Уявіть сцену: вам у Telegram пишуть незнайоме ім'я, скидають коротке посилання і пишуть «терміново, подивись». Або у робочому чаті хтось кидає surl.li/abcdef без жодного пояснення. Або ви бачите QR-код на стовпі в місті з написом «знижка 90%». Що робить середньостатистична людина? Правильно – тисне. Бо цікаво. Бо може справді знижка. Бо колега скинув, значить норм.
А що відбувається далі – це вже лотерея. Іноді це справді знижка. Іноді – фішинговий сайт, який виглядає як ваш банк. Іноді – автоматичне завантаження чогось неприємного. Іноді – просто збір даних про вас: IP, пристрій, геолокація.
Коротке посилання за своєю природою приховує кінцевий URL. Це одночасно його головна перевага (компактність, зручність) і головна вразливість (ніхто не знає, куди воно веде). Але є хороша новина: перевірити посилання перед переходом набагато простіше, ніж здається. І займає це буквально хвилину.
Чому короткі посилання взагалі небезпечні
Спочатку трохи теорії, щоб зрозуміти, з чим маємо справу:
Звичайне посилання – прозоре. Ви бачите домен, бачите шлях, розумієте приблизно куди потрапите. https://privatbank.ua/login – зрозуміло, а от https://privat-bank-login.ru/secure вже підозріло, і більшість людей це відчують.
Коротке посилання – непрозоре. https://surl.li/abcdef нічого не говорить про кінцевий URL. Це може бути офіційний сайт Приватбанку, а може бути його точна копія на домені з Росії. Різниця між ними – лише в тому, куди налаштований редирект. І без перевірки ви цього не знаєте.
Саме цим користуються зловмисники. Фішингові кампанії, спам-розсилки, шкідливе ПЗ – все це активно використовує скорочені посилання, щоб обійти фільтри та знизити підозрілість. Людина бачить охайне коротке посилання, а не жахливий довгий URL із підозрілим доменом – і втрачає пильність.
Спосіб 1: Розгорнути посилання перед переходом
Найпростіший і найочевидніший метод – подивитись, куди веде посилання, до того як ви туди потрапите. Є кілька способів це зробити:
Трюк із плюсом у Bitly. Якщо ви бачите посилання від Bitly (формат bit.ly/xxxxx), додайте + в кінець URL і відкрийте його в браузері. Наприклад, bit.ly/3xKm9pQ+. Замість редиректу ви побачите сторінку статистики, де вказано кінцевий URL.
Онлайн-сервіси розгортання. Існують спеціальні інструменти, куди ви вставляєте коротке посилання і отримуєте кінцевий URL без переходу. Один із таких – https://surl.li/uk/check-short-url. Вставляєте підозріле посилання, натискаєте перевірити – і бачите, куди воно веде, ще до того як браузер зробив жоден редирект. Зручно, швидко, і не потрібно нічого встановлювати.
Hover у браузері. Якщо посилання знаходиться на сторінці у вигляді клікабельного тексту, просто наведіть мишу – в лівому нижньому куті браузера відобразиться реальний URL. Правда, для мобільних цей метод не підходить.
Спосіб 2: Перевірити кінцевий домен
Розгорнули посилання і побачили кінцевий URL – але на цьому не зупиняйтесь. Тепер потрібно оцінити сам домен. На що звертати увагу:
Схожість на відомий бренд із дрібними змінами. privatbank.ua – справжній, а privat-bank.ua, privatbannk.com, privatbank-secure.xyz – скоріш за все фішинг. Це називається тайпосквотинг: реєструється домен, схожий на відомий, і туди заманюють людей.
Незвичний домен верхнього рівня. Якщо ваш банк чи сервіс завжди був на .ua або .com, а посилання веде на .ru, .xyz, .tk, .ml – варто насторожитись. Безкоштовні домени верхнього рівня масово використовуються для одноразових фішингових сайтів.
Відсутність HTTPS. У 2026 році будь-який легітимний сайт, який збирає будь-які дані, використовує HTTPS. Якщо посилання веде на http:// без S – це вже привід закрити вкладку.
Незрозуміла структура URL. Справжній банківський сайт не виглядає як secure-login.verification-id-12345.com/privatbank/auth. Легітимні сайти мають чисту зрозумілу структуру URL.
Спосіб 3: Використати перевірку репутації URL
Якщо ви хочете не просто побачити кінцевий URL, а й перевірити, чи він взагалі відомий як шкідливий – є інструменти для перевірки репутації:
Google Safe Browsing. Вбудований у Chrome і більшість сучасних браузерів. Якщо сайт відомий як фішинговий або містить шкідливе ПЗ – браузер покаже попередження. Але це реактивна міра, бо Google дізнається про небезпечний сайт не миттєво.
VirusTotal. Безкоштовний сервіс, куди можна вставити URL і перевірити його через 70+ антивірусних баз одночасно. Показує, чи помітив хтось із них проблему. Особливо корисно для посилань, які щойно з'явились і ще не потрапили в Google Safe Browsing.
Whois і перевірка домену. Якщо домен зареєстрований тиждень тому – це сильний сигнал тривоги. Фішингові сайти живуть недовго, їх швидко блокують, тому зловмисники реєструють нові. Перевірити дату реєстрації домену можна через будь-який whois-сервіс.
Спосіб 4: Пісочниця – відкрити посилання ізольовано
Іноді потрібно таки відкрити посилання, але ви хочете зробити це безпечно. Для цього існують так звані «пісочниці» – ізольовані середовища, де сайт завантажується без доступу до вашого пристрою.
Режим інкогніто – мінімальний захист. Не зберігає cookies і дані сесії, але від шкідливого коду не захищає взагалі.
Браузерні пісочниці. Такі сервіси як Browserling або Any.run дозволяють відкрити URL у віддаленому браузері і подивитися, що відбувається, – без ризику для вашого пристрою. Ви бачите сторінку на екрані, але реальна взаємодія відбувається на їхніх серверах.
Окремий пристрій або ВМ. Якщо ви займаєтесь безпекою або тестуванням – є сенс тримати окрему віртуальну машину або старий телефон виключно для відкриття підозрілих посилань.
Для звичайного користувача пісочниця – це трохи параноя. Але якщо ви отримали посилання з невідомого джерела і воно стосується фінансів, паролів або особистих даних – краще перестрахуватися.
Червоні прапори: коли точно не треба тискати
Є ситуації, де жодна перевірка не потрібна – посилання просто не варто відкривати взагалі:
Незнайомий відправник + коротке посилання без контексту. Якщо людина, якій ви не довіряєте або взагалі не знаєте, надсилає голе посилання без пояснень – ймовірність, що це щось корисне саме для вас, наближається до нуля.
Тиск і терміновість. «Терміново!», «тільки сьогодні», «ваш акаунт буде заблоковано» – класичні маніпулятивні тригери. Легітимні сервіси так себе не поводять.
Несподіваний приз або виграш. Ви не реєструвались на жоден конкурс, але «виграли iPhone»? Це не дивний збіг, це соціальна інженерія.
Посилання у SMS від «банку» або «служби доставки». Реальні банки надсилають SMS з офіційних номерів і ніколи не просять перейти за посиланням для введення пароля або даних картки. Служби доставки можуть надсилати посилання для відстеження, але якщо ви нічого не замовляли – це не ваша посилка.
Що робити, якщо вже перейшли
Ну буває, що рука клацнула швидше ніж мозок подумав. Паніки не треба, але дії потрібні:
Якщо сторінка попросила ввести дані, не вводьте нічого і закрийте вкладку. Просте відкриття сторінки зазвичай не критично; небезпека починається з введення даних або завантаження файлів.
Якщо ви щось завантажили, не відкривайте файл. Одразу запустіть перевірку антивірусом, а якщо його немає, завантажте безкоштовну версію Malwarebytes і скануйте.
Якщо ввели пароль, негайно змініть його на тому сервісі, під який маскувався сайт. Якщо той самий пароль використовується деінде, міняйте скрізь. Саме тому унікальні паролі для кожного сервісу – не параноя, а необхідність.
Якщо ввели дані картки, телефонуйте в банк і блокуйте картку. Краще перевипустити картку і провести кілька днів без неї, ніж витрачати потім місяці на повернення грошей.
Як сервіси скорочення посилань борються з цим
Відповідальні сервіси скорочення посилань розуміють, що їхня платформа може використовуватись не тільки чесними маркетологами. Тому нормальні сервіси – і Surli серед них – мають власну модерацію і перевірку посилань на шкідливість. Посилання, які ведуть на відомі фішингові або шкідливі сайти, блокуються ще на рівні платформи.
Але це не означає, що можна повністю перекласти відповідальність на сервіс. Нові шкідливі сайти з'являються постійно, і між моментом їх створення і моментом блокування завжди є вікно. Тому власна пильність і перевірка через https://surl.li/uk/check-short-url – це не зайва параноя, а розумна звичка.
Підсумок: правило двох секунд
Перевірка короткого посилання перед переходом займає не більше двох секунд – якщо знати, що робити. Вставити в чекер, побачити кінцевий URL, оцінити домен очима. Усе.
Це не складно і не потребує технічної освіти. Потребує тільки звички – такої ж, як перевірити відправника перед тим, як відкрити вкладення в email. Ми всі вже навчились не відкривати незнайомі вкладення. Час навчитись не тискати на непрозорі посилання без хоча б мінімальної перевірки.
Тому що один клік у неправильному місці може коштувати набагато дорожче, ніж ті дві секунди, яких ви захотіли заощадити.
