошей. А для цього сайт треба вміти перевіряти до оплати.

За оцінками Департаменту кіберполіції Національної поліції України, у 2025 році в Україні зареєстровано понад 45 тисяч звернень щодо інтернет-шахрайства. Близько 60 % з них стосувались саме купівлі товарів через невідомі сайти та соцмережі. Шахраї охоче використовують і актуальну новину, і свято, і навіть тривожні події, аби викликати емоційне рішення «купити зараз, бо скоро закінчиться». Розуміння механіки їхньої роботи — перший крок до того, щоб не стати жертвою.

Технічна кухня: як створюють одноразові магазини

Шахрайський сайт зазвичай існує від 2 тижнів до 2 місяців. Це середньостатистичний «час життя» одноразового магазину за даними Кіберполіції. Домен реєструють на фейкові дані або на підставну особу. Контент копіюють з офіційного сайту бренду: фото, описи, навіть відгуки. Унікальною залишається тільки сторінка оплати, на якій приймають передплату на картку. Коли сайт починає масово скаржитись, шахрай просто переходить на новий домен і починає спочатку. Тому навіть позитивні відгуки на такому сайті — лише частина легенди.

Інша поширена схема — фейкові сторінки «благодійних фондів» або «волонтерських зборів». Вони теж побудовані на емоціях і терміновості, але замість товару обіцяють допомогу. Той самий чек-лист перевірки сайту працює і в цих випадках: дивись на домен, реквізити, юридичну інформацію та історію організації.

Як влаштоване шахрайство з «платіжними даними»

Окремий ризик — сайти, які не продають нічого конкретного, а лише збирають дані картки. Ви вводите номер, CVV, термін дії начебто для «підтвердження віку» або «реєстрації», а насправді дані одразу потрапляють шахраєві. Банк-емітент у такому разі не захистить: транзакції можуть бути дрібними, розкиданими по різних країнах, тому системи антифроду спрацьовують із затримкою. У ЄС цю проблему регулює директива PSD2 з обов’язковим підтвердженням 3-D Secure для онлайн-платежів, в Україні аналогічний механізм підтримується банками через технологію 3-D Secure за протоколами Mastercard SecureCode та Visa Secure, проте шахраї нерідко просять переказати кошти просто на картку фізособи в обхід цих систем. Саме тому правило таке: ніколи не вводьте дані картки на незнайомому сайті, якщо не впевнені у ньому на 100 %.

Крок 1. Перевірка домену: вік, реєстратор, країна

Перше, що треба зробити, — подивитись, коли зареєстрований домен і ким. Для цього існує сервіс Whois: вводите адресу сайту, і він показує дату створення, реєстратора та країну реєстрації. Якщо домен створений 1–2 місяці тому, а на сайті заявляють, що компанія працює з 2010 року, це перший дзвіночок. Іноді дані приховані через платну послугу приватності, тоді дивись на дату створення — вона все одно доступна.

Ознака в Whois	Що добре	Що підозріло
Дата реєстрації домену	3 роки і більше	Менше 3 місяців
Країна реєстратора	Україна, ЄС, США	Офшорні зони, маловідомі TLD
Реєстратор	Відомі: Namecheap, GoDaddy, Ukrainian Hosting	Невідомий реєстратор без підтримки
Зміна власника	Стабільний власник	Часті зміни за останні місяці

Звертайте увагу і на доменну зону. Сайт, що позиціонує себе як український магазин, на домені .top, .click, .xyz, .work — це привід поставити додаткові запитання. Українські магазини найчастіше використовують .com.ua, .ua, іноді .com, рідше — .shop, .store. Домени на кшталт .tk, .ml, .ga, .cf надаються безкоштовно і масово використовуються шахраями саме через низький поріг входу.

Крок 2. Юридичні дані: ФОП, ТОВ, ЄДРПОУ

Кожен легальний інтернет-магазин в Україні має зареєстровану юридичну особу або ФОП. Знайти її можна у футері сайту, на сторінці «Про нас», у розділі «Оплата і доставка», у публічній оферті або в полі «Реквізити». Шукайте повну назву, код ЄДРПОУ або РНОКПП (для ФОП), адресу реєстрації. Якщо жодних реквізитів немає — це вже підозра. Перевірити їх можна через безкоштійний сервіс YouControl: вводите назву компанії або код і бачите, чи дійсно існує такий суб’єкт, коли зареєстрований, чи не перебуває в стані припинення. Якщо компанія зареєстрована місяць тому, а на сайті «працюємо з 2015 року» — це ознака шахрайства.

Окрім реєстрації, звертайте увагу на:

наявність публічної оферти з конкретними умовами повернення;
наявність фізичної адреси офісу або складу (перевірте через Google Maps);
наявність посилання на офіційний статут чи виписку з ЄДР;
наявність сканової копії виписки або свідоцтва про реєстрацію.

Відсутність навіть одного з цих пунктів — привід уточнити. Повна відсутність — привід відмовитися від покупки.

Крок 3. Сайт у чорних списках: Google Safe Browsing та інші

Google Safe Browsing — це база даних фішингових і шкідливих сайтів, яку ведуть Google. Перевірити сайт можна за допомогою Google Safe Browsing: просто вставляєте URL у поле пошуку і отримуєте вердикт. Якщо сайт там значиться — Google попереджатиме користувачів у Chrome, Firefox, Safari. Це перша зупинка, яку варто зробити перед усіма іншими перевірками. Також існують сервіси VirusTotal, PhishTank, URLVoid, які агрегують дані одразу з кількох антифішингових баз. Усі вони безкоштовні і не вимагають реєстрації.

Звертайте увагу навіть на «жовтий» вердикт: коли сайт не в чорному списку, але деякі плагіни позначають його як потенційно небезпечний. Це може свідчити про зламаний сайт, який зараз використовують для фішингу без відома власника. У такому разі краще утриматися від покупки, навіть якщо компанія справді існує.

Крок 4. Сертифікат HTTPS та хто його видав

Наявність HTTPS і значка замка — це обов’язковий мінімум, а не ознака надійності. Безкоштовний сертифікат сьогодні можна отримати за 5 хвилин, і шахраї цим користуються. Дивіться, хто саме видав сертифікат: надійні центри сертифікації — це Sectigo (Comodo), DigiCert, Let’s Encrypt, Cloudflare. Якщо сертифікат виданий невідомим центром або взагалі самопідписаний — це серйозний сигнал. Дані про сертифікат видно в адресному рядку: клік на замок «Сертифікат» «Хто видав». На смартфоні — через меню браузера.

Але HTTPS без повних даних про власника — це лише шифрування каналу, а не гарантія чесності продавця. Шифрування захищає ваші дані під час передачі, але не захищає від шахрая, який просто тицьне в цей зашифрований канал підставний магазин. Тому HTTPS — це лише перший фільтр із п’яти обов’язкових, а не єдина ознака надійності.

Крок 5. Контакти: телефони, email, месенджери

Перевірте контакти сайту. Легальний магазин зазвичай має:

стаціонарний телефон з кодом міста (044, 032, 057 тощо);
електронну пошту на корпоративному домені (а не на @gmail чи @ukr.net);
посилання на офіційні сторінки у соцмережах із власним контентом і підписниками;
фізичну адресу, яку можна знайти на карті.

Якщо на сайті лише мобільний номер +380…, форма зворотного зв’язку і Telegram-бот — це підозра. Мобільний номер сам по собі не є ознакою шахрайства, але разом із відсутністю інших контактів — це червона ганчірка. Зателефонуйте на вказаний номер: шахрайські сайти часто дають номери, які не відповідають, або їх власники говорять ухильно, відмовляються називати юридичну адресу чи реквізити. Також пошукайте email через сервіси перевірки: свіжий Gmail-акаунт, створений 2 тижні тому, для компанії з «10-річним стажем» — це нелогічно.

Крок 6. Відгуки: як відрізнити справжні від накручених

Відгуки — найвдаліше поле для маніпуляцій. Шахрайський сайт має свіжі позитивні відгуки, усі з фотографіями, часто з українськими іменами, із захопленими коментарями. Але якщо всі відгуки опубліковані за один тиждень і всі мають оцінку 5 зірочок, це ознака накрутки. Справжні відгуки мають розподіл: 4–5 зірок переважно, але трапляються і 3, і навіть 2. Шукайте відгуки на сторонніх платформах: Google Maps, Trustpilot, Hotline, Otzyvua, а не лише на самому сайті. Перевірте, чи є скарги в соцмережах: пошукайте у Facebook та Instagram за назвою бренду з додаванням слів «шахрай», «не прийшов товар», «повернути гроші».

Звертайте увагу і на характер відгуків. Шахрайські сайти часто публікують «відгуки» з фотографіями, які згенеровані нейромережами. Це видно за:

однаковим виразом обличчя на десятках фото;
нереалістичним тлом;
розмитими або занадто різкими ділянками шкіри.

Якщо відгуки на сайті мають саме такий вигляд — це привід поставити під сумнів увесь магазин. Справжні покупці рідко витрачають час на гарні фото; переважно це фото з телефонів у звичайних умовах.

Крок 7. Сторінки оплати: на яку картку приймають

Найважливіший технічний момент. Легальний магазин в Україні приймає оплату через платіжний шлюз (LiqPay, Fondy, Portmone, EasyPay, MonoBank-еквайринг) або напряму на рахунок ФОП/ТОВ. Під час оплати ви бачите сторінку банку-еквайра з логотипом, SSL і підтвердженням 3-D Secure. Шахрайський сайт просить переказати кошти на картку фізособи через P2P-переказ. Це юридично сіра зона: переказ на картку не є оплатою товару, тому банк не зобов’язаний його оскаржувати, а шахрай отримує готівку через банкомат у перші ж хвилини.

Ознака	Безпечна оплата	Підозріла оплата
Сторінка оплати	LiqPay, Fondy, Portmone, WayForPay	Пряме посилання на P2P-переказ
Отримувач	Назва ФОП/ТОВ	«Олександр О.», «Марія В.»
Призначення платежу	«Оплата за товар згідно з замовленням №…»	«Переказ коштів», «Поповнення картки»
3-D Secure	Обов’язково	Відсутній або ігнорується

Якщо магазин пропонує лише «переказ на картку ПриватБанку» або Monobank — це не магазин, а приватна особа, і вся відповідальність лягає на вас. У крайньому разі P2P-переказ можна використовувати лише між знайомими людьми. Купувати у незнайомого продавця через P2P — це свідома відмова від захисту з боку банку.

Крок 8. Соцмережі: справжня аудиторія чи бот-ферма

Сторінки у Facebook, Instagram, TikTok — це обов’язковий елемент сучасного бізнесу. Але їх можна накрутити. Перевірте сторінку сайту у Facebook через сервіс Facebook: подивіться на дату створення, кількість підписників, співвідношення лайків і коментарів, наявність реальних відгуків у коментарях. Якщо 50 тисяч підписників, а під дописами 0–2 коментарі — це накрутка. Шахрайський сайт часто купує фолловерів за 5–10 доларів, аби виглядати «живим».

Подивіться на історію сторінки. Якщо вона створена місяць тому, але на ній уже десятки дописів і тисячі лайків — це нелогічно. Справжні бренди набирають аудиторію роками. Також перевірте, чи є в описі сторінки юридичні реквізити, посилання на сайт, контакти служби підтримки. Усе це має збігатися з тим, що вказано на самому сайті.

Крок 9. Технічні ознаки: дизайн, граматика, унікальність контенту

Шахрайський сайт часто має характерні технічні ознаки, помітні навіть неозброєним оком:

кричуще низькі ціни: якщо новий iPhone коштує 8 тисяч гривень замість 50 тисяч, це не «акція», це пастка;
граматичні помилки в описах, русизми, дивні формулювання, наче текст перекладали машинно;
фотографії товарів з чужими водяними знаками або розмитими ділянками, де видно, що фото вирізали з іншого сайту;
унікальні фрази, які Google видає лише на цьому сайті — ознака повністю скопійованого контенту;
відсутність «Хлібних крихт», карти сайту, нормальної структури категорій.

Щоб перевірити унікальність тексту, візьміть унікальну фразу з опису товару (наприклад, «Насолоджуйтесь неперевершеним звучанням завдяки технології BassBoost Pro») і вставте в Google у лапках. Якщо ця ж фраза з’являється на десятках інших сайтів, ваш магазин просто скопіював чужий контент. Це не доводить шахрайство напряму, але вказує, що власник сайту не надто переймається оригінальністю, а отже, може не перейматися і вашим замовленням.

Крок 10. Юридичний захист: повернення, оферта, гарантії

Останній крок — юридичний. У легальному магазині завжди є:

публічна оферта або договір публічної оферти;
політика повернення товару протягом 14 днів (відповідно до Закону України «Про захист прав споживачів»);
політика конфіденційності та обробки персональних даних (згідно з Законом України «Про захист персональних даних»);
інформація про гарантію, сервісне обслуговування, ремонт.

Якщо жодного з цих документів немає, або вони складені як копіпаст із загальних фраз — це підозра. Справжні магазини оновлюють оферту під законодавство, вказують конкретні строки повернення, адреси для відправки, відповідальність сторін. Шахрайські сайти або не мають цих документів взагалі, або копіюють їх з інших шахрайських сайтів.

Додаткові сервіси для самостійної перевірки

Крім перелічених, існують десятки сервісів, які автоматизують частину перевірки. Найкорисніші з них:

WHOIS History — показує історію власника домену, навіть якщо дані зараз приховані;
Web Archive (archive.org) — дозволяє подивитись, як виглядав сайт раніше; якщо він з’явився місяць тому, а каже, що «працюємо з 2015 року», це буде видно;
SimilarWeb — показує трафік сайту, країни відвідувачів, джерела переходів; шахрайський сайт зазвичай має підозріло малу відвідуваність;
Google PageSpeed Insights — технічна оцінка швидкості; на шахрайських сайтах часто базова оптимізація відсутня;
DNSlytics, SecurityTrails — перевірка DNS-записів і серверів, на яких розміщено сайт.

Жоден із цих сервісів не дає 100 % гарантії. Але їх комбінація — це вже серйозний фільтр. Якщо сайт проходить усі перевірки, ймовірність шахрайства значно нижча.

Що робити, якщо ви все-таки заплатили шахраям

Якщо оплата вже відбулась, діяти треба швидко. Перші години — ключові, бо саме в цей час шахрай ще не встиг зняти гроші.

Крок	Що зробити	Куди звертатись
1	Зателефонувати на гарячу лінію банку і попросити блокування транзакції	Гаряча лінія банку-емітента
2	Подати заяву про шахрайство в банк	Відділення банку або онлайн-банкінг
3	Подати заяву в Кіберполіцію	Кіберполіція
4	Залишити відгуки на сторонніх платформах	Google Maps, Hotline, Trustpilot
5	Звернутись до суду з позовом	Суд за місцем проживання

Шанси повернути кошти є, якщо платіж пройшов через банківську систему і ви одразу звернулись у банк. Якщо переказ був P2P на картку фізособи, банк може відмовити у поверненні — саме тому ми радимо не платити шахраям у такий спосіб. Судовий шлях довший, але також працює: за наявності заяви в Кіберполіцію, скріншотів переписки, підтвердження оплати суд може задовольнити позов. Головне — зберегти всі докази: скріншоти, листування, чеки, номери транзакцій.

Глобальна практика: як захищають покупців у ЄС і США

В ЄС і США захист онлайн-покупця вищий, ніж в Україні, завдяки кільком механізмам. У ЄС діє PSD2 (Payment Services Directive), що зобов’язує банки впроваджувати 3-D Secure для всіх онлайн-платежів. Крім того, працює 14-денне право повернення товару навіть без пояснення причин. У США аналогічну функцію виконує FTC (Federal Trade Commission) та програма захисту покупців через банківські chargeback-механізми. В Україні подібні норми є (Закон «Про захист прав споживачів» передбачає 14 днів на повернення), але на практиці механізм chargeback працює повільніше і менш ефективно, ніж у ЄС. Саме тому українцям варто самостійно перевіряти сайт перед покупкою — державний захист поки що поступається західному.

Водночас Україна рухається в цьому напрямку. У 2024 році НБУ посилив вимоги до ідентифікації платежів: банки зобов’язані перевіряти підозрілі операції та повідомляти про них. З 2025 року почала діяти оновлена редакція Закону «Про платіжні послуги», яка імплементує в українське законодавство норми PSD2. Тренд однозначний: рух у бік європейських стандартів, а отже, в найближчі роки захист покупця посилюватиметься.

Часті запитання (FAQ)

Як швидко перевірити сайт на шахрайство за 1 хвилину?

Відкрийте сервіс Google Safe Browsing і введіть адресу сайту. Якщо він у чорному списку — Google одразу попередить. Далі перевірте домен через Whois: дата створення менше 3 місяців — підозра. Цих двох кроків достатньо, щоб відсіяти 70 % шахрайських сайтів.

Чи достатньо HTTPS, щоб вважати сайт безпечним?

Ні. HTTPS лише шифрує з’єднання, але не гарантує чесності продавця. Шахрай теж може отримати безкоштовний сертифікат. HTTPS потрібен як обов’язковий мінімум, але не як єдина ознака надійності.

Що робити, якщо оплатив шахраям через P2P-переказ?

Негайно зателефонуйте в банк-емітент, подайте заяву про шахрайство. Паралельно подайте заяву в Кіберполіцію. Шанси повернути кошти є, але вони нижчі, ніж при оплаті через банківський шлюз. Збережіть усі скріншоти, номери транзакцій, листування — це знадобиться для суду.

Чи законно купувати у магазину, який приймає оплату на картку фізособи?

Формально це не заборонено, але ви втрачаєте захист банку-еквайра. У разі проблем повернути кошти значно складніше. За можливості обирайте магазини, що приймають оплату через LiqPay, Fondy, Portmone, WayForPay — там ваш платіж захищений 3-D Secure і підтримкою банку.

Як перевірити справжність ФОП або ТОВ?

Скористайтесь сервісом YouControl або opendatabot.ua: введіть код ЄДРПОУ або назву. Сервіс покаже дату реєстрації, статус, види діяльності, судові справи. Якщо компанія зареєстрована місяць тому, а на сайті «працюємо з 2010 року» — це ознака шахрайства.

Чим небезпечні сайти на доменах .top, .click, .xyz?

Ці домени часто використовуються шахраями через низьку вартість і відсутність жорсткої перевірки реєстратора. Сам по собі домен .top не означає шахрайство, але у поєднанні з іншими ознаками (свіжий домен, відсутність реквізитів, низькі ціни) це серйозний сигнал. Довіряйте насамперед доменам .ua, .com.ua, .com.

Як зрозуміти, що відгуки на сайті накручені?

Звертайте увагу на три ознаки: усі відгуки залишені протягом одного тижня, усі мають оцінку 5 зірочок, фото в аватарах мають ознаки ШІ-генерації. Справжні відгуки мають розподіл від 3 до 5 зірок, датуються різними періодами, а коментарі часто містять конкретні деталі замовлення, а не загальні захоплення.

Чи можна перевірити сайт через додаток на смартфоні?

Так, більшість сервісів (Whois, Google Safe Browsing, YouControl) мають мобільні версії. Для частини перевірок зручніше використовувати саме смартфон. Також існують спеціалізовані додатки для перевірки посилань: наприклад, вбудований захист Google Chrome автоматично перевіряє кожен сайт за чорними списками і попереджає про небезпеку.

Підсумок: мінімальний набір перевірок перед оплатою

Щоб перевірити сайт на шахрайство, зробіть п’ять обов’язкових кроків. Перевірте домен у Whois — дата створення менше 3 місяців = підозра. Перевірте сайт у Google Safe Browsing — якщо у чорному списку, одразу закривайте. Знайдіть юридичні реквізити (ФОП/ТОВ, ЄДРПОУ) і перевірте їх через YouControl. Подивіться, як приймається оплата — якщо тільки P2P на картку фізособи, це червона ганчірка. Перевірте контакти: зателефонуйте, напишіть на email, оцініть швидкість і зміст відповіді. Якщо хоча б один крок викликає сумнів — утримайтесь від покупки. Краще витратити 10 хвилин на перевірку, ніж тижні на повернення грошей.

Перевірити сайт на шахрайство: повний чек-лист для покупців