Jak wykryć, że link w mailu prowadzi do innej domeny niż sugeruje tekst

Dlaczego tekst linku w mailu nie zawsze mówi prawdę

Tekst linku to tylko etykieta, a prawdziwy adres siedzi w href

Link w wiadomości e-mail składa się z dwóch warstw. Pierwsza warstwa to tekst widoczny – to, co widzisz i na co klikasz, np. „Zaloguj się”, „https://bank.pl”, „Panel klienta”. Druga warstwa to prawdziwy adres URL, czyli wartość atrybutu href, którego na pierwszy rzut oka nie widzisz. I właśnie w tej ukrytej części najczęściej kryje się problem.

Wyobraź sobie zwykły link w kodzie HTML: <a href="https://prawdziwy-adres.pl">Tekst linku</a>. Osoba, która tworzy wiadomość, może wpisać w tekście cokolwiek: nazwę banku, ładny pełny adres, zachęcający przycisk. Jednocześnie w href może podstawić zupełnie inną domenę – złośliwą, podobną, mylącą. Odbiorca widzi tylko „etykietę”, nie ma wglądu w środek, o ile sam tego nie sprawdzi.

Atakujący opiera całą taktykę na tym, że odbiorca ufa zewnętrznej warstwie. Czy Ty też tak masz, że jeśli widzisz „https://bank.pl” jako niebieski link, to zakładasz, że po kliknięciu tam właśnie trafisz? Jeśli tak – dokładnie na tym liczy phisher. Zmienia to, czego nie widzisz (href), a zostawia to, co budzi zaufanie (tekst).

Jak oszuści wykorzystują zaufanie do znanych marek i „ładnych” odnośników

Przestępcy internetowi wiedzą, że większość ludzi nie analizuje adresów URL. Patrzymy na logo, na nazwę nadawcy, na ładnie sformatowany przycisk „Zaloguj się”, „Odbierz paczkę”, „Potwierdź płatność”. To naturalny skrót myślowy: skoro coś wygląda jak mail z banku lub kuriera, to zapewne nim jest.

Do tego dochodzi fakt, że większość legalnych newsletterów i systemów transakcyjnych też korzysta z przycisków i skróconych tekstów linków. „Panel klienta”, „Sprawdź zamówienie”, „Zresetuj hasło” – brzmi znajomo? To ułatwia atakującym podszywanie się. Wystarczy skopiować layout prawdziwej wiadomości, wkleić logo, użyć identycznych tekstów przycisków i podmienić tylko jedną rzecz: docelową domenę w href.

Pojawia się proste pytanie kontrolne: czy rozpoznajesz faktyczną domenę po samym wyglądzie przycisku? Raczej nie. Dlatego oszuści mogą pozwolić sobie na kreatywność w tekście linku, pozostając niewidoczni na pierwszy rzut oka.

Uczciwa personalizacja linków kontra świadome wprowadzanie w błąd

Nie każdy „ukryty” link jest z definicji zły. Wiele legalnych firm używa przyjaznych tekstów zamiast surowych adresów. To normalne, że widzisz przycisk „Zaloguj się do swojego konta”, który prowadzi do długiego adresu z parametrami śledzącymi kampanię, np. https://bank.pl/logowanie?utm_source=newsletter. To przykład uczciwej personalizacji: tekst nie mówi wprost domeny, ale też jej nie udaje.

Problem zaczyna się, gdy tekst udaje konkretną domenę, np. wygląda jak pełen adres URL czy nazwa oficjalnego serwisu, a w href kryje się coś innego. Różnica bywa subtelna, ale kluczowa:

• uczciwy link: tekst „Zobacz ofertę lokaty” → href „https://bank.pl/lokaty-oferta”;
• podejrzany link: tekst „https://bank.pl” → href „https://bank-pl-login.com/secure”;
• podejrzany link: tekst „Panel klienta bank.pl” → href „https://login.bank-pl.security-check.net”.

W pierwszym przypadku tekst nie próbuje podszywać się pod sam adres. W dwóch kolejnych wyraźnie sugeruje konkretną domenę, ale miejsce docelowe jest inne. Właśnie to trzeba nauczyć się wyłapywać.

Przykłady złudnych linków w wiadomościach

Spójrz na kilka krótkich przykładów, które często pojawiają się w kampaniach phishingowych:

• Tekst linku: „bank.pl”
  Rzeczywisty href: „https://bank-pl-login.com/secure”
  Wygląda, jakby prowadził na stronę banku, ale domena główna to „bank-pl-login.com”, czyli zupełnie inny podmiot.
• Tekst linku: „Panel klienta”
  Rzeczywisty href: „https://drive.google.com/…”
  Odsyła do zewnętrznego pliku lub formularza. Sam w sobie nie musi być zły, ale jeśli mail rzekomo jest z banku, obecność Google Drive powinna uruchomić alarm.
• Tekst linku: „Zresetuj hasło w https://firma.pl”
  Rzeczywisty href: „https://firma-pl.reset-password.info/login”
  Tu znowu nazwa wygląda podobnie, ale prawdziwą domeną jest „reset-password.info”.

Spróbuj teraz zadać sobie pytanie: kiedy ostatni raz sprawdziłeś, dokąd faktycznie prowadzi link, zanim go kliknąłeś? Jeśli odpowiedź brzmi „praktycznie nigdy”, to dobry moment, żeby to zmienić.

Jak zbudowany jest link w mailu i czym różni się domena od całego adresu

Elementy adresu URL – co jest naprawdę kluczowe dla bezpieczeństwa

Żeby wykrywać podmianę domeny, trzeba wiedzieć, którą część adresu w ogóle analizować. Pełny URL może wyglądać tak:

https://login.twojbank.pl/logowanie/konto?utm_source=newsletter&id=123

Składa się z kilku elementów:

• Protokół – https://, informuje o sposobie komunikacji; „https” z kłódką jest konieczne, ale samo w sobie nie gwarantuje uczciwości nadawcy.
• Domena – to, co znajduje się tuż przed pierwszym ukośnikiem /; w tym przykładzie: login.twojbank.pl.
• Subdomena – część przed właściwą domeną główną, np. „login” w login.twojbank.pl.
• Domena główna – najważniejszy fragment: twojbank.pl (second level + TLD).
• Ścieżka – wszystko po pierwszym /, np. /logowanie/konto.
• Parametry – część po znaku zapytania ?, np. ?utm_source=newsletter&id=123.

Z perspektywy bezpieczeństwa najistotniejsza jest domena główna. To ona mówi, do czyjego serwera naprawdę się łączysz. Wszystko, co znajduje się w ścieżce i parametrach, można łatwo modyfikować bez zmiany właściciela domeny.

Jak „wyłowić” domenę główną z długiego adresu

Dobrym nawykiem jest prosty proces: gdy widzisz długi link, analizuj go od prawej do lewej, szukając kluczowego fragmentu. Jak to zrobić w praktyce?

1. Znajdź część przed pierwszym /. Np. w adresie https://login.twojbank.pl/logowanie będzie to login.twojbank.pl.
2. Skup się na końcówce po ostatniej kropce – to TLD (np. .pl, .com, .org).
3. Weź jeszcze jeden element przed TLD – razem tworzą domenę główną: np. twojbank.pl, example.com.

Pozostałe elementy po lewej stronie (np. „login”, „secure”, „panel”) traktuj jako subdomeny. Mogą być uczciwe, ale to domena główna decyduje, czy jesteś u swojego banku, czy u kogoś, kto tylko tak wygląda.

Spróbuj teraz przeanalizować dwa adresy:

• https://login.twojbank.pl/logowanie → domena główna: twojbank.pl
• https://twojbank.pl.zlosliwa-domena.com/logowanie → domena główna: zlosliwa-domena.com

W drugim przypadku nazwa „twojbank.pl” to tylko część subdomeny, nie prawdziwy właściciel. Po kliknięciu lądujesz u „zlosliwa-domena.com”, nawet jeśli w pasku adresu przewijają się „twojbank” i „logowanie”.

Różnica między domeną główną, subdomeną i katalogiem

Oszustwa często polegają na tym, że słowo kluczowe (np. nazwa banku) pojawia się w nie tej części adresu, co trzeba. Dobrze więc rozumieć, czym różnią się trzy poziomy:

• Domena główna – np. twojbank.pl; to tutaj rejestruje się domenę i tutaj można łatwo sprawdzić właściciela.
• Subdomena – np. login.twojbank.pl, panel.twojbank.pl; zazwyczaj kontrolowana przez tę samą organizację, ale technicznie jest to odrębny adres.
• Katalog (ścieżka) – np. twojbank.pl/logowanie/konto; wszystko po / to już tylko struktura na serwerze w obrębie tej samej domeny.

Gdzie najczęściej chowa się pułapka? W subdomenie należącej do innej domeny głównej. Przykład:

• https://twojbank.pl/logowanie – jesteś u siebie (domena główna: twojbank.pl).
• https://twojbank.pl.logowanie-bezpieczenstwo.com/login – jesteś u obcej firmy (domena główna: logowanie-bezpieczenstwo.com).

Wystarczy pobieżne spojrzenie i można pomylić te dwa adresy, szczególnie na telefonie. Dlatego podstawowe pytanie kontrolne, które warto sobie zadawać, to: czy domena główna na pewno należy do tej firmy, do której chcę trafić?

Proste pytanie kontrolne przed kliknięciem

Zatrzymaj się na moment przy każdym ważnym linku w mailu i odpowiedz sobie szczerze: do jakiej konkretnie domeny chcesz trafić, klikając ten link? Nie chodzi o nazwę marki, tylko o pełny adres, który masz zapisany w pamięci lub zakładkach, np. mbank.pl, ing.pl, poczta.pl.

Jeśli w podglądzie linku (o tym za chwilę) nie widzisz dokładnie tej domeny głównej, tylko coś podobnego, rozbudowanego lub w obcym języku – traktuj to jako sygnał ostrzegawczy. Wtedy lepiej ręcznie wpisać adres w przeglądarce, niż ryzykować szybkie kliknięcie.

Proste sposoby sprawdzania linków na komputerze (bez klikania)

Podgląd adresu URL przez najechanie myszką

Na komputerze masz przewagę: kursor myszy pozwala dużo zobaczyć, zanim cokolwiek otworzysz. Większość klientów pocztowych i przeglądarek pokazuje pełny adres linku w tzw. pasku statusu lub małej dymce.

Jak to wykorzystać w praktyce?

• Najedź kursorem na link w wiadomości (ale nie klikaj).
• Spójrz w dolną część okna – często po lewej stronie pojawi się pełny adres URL, do którego prowadzi ten odnośnik.
• Skup uwagę na domenie głównej w tym adresie, według zasad z poprzedniej sekcji.

Jeśli korzystasz z programu takiego jak Outlook czy Thunderbird, adres może też pojawiać się w małym oknie podpowiedzi nad kursorem. Zdarza Ci się ignorować te małe napisy? Warto wyrobić odwrotny nawyk: szybki rzut oka przed kliknięciem.

„Kopiuj adres linku” i bezpieczne wklejenie do notatnika

Kolejna prosta metoda to skopiowanie adresu linku bez otwierania go w przeglądarce. Przydaje się zwłaszcza wtedy, gdy pasek statusu niewiele wyświetla (np. przy bardzo długich URL-ach) albo korzystasz z webmaila o ograniczonej funkcjonalności.

Jak to zrobić krok po kroku?

1. Kliknij prawym przyciskiem myszy na link w mailu.
2. Wybierz opcję typu „Kopiuj adres linku”, „Kopiuj skrót” albo „Copy link address” – nazwa zależy od programu.
3. Otwórz zwykły edytor tekstu (Notatnik, TextEdit) lub prostą aplikację do notatek.
4. Wklej adres (Ctrl+V / Cmd+V) i spokojnie go przeanalizuj, nie otwierając go jeszcze w przeglądarce.

Taka „izolacja” ma dwie zalety. Po pierwsze, nie uruchamiasz potencjalnie złośliwej strony. Po drugie, możesz na spokojnie powiększyć okno, złamać linie i dokładnie obejrzeć cały adres, a nie tylko jego ucięty fragment.

Otwieranie linków w trybie prywatnym – dodatkowa warstwa ostrożności

Czasem zachodzi potrzeba kliknięcia w link, bo np. naprawdę oczekujesz jakiejś akcji (reset hasła, potwierdzenie zamówienia), ale coś Cię jednak niepokoi. W takiej sytuacji można zastosować kompromis: otworzyć link w oknie prywatnym/incognito.

Dlaczego to ma sens?

• W trybie prywatnym nie jesteś automatycznie zalogowany do swoich kont (bankowych, pocztowych, sklepów).

Oddzielenie „sprawdzenia domeny” od „logowania się”

Zastanów się: jaki masz cel, gdy klikasz w link z maila bankowego albo z serwisu społecznościowego? Chcesz sprawdzić, czy to prawdziwa strona, czy od razu się zalogować? To są dwie różne czynności i dobrze je rozdzielić.

Bezpieczniejszy scenariusz wygląda tak:

1. Najpierw weryfikujesz domenę – najechaniem myszką, skopiowaniem adresu, porównaniem z własną listą „zaufanych” adresów.
2. Dopiero jeśli domena się zgadza, myślisz o logowaniu lub podawaniu danych.

Jeśli choć przez chwilę się wahasz, zapytaj siebie: czy naprawdę muszę iść z tego maila, czy mogę wejść na stronę „z palca”? W przypadku banków, księgowości, paneli firmowych odpowiedź powinna być niemal zawsze taka sama: lepiej wejść ręcznie przez zapisany adres lub zakładkę.

Logowanie przez link z maila zostaw raczej dla serwisów o niskim ryzyku (fora, newslettery), a przy krytycznych usługach traktuj mail tylko jako sygnał, że coś się dzieje, a nie jako „drzwi”, którymi musisz wejść.

Jak odróżnić link do logowania od zwykłego linku informacyjnego

Czy próbujesz rozpoznać, czy dany link wymaga od ciebie wrażliwych danych? Zadanie jest proste: szukasz wszelkich oznak logowania, potwierdzania płatności albo podawania danych osobowych.

Zwróć uwagę na słowa w tekście linku i wokół niego. Podejrzane są szczególnie sformułowania typu:

• „Zaloguj się, aby uniknąć blokady konta”
• „Potwierdź dane karty”
• „Zaktualizuj natychmiast swoje dane”
• „Twoja paczka została zatrzymana, dokonaj dopłaty”

Następnie spójrz na domenę w realnym adresie (nie w tekście linku). Jeśli pojawia się tam cokolwiek innego niż oficjalna domena twojego banku, operatora płatności, firmy kurierskiej – traktuj to jak czerwone światło.

Rada praktyczna: nigdy nie rób płatności ani nie loguj się do banku z linku w mailu. Wejdź na stronę przez własną zakładkę i tam poszukaj informacji w panelu. Jeśli problem jest prawdziwy, komunikat będzie widoczny także po samodzielnym zalogowaniu.

Jak sprawdzać linki w mailu na telefonie, gdzie nic nie widać

„Przytrzymaj palec” – mobilny odpowiednik najechania myszką

Na telefonie nie ma kursora myszy, ale jest jego odpowiednik. Zamiast klikać, możesz przytrzymać palec na linku, aby wyświetlić podgląd adresu. Robisz tak już odruchowo, czy nadal klikasz „w ciemno”?

Typowy schemat wygląda tak (Android / iOS – szczegóły mogą się nieco różnić):

1. Otwórz maila w aplikacji pocztowej.
2. Dotknij i przytrzymaj link (nie „stukaj” krótko, tylko przytrzymaj 1–2 sekundy).
3. Powinno pojawić się małe okno z pełnym adresem URL lub menu kontekstowe (kopiuj, udostępnij, otwórz w przeglądarce).
4. Dopiero patrząc na ten adres, decydujesz, co dalej.

Skup się na domenie głównej wyświetlonej w tym podglądzie. Jeśli widzisz długie „szlaczki”, spróbuj przesunąć okienko, obrócić telefon poziomo albo skopiować adres do notatek, aby lepiej go przeczytać.

Kopiowanie linku na telefonie i analiza w notatkach

Jeżeli aplikacja pocztowa pozwala skopiować adres, możesz zastosować podobny trik jak na komputerze: analiza linku „w izolacji”.

Jak to zrobić krok po kroku?

1. Przytrzymaj palec na linku.
2. Wybierz opcję „Kopiuj adres linku” lub podobną (czasem schowaną pod „Udostępnij” → „Kopiuj”).
3. Otwórz aplikację „Notatki” lub inny prosty edytor tekstu na telefonie.
4. Wklej adres (dłuższe przytrzymanie → „Wklej”) i spokojnie go przejrzyj.

Zapytaj siebie: czy domena w tym adresie zgadza się 1:1 z tą, którą znasz? Bez dodatkowych myślników, literówek, dziwnych końcówek typu .online, .click, .loan? Jeśli masz wątpliwości, łatwiej skonsultować podejrzany adres, gdy jest widoczny w notatce, niż gdy „mruga” na pół ekranu w małej dymce.

Otwieranie podejrzanych linków mobilnie w „pustej” przeglądarce

Czasem naprawdę musisz coś sprawdzić na telefonie, ale nie chcesz od razu wystawiać swoich zapisanych sesji, cookies, haseł. Jaki masz wtedy cel – tylko zerknąć, czy to w ogóle jest strona firmy, czy od razu działać?

Ostrożniejszy wariant wygląda tak:

• Otwierasz nową kartę w przeglądarce w trybie prywatnym/incognito.
• Wklejasz tam skopiowany adres (z notatek lub schowka).
• Sprawdzasz, co pokazuje pasek adresu po załadowaniu strony – szczególnie domenę i ikonę kłódki.

W trybie prywatnym przeglądarka nie użyje automatycznie twoich zapisanych haseł ani sesji. Nawet jeśli trafisz na fałszywą stronę logowania, musisz świadomie wprowadzić dane – a na tym etapie powinno już zadziałać twoje czujne oko.

Korzystanie z oficjalnych aplikacji zamiast linków z maili

Jeśli często czytasz maile na telefonie, zapytaj siebie: czy nie wygodniej i bezpieczniej jest korzystać z oficjalnych aplikacji zamiast wchodzić w linki?

Przykładowy scenariusz dla banku, firmy kurierskiej, sklepu:

1. Przychodzi mail z informacją, że „coś się dzieje” na koncie.
2. Zamiast klikać w link, minimalizujesz pocztę i otwierasz oficjalną aplikację banku/kuriera/sklepu.
3. Logujesz się tam jak zwykle i sprawdzasz powiadomienia/sekcję „Wiadomości”.

Jeśli komunikat z maila jest prawdziwy, w większości poważnych usług znajdziesz go także w aplikacji lub w panelu po zalogowaniu. Brak takiego komunikatu to mocny sygnał, że mail mógł być próbą wyłudzenia.

Na co uważać w mobilnych przeglądarkach – paski adresu i „ukryte” fragmenty

Telefony mają małe ekrany, więc przeglądarki mobilne ukrywają część informacji, aby zrobić miejsce na treść strony. To wygląda wygodnie, ale utrudnia ocenę, dokąd naprawdę trafiłeś.

Oto kilka rzeczy, które dobrze mieć z tyłu głowy:

• Pasek adresu często pokazuje tylko początek i koniec adresu, środek może być ucięty.
• Przy przewijaniu strony pasek adresu potrafi się chować – pozostaje tylko nazwa domeny lub nawet jej skrócona wersja.
• Niektóre nakładki (np. w aplikacjach) wyświetlają własny „pasek” z tytułem, który nie jest prawdziwym adresem strony.

Co możesz zrobić?

• Dotknij paska adresu, aby wyświetlić pełny adres URL – wtedy zazwyczaj widzisz wszystko, łącznie z subdomenami.
• Obróć telefon poziomo, jeśli adres jest przycięty i nieczytelny.
• Jeśli strona otwiera się „w aplikacji” (np. wewnętrzny przeglądarka Facebooka), rozważ użycie opcji „Otwórz w przeglądarce”, aby zobaczyć pełny pasek adresu i normalne zabezpieczenia.

Zadaj sobie pytanie: czy widzę pełny, normalny pasek adresu z domeną, czy tylko jakiś skrót/nazwę w tytule? Jeśli nie widzisz pełnego adresu, jesteś trochę „na ślepo”. Wtedy lepiej wrócić do ręcznego wpisania znanego adresu w przeglądarce.

10 najczęstszych trików: jak sprytnie „podmienia się” domenę w mailach

1. „Prawdziwy” tekst linku, fałszywa domena w tle

Najprostszy, ale nadal skuteczny trik: tekst linku wygląda idealnie, a pod spodem ukryty jest zupełnie inny adres. Przykład:

• Widzisz w mailu: https://login.twojbank.pl
• A po najechaniu kursorem/ przytrzymaniu palca okazuje się, że to: https://twojbank.pl.zlosliwy-serwer.net/login

Kryterium rozpoznania jest jedno: nigdy nie ufaj samemu tekstowi linku. Zawsze sprawdzaj rzeczywisty adres, który pojawia się w podglądzie.

2. Podmieniona jedna litera w domenie (tzw. typosquatting)

Czy zwracasz uwagę na każdą literę, gdy patrzysz na adres? Przestępcy liczą na to, że nie. Rejestrują domeny bardzo podobne do znanych marek, z jedną literą różnicy:

• mbakn.pl zamiast mbank.pl
• paypai.com zamiast paypal.com
• ing-bak.pl zamiast ing-bank.pl

Jeśli w dodatku tekst maila jest emocjonalny („Twoje konto zostanie zablokowane za 2 godziny!”), mózg przestaje analizować szczegóły. Sposób obrony? Porównuj domenę z tym, co masz w zakładkach, a nie z tym, jak „wydaje ci się, że powinno być”.

3. Dziwne końcówki domen: .xyz, .top, .loan, .online

Wiele ataków korzysta z tanich, mało znanych rozszerzeń domen (TLD), bo są łatwo dostępne. Samo w sobie .xyz czy .online nie jest złe, ale jeśli bank, urząd skarbowy czy operator telefonii nagle „przychodzi” z domeny twojbank.online, coś tu nie gra.

Typowy schemat wygląda tak:

• twojbank.pl – prawidłowa domena banku.
• twojbank-pl.security-update.xyz – fałszywa domena, ale na pierwszy rzut oka widać „twojbank” i „security”.

Kluczowe pytanie: czy kiedykolwiek logowałeś się do tego serwisu z domeny o takiej końcówce? Jeśli nie, nie rób tego pierwszy raz na podstawie linku z maila.

4. Nazwa banku jako subdomena obcej domeny

To jedna z najgroźniejszych sztuczek, bo wykorzystuje mechanizm opisany wcześniej: nazwa marki pojawia się po lewej stronie, ale domena główna należy do kogoś innego.

Przykład pułapki:

• https://logowanie.twojbank.pl – w porządku (domena główna: twojbank.pl).
• https://twojbank.pl.logowanie-secure.com – fałszywy (domena główna: logowanie-secure.com).

Jeżeli masz kłopot z szybkim „wyłowieniem” domeny głównej, zatrzymaj się i spójrz od końca adresu: co jest tuż przed końcówką .pl / .com / .eu? To jest prawdziwy właściciel.

5. Nazwa marki w katalogu zamiast w domenie

Czasem oszust nie bawi się w złożone subdomeny, tylko tworzy długi katalog, w którym umieszcza nazwę banku czy serwisu:

• https://unknown-domain.com/twojbank.pl/logowanie/konto

Na małym ekranie łatwo zauważyć tylko „twojbank.pl/logowanie/konto”, a „unknown-domain.com” ginie na początku. Tu znowu pomaga nawyk: interesuje mnie tylko to, co jest przed pierwszym ukośnikiem /. Reszta to już tylko zawartość na czyimś serwerze.

6. Mieszanie cyfr i liter wyglądających podobnie

Ludzkie oko łatwo oszukać, gdy zamieni się litery na podobnie wyglądające cyfry:

• paypa1.com (cyfra „1” zamiast litery „l”)
• go0gle.com (cyfra „0” zamiast litery „o”)
• faceb00k.com (dwie zera zamiast „oo”)

Zadaj sobie pytanie: czy oryginalna marka naprawdę używa cyfr w domenie? Większość znanych usług trzyma się prostej, jednorodnej nazwy. Gdy nagle pojawiają się tam cyfry, myślniki, dopiski „-secure”, włącza się tryb podejrzliwości.

7. Międzynarodowe litery i homografy (adres wygląda „tak samo”, ale nie jest)

Czy patrzysz na domenę, czy na kształt słowa? Atakujący wykorzystują tzw. homografy – litery z innych alfabetów, które wyglądają prawie identycznie jak nasze, ale dla komputera są czymś innym.

Przykłady podchwytliwych zamian:

• łacińskie a vs cyrylickie а (różne znaki, bardzo podobny wygląd)
• łacińskie o vs greckie ο
• łacińskie p vs cyrylickie р

Efekt? Domena może wyglądać jak paypal.com, ale technicznie to zupełnie inny adres, z literami z innego alfabetu. W niektórych przeglądarkach taki adres jest zapisywany w postaci punycode, np. xn--co-jaki-znak.com.

Co możesz zrobić, gdy coś „dziwnie” wygląda?

• Zwróć uwagę, czy domena nie jest podejrzanie „gładka” – brak jakichkolwiek myślników, choć masz w głowie, że oficjalny adres je ma.
• Jeśli masz wątpliwość, skopiuj adres do notatnika lub innej aplikacji – niektóre systemy pokażą prawdziwą postać punycode (zaczyna się od xn--).
• Porównaj ręcznie z adresem z zakładek – literę po literze, a nie „wrażenie całości”.

Zadaj sobie pytanie: czy ten adres wygląda identycznie jak w zakładkach, czy tylko „prawie tak samo”? Przy „prawie” zatrzymaj się i nie loguj.

8. Bezpieczna kłódka i HTTPS jako „fałszywe poczucie bezpieczeństwa”

Czy automatycznie ufasz stronie, gdy widzisz kłódkę w pasku adresu? To naturalny odruch, ale niebezpieczny. Certyfikat SSL i HTTPS nie oznaczają, że strona należy do właściwej firmy – tylko że połączenie jest szyfrowane.

Co to znaczy w praktyce? Złodziej też może mieć certyfikat SSL. Może postawić idealną kopię strony banku pod domeną twojbank-secure-login.com, wyklikać darmowy certyfikat i cieszyć się kłódką w pasku.

Na co zwracać uwagę zamiast samej kłódki?

• Domena + kłódka, nigdy kłódka w oderwaniu od nazwy.
• Certyfikaty „rozszerzone” (EV) dla części dużych instytucji – czasem przeglądarka pokazuje nazwę firmy po kliknięciu w kłódkę. Jeśli zamiast tego widzisz losową nazwę osoby prywatnej albo nic sensownego – ostrożnie.
• Niektóre fałszywe strony mają kłódkę tylko na części zasobów – zauważysz ostrzeżenia typu „część tej strony jest niebezpieczna”.

Zamiast pytać: „czy jest kłódka?”, zapytaj: czy jest właściwa domena z kłódką? Kolejność ma znaczenie.

9. Skracacze linków: bit.ly, tinyurl i firmowe shortlinki

Czy klikasz w skrócone linki „bo tak wszyscy robią”? W mailach wygląda to tak:

• https://bit.ly/3XYZabc
• https://tinyurl.com/2p8-…
• https://go.twojbank.pl/aktualizacja

Przy publicznych skracaczach (bit.ly, tinyurl) zupełnie nie wiesz, gdzie wylądujesz. Mogą prowadzić na cokolwiek. Firmowe skracacze (np. go.twojbank.pl) są lepsze, ale i one mogą być podrabiane w stylu go-twojbank.pl zamiast go.twojbank.pl.

Jak sobie z tym poradzić, jeśli nie chcesz klikać w ciemno?

• Wiele skracaczy ma funkcję podglądu. Dla bit.ly możesz spróbować dodać + na końcu linku (np. https://bit.ly/3XYZabc+) – często pokaże stronę z informacjami o celu.
• Jeśli to mail od banku/sklepu, otwórz ich oficjalną stronę z zakładek i poszukaj tej samej informacji w komunikatach – zamiast ufać skróconemu linkowi.
• Przy firmowych krótkich linkach sprawdź, czy domena skracacza jest dokładnie taka sama jak główna domena firmy, tylko z inną subdomeną (go.twojbank.pl vs twojbank-go.com).

Zapytaj siebie: czy naprawdę muszę kliknąć ten skrócony link, czy mogę dojść do celu normalną drogą z wyszukiwarki lub zakładki?

10. Link pod obrazkiem lub przyciskiem „Zobacz szczegóły”

Czy sprawdzasz adres, gdy klikasz w atrakcyjny przycisk albo logo? W wielu mailach cała treść to obrazek albo duży guzik „Zaloguj się”, a prawdziwy adres jest kompletnie niewidoczny.

Typowy scenariusz:

• Mail wygląda jak identyczna kopia newslettera banku.
• W treści jest ładne, znane logo oraz duży przycisk „AKTUALIZUJ DANE”.
• Myszka zmienia się w „rączkę”, ale tekstowego adresu nigdzie nie ma.

Co możesz wtedy zrobić, zamiast bezrefleksyjnie kliknąć?

• Najechać kursorem na przycisk/obrazek i spojrzeć na podgląd linku w lewym dolnym rogu okna (lub w dymku na telefonie).
• Użyć opcji „Kopiuj adres linku” i wkleić go do notatnika, żeby zobaczyć prawdziwą domenę.
• Jeśli w treści maila nie ma ani jednego czytelnego, jawnego adresu (same przyciski/obrazki) – traktować to jako czerwoną flagę.

Zadaj sobie krótkie pytanie: czy widzę domenę, zanim kliknę przycisk? Jeśli nie, postaraj się ją wyciągnąć na światło dzienne, zanim przejdziesz dalej.

11. Łączenie prawdziwego i fałszywego linku w jednym mailu

Czy zakładasz, że jeśli jeden link w mailu jest poprawny, to wszystkie są? To kolejna pułapka. Oszuści czasem mieszają prawdziwe i fałszywe adresy, aby zbudować zaufanie.

Przykład:

• Link do oficjalnej polityki prywatności (https://twojbank.pl/polityka-prywatnosci) – prawdziwy.
• Link do „zaloguj się i potwierdź dane” – prowadzi do https://twojbank.pl.logowanie-secure.net/ – fałszywy.
• Stopka z danymi firmy – prawdziwe numery telefonu, adres siedziby.

Dzięki temu, gdy użytkownik „przetestuje” jeden link i zobaczy, że jest ok, podświadomie ufa całej reszcie. Jak temu przeciwdziałać?

• Każdy link związany z logowaniem lub podawaniem danych oceniaj osobno, niezależnie od innych odnośników w mailu.
• Linki typu „Regulamin”, „Kontakt” możesz wykorzystać wyłącznie do tego, aby sprawdzić, z jakiej domeny rzeczywiście korzysta firma. Potem i tak przejdź tam ręcznie.
• Jeśli cokolwiek w treści maila jest agresywne/strachliwe („twoje konto zostanie zablokowane”), a jednocześnie zawiera zachętę do logowania – przejdź niezależnie na stronę z zakładek, nawet jeśli jeden link okazał się poprawny.

12. Wprowadzanie pośredników: link śledzący marketing + przekierowanie

Czy zauważyłeś kiedyś, że link z newslettera po kliknięciu „przeskakuje” przez kilka adresów? Firmy marketingowe używają linków śledzących, które przekierowują cię na właściwą stronę. Przestępcy też potrafią to wykorzystać – trudniej wtedy „na oko” ocenić, gdzie finalnie wylądujesz.

Przykład łańcucha:

• Link w mailu: https://tracking-mail.com/click/abc123
• Po kliknięciu: krótkie przekierowanie na https://promo.twojbank.pl/.

W wersji złośliwej:

• Link w mailu: https://newsletter-partner.com/click/abc123
• Po kliknięciu: https://twojbank.pl.suspicious-domain.com/login – podszywka.

Jak zminimalizować ryzyko, gdy widzisz obce domeny trackingowe?

• Ustal, czy to znany, oficjalny partner (np. narzędzie mailingowe, które firma faktycznie używa). Często jest to opisane w polityce prywatności.
• Jeśli link wygląda na zbyt zawiły, lepiej wpisz adres ręcznie zamiast przepuszczać swoje logowanie przez łańcuch przekierowań.
• Możesz kliknąć prawym przyciskiem i użyć opcji „Kopiuj adres linku”, a następnie wkleić go do notatnika i przeanalizować – czy kończy się na domenie, której się spodziewasz?

Zadaj sobie pytanie: czy akceptuję, że moje logowanie przejdzie przez dodatkowego pośrednika? Jeśli nie, wejdź przez zakładkę.

13. Wkładanie linku w nagłówek „Od:” i pole nadawcy

Czy patrzysz tylko na imię/nazwę nadawcy, czy również na jego prawdziwy adres e-mail? Tu także pojawia się motyw domeny.

Sprytne zagranie wygląda np. tak:

• Nazwa nadawcy: „mBank – Bezpieczeństwo”
• Adres nadawcy: bezpieczenstwo@mbank.pl.secure-update.com

W wielu klientach poczty widać tylko nazwę nadawcy i początek adresu – „bezpieczenstwo@mbank.pl…” – reszta ginie. Ale prawdziwa domena to secure-update.com, a nie mbank.pl.

Jak to diagnozować?

• Kliknij lub dotknij pola „Od:”, żeby rozwinąć pełny adres nadawcy.
• Oceń domenę po @ tak samo surowo, jak oceniasz domenę w linku. Czy widzisz dokładnie twojbank.pl, czy coś w stylu twojbank.pl-security.com?
• Gdy klient poczty pokazuje tylko nazwę nadawcy (bez adresu), poszukaj opcji „pokaż szczegóły” lub „informacje o wiadomości”.

Zapisz sobie w pamięci: ładna nazwa nadawcy to tylko „etykietka”. Liczy się prawdziwa domena w adresie e-mail.

14. Ukrywanie linków w załącznikach (PDF, dokumenty online)

Czy ufasz bardziej linkowi w PDF niż w treści maila? To też bywa wykorzystywane. Oszust wysyła „ważny dokument” (np. fakturę, pismo z sądu, formularz z banku), a dopiero w środku dokumentu czeka złośliwy link.

Scenariusz z praktyki:

• Mail z tytułem „Nieuregulowana faktura – ostatnie wezwanie”.
• W środku prawie pusty tekst i załączony PDF „faktura_12345.pdf”.
• PDF zawiera przycisk „Pobierz fakturę online” lub tekstowe „Zaloguj się, aby zobaczyć szczegóły” z linkiem do fałszywej domeny.

Jak się bronić?

• Traktuj linki w PDF/Docx tak samo podejrzliwie jak w mailu. Najpierw sprawdź domenę w pasku podglądu (często programy pokazują adres po najechaniu).
• Jeśli PDF pochodzi niby od znanej firmy, a link kieruje na domenę niezgodną z ich oficjalnym adresem – odpuść i samodzielnie zaloguj się na konto z zakładek.
• Gdy załącznik dodatkowo prosi o włączenie makr lub zawiera nietypowe ostrzeżenia – wstrzymaj się całkowicie, zanim cokolwiek klikniesz.

Pytanie do ciebie: czy ten załącznik naprawdę musi mieć link do logowania, skoro możesz wejść na stronę firmy bezpośrednio?

15. Podszywanie się pod „rozwiązania bezpieczeństwa” (antywirus, filtr antyspamowy)

Czy widząc komunikat „Twoja wiadomość została przeskanowana przez system bezpieczeństwa”, odruchowo ufasz zawartym tam linkom? To kolejna nisza wykorzystywana w atakach.

Przykładowa sztuczka:

• Wiadomość „z systemu antywirusowego” z podpisem typu „SecureMail Gateway, Copyright 2026”.
• Treść sugeruje, że wiadomość została wstrzymana z powodu „podejrzanego załącznika” lub „braku aktualnych danych”.
• Na dole przycisk „Odzyskaj wiadomość” albo „Zaloguj, by zatwierdzić” prowadzący do fałszywej domeny.

Jak nie dać się złapać na „turbo-bezpieczeństwo” w nazwie?

Najczęściej zadawane pytania (FAQ)

Jak sprawdzić, dokąd naprawdę prowadzi link w mailu, zanim go kliknę?

Najprościej: najedź kursorem na link i nic nie klikaj. W większości programów pocztowych i przeglądarek prawdziwy adres (href) pokaże się na dole ekranu lub w małym okienku pod kursorem. Zwróć uwagę przede wszystkim na domenę główną, a nie na cały, długi ciąg znaków.

Jeśli korzystasz z telefonu, przytrzymaj link chwilę palcem. Powinno pojawić się okno z pełnym adresem URL. Zadaj sobie pytanie: czy domena główna jest dokładnie tą, której się spodziewasz (np. bank.pl, firma.com), czy tylko „coś podobnego” typu bank-pl-login.com?

Skąd mam wiedzieć, która część adresu URL to prawdziwa domena?

Spójrz na adres w ten sposób: najpierw znajdź pierwszy ukośnik / po https://. Wszystko przed nim to część z domeną i subdomeną, np. login.twojbank.pl. Teraz „czytaj” od prawej strony: końcówka po ostatniej kropce to TLD (.pl, .com), a element tuż przed nią to nazwa domeny, razem tworzą domenę główną, np. twojbank.pl.

Cała reszta po lewej (login, secure, panel itd.) to już tylko subdomeny. Zapytaj siebie: czy domena główna jest prawidłowa, czy nazwa firmy pojawia się tylko w subdomenie, a prawdziwym właścicielem jest zupełnie inny adres, np. twojbank.pl.logowanie-bezpieczenstwo.com?

Czy każdy link z tekstem „Zaloguj się” albo „Panel klienta” jest podejrzany?

Sam tekst typu „Zaloguj się”, „Panel klienta”, „Zresetuj hasło” nie jest niczym złym. Legalne firmy też używają przycisków zamiast surowych adresów. Kluczowe pytanie brzmi: dokąd ten przycisk prowadzi po najechaniu kursorem? Czy widzisz tam domenę główną swojego banku/sklepu, czy zupełnie inną nazwę?

Jeśli tekst linku nie udaje adresu (np. po prostu „Sprawdź zamówienie”), ale w href widzisz prawidłową domenę (np. sklep.pl/… ), to jest to typowe, uczciwe użycie. Gdy natomiast przycisk wygląda jak pełny adres „https://bank.pl”, a po podglądzie okazuje się, że prowadzi do bank-pl-login.com, to jasny sygnał, że coś jest nie tak.

Czym różni się domena główna od subdomeny i katalogu w kontekście bezpieczeństwa?

Domena główna (np. twojbank.pl) to właściwy adres zarejestrowany dla konkretnego właściciela. Subdomena (np. login.twojbank.pl) to dodatek z przodu, zwykle też zarządzany przez tę samą firmę, ale technicznie inny adres. Katalog (np. /logowanie/konto) to wszystko po ukośniku /, czyli struktura na serwerze.

Zadaj sobie proste pytanie: gdzie pojawia się nazwa instytucji, do której chcesz wejść? Jeśli w domenie głównej – jest dobrze (twojbank.pl/logowanie). Jeśli nazwa siedzi tylko po lewej stronie, a na końcu masz np. …twojbank.pl.logowanie-bezpieczenstwo.com, to łączysz się z logowanie-bezpieczenstwo.com, czyli zupełnie inną domeną.

Jak rozpoznać, że tekst linku udaje inną domenę niż ta w href?

Typowy trik: tekst linku wygląda jak pełny adres lub nazwa oficjalnego serwisu, a po podglądzie okazuje się, że domena jest inna. Przykład: widzisz niebieski tekst „https://bank.pl”, ale po najechaniu kursorem pojawia się adres https://bank-pl-login.com/secure. Tekst sugeruje bank.pl, ale domeną główną jest bank-pl-login.com.

Zapytaj siebie za każdym razem: czy tekst linku próbuje wyglądać jak „ładny, oficjalny” adres (np. bank.pl, Panel klienta bank.pl), a rzeczywisty href ma inną domenę główną? Jeśli tak – traktuj wiadomość jak podejrzaną, nawet jeśli reszta wygląda „profesjonalnie”.

Czy linki prowadzące do Google Drive, Dropbox itd. w mailu z banku są bezpieczne?

Sama obecność Google Drive czy Dropbox nie jest automatycznie zła, ale w mailu rzekomo z banku lub urzędu powinna włączyć lampkę ostrzegawczą. Instytucje finansowe zazwyczaj nie proszą o logowanie czy podawanie danych przez zewnętrzne dyski i formularze.

Zastanów się: jaki jest cel nadawcy i co ma się stać po kliknięciu? Jeśli z maila „bankowego” klikasz „Panel klienta”, a w podglądzie linku widzisz drive.google.com/…, to zatrzymaj się. Zdecydowanie bezpieczniej będzie zalogować się ręcznie, wpisując adres banku w pasku przeglądarki, zamiast ufać takiemu odnośnikowi.

Co zrobić, jeśli nie jestem pewien, czy link w mailu jest prawdziwy?

Masz kilka wyjść – wybierz to, które jest dla ciebie najwygodniejsze. Po pierwsze: nic nie klikaj, tylko samodzielnie wpisz adres znanej domeny w pasku przeglądarki (np. bank.pl) i zaloguj się stamtąd. Po drugie: skontaktuj się z firmą innym kanałem (telefon, oficjalny czat) i zapytaj, czy wysyłała taką wiadomość.

Zadaj sobie kontrolne pytanie: co stracę, jeśli zignoruję tę wiadomość, a co mogę stracić, jeśli to jednak phishing? W sprawach logowania, płatności, „pilnych blokad konta” bezpieczniej jest stracić kilka minut na weryfikację, niż potem odzyskiwać dostęp do kont czy pieniędzy.

Źródła

• Guide to Malware Incident Prevention and Handling for Desktops and Laptops (SP 800‑83). NIST (2013) – Opis technik phishingu, złośliwych linków i zaleceń dla użytkowników
• Anti-Phishing Working Group Phishing Activity Trends Report. APWG – Statystyki i typowe techniki phishingu, w tym mylące odnośniki
• OWASP Phishing. OWASP – Opis mechanizmów phishingu, manipulacji tekstem linku i adresami URL
• RFC 3986: Uniform Resource Identifier (URI): Generic Syntax. IETF (2005) – Formalna składnia URL: protokół, domena, ścieżka, parametry
• Phishing and Pharming. ENISA – Opis metod podszywania się pod znane marki i manipulacji linkami
• How to Recognize and Avoid Phishing Scams. Federal Trade Commission – Porady dla użytkowników: sprawdzanie prawdziwego adresu linku