skrócony link (shortlink)

Skrócony link ukrywa docelowy adres, co bywa wykorzystywane zarówno legalnie, jak i w atakach phishingowych.

Jak działa skrócony link i co ukrywa

Skrócony link, nazywany także shortlinkiem, jest adresem internetowym o niewielkiej długości, który po otwarciu przekierowuje przeglądarkę do właściwego, dłuższego adresu URL. Zamiast umieszczać w wiadomości pełny odnośnik zawierający wiele parametrów, identyfikatorów lub ścieżek katalogów, użytkownik otrzymuje krótki adres złożony zwykle z domeny usługi skracającej oraz krótkiego kodu. Serwer obsługujący taki adres odczytuje kod, wyszukuje przypisany do niego adres docelowy i zwraca odpowiedź HTTP przekierowującą przeglądarkę dalej.

W praktyce przekierowanie może być realizowane za pomocą kodu statusu HTTP 301, 302, 307 albo 308. Kod 301 oznacza przekierowanie trwałe, natomiast 302 jest tradycyjnie używany do przekierowań tymczasowych. Kody 307 i 308 dodatkowo zachowują metodę żądania HTTP, co ma znaczenie przede wszystkim przy żądaniach innych niż zwykłe otwarcie strony metodą GET. Sam skrócony link nie szyfruje adresu docelowego i nie zapewnia anonimowości. Ukrywa go jedynie przed bezpośrednim wyświetleniem w treści wiadomości lub na stronie.

Przekierowanie, parametry i trwałość adresu

Usługa skracająca przechowuje powiązanie pomiędzy krótkim kodem a adresem docelowym. Po zmianie tego powiązania ten sam shortlink może prowadzić w inne miejsce, o ile operator usługi dopuszcza taką funkcję. Niektóre skrócone adresy są stałe, a inne mają termin wygaśnięcia, limit liczby otwarć albo zależą od aktywności konta właściciela. Z tego powodu krótki link umieszczony w dokumentacji lub zakładce przeglądarki może po pewnym czasie przestać działać, nawet jeśli sam zapis adresu się nie zmienił.

Do adresu docelowego mogą zostać dołączone parametry zapytania, na przykład elementy używane do pomiaru kampanii internetowej. Przeglądarka przekazuje je serwerowi zgodnie z regułami adresu URL, dlatego skrócony link może ujawnić operatorowi usługi fakt otwarcia, czas wizyty, adres IP oraz inne informacje wynikające z obsługi żądania i konfiguracji przeglądarki. Właściwe dane zależą od konkretnej usługi, jej polityki przechowywania logów oraz strony końcowej, do której następuje przekierowanie. Sam krótki format adresu nie świadczy o bezpieczeństwie ani o wiarygodności właściciela.

Rozpoznawanie ryzyka przed otwarciem shortlinku

Najważniejszym problemem bezpieczeństwa jest brak widoczności docelowej domeny. Użytkownik może widzieć poprawnie wyglądający adres skrócony, ale nie znać witryny, która zostanie otwarta po przekierowaniu. Mechanizm ten bywa wykorzystywany w phishingu do kierowania na stronę imitującą panel bankowy, pocztę elektroniczną, serwis płatniczy albo ekran logowania do popularnej usługi. Krótki adres może także prowadzić do pliku wykonywalnego, dokumentu zawierającego szkodliwe makra lub strony wykorzystującej podatność przeglądarki albo dodatku.

Przed otwarciem nieoczekiwanego odnośnika warto sprawdzić nadawcę, kontekst wiadomości, nazwę domeny skracającej oraz sposób dostarczenia linku. Pomocne może być skopiowanie adresu bez otwierania go i użycie funkcji podglądu przekierowania dostępnej w konkretnej usłudze lub w narzędziu bezpieczeństwa. Po przejściu na stronę należy sprawdzić domenę widoczną w pasku adresu, certyfikat TLS oraz to, czy witryna rzeczywiście należy do deklarowanej organizacji. Kłódka w przeglądarce potwierdza szyfrowanie połączenia z bieżącą domeną, ale nie potwierdza, że domena jest uczciwa. Nie należy podawać haseł, kodów jednorazowych ani danych płatniczych wyłącznie dlatego, że strona została otwarta przez skrócony link.

Weryfikacja skróconych adresów w codziennej pracy

Na komputerze można ograniczyć ryzyko, ustawiając przeglądarkę tak, aby nie zapisywała automatycznie haseł na nieznanych stronach, oraz utrzymując aktualny system, przeglądarkę i program ochronny. Wiadomości zawierające skrócone adresy warto traktować ostrożniej niż odnośniki, w których od razu widać domenę docelową. W środowisku domowym lub biurowym można dodatkowo korzystać z filtrów antyphishingowych przeglądarki i ochrony DNS, ale żadne z tych rozwiązań nie zastępuje oceny adresu oraz źródła wiadomości. Jeżeli skrócony link został otwarty przypadkowo, należy zamknąć podejrzaną kartę, nie pobierać plików, nie uruchamiać pobranych programów i zmienić hasło, jeśli zostało wpisane na fałszywej stronie.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC oraz ich podzespołów, a w ramach diagnostyki może również sprawdzić objawy związane z podejrzanym przekierowaniem, niechcianym oprogramowaniem lub zmianami w działaniu przeglądarki. Przy zgłoszeniu warto przekazać informację, z jakiej wiadomości pochodził shortlink, jakie elementy zostały otwarte i czy użytkownik wprowadził na stronie jakiekolwiek dane. Takie szczegóły pomagają odtworzyć przebieg zdarzenia oraz odróżnić zwykłe przekierowanie reklamowe od sytuacji wymagającej dokładniejszej kontroli systemu.