Фейкові сайти армії, «застосунки тривог» і підробки під CERT-UA: як атакують українців у 2026 році

Roman S. · 3 Жовтня 2026

Фейковий сайт армійського корпусу з «тестом для кандидатів», застосунок «про повітряні тривоги», «оновлення безпеки» від імені CERT-UA — так у 2026 році виглядають атаки на українців. Державна служба спеціального зв’язку 30 вересня оприлюднила звіт «Кіберзагрози: Україна» за перше півріччя, і головний висновок у ньому простий: зловмисники роблять ставку не на технічну складність, а на довіру.

Що показує статистика

За перші шість місяців 2026 року CERT-UA опрацювала 3137 кіберінцидентів — на 8% більше, ніж у другому півріччі 2025-го. Понад 88% з них припадають на чотири категорії:

шкідливе програмне забезпечення — 33%;
соціальна інженерія — 31%;
зараження систем — 15%;
компрометація систем — 4,5%.

Інакше кажучи, майже кожна третя атака починається не зі зламу, а з того, що людина сама відкриває файл чи переходить за посиланням.

Android: приманки під армію, тривоги й знижки

CERT-UA описує два кластери, які полюють на власників Android-смартфонів через сайти-пастки.

UAC-0244 імітує сайт 3-го армійського корпусу з пропозицією «пройти тест», а також «чоловічий клуб». Встановлений застосунок — шпигун CAMELSPY: збирає геолокацію, контакти й журнал дзвінків.
UAC-0263 заманює «застосунками повітряних тривог» і знижками на пальне. Усередині — BTMOB RAT, який дає зловмисникам повний контроль над телефоном.

iPhone теж не в безпеці

Для iOS зафіксовано набір експлойтів DarkSword. Схема — «атака на водопій»: хакери зламують легітимні українські новинні та державні сайти, і вже з них у браузер Safari завантажується ланцюжок експлойтів аж до ядра системи. Результат — доступ до облікових даних, повідомлень, контактів та історії дзвінків. Користувачеві навіть не треба нічого встановлювати — достатньо відкрити сторінку на непропатченій системі.

Підробки під державні сервіси

Окремий тренд — фальшиві сторінки, що копіюють ресурси CERT-UA, систему документообігу Верховної Ради чи платформу Brave1 і пропонують завантажити «оновлення безпеки» або «службовий модуль». Шкідливі файли розміщують на GitHub і файлообмінниках, а викрадені дані передають через Telegram-боти — так трафік виглядає як звичайна активність користувача. СБУ, за даними звіту, заблокувала понад 50 ресурсів, що копіювали її символіку.

Держгрупи також прискорилися: APT28 (UAC-0001) почала використовувати вразливість CVE-2026-21509 за лічені дні після її публікації — зокрема через документ, замаскований під матеріали консультацій ЄС щодо України. А штучний інтелект, за спостереженнями CERT-UA, тепер використовують на всіх етапах — від тексту листа до коду шкідника.

Як захиститися

Встановлюйте застосунки лише з Google Play чи App Store, а не за посиланням із месенджера чи сайту «з тестом».
Не вірте листам і сторінкам про «оновлення безпеки» від держорганів: CERT-UA не розсилає файли для встановлення.
Перевіряйте адресу сайту перед тим, як щось завантажувати чи вводити пароль.
Оновлюйте систему й браузер одразу — атаки на кшталт DarkSword б’ють саме по старих версіях.
Увімкніть двофакторну автентифікацію в пошті, месенджерах і банкінгу.