domena podobna do oryginalnej

Domena podobna do oryginalnej to fałszywy adres imitujący wyglądem legalną domenę marki w celu oszustwa.

Jak działa domena podszywająca się pod prawdziwy adres

Domena podobna do oryginalnej jest adresem internetowym utworzonym tak, aby użytkownik pomylił go z adresem prawdziwej firmy, banku, sklepu albo producenta oprogramowania. Oszust może zmienić jedną literę, dodać znak, użyć innego łącznika lub zarejestrować nazwę różniącą się od oryginału tylko pozornie. Przykładowo adres „przyklad-bank.pl” może zostać zastąpiony przez „przykladbank.pl”, „przyklad-bąnk.pl” albo domenę z dodatkowym członem, takim jak „logowanie-przyklad-bank.pl”. Taki adres może prowadzić do strony kopiującej wygląd legalnego serwisu i wyłudzającej hasło, kod jednorazowy, dane karty lub plik do pobrania.

Podobieństwo może dotyczyć samej domeny najwyższego poziomu, na przykład zamiany „.pl” na „.com” lub „.net”, albo całego adresu URL. Szczególnie mylące są adresy zawierające nazwę znanej marki jako subdomenę, gdy właściwa domena znajduje się dopiero na końcu. W adresie „bank.example-oszust.pl” słowem określającym domenę rejestrowaną jest „example-oszust.pl”, a nie „bank”. Użytkownik powinien odczytywać adres od prawej strony i sprawdzać domenę przed pierwszym pojedynczym ukośnikiem, znakiem zapytania lub znakiem numeru.

Znaki Unicode, Punycode i błędy w odczytywaniu adresu

Jednym ze sprawdzalnych mechanizmów wykorzystywanych przy tworzeniu podobnych domen są homografy, czyli znaki wyglądające podobnie, lecz mające inne kody Unicode. Litera „a” zapisana alfabetem łacińskim nie jest tym samym znakiem co niektóre podobne znaki z innych alfabetów. System nazw domen obsługuje takie nazwy za pomocą Internationalized Domain Names. W warstwie technicznej nazwa Unicode jest kodowana jako ASCII Compatible Encoding, nazywane Punycode, a zakodowana etykieta domeny zaczyna się od prefiksu „xn--”. Przykładowo domena zawierająca znaki spoza ASCII może być wewnętrznie reprezentowana jako ciąg zaczynający się od „xn--”, nawet jeśli przeglądarka pokazuje użytkownikowi zapis czytelny.

Przeglądarki stosują reguły bezpieczeństwa dotyczące wyświetlania znaków Unicode, ale sposób prezentacji zależy między innymi od domeny, skryptu pisma i ustawień aplikacji. Sama kłódka HTTPS nie rozpoznaje, czy nazwa jest prawdziwa. Certyfikat TLS potwierdza, że połączenie zostało zaszyfrowane i że certyfikat został wydany dla określonej domeny, ale nie potwierdza uczciwych zamiarów właściciela. Oszust może uzyskać certyfikat dla swojej podobnej domeny i uruchomić na niej szyfrowaną kopię strony. Dlatego przed wpisaniem danych trzeba sprawdzić dokładny zapis domeny, a nie tylko obecność HTTPS.

Ślady domeny w DNS, poczcie i przeglądarce

Domena podszywająca się pod oryginalną korzysta z normalnych mechanizmów Internetu: rejestracji domeny, delegowania serwerów nazw w DNS oraz rekordów takich jak A, AAAA, CNAME i MX. Sam fakt, że domena odpowiada w DNS, nie oznacza, że jest powiązana z prawowitym właścicielem marki. Rekord A może wskazywać adres IPv4 serwera, rekord AAAA adres IPv6, a rekord MX serwer obsługujący pocztę dla danej domeny. Analiza DNS może ujawnić, dokąd kieruje domena i czy ma skonfigurowaną pocztę, lecz nie zastępuje weryfikacji źródła wiadomości.

W kampaniach phishingowych podobna domena często pojawia się w wiadomości e-mail, komunikatorze, reklamie albo załączniku HTML. Link może zawierać tekst sugerujący legalny adres, podczas gdy rzeczywisty cel odnośnika jest inny. W poczcie techniczne mechanizmy SPF, DKIM i DMARC pomagają oceniać autoryzację nadawcy i autentyczność domeny użytej do wysyłki, ale nie gwarantują bezpieczeństwa każdego linku. Wiadomość wysłana z poprawnie skonfigurowanej domeny może nadal prowadzić do zewnętrznej domeny oszustów. Bezpiecznym nawykiem jest ręczne wpisanie adresu znanej usługi, użycie wcześniej zapisanej zakładki oraz rezygnacja z logowania po wejściu z niespodziewanego odnośnika.

Sprawdzenie adresu przed logowaniem i naprawa skutków pomyłki

Jeżeli podobna domena została otwarta na laptopie lub komputerze PC, należy najpierw zamknąć kartę i nie pobierać oferowanych programów, dokumentów ani dodatków do przeglądarki. Gdy użytkownik wpisał hasło, powinien zmienić je na prawdziwej stronie usługi, wylogować aktywne sesje i włączyć uwierzytelnianie wieloskładnikowe, jeśli jest dostępne. To samo hasło trzeba zmienić wszędzie tam, gdzie było używane ponownie. Po pobraniu pliku należy wykonać pełne skanowanie aktualnym programem ochronnym, sprawdzić listę rozszerzeń przeglądarki i przejrzeć autostart systemu. Przy podejrzeniu przejęcia konta trzeba skontaktować się z dostawcą usługi z użyciem oficjalnego adresu lub numeru telefonu.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, a w przypadku podejrzenia infekcji może rozpocząć diagnostykę od zabezpieczenia urządzenia, oceny uruchomionych procesów, przeglądu ustawień przeglądarki oraz sprawdzenia oznak niepożądanego oprogramowania. Sama naprawa komputera nie przywraca jednak bezpieczeństwa konta, jeśli hasło zostało ujawnione na fałszywej stronie. Konieczne jest równoległe zabezpieczenie kont, unieważnienie podejrzanych sesji i przeanalizowanie transakcji lub zmian ustawień wykonanych po otwarciu domeny. Logi przeglądarki, wiadomość źródłowa i pełny adres URL mogą pomóc ustalić, czy problem dotyczył wyłącznie phishingu, czy także instalacji złośliwego programu.