Oszuści mają wiele sztuczek, aby ukryć prawdziwy adres strony. Nawet doświadczeni użytkownicy mogą się nabrać, jeśli spojrzą tylko pobieżnie. Poniżej opisujemy najczęstsze manipulacje i jak je rozpoznać.
Fałszywe subdomeny
Subdomena może zawierać nazwę prawdziwej firmy, ale prawdziwa domena jest inna.
- •pkobp.pl.fake-site.com → prawdziwa domena to fake-site.com
- •secure.allegro.pl.phishing.xyz → domena to phishing.xyz
- •login.mbank.pl-verify.com → domena to pl-verify.com
Prawdziwa domena to ta część przed PIERWSZYM ukośnikiem, czytając od prawej do pierwszej kropki przed domeną krajową.
Skrócone linki
Usługi jak bit.ly ukrywają prawdziwy adres:
- •bit.ly/xxx → może prowadzić gdziekolwiek
- •tinyurl.com/yyy → ukrywa prawdziwy URL
- •Brak możliwości weryfikacji przed kliknięciem
Znak @ w URL
Mało znana sztuczka - wszystko przed @ jest ignorowane:
- •http://allegro.pl@evil.com → prowadzi do evil.com!
- •http://mbank.pl:haslo@phishing.pl → prowadzi do phishing.pl
Znak @ w URL to niemal ZAWSZE oszustwo!
Przekierowania
Oszuści używają legalnych stron do przekierowania:
- •Link przez Google (google.com/url?q=...)
- •Przekierowania przez serwisy skracające
- •Open redirects na legalnych stronach
Jak się chronić?
- Zawsze sprawdzaj domenę w pasku adresu
- Nie klikaj w skrócone linki z nieznanych źródeł
- Unikaj linków z @ w adresie
- Używaj rozszerzeń sprawdzających linki