Jak rozpoznać phishing dotyczący twojej domeny?

Wiadomość phishingową dotyczącą domeny rozpoznają Państwo po trzech rzeczach: nadawcą nie jest rejestrator, u którego domena faktycznie się znajduje, pojawia się presja czasu, a zapłacić lub zalogować się trzeba przez link w wiadomości. Proszę nie klikać. Proszę samodzielnie wpisać adres swojego rejestratora, zalogować się i tam sprawdzić, kiedy domena wygasa i czy jest jakaś nieopłacona faktura. Jeśli nic tam nie ma, wiadomość jest fałszywa.

Najczęściej spotykane formy

• Fałszywa faktura za odnowienie. Wiadomość lub list z nazwą Państwa domeny, datą wygaśnięcia i kwotą, od firmy, której nie są Państwo klientem. Często z drobnego druku wynika, że wcale nie chodzi o domenę, lecz o wpis do jakiegoś rejestru albo usługę dla wyszukiwarek. Kto płaci, przyjmuje ofertę.
• Transfer przebrany za odnowienie. Wiadomość wygląda jak przypomnienie, ale kto zapłaci i poda żądany kod, przenosi domenę do innego, zwykle droższego dostawcy. Prawdziwy transfer zawsze rozpoczynają Państwo sami; zob. transfer domeny.
• Informacja, że domena wygasa lub zostanie zablokowana. Link prowadzi do podrobionej strony logowania. Celem jest Państwa hasło albo dane karty.
• Ktoś chce zarejestrować Państwa nazwę z innym rozszerzeniem. Rzekome biuro rejestracyjne informuje, że ktoś trzeci ubiega się o Państwa nazwę, i proponuje szybko zarejestrować ją dla Państwa za mocno zawyżoną cenę.

Po czym rozpoznać fałszywą wiadomość

1. Proszę spojrzeć na prawdziwy adres nadawcy, a nie na wyświetlaną nazwę. Część po znaku @ musi być domeną Państwa rejestratora, litera po literze.
2. Proszę najechać kursorem na link bez klikania: widać wtedy, dokąd naprawdę prowadzi.
3. Proszę porównać datę wygaśnięcia z datą w swoim koncie klienta. Fałszywe wiadomości zgadują albo biorą datę z publicznych danych i dokładają presję czasu.
4. Proszę zwrócić uwagę na kwotę i sposób płatności. Kwota niepodobna do zeszłorocznej, nieznany zagraniczny numer rachunku albo płatność kartami podarunkowymi lub kryptowalutami: proszę nie płacić.

O co prawdziwy rejestrator prosi, a o co nie

Prawdziwy rejestrator również wysyła przypomnienia i stąd bierze się zamieszanie. Różnica tkwi w tym, o co prosi.

• Tak: przypomnienie przed datą wygaśnięcia, wysłane na adres kontaktowy abonenta, z fakturą, którą znajdą Państwo także w swoim koncie klienta.
• Nie: hasło, kod z aplikacji uwierzytelniającej ani pełne dane karty przez e-mail, SMS lub telefon.
• Nie: płatność na rachunek osoby trzeciej ani płatność w ciągu kilku godzin pod groźbą utraty nazwy. Domena nie znika w jeden dzień: po dacie wygaśnięcia jest jeszcze okres, w którym abonent może ją przywrócić.

Już Państwo zapłacili

1. Proszę natychmiast zadzwonić do banku i zapytać, czy płatność da się jeszcze wstrzymać lub odzyskać. Jeśli podali Państwo dane karty, proszę ją zablokować; w Belgii przez Card Stop (078 170 170).
2. Proszę zachować wiadomość i dowód płatności. W Belgii sprawę zgłasza się w punkcie zgłoszeń (Meldpunt) belgijskiego ministerstwa gospodarki FOD Economie oraz na lokalnej policji.
3. Proszę sprawdzić u prawdziwego rejestratora, czy domena jest tam odnowiona. Płatność na rzecz oszusta niczego w tej sprawie nie zmieniła.

Kliknęli Państwo lub się zalogowali

1. Jeśli tylko Państwo kliknęli i niczego nie wpisali, ryzyko szkody jest niewielkie. Proszę zamknąć stronę i usunąć wiadomość.
2. Jeśli podali Państwo hasło, proszę od razu zalogować się u prawdziwego rejestratora przez samodzielnie wpisany adres i zmienić hasło. Jeśli to samo hasło jest używane gdzie indziej, proszę zmienić je także tam. Proszę włączyć weryfikację dwuetapową, jeśli rejestrator ją oferuje.
3. Proszę przejrzeć dane domeny: abonenta, adres kontaktowy, serwery nazw oraz to, czy zamówiono kod transferu. Kto dostał się na konto, chce przenieść nazwę albo przekierować ruch. Jak wygląda zwykły transfer, opisujemy w artykule uzyskanie kodu transferu.

Podejrzane wiadomości można w Belgii przesłać dalej na adres suspicious@safeonweb.be. Dzięki temu zawarte w nich linki mogą zostać zablokowane także dla innych.

Dlaczego dostają Państwo takie wiadomości

Dane domeny są częściowo publiczne. W przypadku firm nazwa abonenta często widnieje w danych WHOIS, a adres jest na Państwa własnej stronie oraz, w Belgii, w rejestrze przedsiębiorstw KBO (Kruispuntbank van Ondernemingen). To, że dostali Państwo taką wiadomość, nie oznacza więc, że gdzieś doszło do włamania. Co naprawdę pomaga: proszę włączyć automatyczne odnawianie i zadbać, by adresem kontaktowym abonenta był adres, który faktycznie Państwo czytają. Więcej w artykule jak nie dopuścić do wygaśnięcia domeny.

Najczęstsze pytania

Dostałem fakturę za domenę od firmy, której nie znam. Czy muszę zapłacić?

Nie. Płacą Państwo tylko firmie, u której domena jest zarejestrowana. Jeśli nie pamiętają Państwo, która to firma, proszę sprawdzić domenę w bazie WHOIS: widać tam rejestratora. Różnicę między rejestratorem a dostawcą hostingu wyjaśnia artykuł czym różni się domena od hostingu.

Czy ktoś może odebrać mi domenę, jeśli nie odpowiem na taką wiadomość?

Nie. Brak reakcji na fałszywą wiadomość nie ma żadnych skutków. Nazwa jest zagrożona tylko wtedy, gdy przegapią Państwo prawdziwe odnowienie albo gdy ktoś uzyska dostęp do konta u rejestratora.

Skąd mam wiedzieć, kiedy moja domena naprawdę wygasa?

Ta data jest w koncie klienta u Państwa rejestratora.

Coś nie działa?

Mają Państwo wątpliwości co do wiadomości o domenie zarejestrowanej w WWW4? Prosimy przesłać ją nam przez kontakt, zanim cokolwiek Państwo zapłacą lub klikną. Powiemy, czy pochodzi od nas.