podszywanie się pod domenę

Podszywanie się pod domenę to użycie adresu łudząco podobnego do prawdziwego, np. z zamienioną literą.

Na czym polega podszywanie się pod domenę

Podszywanie się pod domenę polega na utworzeniu adresu internetowego, który przypomina adres prawdziwej witryny, lecz należy do innego podmiotu. Różnica może dotyczyć jednej litery, kolejności znaków, użycia dodatkowego członu albo innej domeny najwyższego poziomu. Przykładem jest adres z cyfrą „0” zamiast litery „o”, z dodatkowym łącznikiem lub z końcówką „.net” zamiast „.pl”. Osoba odwiedzająca stronę może uznać taki adres za prawidłowy, zwłaszcza gdy widzi podobne logo, układ formularza i kolorystykę.

Technicznie przestępca rejestruje własną domenę i umieszcza pod nią stronę naśladującą serwis banku, sklepu, operatora pocztowego albo dostawcy oprogramowania. Sama obecność kłódki HTTPS nie potwierdza tożsamości firmy. Certyfikat TLS szyfruje połączenie z konkretną domeną, ale może zostać prawidłowo wydany również dla domeny kontrolowanej przez oszusta. Podczas oceny adresu trzeba sprawdzić pełną nazwę hosta, a nie tylko początek widoczny w pasku przeglądarki.

Typowe odmiany podobnych adresów

Jedną z odmian jest typosquatting, czyli rejestrowanie domen odpowiadających częstym błędom podczas pisania. Może to być pominięcie znaku, dodanie znaku, zamiana sąsiednich liter albo użycie innego wariantu pisowni. Spotyka się także domeny zawierające dodatkowe słowo, na przykład „logowanie”, „pomoc” lub „bezpieczne”. Jeżeli użytkownik zna tylko fragment adresu, może nie zauważyć, że właściwa nazwa znajduje się w innej części hosta.

Ryzyko zwiększają homoglify, czyli znaki wyglądające podobnie, lecz należące do różnych alfabetów Unicode. Litera z alfabetu łacińskiego może zostać zastąpiona znakiem przypominającym ją z alfabetu cyrylickiego lub greckiego. Przeglądarki stosują reguły wyświetlania takich nazw, jednak sposób prezentacji zależy od domeny i użytych znaków. Istotne znaczenie ma również IDN, czyli mechanizm pozwalający zapisywać domeny znakami spoza podstawowego alfabetu ASCII. Bezpieczniej jest otwierać serwis z wcześniej zapisanego zakładką adresu albo wpisać jego domenę ręcznie, zamiast korzystać z przypadkowego odnośnika.

Jak przebiega atak i jakie są skutki

Najczęściej fałszywy adres jest rozpowszechniany w wiadomości e-mail, komunikatorze, reklamie, komentarzu albo powiadomieniu o rzekomym problemie z kontem. Link może prowadzić do strony logowania, formularza płatności, panelu dostawy lub pliku do pobrania. Jeżeli użytkownik wpisze login i hasło, dane trafiają do operatora fałszywego serwisu. Gdy hasło jest używane w kilku miejscach, napastnik może próbować wykorzystać je także w innych usługach. Formularz może również zbierać kody jednorazowe, dane karty albo inne informacje potrzebne do przejęcia konta.

Podszywanie się pod domenę może służyć także do rozpowszechniania złośliwego oprogramowania. Strona może nakłaniać do instalacji rzekomej aktualizacji przeglądarki, sterownika lub programu zabezpieczającego. Pobrany plik może uruchomić program szpiegujący, ransomware albo narzędzie zdalnego dostępu. W środowisku firmowym pojedyncze kliknięcie może doprowadzić do przejęcia sesji, wysyłania wiadomości z konta użytkownika lub dalszego rozsyłania spreparowanych linków do współpracowników.

Rozpoznawanie i ograniczanie ryzyka

Przed zalogowaniem należy powiększyć widok paska adresu i odczytać domenę od końca, zaczynając od domeny najwyższego poziomu. W adresie „login.przyklad.pl” właściwą domeną jest „przyklad.pl”, natomiast w „przyklad.pl.obca-domena.com” właścicielem adresu jest „obca-domena.com”. Nie należy traktować samego wyglądu strony jako dowodu autentyczności. Warto sprawdzić, czy wiadomość nie wywołuje presji czasu, nie zawiera nietypowego adresu nadawcy i nie żąda podania informacji, których dany usługodawca zwykle nie wymaga.

Pomocne są menedżery haseł, ponieważ zazwyczaj rozpoznają zapisany adres witryny i nie wypełniają danych na podobnej domenie. Włączenie uwierzytelniania wieloskładnikowego ogranicza skutki ujawnienia hasła, choć nie eliminuje wszystkich zagrożeń, zwłaszcza gdy użytkownik przekaże kod na stronie oszusta. Aktualny system, przeglądarka i program ochronny mogą blokować znane domeny phishingowe, ale listy ostrzegawcze nie obejmują każdej nowo utworzonej strony. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, a w ramach diagnostyki może także sprawdzić objawy infekcji po otwarciu podejrzanego adresu oraz pomóc uporządkować ustawienia przeglądarki.