Domena internetowa jest ważnym zasobem. Jeżeli wygasa, właściciel strony może stracić dostęp do usług, poczty albo ruchu. To sprawia, że komunikat o pilnym przedłużeniu bardzo łatwo uruchamia pośpiech. CERT Polska w lipcu 2026 roku ostrzegał przed kampanią fałszywych e-maili o konieczności przedłużenia domen .pl. Wiadomości prowadziły do stron podszywających się pod popularnych rejestratorów i próbowały wyłudzać dane logowania do paneli administracyjnych.
Prawdziwy temat może być wykorzystany w fałszywej wiadomości
Domena rzeczywiście ma termin odnowienia. Rejestrator rzeczywiście może wysyłać przypomnienia. To właśnie dlatego taki phishing jest przekonujący. Atakujący nie musi wymyślać absurdalnej historii. Wystarczy, że podszyje się pod normalny proces. Nie trzeba więc oceniać, czy sam temat wiadomości jest realistyczny. Trzeba sprawdzić go niezależnie.
Panel rejestratora jest lepszym źródłem niż link w e-mailu
Jeżeli wiadomość informuje o wygaśnięciu domeny, wpisz znany adres rejestratora samodzielnie albo użyj zapisanej zakładki. Po zalogowaniu sprawdź status domeny i datę odnowienia. Jeżeli problem jest prawdziwy, powinien być widoczny także tam. Jeśli panel nie pokazuje żadnego ostrzeżenia, nie podawaj danych na stronie otwartej z wiadomości.
Przejęcie panelu domen może mieć szersze skutki niż utrata jednej strony
Panel rejestratora może pozwalać zmieniać DNS, przekierowania i ustawienia wielu domen. Jeśli atakujący uzyska dostęp, może kierować ruch na inne serwery, próbować przejmować pocztę albo wykorzystać domenę do dalszych ataków. Dlatego konto rejestratora powinno mieć unikalne hasło i 2FA, jeśli dostawca je oferuje.
Nie wystarczy sprawdzić logo i nazwę nadawcy
Fałszywa strona może kopiować wygląd panelu. Wiadomość może używać nazwy znanej firmy. Najważniejsze jest to, czy domena strony logowania jest prawidłowa i czy wszedłeś do niej własną drogą. Przy logowaniu do panelu domen szczególnie dobrze sprawdza się menedżer haseł. Jeżeli zapisane dane nie są proponowane na stronie, na której zwykle działają, może to być dodatkowy sygnał, że adres jest inny.
Po wpisaniu hasła trzeba reagować szybko
Jeżeli podałeś dane logowania na podejrzanej stronie, zmień hasło do panelu rejestratora i sprawdź aktywne sesje, ustawienia DNS oraz dane kontaktowe konta. Jeśli to samo hasło było używane gdzie indziej, zmień je również tam. W przypadku zmian DNS warto sprawdzić, czy rekordy domeny odpowiadają oczekiwanej konfiguracji.
Warto zgłosić fałszywą wiadomość
Podejrzane strony i e-maile można zgłaszać do CERT Polska przez incydent.cert.pl. Jeżeli atak przyszedł SMS-em, wiadomość z linkiem można przekazać na 8080. Ta sama reguła działa nie tylko dla domen. Wiadomość może dotyczyć hostingu, certyfikatu, faktury albo konta reklamowego. Jeśli prosi o pilne logowanie, weryfikuj usługę poza dostarczonym linkiem.
Fałszywa faktura i fałszywe przedłużenie mogą wyglądać podobnie
Wiadomość może nie prosić o logowanie, lecz od razu o przelew. Wtedy trzeba sprawdzić nie tylko adres strony, ale też czy faktura odpowiada realnej usłudze, właściwemu rejestratorowi i prawdziwemu terminowi odnowienia. Dane do płatności powinny zgadzać się z informacjami w panelu lub na oficjalnych dokumentach dostawcy.
Automatyczne odnowienie nie zwalnia z kontroli konta
Jeżeli domena ma włączone automatyczne przedłużenie, phishing może wykorzystywać dokładnie tę niewiedzę. Warto raz na jakiś czas sprawdzić w panelu datę wygaśnięcia, metodę płatności i to, czy automatyczne odnowienie rzeczywiście jest aktywne. Dzięki temu nagły e-mail o ostatniej szansie łatwiej porównać z własnymi ustawieniami.
Dostęp do rejestratora zasługuje na taki sam priorytet jak poczta
Właściciel wielu domen może przez jeden panel zarządzać stronami, pocztą i DNS. Dlatego konto rejestratora nie powinno mieć słabego ani powtórzonego hasła. Włączenie 2FA i zapisanie bezpiecznej metody odzyskiwania zmniejsza ryzyko, że jedno udane wyłudzenie przełoży się na wiele usług.
Panel rejestratora jest lepszym źródłem niż przycisk w wiadomości
Jeżeli e-mail mówi, że domena wygasa dziś, nie klikaj przycisku „odnów”. Wpisz samodzielnie adres firmy, u której faktycznie utrzymujesz domenę, i sprawdź jej status po zalogowaniu. CERT Polska w lipcu 2026 wskazywał dokładnie taki sposób weryfikacji przy kampanii podszywającej się pod rejestratorów domen .pl.
Oszust może znać prawdziwą nazwę Twojej domeny
Nazwa domeny i część informacji rejestrowych mogą być publiczne lub łatwe do ustalenia. Poprawna nazwa w wiadomości nie dowodzi więc, że nadawca ma dostęp do konta u rejestratora. Liczy się adres strony, kanał kontaktu i stan widoczny po niezależnym zalogowaniu.
Nie podawaj kodu 2FA osobie z „obsługi”
Jeżeli fałszywa strona przejmie login i hasło, może natychmiast poprosić również o kod jednorazowy. Drugi składnik chroni najlepiej wtedy, gdy użytkownik nie przekazuje go w odpowiedzi na niespodziewane żądanie.
Domena jest kluczowym elementem wielu usług
Przejęcie panelu domenowego może wpływać na stronę, pocztę i inne usługi. Dlatego konto u rejestratora warto traktować podobnie jak pocztę: unikalne hasło, 2FA i ostrożność przy każdej wiadomości wymagającej pilnego logowania.
Status domeny sprawdzaj w panelu, do którego wchodzisz samodzielnie
CERT Polska w lipcu 2026 roku ponownie ostrzegał przed wiadomościami o rzekomym wygaśnięciu domeny. Najbezpieczniejszy test jest prosty: nie otwieraj panelu z linku w mailu. Wejdź do swojego rejestratora z zakładki, menedżera haseł albo ręcznie wpisanego, znanego adresu i tam sprawdź termin odnowienia.
Prawdziwy termin nie czyni wiadomości prawdziwą
Informacje o domenach mogą być częściowo publiczne albo możliwe do przewidzenia. Oszustwo może więc zawierać poprawną nazwę domeny lub zbliżający się termin i nadal prowadzić do fałszywego panelu płatności. Wiarygodność danych w treści nie zastępuje weryfikacji miejsca, w którym logujemy się i płacimy.
Dostęp do rejestratora jest kontem o wysokiej wartości
Panel domeny i hostingu może pozwalać zmieniać DNS, pocztę i inne elementy infrastruktury. Dlatego warto zabezpieczyć go unikalnym hasłem oraz MFA, jeśli usługa je oferuje. Przy podejrzeniu przejęcia nie wystarczy sprawdzić samej płatności. Trzeba również ocenić, czy ustawienia domeny i konta nie zostały zmienione.