Податкові фейкові листи, компрометація корпоративної пошти, застаріле програмне забезпечення та нові вимоги Національного банку. Ці теми порушили в новому випуску TAX Podcast — проєкту про податки, фінанси та безпеку бізнесу, який виходить на YouTube-каналі TAX Podcast. Ведучі подкасту — Анна Ігнатенко, партнерка ID Legal Group та Катерина Риженкова, адвокатка АО «Клочков і партнери», — поговорили з керівником напряму кібербезпеки SHERIFF Євгеном Єгоровим про те, чому саме бухгалтерія дедалі частіше стає першою ціллю кібератак.
Читайте также: Кандидатам без досвіду платять по 33 тис. грн: OLX Робота про найм молоді
Бухгалтерія стала головною ціллю кібератак
Бухгалтерія сьогодні одна з найцінніших цілей для кіберзлочинців і причина суто прагматична. Саме тут сходяться гроші, документи, доступи до банківських рахунків і управлінські рутини компанії. Скомпрометувати поштову скриньку бухгалтера часто означає отримати доступ одразу до платіжних систем, договорів, персональних даних співробітників і контрагентів, тобто до всього, заради чого зазвичай і затівається атака на бізнес.
Ця логіка підтверджується й тим, що фіксують профільні державні структури. Держспецзв’язку та CERT-UA попереджали про зростання кількості кібератак, спрямованих саме проти бухгалтерів, а Державна податкова служба протягом останніх років регулярно публікує попередження про хвилі фішингових розсилок нібито від її імені. Іншими словами, бухгалтерія — не гіпотетична, а статистично підтверджена мішень номер один.
Як сьогодні працює податковий фішинг
Податковий фішинг не гіпотетична, а найреалістичніша загроза для українських компаній і це підтверджується документально. ДПС неодноразово офіційно повідомляла про фіксацію масових шахрайських розсилок, які маскуються під офіційне листування відомства — зокрема під приводом розбіжностей у звітності чи інших термінових вимог. Схема стабільно повторюється: лист створює тиск через терміновість, спонукає перейти за посиланням або відкрити вкладення, а далі або викрадає облікові дані, або встановлює шкідливе програмне забезпечення.
У глобальному контексті ця картина теж не є українською специфікою: аналітичні звіти великих компаній з кібербезпеки роками фіксують фішинг і скомпрометовані облікові дані як один з основних початкових векторів атак на бізнес незалежно від розміру компанії чи галузі. Це означає, що йдеться не про локальну проблему одного відділу чи однієї країни, а про глобальний метод, який просто добре адаптували під українські реалії й податкову риторику.
Не лише листи: де бізнес сам відкриває двері для кібератак
Людський фактор залишається найслабшим елементом захисту і проблема не тільки в необережному кліку по шкідливому листу. Йдеться про цілу низку робочих звичок: використання застарілого або більше не підтримуваного програмного забезпечення, роботу з фінансовими документами на домашніх пристроях без належного захисту, а також надмірні привілейовані доступи, коли один обліковий запис має набагато більше прав, ніж потрібно для щоденних задач.
Про ризики непідтримуваного софту прямо говорять і профільні структури: за оцінками CSIRT при Держспецзв’язку, застаріле програмне забезпечення залишається однією з ключових загроз для організацій усіх категорій, оскільки такі системи довше не отримують оновлень безпеки і стають зручною мішенню.
Окремо варто торкнутися теми облікових систем на кшталт 1С та BAS: питання їхньої підтримки, ліцензування та безпеки справді актуальне для українського бізнесу, адже саме в цих системах зберігаються найчутливіші фінансові дані компанії. Втім, конкретні твердження про статус окремих продуктів варто перевіряти окремо для кожного випадку, а не переносити автоматично з одного продукту на інший — ринок облікового ПЗ надто різнорідний для узагальнень.
Показові кейси: чого вони насправді вчать бізнес
Одна з тем, яку зачепили в розмові, — резонансна кібератака на Київстар. Варто подивитися на неї трохи ширше, ніж просто на злам оператора зв’язку. Компанія на тижні втратила частину сервісів, а на відновлення та посилення захисту пішли десятки мільйонів доларів інвестицій — це один із найпромовистіших прикладів того, у скільки насправді обходиться бізнесу вже стала атака. У публічному полі цю історію нерідко доповнюють версією про «завербованого інсайдера» всередині компанії, і справді, зловмисники скористалися скомпрометованим обліковим записом співробітника. Різниця між цими двома формулюваннями непринципова на перший погляд, але для бізнесу вона ключова: йдеться не про змову, а про звичайний технічний доступ, який можна було обмежити чи вчасно заблокувати. Це зайвий раз підтверджує ширшу тезу: людський фактор і контроль доступів важать не менше за технічний захист периметра.
Читайте также: Мрії покоління альфа: чого хочуть 12–15-річні, коли виростуть
Другий приклад, вартий глибшого розбору — історія з deepfake-нарадою, яку часто наводять як ілюстрацію ризиків штучного інтелекту. Первинний і задокументований випадок такого роду стався в Гонконгу: шахраї організували відеоконференцію з підробленими учасниками, і компанія внаслідок цього втратила значні кошти. Конкретні деталі такого кейсу: кількість учасників, механіка організації наради, можуть дещо відрізнятися залежно від переказу, але сама суть від цього не змінюється: технології deepfake вже сьогодні ускладнюють перевірку особи співрозмовника під час відеодзвінка. Практичний висновок для бізнесу тут очевидний: підтвердження великих платежів чи термінових управлінських рішень варто виносити за межі одного відеодзвінка та дублювати іншим каналом зв’язку — дзвінком на заздалегідь відомий номер, особистою зустріччю чи внутрішнім протоколом підтвердження.
Що змінює Постанова НБУ № 143
Однією з тем розмови стали нові регуляторні вимоги і саме тут варто заглибитися в деталі, бо вони прямо стосуються фінансового сектору. Йдеться про Постанову Правління Національного банку України № 143 «Про затвердження Положення про організацію заходів із забезпечення інформаційної безпеки та кіберзахисту надавачами фінансових послуг». Тут важливо точно зафіксувати терміни: постанова прийнята 9 грудня 2025 року, а чинності набула 13 грудня 2025 року, після чого надавачам фінансових послуг відведено рік на приведення внутрішніх процесів у відповідність до нових вимог.
Постанова вимагає призначення окремої відповідальної особи за кіберзахист та інформаційну безпеку. При цьому документ передбачає гнучкість у визначенні того, хто саме виконує цю роль, аж до можливості керівника особисто взяти на себе відповідні функції. Тобто йдеться не про жорстку заборону поєднувати цю роль із посадою системного адміністратора, а радше про управлінську рекомендацію розділяти ці функції там, де це організаційно можливо.
Окремо варто розібратися також з питанням звітності. У тексті постанови немає загальної автоматичної норми про звітування за буквально кожен інцидент. Натомість регулятор має право письмово вимагати інформацію про реагування на інциденти, а надавач послуг зобов’язаний надати її у визначений спосіб і строк. Різниця здається технічною, але для бізнесу вона принципова: це не потік постійної звітності, а обов’язок бути готовим надати інформацію на вимогу регулятора.
Антивірус більше не є достатнім захистом
Постанова НБУ прямо вимагає використання засобів захисту від шкідливого програмного забезпечення з актуальними базами виявлення. Це варто розглядати не як самодостатню вимогу, а як мінімальний, базовий рівень захисту. Антивірус лишається обов’язковим елементом, але сам по собі він не закриває ризики, пов’язані з фішингом, скомпрометованими обліковими записами чи людською неуважністю — для цього потрібні інші рівні: контроль доступів, резервне копіювання, моніторинг та готовий план реагування на інциденти.
У ширшому сенсі йдеться про зміну самого підходу до кібербезпеки — перехід від сприйняття її як разової покупки програми до розуміння її як постійного процесу. Зручна аналогія тут — чекап бізнесу: регулярна перевірка стану, а не одноразова дія. І економіка тут проста: погасити наслідки, якщо вже сталася атака (втрачені дані, зупинені платежі, репутаційні втрати), суттєво дорожче й складніше, ніж заздалегідь побудувати базовий захист.
П’ять кроків кібербезпеки для бізнесу
- Впровадити багатофакторну автентифікацію для пошти, банкінгу та бухгалтерських систем — це один із найдешевших і найефективніших бар’єрів проти фішингу.
- Переглянути привілейовані доступи: чи справді кожен обліковий запис має рівно ті права, які потрібні для роботи.
- Скласти реальний перелік програмного забезпечення, яке ще не отримує оновлень безпеки і план заміни або ізоляції таких систем.
- Навчити співробітників, які працюють з фінансами, розпізнавати ознаки фішингу. Особливо листи з ефектом терміновості нібито від органів контролю.
- Для надавачів фінансових послуг заздалегідь ознайомитися з вимогами Постанови НБУ № 143 і призначити відповідальну особу, не чекаючи завершення перехідного року.
Тема, яку порушили в TAX Podcast, — не для того, щоб залякати чи викликати занепокоєння, а привід поговорити про те, що український бізнес вже живе в середовищі постійного податкового фішингу, атак на бухгалтерів і зростння регуляторних вимог. На практиці кібербезпека бухгалтерії — це системна робота з доступами, процесами та людьми, яку дешевше вибудувати заздалегідь, ніж переплачувати за наслідки атаки, що вже сталася.
Оригінальну розмову з Євгеном Єгоровим можна переглянути на YouTube-каналі TAX Podcast.
Читайте также: Pit Bull Fight повертається із шостим сезоном та колаборацією з Nord Division
