CERT Polska prowadzi Listę Ostrzeżeń przed niebezpiecznymi stronami od marca 2020 roku. Trafiają na nią domeny wykorzystywane do wyłudzania danych i innych nadużyć skierowanych do polskich użytkowników internetu. Lista jest wykorzystywana przez operatorów telekomunikacyjnych, firmy i organizacje do ograniczania dostępu do złośliwych stron.
Lista działa na podstawie wykrytych i zgłoszonych zagrożeń
Złośliwa domena musi najpierw zostać zauważona i oceniona. To oznacza, że nowa strona phishingowa może przez pewien czas nie znajdować się na liście. Brak wpisu nie jest więc certyfikatem bezpieczeństwa. Nadal trzeba sprawdzać adres, kontekst i źródło wiadomości.
Każdy może zgłosić podejrzaną stronę
CERT Polska udostępnia formularz na incydent.cert.pl. Można zgłaszać strony wyłudzające dane osobowe, loginy do banku, poczty czy mediów społecznościowych. Jeśli źródłem jest podejrzany SMS z linkiem, wiadomość można przekazać na numer 8080.
Zgłoszenie jest analizowane, a nie automatycznie dodawane
Według informacji CERT Polska podejrzane strony są oceniane przez analityków. To ważne, bo samo zgłoszenie użytkownika nie powinno automatycznie blokować dowolnej domeny. Lista ma ograniczać realne zagrożenia, a nie służyć do prywatnych sporów.
Blokada nie usuwa strony z internetu
Lista jest wykorzystywana do ograniczania dostępu, ale CERT Polska i operatorzy nie przejmują domeny ani nie usuwają zawartości z serwera. Atakujący może też szybko przenieść kampanię na nowy adres. Dlatego system wymaga ciągłego aktualizowania.
Komunikat blokady jest sygnałem, którego nie warto omijać
Jeżeli operator ostrzega, że strona znajduje się na liście zagrożeń, nie należy szukać sposobu na obejście blokady tylko dlatego, że wiadomość wygląda wiarygodnie. Lepiej wrócić do instytucji lub firmy innym kanałem i sprawdzić, jaki jest prawidłowy adres.
Największa wartość listy jest wspólnotowa
Jedna osoba zgłaszająca nową kampanię może pomóc szybciej ochronić wielu kolejnych użytkowników. To jeden z powodów, dla których warto przekazywać podejrzane SMS-y i strony nawet wtedy, gdy samemu nie podało się żadnych danych.
Lista nie jest wyszukiwarką wszystkich oszustw w internecie
Jeżeli domeny nie ma na liście, może być po prostu nowa albo jeszcze niezgłoszona. Atakujący często korzystają z adresów bardzo krótko, dlatego własna ocena wiadomości i domeny nadal ma znaczenie. Lista jest warstwą ochrony, a nie gwarancją, że wszystko poza nią jest bezpieczne.
Ostrzeżenie operatora warto potraktować poważnie
Jeżeli wejście na stronę zostaje zatrzymane komunikatem o zagrożeniu, nie należy automatycznie szukać sposobu obejścia blokady. Nawet jeśli oczekujesz przesyłki albo płatności, wróć do firmy własną drogą. Prawdziwa usługa powinna być dostępna również przez jej znaną domenę lub aplikację.
Zgłoszenie powinno dotyczyć realnego podejrzenia nadużycia
Lista Ostrzeżeń nie jest narzędziem do zgłaszania strony tylko dlatego, że nie podoba się użytkownikowi lub trwa spór ze sprzedawcą. CERT Polska analizuje domeny związane z wyłudzaniem danych i innymi cyberzagrożeniami. Przy zwykłym sporze konsumenckim istnieją inne ścieżki.
Domena może zniknąć z kampanii szybciej niż z pamięci użytkownika
Atakujący potrafi porzucić jeden adres i po chwili wysłać ten sam scenariusz z nowego. Dlatego ważniejsze od zapamiętywania listy konkretnych złych domen jest rozumienie schematu: niespodziewana wiadomość, presja, link, formularz logowania albo płatności. Gdy wzorzec jest rozpoznawalny, kolejna domena nie zaczyna od zera.
Zgłaszanie buduje dane o nowych kampaniach
Każda nowa wiadomość może zawierać domenę, której analitycy jeszcze nie widzieli. Przekazanie jej pozwala zestawić ją z innymi zgłoszeniami i szybciej reagować. To jedna z niewielu sytuacji, w których pojedynczy użytkownik bez wiedzy technicznej może bezpośrednio pomóc w ochronie szerszej grupy.
Brak strony na liście nie oznacza, że jest bezpieczna
Lista powstaje na podstawie wykrytych i potwierdzonych zagrożeń. Nowa domena phishingowa może jeszcze nie zostać zgłoszona albo zweryfikowana. Dlatego sprawdzenie listy jest dodatkowym sygnałem, a nie certyfikatem bezpieczeństwa strony, której tam nie ma.
Zgłoszenie podejrzanej strony jest proste
CERT Polska przyjmuje zgłoszenia stron wyłudzających dane przez formularz incydent.cert.pl/phishing. Jeśli źródłem adresu jest SMS, wiadomość można przekazać na 8080. Numer służy do przyjmowania wiadomości SMS, nie do rozmowy telefonicznej z konsultantem.
Lista ogranicza część ryzyka, ale nie zastępuje uważności
Operatorzy mogą wykorzystywać Listę Ostrzeżeń do blokowania dostępu do potwierdzonych niebezpiecznych domen. Przestępcy stale tworzą jednak nowe adresy. W wiadomości nadal warto sprawdzać presję, prośbę o logowanie lub płatność oraz zgodność domeny z oficjalnym serwisem instytucji.
Nie publikuj podejrzanego linku jako ostrzeżenia dla znajomych
Rozsyłanie aktywnego adresu w grupie lub social media może spowodować, że ktoś kliknie go z ciekawości. Bezpieczniej opisać schemat oszustwa i skierować odbiorców do oficjalnego ostrzeżenia CERT, jeśli takie już istnieje.
Wpis może zniknąć po czasie
CERT opisuje mechanizm, w którym domeny są blokowane przez określony czas i mogą zostać ponownie dodane, jeśli nadal zawierają niebezpieczne treści. Dlatego brak dawnego wpisu po wielu miesiącach także nie powinien być interpretowany jako historia pełnego bezpieczeństwa domeny.
Brak domeny na liście nie jest certyfikatem bezpieczeństwa
Lista Ostrzeżeń reaguje na zgłoszone i zweryfikowane niebezpieczne strony, ale internet zmienia się szybciej niż jakakolwiek lista. Nowa domena phishingowa może nie być jeszcze zgłoszona. Dlatego brak wpisu nie powinien być używany jako dowód, że strona jest bezpieczna. Nadal trzeba oceniać adres, kontekst wiadomości i to, czy do serwisu weszliśmy właściwym kanałem.
Lista pomaga ograniczać dostęp do znanych zagrożeń
CERT Polska opisuje mechanizm, w którym zgłoszone domeny służące do wyłudzania danych mogą trafiać na listę wykorzystywaną przez operatorów i inne systemy ochronne. To warstwa ograniczająca skutki kampanii, a nie zamiennik ostrożności po stronie użytkownika.
Zgłoszenie ma wartość także wtedy, gdy nie masz pewności
Podejrzaną stronę można zgłosić formularzem CERT Polska. SMS z linkiem można przekazać na 8080. Użytkownik nie musi samodzielnie rozstrzygać, czy domena na pewno jest phishingiem. Weryfikacją zgłoszenia zajmuje się właściwy zespół. To lepsze niż publiczne oskarżanie właściciela domeny na podstawie samego podejrzenia.