Współczesne ataki phishingowe osiągnęły poziom, na którym poleganie na ocenie wizualnej stało się pułapką. Oszuści z chirurgiczną precyzją kopiują wygląd stron bankowych, popularnych serwisów aukcyjnych czy mediów społecznościowych. Logo, układ graficzny, a nawet użyte czcionki bywają identyczne z oryginałem.

Gdy klikamy w link z sensacyjnego newsa lub SMS-a o rzekomej niedopłacie, możemy trafić na stronę, która wygląda absolutnie autentycznie. Jak więc odróżnić prawdę od starannie przygotowanego oszustwa?

Odpowiedź jest tylko jedna: w pasku adresu przeglądarki.

Jedyna metoda weryfikacji: Analiza adresu URL

Nazwa domeny to unikalny identyfikator w internecie – coś jak cyfrowy „numer PESEL” dla strony. O ile wygląd można skopiować w kilka minut, o tyle domeny nie da się podrobić. Oszuści wiedzą o tym, dlatego stosują wyrafinowane sztuczki, aby nas zmylić i skłonić do błędnej interpretacji adresu.

Eksperci ds. cyberbezpieczeństwa z CERT Polska w jednej ze swoich analiz [1] pokazali doskonałe przykłady takich zwodniczych adresów:

1. https://account.booking.comんdetailんrestric-access.www-account-booking.com/en/
2. https://allegrolokalnie.pl-oferta5815015105198474.cfd/oferta/laptop-gamingowy...

Na pierwszy rzut oka nasz mózg wychwytuje znajome frazy: „booking.com” i „allegrolokalnie.pl”. Niestety, w obu przypadkach są to fałszywe adresy prowadzące donikąd indziej, jak na stronę oszusta.

Jak poprawnie czytać adres? Instrukcja krok po kroku

Aby nie dać się oszukać, musimy zignorować „szum” i znaleźć prawdziwą domenę główną. Najskuteczniejsza metoda, jaką polecają specjaliści, to analiza adresu od prawej do lewej.

Oto jak to zrobić:

1. Zlokalizuj schemat (https://) i pierwszy ukośnik (/) idący po nim. Interesuje nas tylko tekst pomiędzy nimi.
2. Znajdź końcówkę (TLD): Czytaj ten fragment od prawej strony i znajdź końcówkę, np. .pl, .com, .org, .gov lub, jak w przykładzie, .cfd.
3. Znajdź domenę główną: Słowo lub ciąg znaków znajdujący się bezpośrednio przed tą końcówką to jest właśnie prawdziwa domena, do której należy strona.
4. Zidentyfikuj subdomeny: Wszystko, co znajduje się na lewo od tej domeny głównej, to tylko subdomeny. Oszust może je nazwać dowolnie – na przykład moj-bank.pl lub allegrolokalnie.pl – aby uśpić naszą czujność.

Zastosujmy tę metodę do przykładów udostępnionych przez CERT Polska:

Przykład 1: ...www-account-booking.com/en/

• Końcówka (TLD): .com

• Domena główna: www-account-booking

• Wniosek: Prawdziwy adres to www-account-booking.com. Fragment account.booking.com na początku to tylko myląca subdomena.

Przykład 2: ...pl-oferta5815015105198474.cfd/oferta/...

• Końcówka (TLD): .cfd

• Domena główna: pl-oferta5815015105198474

• Wniosek: Jesteśmy na zupełnie nieznanej domenie pl-oferta...cfd. Znajoma nazwa allegrolokalnie.pl na początku to tylko podstęp.

Twój cichy sprzymierzeniec: Przeglądarka

Na szczęście nowoczesne przeglądarki starają się nam pomóc w tej analizie, choć nie zastąpią naszej czujności.

• Na komputerze: Wiele przeglądarek (np. Firefox) wyraźnie podświetla w pasku adresu domenę główną. Dzięki temu od razu widzimy, że w pierwszym przykładzie domeną jest www-account-booking.com, a nie booking.com.

• Na smartfonie: Problem jest większy, bo ekrany są małe. Oszuści liczą na to, że zobaczymy tylko mylący początek adresu. Popularne przeglądarki (Chrome, Safari) stosują jednak sprytną obronę: automatycznie przewijają pasek adresu tak, aby widoczny był jego koniec, czyli właśnie ta kluczowa, prawdziwa domena.

Podsumowanie: Twój nowy nawyk bezpieczeństwa

Techniki phishingu będą ewoluować, ale zasada weryfikacji domeny pozostaje najważniejszą linią obrony.

Pamiętaj: Zanim gdziekolwiek wpiszesz login, hasło, kod BLIK czy numer karty – ZATRZYMAJ SIĘ. Poświęć trzy sekundy na świadome spojrzenie w pasek adresu. Upewnij się, że domena główna (słowo przed .pl lub .com) to dokładnie ta, której się spodziewasz.

Źródło:

Artykuł inspirowany i oparty na metodologii oraz przykładach przedstawionych w analizie zespołu CERT Polska.

[1] Na podstawie: CERT Polska, „Jak rozpoznać fałszywe strony internetowe i uniknąć phishingu”, 17 września 2025.