Шахрайська підтримка Microsoft і AnyDesk

Коротка відповідь: Справжнє попередження від Microsoft ніколи не містить номера телефону, тому сторінка із сигналом тривоги та закликом зателефонувати — це шахрайство. Якщо ви вже надали співрозмовнику доступ через AnyDesk, від’єднайте комп’ютер від мережі та з іншого пристрою зв’яжіться з банком. Потім із надійного пристрою змініть паролі до електронної пошти та інших важливих облікових записів. Перед подальшим використанням комп’ютера доручіть фахівцеві перевірити, чи не залишився на ньому неконтрольований доступ або інша програма віддаленого керування.

Спочатку від’єднайте комп’ютер і завершіть дзвінок

Якщо стороння людина просто зараз має доступ через AnyDesk, TeamViewer, Supremo або Швидку допомогу (Quick Assist), витягніть мережевий кабель або вимкніть Wi-Fi та завершіть дзвінок. Поки що не підключайте комп’ютер до корпоративної мережі й не приєднуйте до нього резервний диск.

Не телефонуйте за номером із повідомлення «Microsoft виявила вірус». Microsoft зазначає, що її справжні повідомлення про помилки не містять номера телефону, а компанія сама не звертається до користувачів без запиту щодо технічної підтримки. Фальшива сторінка може перевести браузер у повноекранний режим, увімкнути сигнал тривоги та перешкоджати закриттю вікна. Насправді вона ніяк не перевіряє комп’ютер.

Якщо сеанс уже завершився, не вимикайте комп’ютер лише для того, щоб «стерти сліди». Достатньо від’єднати його від мережі та відразу записати, що сталося, поки ви все пам’ятаєте. Якщо бачите, що файли шифруються або з’явилася вимога викупу, від’єднайте також усі зовнішні диски й розглядайте ситуацію як атаку програми-вимагача, а не як звичайне спливне вікно.

Повідомлення в браузері — не знахідка антивірусу

Сценарій «ми телефонуємо з Microsoft» нікуди не зник, змінюється лише привід. Інколи абонент стверджує, що він із банку, від інтернет-провайдера або є інвестиційним консультантом. Перша реакція завжди однакова: завершити дзвінок і нічого не дозволяти.

Шахраям навіть не обов’язково потрібен AnyDesk. У травні 2024 року Microsoft описала групу Storm-1811, яка видавала себе за IT-підтримку й отримувала доступ до комп’ютерів жертв через вбудовану у Windows Швидку допомогу. Потім вона розгортала на них програму-вимагач Black Basta. Сам інструмент легітимний — небезпека полягає в тому, кому ви надаєте доступ.

Важливо, де з’явилося попередження і що ви зробили після цього.

Якщо ви лише закрили сторінку, нічого не завантажували, нікуди не телефонували й нікому не надавали доступ, ризик значно нижчий. Відкличте дозвіл сайту на сповіщення та перевірте папку Завантаження і розширення браузера. Про те, як відрізнити справжню загрозу від хибного спрацювання, розповідає стаття Антивірус повідомляє про вірус: що робити негайно.

Що людина насправді могла зробити через AnyDesk

AnyDesk — не вірус, а звичайний інструмент віддаленого керування. Рівень ризику залежить від того, кому ви дозволили підключитися і які права надали. Повний доступ охоплює клавіатуру, мишу, буфер обміну, передавання файлів і підтвердження вікон адміністратора, якщо ви погоджувалися з ними під час розмови.

Важливо, у якому стані AnyDesk залишився на комп’ютері:

Неконтрольований доступ за замовчуванням вимкнений, але людина, яка керує комп’ютером, може за кілька секунд увімкнути його та встановити власний пароль. Тому видалення значка з робочого столу нічого не доводить. Потрібно перевірити, чи встановлено AnyDesk (Налаштування → Програми → Установлені програми, відсортувати за датою встановлення), чи працює служба AnyDesk у services.msc і чи не з’явився інший інструмент, наприклад ScreenConnect, UltraViewer, RustDesk або TeamViewer.

Ризик залежить від того, що було відкрито під час сеансу

Наслідки визначає найконфіденційніша інформація, яку зловмисник міг бачити або контролювати.

Не чекайте появи невідомої операції. Якщо зловмисник бачив онлайн-банкінг або картку, негайно телефонуйте до банку та заблокуйте картку в застосунку. Візьміть номер із сайту банку або зі зворотного боку картки — ніколи не використовуйте номер із розмови чи попередження. Ідентифікатор абонента можна підробити, тому на екрані може відображатися навіть справжній номер банку.

Змінюйте паролі з іншого, надійного пристрою

Зловмисник може знову побачити пароль, змінений на комп’ютері, яким він керував. Скористайтеся іншим телефоном або комп’ютером, у надійності якого не сумніваєтеся, і дійте в такому порядку:

1. корпоративна електронна пошта та обліковий запис Microsoft 365 або Google Workspace,
2. менеджер паролів,
3. онлайн-банкінг і платіжні сервіси,
4. бухгалтерія, виставлення рахунків і хмарні сховища,
5. соціальні мережі та всі облікові записи з таким самим або схожим паролем.

У кожному обліковому записі завершіть інші сеанси, видаліть невідомі пристрої, перевірте резервну електронну адресу й номер телефону для відновлення та ввімкніть двофакторну автентифікацію. В електронній пошті перевірте правила й пересилання: в Outlook вони розташовані в Налаштування → Пошта → Правила та Пересилання, у Gmail — у розділах Фільтри й заблоковані адреси та Пересилання і POP/IMAP. Приховане пересилання дає зловмисникові змогу читати вашу пошту навіть після зміни пароля. Докладні інструкції для окремих сервісів наведено у статті Як повернути доступ до зламаного облікового запису.

У випадку корпоративного комп’ютера йдеться не лише про один ноутбук

Задокументуйте інцидент, навіть якщо фінансових збитків поки немає. Запишіть дату й час, номер телефону абонента, адресу фальшивої сторінки, AnyDesk ID іншої сторони, назви завантажених файлів, що було відкрито та чи вводили ви пароль або підтверджували платіж. Сфотографуйте екран телефоном, але не підключайте заради цього комп’ютер до мережі.

Повідомте особу, яка відповідає за корпоративну IT-інфраструктуру. Не підключайте скомпрометований комп’ютер до мережі навіть для надсилання одного документа. Необхідно також перевірити входи до електронної пошти, хмарних сервісів, VPN, бухгалтерії та системи адміністрування сайту.

Якщо зловмисник міг бачити перелік клієнтів, договори, відомості про зарплати або інші персональні дані, ситуація вже не обмежується ремонтом комп’ютера. Відповідно до ст. 33 obecného nařízení o ochraně osobních údajů (nařízení (EU) 2016/679), контролер повідомляє про порушення безпеки Úřadu pro ochranu osobních údajů без невиправданої затримки та, якщо можливо, протягом 72 годин із моменту, коли йому стало про це відомо. Повідомлення не подається, якщо малоймовірно, що порушення створить ризик для прав і свобод фізичних осіб. Компанія повинна оцінити й задокументувати ситуацію, але це не означає, що потрібно повідомляти про кожен підозрілий дзвінок.

Чому недостатньо видалити AnyDesk

Видалення AnyDesk закриє один шлях доступу, але не скасує змін, які зловмисник уже встиг зробити. Він міг додати обліковий запис, заплановане завдання, розширення браузера, інший інструмент віддаленого керування або програму, що запускається разом із системою.

Перевірка повинна охоплювати щонайменше:

• установлені програми й дати їх установлення,
• служби (services.msc), програми автозапуску в Диспетчері завдань і заплановані завдання (taskschd.msc),
• локальні облікові записи та членство в групі Administrators (у Windows Home — командою net localgroup administrators),
• розширення, дозволи на сповіщення, налаштування проксі та збережені в браузерах паролі,
• журнал захисту, повне й автономне сканування Microsoft Defender,
• входи й активні сеанси у важливих онлайн-облікових записах.

Microsoft Defender Offline запускається в застосунку Безпека Windows → Захист від вірусів і загроз → Параметри сканування. Перевірка відбувається після перезавантаження, поза звичайним середовищем Windows, тому шкідливій програмі важче сховатися. Але навіть чистий результат не доводить, що зловмисник нічого не скопіював і не змінив в онлайн-облікових записах.

Якщо зловмисник отримав права адміністратора, запускав невідомі команди, установлював кілька програм або неможливо достовірно з’ясувати, що саме він робив, доцільніше виконати чисте встановлення системи. Як це зробити й не втратити документи, пояснює стаття Перевстановлення Windows 11 без втрати даних. Для корпоративного комп’ютера з конфіденційними даними впевненість у безпеці важливіша за збереження кожного налаштування.

Якщо комп’ютер справді заражений, потрібні видалення вірусів і усунення наслідків атаки програми-вимагача.

Що має охоплювати ретельна перевірка

Якісне втручання не закінчується словами «антивірус нічого не знайшов». Фахівець складає хронологію подій, з’ясовує, якими правами та обліковими записами скористався зловмисник, і розділяє перевірку комп’ютера та захист онлайн-облікових записів.

Після завершення робіт ви повинні отримати:

• перелік знайдених інструментів віддаленого керування та інформацію про спосіб їх видалення,
• результат перевірки неконтрольованого доступу, служб і автозапуску,
• результати сканувань та огляд інших перевірених місць,
• рекомендації щодо паролів, які потрібно змінити, і сеансів, які слід завершити,
• обґрунтування, чи достатньо очищення, чи потрібне перевстановлення системи.

Якщо ви не наважуєтеся виконувати перевірку самостійно або йдеться про корпоративний комп’ютер, у нашому сервісному центрі ми зробимо це за вас. Принесіть комп’ютер від’єднаним від мережі та додайте нотатки про перебіг розмови. Ціна залежить від обсягу перевірки й виявлених змін; перед подальшими роботами ми погодимо її з вами. Для кількох корпоративних комп’ютерів обсяг робіт визначається індивідуально.

Як наступного разу розпізнати фальшиву підтримку

Надійною ознакою є поєднання залякування, номера телефону та вимоги надати віддалений доступ. Microsoft не телефонує через вірус на конкретному комп’ютері, а її справжні повідомлення не змушують набирати номер із вікна.

Завершіть дзвінок, навіть якщо абонент знає ваше ім’я або назву компанії. Ці дані легко знайти. Зв’яжіться зі службою підтримки самостійно через офіційний сайт або за контактами з договору. Фальшивих банківських працівників, імітацію голосів і шахрайську рекламу розглянуто у статті Шахрайство з використанням ШІ у 2026 році. Для віддаленого доступу діє просте правило: ніколи не дозволяйте невідомому абонентові керувати вашим комп’ютером.

Онлайн-замовлення: Антивірус / програми-вимагачі / зламана електронна пошта — укажіть модель пристрою та опишіть, що відбувається, — ми зв’яжемося з вами щодо подальших кроків.