Jak sprawdzić, czy strona jest bezpieczna i nie jest oszustwem, zanim kupisz lub się zalogujesz

Nowy sklep internetowy z podejrzanie niskimi cenami, SMS „Twoja paczka została wstrzymana” z linkiem, strona logowania, która otworzyła się po kliknięciu reklamy. Zanim zapłacisz albo wpiszesz hasło, warto poświęcić pięć minut na kilka sprawdzeń. Żadne z nich nie jest idealne samo w sobie, ale razem odsiewają większość oczywistych oszustw i pomagają trzeźwo ocenić resztę.

Uczciwe zastrzeżenie na początek: żadne narzędzie ani lista kontrolna nie gwarantuje, że strona jest bezpieczna. Fałszywe sklepy powstają i znikają w ciągu kilku dni, a strona, która rok temu była w porządku, dziś może zostać zhakowana. Każde sprawdzenie poniżej to sygnał, a nie wyrok — decyduje całościowy obraz.

1. Przeczytaj adres litera po literze

Phishing prawie zawsze liczy na to, że nie przyjrzysz się adresowi URL. Najpierw spójrz na domenę w pasku adresu — część tuż przed pierwszym pojedynczym ukośnikiem.

• Literówki-sobowtóry (typosquatting): paypa1.com, arnazon.com (r+n zamiast m), allegro-lokalnie.help. Zamienione, podwojone lub podobne litery to klasyczny trik.
• Marka w subdomenie: w adresie allegro.pl.platnosc-online.net prawdziwą domeną jest platnosc-online.net. Wszystko na lewo od niej właściciel wpisuje, jak chce.
• Nietypowe rozszerzenie: znana marka na .shop, .top, .xyz i podobnych to nie dowód oszustwa, ale powód, by sprawdzić dokładniej.
• Podobne znaki z innych alfabetów: cyrylickie „а” czy „о” wyglądają identycznie jak łacińskie. Przeglądarki często pokazują takie domeny w postaci xn--… — to już sygnał ostrzegawczy.

Jeśli trafiłeś tu z linku w e-mailu, komunikatorze lub reklamie, wpisz adres marki samodzielnie albo otwórz go z zakładek.

2. Sprawdź wiek domeny

Fałszywe sklepy zwykle działają na świeżo zarejestrowanych domenach, bo starsze szybko trafiają na listy zgłoszeń i blokad. Datę rejestracji pokaże sprawdzenie wieku domeny, pełny rekord — WHOIS (nowoczesne rejestry odpowiadają przez RDAP, następcę WHOIS).

• Domena zarejestrowana kilka tygodni temu, a na stronie „działamy od 2005 roku” — poważna czerwona flaga.
• Młoda domena sama w sobie nie jest dowodem: każdy uczciwy biznes też zaczyna od nowej domeny.
• Stara domena również nie gwarantuje uczciwości. Wygasłe domeny są wykupywane i używane ponownie, a działające od lat strony bywają hakowane.

Jak czytać daty rejestracji i wygaśnięcia, wyjaśnia artykuł o wieku domeny.

3. HTTPS i kłódka to nie „strona jest wiarygodna”

Kłódka w pasku adresu oznacza tylko, że połączenie między Tobą a serwerem jest szyfrowane. O właścicielu strony nie mówi nic. Darmowe certyfikaty wydawane są automatycznie w kilka minut, a strony phishingowe od dawna działają przez HTTPS.

Za to problemy z HTTPS coś mówią: jeśli sklep lub strona logowania nie ma HTTPS wcale, certyfikat wygasł albo jest wystawiony na inną domenę — wyjdź. Wystawcę, daty ważności i listę nazw w certyfikacie pokaże sprawdzenie SSL.

4. Kto stoi za stroną

Prawdziwą firmę da się zidentyfikować. Szukaj:

• pełnej nazwy firmy, adresu rejestrowego i numeru NIP, REGON lub KRS — a potem sprawdź je w oficjalnym rejestrze (w Polsce KRS lub CEIDG, w innych krajach odpowiedni rejestr spółek);
• działającego telefonu i e-maila w domenie firmy, a nie tylko formularza kontaktowego czy darmowej skrzynki;
• regulaminu, zasad zwrotów i polityki prywatności napisanych dla tego sklepu, a nie skopiowanego tekstu z zapomnianą cudzą nazwą;
• adresu fizycznego, który na mapie okazuje się biurem lub magazynem, a nie przypadkowym punktem.

Brak danych firmy nie dowodzi oszustwa, ale dane, które się nie zgadzają (numer, którego nie ma w rejestrze), to poważne ostrzeżenie.

5. Szukaj opinii poza stroną

Opinie na stronach samego sklepu pisze lub wybiera sklep. Wyszukaj nazwa-strony opinie i nazwa-strony oszustwo, zajrzyj na niezależne serwisy — Trustpilot, fora, media społecznościowe, porównywarki cen.

Pamiętaj, że fałszywe opinie zdarzają się wszędzie. Niepokoić powinny: wysyp pięciogwiazdkowych opinii w kilka dni, ogólnikowe teksty bez szczegółów i zupełny brak opinii o sklepie, który chwali się „tysiącami klientów”. Szczegółowe skargi opisujące ten sam schemat (zapłaciłem, nic nie przyszło, obsługa przestała odpowiadać) ważą więcej niż jakakolwiek ocena.

6. Metody płatności i ceny

• Karta lub PayPal przy kasie zostawiają drogę odwrotu: chargeback i programy ochrony kupujących istnieją właśnie na wypadek „towar nie dotarł” (zasady zależą od banku i kraju).
• Tylko przelew, kryptowaluta lub karty podarunkowe, prośba o wpłatę „bezpośrednio do konsultanta” — to jeden z najsilniejszych sygnałów oszustwa. Takie pieniądze bardzo trudno odzyskać.
• Ceny dużo niższe niż u wszystkich, wieczny licznik „zostały 2 godziny” i „zostały 3 sztuki” przy każdym produkcie to presja. Duże promocje się zdarzają, ale nie na wszystko i nie codziennie.

7. Sprawdź Google Safe Browsing i zaufanie do domeny

Status strony w Google Safe Browsing sprawdzisz pod adresem transparencyreport.google.com/safe-browsing/search. Pokazuje, czy Google uznaje stronę za niebezpieczną w tej chwili (phishing, złośliwe oprogramowanie, niechciane programy). Czysty wynik oznacza „jeszcze nie oznaczona”, a nie „bezpieczna”: nowych fałszywych stron często nie ma jeszcze na żadnej liście.

Dla obrazu technicznego uruchom sprawdzenie zaufania do domeny: HTTPS, certyfikat, nagłówki bezpieczeństwa, rekordy DNS i pocztowe, podstawową higienę SEO. Starannie skonfigurowana strona nie musi być uczciwa, ale „duża marka” bez elementarnych ustawień wygląda podejrzanie. Jak czytać raport — w artykule o sprawdzaniu zaufania do domeny. Skaner bezpieczeństwa strony dodatkowo pasywnie szuka śladów złośliwego kodu, przestarzałego oprogramowania ze znanymi lukami i obecności adresu w bazie URLhaus.

Jak sprawdzić podejrzany link bez klikania

Jeśli link przyszedł w wiadomości, nie otwieraj go, „żeby zobaczyć”. Zamiast tego:

1. Zobacz prawdziwy adres. Na komputerze najedź kursorem na link, na telefonie przytrzymaj go i przeczytaj adres w podglądzie bez otwierania.
2. Rozwiń skrócony link. Skracacze ukrywają adres docelowy. Wklej krótki URL do sprawdzania przekierowań: przejdzie wszystkie kroki na naszym serwerze i pokaże, gdzie kończy się łańcuch, bez ładowania strony w Twojej przeglądarce. Więcej o łańcuchach: jak sprawdzić przekierowania.
3. Zapytaj skanery. VirusTotal sprawdza URL w bazach dziesiątek producentów antywirusów, URLhaus śledzi adresy rozsyłające złośliwe oprogramowanie, Google Safe Browsing wyłapuje phishing. Kilka czystych wyników uspokaja, ale nie jest gwarancją.
4. Idź dłuższą drogą. Jeśli wiadomość rzekomo pochodzi z banku lub firmy kurierskiej, otwórz ich aplikację albo wpisz adres strony samodzielnie i poszukaj tego samego powiadomienia tam.

Krótka lista kontrolna

• Domena jest zapisana dokładnie poprawnie, a marka to sama domena, nie subdomena.
• Domena nie ma kilku dni czy tygodni — a jeśli ma, wszystko inne jest bez zarzutu.
• HTTPS działa, a certyfikat pasuje do domeny (warunek konieczny, nie wystarczający).
• Dane firmy są podane i zgadzają się z oficjalnym rejestrem.
• Niezależne opinie istnieją i nie powtarzają w kółko tej samej skargi.
• Można zapłacić kartą lub PayPalem; nikt nie żąda kryptowalut, kart podarunkowych ani przelewu.
• Google Safe Browsing i skanery nie oznaczają strony.

Jeśli już zapłaciłeś lub wpisałeś hasło

• Płatność kartą: od razu zadzwoń do banku, zablokuj kartę, jeśli podałeś jej dane, i zapytaj o chargeback (reklamację transakcji). Banki mają terminy, nie zwlekaj.
• Płatność przez PayPal lub marketplace: otwórz spór w ich centrum rozwiązywania problemów.
• Wpisane hasło: zmień je na prawdziwej stronie i wszędzie, gdzie było użyte ponownie, włącz uwierzytelnianie dwuskładnikowe i wyloguj inne sesje.
• Zgłoś stronę: do Google Safe Browsing (formularz zgłaszania phishingu), do hostingu lub rejestratora z WHOIS oraz do krajowego CERT (w Polsce CERT Polska) lub urzędu ochrony konsumentów. Zgłoszenia pomagają zablokować stronę dla kolejnych osób.
• Zachowaj dowody: zrzuty ekranu, adres, potwierdzenia zamówienia i płatności.