Profesjonalny wygląd strony nie świadczy o jej autentyczności. Oszuści mogą skopiować logo, kolory i układ znanego serwisu, dlatego najpierw sprawdź adres URL, a dopiero potem treść witryny. Najważniejsza zasada brzmi: analizuj domenę od prawej do lewej. Sama kłódka SSL nie potwierdza, że strona należy do deklarowanej firmy.
Kłódka SSL oznacza szyfrowane połączenie, ale nie gwarantuje, że witryna jest prawdziwa. Certyfikat może znajdować się także na stronie phishingowej.
Jak czytać adres URL?
Adres witryny ma zwykle schemat https://subdomena.domena.rozszerzenie/ścieżka. Dla oceny autentyczności najważniejsza jest domena główna, a nie nazwa umieszczona na początku długiego adresu. Oszuści wykorzystują przy tym subdomeny, dodatkowe słowa, myślniki oraz homoglify, czyli znaki z innych alfabetów przypominające litery łacińskie.
Przeanalizuj adres w następującej kolejności:
- Oddziel schemat połączenia – pomiń fragment „https://” lub „http://”.
- Znajdź pierwszy ukośnik – tekst między „://” a pierwszym ukośnikiem to host, czyli nazwa używana do połączenia z serwerem.
- Podziel host na części po kropkach – następnie czytaj te części od prawej do lewej.
- Ustal rozszerzenie domeny – może to być na przykład „.pl”, „.com” albo „.cfd”. W domenach złożonych, takich jak „com.pl”, trzeba uwzględnić cały właściwy sufiks.
- Rozpoznaj domenę główną – tworzy ją rozszerzenie oraz znajdująca się bezpośrednio przed nim etykieta. Wszystko po lewej stronie jest subdomeną lub dodatkowym fragmentem adresu.
- Porównaj domenę z nazwą marki – jeśli marka znajduje się wyłącznie w subdomenie, nie oznacza to, że strona do niej należy.
Przykładowo adres https://account.booking.com…www-account-booking.com/en/ może na początku sugerować związek z Booking.com. Po analizie od prawej strony widać jednak, że domeną główną jest www-account-booking.com. „booking.com” występuje tu tylko w dalszej części adresu, przed właściwą domeną.
Podobnie w adresie https://allegrolokalnie.pl-oferta5815015105198474.cfd/oferta/… nazwą domeny głównej jest pl-oferta5815015105198474.cfd, a nie „allegrolokalnie.pl”. Taki układ może służyć do zmylenia osoby, która patrzy tylko na początek adresu.
Zwracaj uwagę również na literówki, zamienioną kolejność znaków i nietypowe symbole. Adres przypominający nazwę marki, ale zawierający dodatkową kropkę, myślnik lub podobną literę, wymaga dokładnego sprawdzenia. Na telefonie pasek adresu bywa skrócony, dlatego przed logowaniem lub płatnością rozwiń go i sprawdź końcową część domeny.
Jakie sygnały ostrzegawcze powinny wzbudzić czujność?
Analiza URL jest najważniejsza, ale treść i zachowanie strony mogą potwierdzić podejrzenia. Fałszywa witryna często powstaje szybko i nie zawiera informacji, które normalnie ułatwiają identyfikację firmy.
Na szczególną uwagę zasługują następujące sygnały:
- Błędy językowe – liczne literówki, brak polskich znaków i nieporadne tłumaczenia mogą wskazywać na stronę przygotowaną automatycznie.
- Brak danych firmy – nie ma nazwy właściciela, adresu, telefonu, adresu e-mail, regulaminu lub polityki prywatności.
- Nierealne oferty – cena albo obietnica szybkiego zysku wyraźnie odbiega od rynkowych warunków.
- Nieoczekiwane przekierowania – kliknięcie przycisku przenosi do innej domeny niż ta widoczna wcześniej.
- Presja czasu – komunikaty nakazujące natychmiastową płatność lub podanie danych mają skłonić do działania bez weryfikacji.
Poniższe zestawienie pomaga odróżnić pozory od informacji, które rzeczywiście mają znaczenie:
| Element | Co może sugerować oszustwo | Na co patrzeć |
|---|---|---|
| Wygląd strony | Logo i układ są identyczne jak w znanym serwisie | Domena główna, nie grafika i kolory |
| Logo lub nazwa marki | Marka występuje tylko w subdomenie albo ścieżce | Część adresu znajdująca się bezpośrednio przed rozszerzeniem |
| Kłódka i HTTPS | Użytkownik uznaje je za dowód autentyczności | HTTPS szyfruje transmisję, ale nie potwierdza uczciwości właściciela |
| Dane kontaktowe | Brak regulaminu, adresu firmy lub działającego telefonu | Możliwość niezależnego potwierdzenia danych |
Jakich narzędzi użyć do weryfikacji?
Zewnętrzne narzędzia mogą uzupełnić analizę adresu, ale nie zastępują czytania domeny. Brak ostrzeżenia w bazie nie jest dowodem, że nowo utworzona strona jest uczciwa.
Przydatne są:
- Bezpieczne przeglądanie Google – sprawdza, czy adres jest znany jako powiązany z phishingiem lub złośliwym oprogramowaniem.
- WHOIS – pozwala sprawdzić informacje o domenie, w tym datę rejestracji i dostępne dane rejestracyjne. Bardzo młoda domena nie przesądza o oszustwie, ale w połączeniu z innymi sygnałami zwiększa ryzyko.
- Wyszukiwarka i niezależne opinie – wpisz nazwę firmy lub domenę samodzielnie, zamiast korzystać z linku otrzymanego w wiadomości. Opinie również trzeba oceniać ostrożnie.
- Ostrzeżenia przeglądarki – komunikat o phishingu, złośliwym oprogramowaniu lub niezabezpieczonym połączeniu traktuj jako powód do przerwania wizyty.
W przypadku podejrzenia phishingu można zgłosić incydent do CSIRT NASK. Jeśli dane logowania lub płatnicze zostały już wpisane na podejrzanej stronie, nie czekaj na dalszy rozwój sytuacji. Skontaktuj się z bankiem lub administratorem danego konta i zmień dane dostępowe z użyciem oficjalnej witryny.
Co sprawdzić w 30 sekund przed logowaniem lub płatnością?
Gdy nie masz czasu na pełną analizę, wykonaj krótką kontrolę:
- Wpisz adres firmy ręcznie albo otwórz go z własnych zakładek, zamiast klikać nieoczekiwany link.
- Sprawdź domenę główną, czytając adres od prawej do lewej.
- Poszukaj literówek, homoglifów, nietypowego rozszerzenia i dodatkowych znaków.
- Zweryfikuj dane firmy, regulamin i sposób kontaktu.
- Sprawdź adres w Bezpiecznym przeglądaniu Google oraz informacje WHOIS, jeśli domena budzi wątpliwości.
- Potraktuj kłódkę SSL wyłącznie jako informację o szyfrowaniu połączenia, nie jako dowód wiarygodności.
Najpierw sprawdź domenę, potem treść i dane firmy, a dopiero na końcu podejmij decyzję o logowaniu lub płatności. Kilka sekund poświęconych na analizę adresu może ujawnić fałszywą stronę, nawet gdy jej wygląd niemal idealnie kopiuje znaną markę.
Artykuł ma charakter informacyjny. W przypadku podejrzenia wycieku danych lub oszustwa skontaktuj się bezpośrednio z bankiem, usługodawcą albo właściwym zespołem reagowania na incydenty.
