Domena a phishing — jak chronić klientów przed podszywaniem się?

Autor: Redakcja Domeny.ForSale · Opublikowano 30.07.2026

W skrócie: phishing domenowy wykorzystuje podobny albo przejęty adres, fałszywą wiadomość i podrobioną stronę, aby nakłonić klienta do podania hasła, kodu, danych karty lub wykonania przelewu. Markę najlepiej chroni kilka uzupełniających się warstw: jedna rozpoznawalna domena logowania, poprawne SPF/DKIM/DMARC, zabezpieczenie kont i DNS, monitoring nazw podobnych do marki, przemyślane rejestracje defensywne oraz gotowa procedura zgłaszania incydentu. Gdy kampania już trwa, liczą się minuty: trzeba zachować dowody, zgłosić adres do CERT Polska i dostawców infrastruktury, ostrzec klientów oficjalnymi kanałami oraz sprawdzić, czy nie przejęto także własnych systemów.

Klient nie widzi infrastruktury stojącej za usługą. Widzi nazwę nadawcy, logo, adres strony i formularz logowania. Przestępcy kopiują właśnie te elementy, bo wiarygodna oprawa obniża czujność szybciej niż technicznie zaawansowany atak.

Skala problemu pokazuje, że reakcja nie może zaczynać się dopiero po pierwszej stracie. Według raportu CERT Polska za 2025 rok na Listę Ostrzeżeń trafiło w tym okresie niemal 245 tysięcy domen, a większość wejść na strony phishingowe następowała w ciągu 15 minut od otrzymania wiadomości. Ochrona marki musi więc działać przed kampanią i mieć przygotowaną szybką ścieżkę działania.

Co to jest phishing domenowy?

Phishing domenowy to atak, w którym nazwa domeny, adres URL lub tożsamość e-mailowa są używane do podszycia się pod zaufaną markę. Celem jest zwykle wyłudzenie danych logowania, kodów autoryzacyjnych, danych osobowych, informacji o karcie, płatności albo instalacja złośliwego oprogramowania.

Określenie obejmuje kilka różnych scenariuszy:

• rejestrację domeny łudząco podobnej do oficjalnego adresu,
• wysłanie wiadomości z podobnej domeny,
• sfałszowanie adresu w polu „Od:” przy słabej ochronie domeny marki,
• umieszczenie fałszywego formularza na przejętej, wcześniej legalnej stronie,
• przejęcie subdomeny lub rekordu DNS należącego do marki,
• wykorzystanie prawdziwego konta pracownika albo dostawcy po jego włamaniu,
• ukrycie docelowego adresu za skróconym linkiem, kodem QR lub przekierowaniem.

Nie każdy phishing używa literówki, a nie każda podobna domena jest phishingiem. O nadużyciu świadczy połączenie nazwy, treści, intencji i sposobu wykorzystania. Pusta domena podobna do marki może wymagać obserwacji. Ten sam adres z kopią panelu logowania i kampanią e-mailową wymaga natychmiastowej reakcji.

Jak podobne domeny wprowadzają klientów w błąd?

Atakujący nie musi skopiować domeny idealnie. Wystarczy, że odbiorca rozpozna początek nazwy i pominie drobną różnicę. Najczęściej wykorzystywane są:

Adresy z końcówką .example są powyżej wyłącznie bezpiecznymi przykładami. Przy prawdziwym URL-u domenę należy czytać od prawej strony, rozpoznając końcówkę i nazwę zarejestrowaną bezpośrednio przed nią. Długi ciąg po lewej może być tylko subdomeną kontrolowaną przez właściciela zupełnie innego adresu.

Szczególną odmianą jest typosquatting, czyli wykorzystywanie literówek i wariantów znanej nazwy. Strategię ochronną opisujemy szerzej w artykule Domeny literówkowe — szansa czy ryzyko? .

Fałszywe maile — nazwa nadawcy to za mało

W skrzynce odbiorczej klient może zobaczyć nazwę „Dział bezpieczeństwa”, logo i poprawny podpis, choć wiadomość przyszła z obcej domeny. Wyświetlana nazwa jest zwykłym polem i nie stanowi dowodu tożsamości.

W phishingu e-mailowym występują trzy główne modele:

1. Podobna domena nadawcy. Adres wygląda wiarygodnie, np. pomoc(at)twojamarka-logowanie.example, lecz nie należy do marki.
2. Podszycie pod dokładną domenę w polu „Od:”. Jest trudniejsze do skutecznego dostarczenia, jeśli domena ma prawidłowe SPF, DKIM i egzekwowaną politykę DMARC.
3. Wiadomość z przejętego, legalnego konta. Uwierzytelnianie może przejść poprawnie, bo napastnik używa prawdziwej skrzynki pracownika, partnera albo dostawcy.

Dlatego odbiorca powinien sprawdzać pełny adres, domenę linku i kontekst wiadomości. Marka musi natomiast chronić zarówno ustawienia DNS, jak i konta użytkowników oraz narzędzia wysyłkowe.

Co dają SPF, DKIM i DMARC?

• SPF wskazuje serwery uprawnione do wysyłki dla technicznej domeny nadawcy.
• DKIM podpisuje wiadomość i pozwala sprawdzić, czy objęta podpisem treść nie została zmieniona.
• DMARC wiąże domenę widoczną w polu „Od:” z domeną zweryfikowaną przez SPF lub DKIM oraz określa politykę postępowania z niezgodnymi wiadomościami.

Aktualny standard RFC 9989 opisuje DMARC jako mechanizm uwierzytelniania, raportowania i polityki dla domeny nadawcy. Wdrożenie najlepiej prowadzić etapami: zinwentaryzować legalne źródła, uruchomić raporty, usunąć błędy, a dopiero potem przejść od obserwacji do quarantine i reject.

DMARC ogranicza podszywanie się pod Twoją dokładną domenę, ale nie blokuje rejestracji podobnej nazwy. Nie rozpozna też automatycznie każdej przejętej skrzynki, z której wysyłka jest technicznie prawidłowo uwierzytelniona. Konfigurację oraz wpływ na reputację rozwijamy w poradniku Domena a dostarczalność e-maili — co trzeba wiedzieć? .

Fałszywe strony logowania

Strona phishingowa może niemal idealnie kopiować logo, kolory, teksty, regulamin i układ prawdziwego panelu. Może mieć także kłódkę i ważny certyfikat HTTPS. Certyfikat potwierdza szyfrowane połączenie z domeną widoczną w pasku, ale nie potwierdza, że domena należy do marki, którą imituje.

Fałszywy formularz może przechwytywać:

• login i hasło,
• kod jednorazowy lub potwierdzenie MFA,
• numer karty i kod zabezpieczający,
• dane osobowe,
• dane do faktury,
• kod odzyskiwania konta,
• zgodę OAuth albo token sesji.

Po wpisaniu danych strona często przekierowuje użytkownika do prawdziwego serwisu. Klient widzi właściwą stronę po chwili i może uznać, że wcześniejszy błąd był przypadkowy.

Marka powinna ograniczać liczbę miejsc logowania. Jeden stały adres, np. konto.firma.pl, jest łatwiejszy do zapamiętania niż zmienne domeny kampanii, zewnętrzne skracacze i przypadkowe strony dostawców. Pomagają również menedżery haseł oraz passkeys: są powiązane z właściwą domeną, więc zmniejszają ryzyko podania poświadczeń w podobnym serwisie. Nie zwalnia to jednak z kontroli sesji, bezpiecznego odzyskiwania konta i monitoringu.

Jak chronić klientów przed podszywaniem się?

1. Zbuduj jedną, czytelną tożsamość domenową

Klient powinien wiedzieć, jaka jest główna domena marki, gdzie odbywa się logowanie i z jakich domen przychodzą wiadomości. Im więcej niepowiązanych adresów, tym trudniej odróżnić prawdziwą kampanię od phishingu.

Ustal i opublikuj:

• główną domenę strony,
• jeden przewidywalny adres logowania,
• kontrolowane domeny lub subdomeny e-mailowe,
• oficjalne profile społecznościowe,
• adres zgłoszeniowy, np. bezpieczenstwo(at)firma.pl,
• stronę z aktualnymi ostrzeżeniami o oszustwach.

Nie opieraj zaufania wyłącznie na identyfikacji wizualnej. Logo i szablon można skopiować w kilka minut. Stała, krótka domena jest sygnałem, którego klient może się nauczyć.

2. Zabezpiecz główną domenę i konta administracyjne

Phishing może powstać poza firmą, ale może też rozpocząć się od przejęcia jej infrastruktury. Konto rejestratora, panel DNS, poczta, CDN, hosting, system mailingowy i profile społecznościowe powinny mieć:

• unikalne hasła,
• MFA, najlepiej odporne na phishing,
• minimalne uprawnienia,
• alerty o zmianach i logowaniach,
• kontrolę kont wykonawców,
• procedurę odbierania dostępów,
• kopie konfiguracji i dzienniki audytowe.

Dla domeny warto włączyć blokadę transferu, automatyczne odnowienie, monitoring rekordów oraz DNSSEC, jeżeli operator zapewnia bezpieczną obsługę. DNSSEC chroni integralność odpowiedzi DNS dla własnej domeny, ale nie powstrzymuje rejestracji podobnych adresów. Szczegóły znajdziesz w poradnikach jak zabezpieczyć domenę przed przejęciem oraz DNSSEC — czy warto zabezpieczyć domenę dodatkowo? .

3. Wdróż uwierzytelnianie poczty i analizuj raporty

SPF, DKIM i DMARC powinny obejmować wszystkie legalne systemy: pocztę pracowników, CRM, faktury, newsletter, helpdesk i wiadomości transakcyjne. Raporty DMARC pomagają znaleźć nieznane źródła wysyłki oraz błędy zgodności.

Nie ustawiaj p=reject w ciemno. Najpierw sprawdź legalny ruch i popraw podpisy. Gdy źródła są uporządkowane, polityka egzekwująca realnie utrudnia użycie dokładnej domeny marki w polu „Od:”. Raporty mogą trafiać do kontrolowanego procesu, np. obsługiwanego przez dostawcę albo na adres dmarc(at)firma.pl.

Dla domen defensywnych, które nigdy nie wysyłają poczty, administrator może opublikować polityki jednoznacznie odrzucające nieautoryzowaną wysyłkę i zaznaczyć brak obsługi poczty przychodzącej. Takie ustawienia trzeba dopasować do faktycznej architektury — błędna deklaracja może zablokować legalne wiadomości.

4. Rejestruj warianty defensywnie, ale według ryzyka

Nie da się kupić każdej możliwej literówki i każdego rozszerzenia. Liczba kombinacji rośnie bardzo szybko, a przestępcy mogą dodać dowolne słowo, zastosować inne rozszerzenie lub wykorzystać przejętą domenę bez związku z marką.

Najpierw zabezpiecz:

• główne rozszerzenia rynków, na których działa marka,
• najczęstsze literówki i przestawienia znaków,
• wariant z myślnikiem lub bez niego,
• wersję z polskimi znakami i bez nich, jeśli ma zastosowanie,
• łatwe do pomylenia warianty fonetyczne,
• domeny szczególnie groźne dla płatności, logowania i obsługi klienta.

Własne warianty defensywne utrzymuj u bezpiecznego rejestratora, odnawiaj automatycznie i blokuj przed transferem. Jeżeli przechwytują realne pomyłki użytkowników, ustaw HTTPS oraz przekierowanie 301 do głównej domeny. Nie pozostawiaj ich na parkingu z reklamami i nie buduj kopii strony pod wieloma adresami.

5. Monitoruj domeny, pocztę, certyfikaty i reklamę

Monitoring powinien wykrywać zmianę ryzyka, a nie tylko samą rejestrację. Podobna domena może przez miesiące być pusta, a następnie w ciągu godziny otrzymać rekordy pocztowe, certyfikat i kopię formularza.

Warto obserwować:

• nowe rejestracje podobne do nazwy marki,
• rekordy NS, A, AAAA i MX,
• certyfikaty wystawione dla podobnych nazw,
• pojawienie się formularza logowania albo skopiowanych grafik,
• kampanie e-mailowe i domeny linków,
• reklamy w wyszukiwarce na frazy brandowe,
• fałszywe profile w social mediach i komunikatorach,
• zgłoszenia klientów oraz pracowników,
• raporty DMARC i alerty od dostawców bezpieczeństwa,
• Listę Ostrzeżeń CERT Polska.

Certyfikat lub rekord MX jest sygnałem do analizy, nie dowodem przestępstwa. Podobna nazwa może należeć do innej legalnej firmy. Automatyczne alerty powinien oceniać człowiek według kontekstu, branży, treści i praw do marki.

6. Naucz klientów jednej bezpiecznej ścieżki

Komunikacja ochronna powinna być krótka i powtarzalna. Klient musi wiedzieć:

• z jakiej domeny korzysta marka,
• gdzie samodzielnie otworzyć panel bez klikania w wiadomość,
• że firma nigdy nie prosi o pełne hasło ani kod MFA,
• jak zgłosić podejrzaną wiadomość,
• co zrobić po wpisaniu danych na fałszywej stronie.

Najlepiej kierować klientów do aplikacji lub ręcznego wpisania znanej domeny. Ostrzeżenia publikuj na głównej stronie, w aplikacji i na zweryfikowanych profilach. W materiałach o konkretnym zagrożeniu zapisuj złośliwy adres w formie nieklikalnej, np. nazwa[.]tld.

Jak powinien działać monitoring podobnych domen?

Lista wariantów powinna wynikać z prawdziwych zachowań użytkowników i sposobu działania produktu. Inne ryzyka ma lokalna firma usługowa, a inne bank, marketplace lub globalny SaaS.

Dobry proces obejmuje:

1. zdefiniowanie nazw marki, produktów i domen logowania,
2. wygenerowanie ważnych literówek, podobnych znaków i słów typu login, konto, pay, support,
3. obserwację nowych rejestracji oraz zmian DNS,
4. automatyczne nadanie punktów za aktywny MX, certyfikat, świeżą treść i podobieństwo,
5. ręczną ocenę alertów wysokiego ryzyka,
6. archiwizację wyniku i ponowne kontrole domen, które wcześniej były puste,
7. połączenie alertów z gotową procedurą zgłoszenia.

Monitoring nie powinien polegać wyłącznie na WHOIS. Dane abonenta mogą być ukryte, a phishing ocenia się na podstawie sposobu użycia domeny. RDAP, DNS, certyfikaty, treść strony i wiadomości tworzą razem pełniejszy obraz. Sposób sprawdzania danych rejestracyjnych opisujemy w artykule WHOIS i RDAP — jak sprawdzić informacje o domenie? .

Co zrobić, gdy ktoś podszywa się pod markę?

Krok 1: potwierdź incydent bez narażania zespołu

Nie wpisuj testowych danych do fałszywego formularza, nie pobieraj załączników i nie otwieraj strony na zwykłym komputerze pracownika. Analizę techniczną powinien wykonać zespół bezpieczeństwa w odizolowanym środowisku albo wyspecjalizowany dostawca.

Jednocześnie sprawdź, czy incydent rzeczywiście dotyczy wyłącznie obcej domeny. Zweryfikuj:

• logowania do poczty, DNS i rejestratora,
• nowe reguły przekazywania wiadomości,
• klucze API systemu mailingowego,
• zmiany DNS i subdomen,
• sesje administratorów,
• nietypową wysyłkę z własnych kont,
• naruszenia u agencji lub dostawcy.

Jeżeli przejęto prawdziwe konto lub system, samo usunięcie podobnej domeny nie zatrzyma kampanii.

Krok 2: zachowaj komplet dowodów

Zgłoszenie powinno być konkretne i możliwe do zweryfikowania. Zbierz:

• pełny URL wraz ze ścieżką,
• zrzut ekranu z widocznym paskiem adresu,
• datę, godzinę i strefę czasową,
• wiadomość źródłową w formacie EML wraz z nagłówkami,
• treść SMS-a, reklamy lub wpisu prowadzącego do strony,
• informację, jakie dane próbuje pozyskać formularz,
• wynik RDAP/WHOIS i podstawowe rekordy DNS,
• nazwę hostingu, rejestratora i dostawcy poczty, jeśli udało się je ustalić,
• potwierdzenie upoważnienia do działania w imieniu marki,
• numer wcześniejszego zgłoszenia i historię odpowiedzi.

Nie publikuj aktywnego linku w mediach społecznościowych. Może to zwiększyć zasięg kampanii i narazić klientów.

Krok 3: zgłoś stronę do CERT Polska

Podejrzaną stronę lub wiadomość można zgłosić przez formularz incydent.cert.pl . CERT Polska udostępnia także osobny formularz dla stron wyłudzających dane . Podejrzany SMS z linkiem można przekazać na numer 8080.

CERT Polska wyjaśnia na aktualnej stronie Listy Ostrzeżeń przed niebezpiecznymi stronami , że zgłoszenia phishingu są weryfikowane przez analityków, a zatwierdzone adresy mogą być wykorzystywane przez operatorów do ograniczania dostępu. Wpis na listę nie usuwa jednak domeny ani treści z hostingu, dlatego trzeba równolegle zgłaszać nadużycie dostawcom infrastruktury.

Krok 4: zgłoś nadużycie do hostingu i rejestratora

Hosting może usunąć fałszywą stronę, a rejestrator lub rejestr może podjąć działania dotyczące domeny zgodnie z umową i procedurą. Ustal właściwe kontakty abuse przez RDAP, ICANN Lookup albo stronę operatora.

Zgłoszenie powinno jasno nazywać phishing i zawierać dowody aktywnego wyłudzania. Samo stwierdzenie „ta domena przypomina naszą markę” może być niewystarczające do pilnego zawieszenia usługi.

Aktualny przewodnik ICANN dotyczący zgłoszeń DNS Abuse zaleca najpierw zgłosić domenę do właściwego rejestratora lub rejestru i dać mu rozsądny czas na zbadanie sprawy. Dopiero brak właściwej reakcji na kompletne zgłoszenie dotyczące gTLD można eskalować do ICANN. ICANN nie egzekwuje polityk domen krajowych ccTLD, takich jak .pl.

Jeśli legalna domena została przejęta, zawieszenie całego adresu może zaszkodzić jej prawowitemu właścicielowi. W takim przypadku hosting lub administrator strony może szybciej usunąć złośliwą podstronę bez wyłączania wszystkich usług.

Krok 5: zgłoś kampanię pozostałym platformom

W zależności od sposobu dystrybucji wyślij zgłoszenie także do:

• dostawcy poczty lub narzędzia mailingowego,
• operatora skracacza linków,
• przeglądarek i usług reputacyjnych,
• wyszukiwarki oraz platformy reklamowej,
• serwisu społecznościowego lub komunikatora,
• operatora płatności,
• sklepu z aplikacjami, jeśli atak zawiera fałszywą aplikację.

Jedno zgłoszenie nie wyłącza automatycznie całego łańcucha. Domena, hosting, skrzynka wysyłkowa, reklama i płatność mogą działać u różnych dostawców.

Krok 6: ostrzeż klientów z jednego źródła prawdy

Opublikuj komunikat na oficjalnej domenie i w aplikacji. Następnie odsyłaj do niego ze zweryfikowanych profili. Komunikat powinien zawierać:

• krótki opis kampanii,
• nieklikalny zapis fałszywej domeny,
• dokładną domenę oficjalną,
• informację, o jakie dane marka nigdy nie prosi,
• instrukcję dla osoby, która tylko otrzymała wiadomość,
• instrukcję dla osoby, która wpisała dane lub zapłaciła,
• datę i godzinę ostatniej aktualizacji,
• oficjalny kontakt, np. bezpieczenstwo(at)firma.pl.

Nie wysyłaj panicznego komunikatu bez potwierdzenia faktów. Z drugiej strony nie czekaj na zakończenie sporu domenowego, jeżeli trwa aktywna kampania i klienci podają dane.

Krok 7: pomóż osobom, które podały dane

Zależnie od rodzaju wyłudzonych informacji należy zalecić:

• zmianę hasła z bezpiecznego urządzenia,
• zmianę tego samego hasła w innych usługach,
• unieważnienie aktywnych sesji i tokenów,
• włączenie MFA lub passkey,
• sprawdzenie reguł pocztowych i logowań,
• kontakt z bankiem lub operatorem płatności,
• zastrzeżenie karty, jeśli bank uzna to za potrzebne,
• kontrolę transakcji i alertów bezpieczeństwa,
• zgłoszenie oszustwa Policji lub prokuraturze, jeśli doszło do przestępstwa.

Jeśli incydent objął własne systemy albo dane klientów, uruchom także wewnętrzną ocenę prawną i ochrony danych. Sama obecność obcej strony phishingowej nie oznacza automatycznie naruszenia danych po stronie marki, ale przejęte konto, wyciek lub nieautoryzowany dostęp mogą tworzyć osobne obowiązki.

Krok 8: prowadź działania prawne równolegle

Zawieszenie phishingu i odzyskanie domeny to różne cele. Pierwsze ma szybko przerwać szkodę. Drugie może wymagać procedury dotyczącej znaku towarowego, negocjacji, postępowania UDRP albo sporu właściwego dla danego rozszerzenia.

Dla domen gTLD procedura UDRP opisana przez ICANN służy rozstrzyganiu określonych sporów o nazwy domen. Nie jest jednak zastępstwem dla pilnego zgłoszenia aktywnej strony wyłudzającej dane. Przy .pl trzeba stosować procedury właściwe dla rejestru i odpowiedniego sądu. W sprawie praw do marki skonsultuj prawnika IP lub rzecznika patentowego.

Czego nie robić podczas incydentu?

• Nie próbuj samodzielnie włamywać się na fałszywą stronę ani jej przeciążać.
• Nie płać właścicielowi domeny pod presją bez analizy prawnej i bezpieczeństwa.
• Nie wysyłaj niepełnego zgłoszenia wyłącznie z nazwą marki.
• Nie publikuj klikalnego adresu phishingowego w ostrzeżeniu.
• Nie zakładaj, że certyfikat HTTPS dowodzi legalności strony.
• Nie ograniczaj reakcji do sporu o znak, gdy aktywnie wyłudzane są dane.
• Nie wyłączaj komunikacji z klientami tylko dlatego, że strona została już usunięta — kopie kampanii mogą nadal krążyć.
• Nie ignoruj możliwości przejęcia prawdziwego konta lub dostawcy.

Checklista ochrony marki przed phishingiem

• Klienci znają główną domenę i jeden stały adres logowania.
• Rejestrator, DNS, poczta i systemy wysyłkowe mają MFA oraz alerty.
• Domena ma blokadę transferu, kontrolowane odnowienie i monitoring zmian.
• Wszystkie legalne źródła poczty przechodzą SPF, DKIM i DMARC.
• Polityka DMARC jest egzekwowana po wcześniejszej analizie raportów.
• Najważniejsze literówki i rozszerzenia są zarejestrowane defensywnie.
• Puste, podobne domeny są monitorowane także po pierwszym wykryciu.
• Zespół obserwuje aktywne MX, certyfikaty, reklamy i strony logowania.
• Istnieje adres bezpieczenstwo(at)firma.pl i instrukcja dla klientów.
• Procedura zawiera kontakty do CERT Polska, hostingu, rejestratora i działu prawnego.
• Zespół potrafi zabezpieczyć EML, nagłówki, URL-e i zrzuty ekranu.
• Gotowy komunikat incydentowy można szybko opublikować na oficjalnej domenie.

Wnioski

Ochrona klientów przed phishingiem zaczyna się od prostoty. Jedna rozpoznawalna domena, stały adres logowania i przewidywalne domeny nadawców dają odbiorcy punkt odniesienia. SPF, DKIM i DMARC ograniczają podszywanie się pod pocztę, a bezpieczny rejestrator, DNSSEC, MFA oraz monitoring chronią własną infrastrukturę.

Rejestracja defensywna jest potrzebna, ale musi być selektywna. Nie da się kupić wszystkich wariantów marki. Dlatego równie ważne są monitoring, szybka ocena aktywności i gotowa procedura zgłaszania nadużycia.

Gdy phishing już trwa, kolejność jest kluczowa: zabezpiecz dowody, sprawdź własne systemy, zgłoś adres do CERT Polska i dostawców, ostrzeż klientów oraz pomóż poszkodowanym. Spór o prawa do domeny może toczyć się równolegle, ale nie powinien opóźniać przerwania aktywnego wyłudzania.

FAQ

• Co to jest phishing domenowy?
  To podszywanie się pod markę z wykorzystaniem podobnej albo przejętej domeny, fałszywego adresu e-mail lub podrobionej strony. Celem jest najczęściej wyłudzenie hasła, kodu, danych karty albo płatności.

• Czy kłódka i HTTPS oznaczają, że strona jest prawdziwa?
  Nie. HTTPS szyfruje połączenie z domeną widoczną w pasku, ale nie potwierdza, że domena należy do marki, którą pokazuje strona. Zawsze trzeba sprawdzić dokładny adres.

• Czy DMARC zatrzyma phishing z podobnej domeny?
  Nie. DMARC pomaga chronić dokładną domenę widoczną w polu „Od:”, jeśli konfiguracja jest poprawna i polityka egzekwowana. Nie blokuje rejestracji literówek ani domen z dodatkowymi słowami.

• Czy DNSSEC chroni przed domenami podszywającymi się pod markę?
  Nie. DNSSEC chroni integralność odpowiedzi DNS dla zabezpieczonej domeny. Nie uniemożliwia osobie trzeciej zarejestrowania podobnej nazwy w tym samym lub innym rozszerzeniu.

• Ile domen defensywnych warto zarejestrować?
  Nie ma jednej liczby. Zacznij od głównych rozszerzeń rynku, najczęstszych literówek, wariantów z myślnikiem i nazw szczególnie groźnych dla logowania lub płatności. Resztę obejmij monitoringiem.

• Jak monitorować domeny podobne do marki?
  Obserwuj nowe rejestracje, zmiany DNS, aktywne rekordy MX, certyfikaty, treść stron, reklamy, social media, raporty DMARC i zgłoszenia klientów. Puste domeny należy sprawdzać ponownie, bo ich użycie może zmienić się nagle.

• Gdzie zgłosić fałszywą domenę w Polsce?
  Zgłoszenie można przesłać przez incydent.cert.pl, w tym formularz phishingowy CERT Polska. Podejrzany SMS z linkiem można przekazać na numer 8080. Równolegle zgłoś nadużycie hostingowi i rejestratorowi.

• Jakie dowody dołączyć do zgłoszenia phishingu?
  Pełny URL, zrzut ekranu z paskiem adresu, datę i godzinę, plik EML z nagłówkami, treść wiadomości lub reklamy, opis wyłudzanych danych oraz informacje o hostingu i rejestratorze, jeśli są znane.

• Czy rejestrator musi natychmiast przekazać mi podobną domenę?
  Nie. Może zbadać i ograniczyć aktywne nadużycie zgodnie z procedurą, ale transfer domeny jest osobną kwestią prawną. Może wymagać UDRP, procedury właściwej dla danego rozszerzenia albo orzeczenia sądu.

• Co powinien zrobić klient, który wpisał hasło na fałszywej stronie?
  Powinien wejść do usługi przez oficjalną domenę, zmienić hasło, wylogować pozostałe sesje, włączyć MFA lub passkey i zmienić to samo hasło w innych usługach. Po podaniu danych płatniczych należy niezwłocznie skontaktować się z bankiem.

• Jak ostrzec klientów bez zwiększania zasięgu phishingu?
  Opublikuj jeden aktualizowany komunikat na oficjalnej domenie i w aplikacji, a następnie udostępnij go zweryfikowanymi kanałami. Złośliwy adres zapisuj nieklikalnie, np. nazwa[.]tld, i podaj jasną instrukcję dla osób, które przekazały dane.

Przeczytaj także

Jak wybrać domenę dla kursu online?

Jak wybrać domenę dla kursu online? Porównaj domenę kursu, eksperta i platformy oraz poznaj zasady zaufania, sprzedaży, skalowania i SEO.

Domena dla agencji marketingowej — kreatywna czy konkretna?

Porównaj kreatywną i opisową domenę agencji oraz sprawdź nazwę pod kątem zapisu, rozwoju marki, rozszerzenia i możliwych kolizji prawnych.

Jak wybrać domenę dla lekarza, kliniki lub gabinetu?

Jak wybrać domenę dla lekarza, kliniki lub gabinetu? Porównaj nazwisko, markę i usługę oraz poznaj zasady zaufania i lokalnego SEO.