cyberrankingZacznij od adresu, nie od wyglądu strony
Fałszywa strona potrafi wyglądać identycznie jak oryginał - to samo logo, te same kolory, ten sam układ. Skopiowanie wyglądu jest proste i darmowe. Adresu w pasku przeglądarki tak łatwo się nie podrobi, dlatego to od niego zaczynaj, nie od tego, jak strona wygląda.
Sprawdź trzy rzeczy w adresie:
- Literówki i podstawienia - „inpost-sledzenie.pl" zamiast „inpost.pl", „allegrolokalnie-platnosc.com" zamiast „allegrolokalnie.pl". Oszuści dokładają słowa (płatność, dostawa, promocja) albo zamieniają litery na podobne.
- Końcówka domeny - prawdziwy bank czy sklep zwykle ma domenę .pl albo .com, nie egzotyczne końcówki jak .top, .xyz czy .click, które są tanie i popularne wśród oszustów.
- Co stoi tuż po „https://" i przed pierwszym pojedynczym ukośnikiem - to jest prawdziwa domena. Wszystko po nim może zawierać dowolny tekst, łącznie z nazwą znanej marki, żeby cię zmylić.
Kłódka w przeglądarce - co naprawdę oznacza
Kłódka obok adresu i „https" na początku to jeden z najbardziej rozpowszechnionych mitów bezpieczeństwa. Kłódka mówi tylko jedno: połączenie między tobą a serwerem jest zaszyfrowane, więc nikt po drodze nie podejrzy przesyłanych danych. Nie mówi nic o tym, kto jest po drugiej stronie.
W skrócie: brak kłódki to jasny sygnał ostrzegawczy (nie wpisuj tam nic), ale sama jej obecność niczego nie potwierdza. To pierwszy, najsłabszy filtr - nie ostatni.
Kto jest właścicielem strony - sprawdź WHOIS
Każda domena ma zarejestrowanego właściciela i datę rejestracji - te dane są jawne w bazie WHOIS. Dla domen .pl sprawdzisz je za darmo na stronie dns.pl, prowadzonej przez NASK - instytut, który zarządza polskimi domenami .pl. Wystarczy wpisać samą nazwę domeny, bez „www" i „https".
Na co patrzeć:
- Data rejestracji - świeżo założona domena (dni albo tygodnie temu), która twierdzi, że jest znaną, działającą od lat firmą, to poważny sygnał ostrzegawczy. Prawdziwe sklepy i banki mają domeny zarejestrowane od lat.
- Dane abonenta - jeśli domena należy do osoby prywatnej, dane zwykle są utajnione i to normalne, dotyczy też uczciwych stron. Jeśli strona przedstawia się jako firma, a WHOIS pokazuje osobę prywatną albo dane w ogóle się nie zgadzają z tym, co strona o sobie mówi - to niespójność warta uwagi.
WHOIS nie da stuprocentowej pewności, ale świeża domena podszywająca się pod dużą, znaną markę to jeden z najbardziej wiarygodnych sygnałów oszustwa, jaki masz do dyspozycji.
Trzy darmowe skanery, które sprawdzą stronę za ciebie
Nie musisz robić tego wszystkiego ręcznie za każdym razem. Istnieją darmowe narzędzia, które sprawdzają adres w bazach znanych zagrożeń w kilka sekund.
Google Bezpieczne przeglądanie (Safe Browsing)
Działa automatycznie w tle w Chrome, Firefoksie i Safari - ostrzega czerwonym ekranem, zanim otworzysz znaną stronę wyłudzającą dane albo rozsiewającą złośliwe oprogramowanie. Chcesz sprawdzić konkretny adres ręcznie? Wejdź na transparencyreport.google.com/safe-browsing i wklej adres.
VirusTotal
Wklejasz adres strony, a VirusTotal sprawdza go jednocześnie w ponad 70 silnikach antywirusowych i bazach zagrożeń, pokazując też wiek domeny. Jeśli kilka niezależnych silników oznacza adres jako niebezpieczny, to wystarczający powód, żeby zamknąć kartę.
Lista Ostrzeżeń CERT Polska
Krajowa lista domen wyłudzających dane, prowadzona całą dobę przez CERT Polska - zespół reagowania na incydenty bezpieczeństwa przy NASK. Wpisz samą domenę, bez „https://" i bez ukośników, na stronie lista.cert.pl. Część dostawców internetu blokuje te domeny automatycznie, ale ręczne sprawdzenie zajmuje chwilę i działa niezależnie od twojego operatora.
Jak sprawdzić link z SMS-a albo maila
Linki, które same do ciebie przychodzą - SMS „przesyłka czeka", mail „twoje konto zostanie zablokowane" - to najczęstszy sposób, w jaki oszuści kierują ludzi na fałszywe strony. Zasady są te same co wyżej, z jednym dodatkowym krokiem.
-
Nie klikaj od razu. Skopiuj adres (przytrzymaj palec na linku i wybierz „kopiuj adres" albo na komputerze kliknij prawym przyciskiem) i wklej go do VirusTotal albo w pasek przeglądarki, żeby zobaczyć pełny adres przed wejściem.
-
Rozwiń skrócone linki. Adresy w stylu bit.ly czy tinyurl.com ukrywają prawdziwy cel. Wklej taki link do VirusTotal - pokaże, dokąd naprawdę prowadzi, zanim tam wejdziesz.
-
Nadawca nie jest dowodem. Numer telefonu i nazwę nadawcy SMS-a da się podszyć - wiadomość może wyglądać, jakby przyszła w tym samym wątku co prawdziwe SMS-y od banku. To samo z adresem e-mail - „wygląda znajomo" to za mało.
-
Masz wątpliwości co do przesyłki albo płatności? Wejdź na stronę firmy ręcznie, wpisując adres samodzielnie albo przez wyszukiwarkę, zamiast klikać w link z wiadomości.
Więcej o rozpoznawaniu konkretnych wiadomości (InPost, BLIK, bank) w osobnym poradniku: jak rozpoznać phishing.
Wynik czysty, a mimo to coś nie gra
Żaden skaner nie złapie wszystkiego - nowa fałszywa strona potrafi działać kilka godzin, zanim trafi do baz zagrożeń. Dlatego oprócz narzędzi warto ufać zdrowemu rozsądkowi. Sygnały, które częściej łączą się z oszustwem niż z przypadkiem:
- Presja czasu - „oferta ważna 15 minut", odliczany zegar, „zostały 2 sztuki". Prawdziwe promocje rzadko naciskają aż tak mocno.
- Tylko przedpłata - brak opcji płatności za pobraniem albo przy odbiorze, mimo że to zwykły sklep z elektroniką czy odzieżą.
- Brak danych firmy - nie znajdziesz numeru NIP, adresu ani danych kontaktowych w stopce ani w zakładce „o nas". Uczciwy sklep w Polsce ma obowiązek je podać.
- Ceny wyraźnie poniżej rynku - nie kilkanaście procent taniej, tylko połowa ceny albo mniej, bez żadnego wyjaśnienia.
Pełną listę sygnałów fałszywego sklepu i sposób na odzyskanie pieniędzy, jeśli już do tego doszło, opisujemy osobno: fałszywy sklep internetowy - jak rozpoznać i odzyskać pieniądze.
Stała ochrona zamiast sprawdzania każdego linku z osobna
Ręczne sprawdzanie ma sens od czasu do czasu, przy nieznanym sklepie albo podejrzanej wiadomości. Problem w tym, że przy dziesiątkach maili i SMS-ów dziennie prędzej czy później zabraknie ci czasu albo czujności, żeby za każdym razem otwierać WHOIS czy VirusTotal - wystarczy jeden klik bez zastanowienia, zwłaszcza gdy się spieszysz.
Na co dzień wygodniej mieć ochronę, która robi to automatycznie. Dobry program antywirusowy z modułem antyphishingowym sprawdza adres w bazie zagrożeń w ułamku sekundy i blokuje stronę, zanim zdąży się w ogóle załadować - działa więc nawet wtedy, gdy nie zdążysz spojrzeć na pasek adresu. To nie zastępuje nawyków z tego poradnika, tylko dokłada drugą warstwę ochrony na wypadek, gdy zabraknie ci czasu albo uwagi. Ma to szczególne znaczenie, jeśli z tego samego komputera korzysta ktoś mniej techniczny - rodzic albo dziecko, które nie otworzy WHOIS ani nie wklei linku do VirusTotal, zanim kliknie.
ESET HOME Security Premium
Moduł ochrony przed phishingiemFiltruje strony wyłudzające dane i podstawione strony bankowe w czasie rzeczywistym, sprawdzone w niezależnych testach AV-TEST i AV-Comparatives (szczegóły w naszej metodologii). Działa w tle, bez ręcznego sprawdzania każdego linku.
Sprawdź ESET HOME SecurityLink afiliacyjny - zarabiamy prowizję bez dodatkowego kosztu dla Ciebie.
Chcesz porównać kilka programów pod kątem ochrony przeglądania, nie tylko ESET?
Zobacz ranking programów antywirusowychNajczęstsze pytania
Kłódka obok adresu strony oznacza tylko, że połączenie między tobą a serwerem jest zaszyfrowane - nikt po drodze nie podejrzy przesyłanych danych. Nie oznacza, że strona jest uczciwa ani że nie jest fałszywa. Certyfikat dający kłódkę można założyć bezpłatnie w kilka minut, korzystają z niego zarówno prawdziwe firmy, jak i oszuści.
Https to protokół, w którym dane między twoją przeglądarką a stroną są szyfrowane - zwykłe http wysyła je otwartym tekstem. Litera „s" na końcu oznacza „secure", czyli zabezpieczone połączenie. Https chroni przed podsłuchaniem danych po drodze, ale nie potwierdza tożsamości właściciela strony - to trzeba sprawdzić inaczej, na przykład przez WHOIS.
Sprawdź kolejno: adres w pasku przeglądarki (literówki, dziwna końcówka domeny), datę rejestracji domeny w WHOIS (świeża domena podszywająca się pod znaną markę to sygnał ostrzegawczy), wynik w darmowym skanerze jak VirusTotal albo Google Bezpieczne przeglądanie, i dane firmy w stopce strony. Żaden pojedynczy test nie daje stuprocentowej pewności, ale kilka zgodnych sygnałów tak.
Dla domen .pl wejdź na dns.pl i wpisz nazwę domeny bez „www" i „https" - baza WHOIS pokaże datę rejestracji, a dla firm i innych podmiotów prawnych także dane abonenta. Dane osób prywatnych są zwykle utajnione, co jest normalne i dotyczy też uczciwych stron.
Nie ma jednego uniwersalnego narzędzia - warto łączyć kilka. VirusTotal sprawdza adres w ponad 70 silnikach antywirusowych naraz i pokazuje wiek domeny. Google Bezpieczne przeglądanie działa automatycznie w Chrome, Firefoksie i Safari, a ręcznie sprawdzisz je na transparencyreport.google.com. Lista Ostrzeżeń CERT Polska to krajowa baza domen wyłudzających dane, prowadzona przez zespół reagowania na incydenty przy NASK.
Nie klikaj od razu - na komputerze najedź kursorem na link, żeby zobaczyć pełny adres w rogu przeglądarki, na telefonie przytrzymaj na nim palec. Skrócone adresy (bit.ly, tinyurl) wklej do VirusTotal, żeby zobaczyć, dokąd naprawdę prowadzą. Jeśli link przyszedł SMS-em albo mailem z prośbą o dane logowania lub płatność, bezpieczniej wejść na stronę firmy ręcznie, niż zaufać linkowi z wiadomości.