Widzisz kłódkę obok adresu i https na początku, więc strona jest bezpieczna? Szczerze? Niekoniecznie. To jeden z najbardziej rozpowszechnionych mitów w internecie, a fałszywe strony dziś potrafią mieć i jedno, i drugie.

Nie chodzi mi tu o straszenie. Chodzi o to, żebyś wiedział, na co faktycznie patrzeć, kiedy dostajesz link w mailu, w SMS-ie albo trafiasz na stronę przez reklamę czy wynik wyszukiwania. Pokażę Ci, po czym naprawdę poznać fałszywą stronę, co zrobić, jeśli już na nią wszedłeś, i dlaczego warto o tym pomyśleć też jako właściciel własnej strony, nie tylko jako jej odwiedzający.

Dlaczego kłódka i https to za mało

Kłódka przy adresie oznacza jedno, i tylko jedno. Że połączenie między Tobą a serwerem jest szyfrowane, czyli nikt po drodze nie podejrzy tego, co wpisujesz. Tyle. Nie mówi nic o tym, kto jest po drugiej stronie tego połączenia.

Certyfikat SSL, ten sam, który daje kłódkę, dziś kosztuje niewiele albo nic, i każdy może go założyć w kilka minut, także oszust. Jeśli po drugiej stronie jest ktoś, kto chce wyłudzić Twoje dane, to po prostu masz z nim bezpieczne, w pełni zaszyfrowane połączenie. Https przestał być sygnałem zaufania już jakiś czas temu, choć wciąż wiele osób tak go traktuje.

Po czym naprawdę poznać fałszywą stronę

Jedynym miejscem, które faktycznie warto sprawdzić, jest adres w pasku przeglądarki. Nie wygląd strony, bo dzisiejsze kopie potrafią być pikselowo identyczne z oryginałem. Adres.

Znam stolarza, który prowadzi mały sklep internetowy z meblami na WooCommerce. Dostał kiedyś maila, wyglądającego jakby był od OVH, o kończącej się domenie i konieczności jej odnowienia. Strona pod linkiem wyglądała dokładnie jak panel logowania OVH, miała kłódkę, miała nawet identyczne kolory i logo. Jedyna różnica siedziała w samym adresie, jedna litera zamieniona na podobnie wyglądającą. Uratowało go to, że akurat z przyzwyczajenia zerknął w pasek adresu, zanim wpisał dane karty.

To się nazywa typosquatting, czyli rejestrowanie domen łudząco podobnych do prawdziwych. Zamiana „l” na „i”, „0” na „o”, dopisanie dodatkowego słowa czy myślnika w domenie. Do tego dochodzą nietypowe końcówki, na przykład „.xyz” czy „.top” tam, gdzie spodziewałbyś się „.pl” albo „.com”. Same w sobie nie przesądzają o niczym, sporo legalnych stron też ich używa, ale w połączeniu z resztą sygnałów to kolejny element układanki.

Warto też zwrócić uwagę na to, co dzieje się po wejściu na stronę. Nagłe przekierowanie w zupełnie inne miejsce, migające bannery, wyskakujące okna z „wygrałeś nagrodę”, presja czasu w stylu „oferta ważna jeszcze 10 minut”. Do tego błędy językowe i literówki, których próżno szukać na stronach firm, które faktycznie dbają o swój wizerunek. Fałszywe strony często powstają szybko i pod presją, więc szczegóły cierpią.

Skąd biorą się fałszywe strony i po co komuś to

Większość takich stron powstaje z jednego powodu. Ktoś chce wyłudzić dane, login, hasło, numer karty, albo skłonić Cię do zapłaty za coś, czego nigdy nie dostaniesz. To się nazywa phishing, i wykorzystuje coś, co teoretycznie działa na Twoją korzyść na co dzień, czyli zaufanie do znanych marek, banków, urzędów, dostawców usług, z których faktycznie korzystasz.

Warto tu rozróżnić dwie rzeczy, bo często się je myli. Strona, która jest fałszywa od samego początku, założona przez kogoś, kto chce oszukać, to co innego niż prawdziwa strona, która została zaatakowana i przejęta przez kogoś z zewnątrz. O tym drugim pisałem osobno, dlaczego strona WordPress bywa atakowana przez boty. Efekt dla Ciebie jako odwiedzającego bywa podobny, w obu przypadkach lądujesz w miejscu, któremu nie powinieneś ufać, ale przyczyna i sposób obrony są inne.

Jak sprawdzić stronę zanim jej zaufasz

Zanim wpiszesz cokolwiek na stronie, do której nie masz pewności, warto poświęcić minutę na sprawdzenie.

Google prowadzi bazę Safe Browsing, czyli listę stron znanych z rozprowadzania złośliwego oprogramowania albo phishingu. Możesz sam sprawdzić dowolny adres w wyszukiwarce tej bazy, a Chrome i tak ostrzega Cię automatycznie, jeśli strona już na tej liście się znalazła.

Jeśli chodzi o sklep internetowy, którego nie znasz, prosty trik to wpisanie w Google nazwy sklepu razem ze słowem „opinie” albo „czy to oszustwo”. Jeśli ktoś już dał się nabrać, prawie zawsze znajdziesz ślad w komentarzach albo na forach.

Co zrobić, jeśli już trafiłeś na fałszywą stronę albo podałeś dane

Jeśli tylko wszedłeś na stronę i niczego nie wpisałeś, wystarczy ją zamknąć. Nic więcej się nie dzieje.

Jeśli zdążyłeś podać hasło do jakiegoś serwisu, zmień je tam od razu, i zmień je też wszędzie indziej, gdzie używałeś tego samego hasła. Jeśli w grę wchodziły dane karty płatniczej, zadzwoń do swojego banku i zgłoś to od razu, banki mają na to gotowe procedury i im szybciej, tym lepiej.

Warto też zgłosić samą stronę, żeby przestała łapać kolejne osoby. W Polsce robi się to przez CERT Polska, instytucję działającą w ramach NASK, która zajmuje się właśnie takimi zgłoszeniami. Formularz na incydent.cert.pl zajmuje kilka minut, a jeśli dostałeś podejrzanego SMS-a, wystarczy go przekazać na numer 8080.

A czy Twoja własna strona nie budzi takich samych wątpliwości?

Tu jedna rzecz warto zaznaczyć. Wszystko powyżej dotyczy tego, jak Ty rozpoznajesz cudze fałszywe strony. Ale to samo pytanie działa w drugą stronę. Twoi klienci, kiedy trafiają na Twoją stronę, przechodzą podobny, choć zwykle nieświadomy proces oceny. Nieaktualny certyfikat, dziwnie wyglądający formularz kontaktowy, strona bez żadnych danych firmy, i już budzisz te same wątpliwości, które sam miałbyś wobec kogoś innego.

Mam osobną checklistę, po której sam sprawdzam, czy strona WordPress jest bezpieczna, jeśli chcesz przejść przez to samodzielnie. A jeśli wolisz, żeby ktoś przeszedł przez to za Ciebie i pokazał dokładnie, co warto poprawić, audyt techniczny obejmuje właśnie to, razem z resztą rzeczy, które wpływają na to, czy klient Ci ufa od pierwszego wejrzenia. Jeśli stoisz teraz przed pytaniem, czy z Twoją stroną jest wszystko w porządku, napisz do mnie i sprawdzimy to razem. 🙂

Najczęstsze pytania

Czy fałszywa strona może mieć certyfikat SSL i kłódkę?

Tak, i to jest właśnie najczęstsza pułapka. Certyfikat SSL kosztuje dziś niewiele albo nic i zakłada go każdy, kto chce, także oszuści. Kłódka mówi tylko, że połączenie jest szyfrowane, nie mówi nic o tym, kto jest po drugiej stronie.

Jak zgłosić fałszywą stronę internetową?

W Polsce najprościej przez formularz na incydent.cert.pl, prowadzony przez CERT Polska w ramach NASK. Zajmuje kilka minut, a im szybciej zostanie zgłoszona, tym mniej osób zdąży na nią trafić.

Czy antywirus wystarczy, żeby się ochronić przed fałszywymi stronami?

Pomaga, ale nie zastąpi uważności. Dobry program antywirusowy wyłapie część znanych zagrożeń i ostrzeże przed niebezpiecznymi stronami, ale nowe fałszywe strony powstają szybciej, niż bazy danych zdążą je oznaczyć. Sprawdzenie adresu URL zawsze warto zrobić samemu.

Czym różni się fałszywa strona od strony zaatakowanej przez hakerów?

Fałszywa strona jest oszustwem od samego początku, ktoś świadomie ją założył, żeby wyłudzić dane albo pieniądze. Zaatakowana strona to zwykle prawdziwa, legalna strona, która została przejęta z zewnątrz przez lukę w zabezpieczeniach, i dopiero po przejęciu zaczyna działać na szkodę odwiedzających. Skutek bywa podobny, przyczyna i sposób naprawy są inne.