Klient firmy logistycznej dostaje wiadomość o zmianie numeru konta do przelewów. Logo, stopka i podpis się zgadzają, a adres nadawcy różni się od prawdziwego jedną literą: zamiast „firmaprzyklad.pl” jest „firmaprzykald.pl”. Klient płaci, firma dowiaduje się o wszystkim przy windykacji, a dział IT sprawdza rekord DMARC, który od dawna działa poprawnie.
Typosquatting, czyli rejestrowanie domen łudząco podobnych do domeny marki, jest dla atakującego tani, a dla ofiary trudny do zauważenia. W cyberbezpieczeństwie poczty to luka, której nie zamyka żaden rekord DNS po stronie firmy, bo podróbka jest cudzą domeną z własnymi rekordami. Obrona polega na wykrywaniu takich domen, ocenie, które są groźne, i szybkim ich zablokowaniu albo przejęciu.
Czym jest typosquatting?
Typosquatting to rejestracja domeny, która różni się od domeny marki literówką albo innym drobnym szczegółem, po to, żeby odbiorca wziął ją za prawdziwą. Taką domenę atakujący wykorzystuje w wiadomościach e-mail, na fałszywych stronach logowania albo do dystrybucji złośliwego oprogramowania.
Baza MITRE ATT&CK opisuje to zjawisko w technice T1583.001 (Acquire Infrastructure: Domains), w wersji 1.4 zmienionej 18 września 2026 r. Według opisu atakujący mogą wybierać domeny podobne do prawdziwych, także przez homoglify albo inną domenę najwyższego poziomu, a typosquatting może posłużyć do dostarczania złośliwego kodu metodą drive-by. Domeny można kupić, a czasem uzyskać za darmo. MITRE wymienia też przejmowanie wygasłych domen, którym obrońcy mogą ufać ze względu na ich historię.
W szerszym znaczeniu typosquatting obejmuje każdą domenę zbudowaną tak, żeby udawać markę, nie tylko samą literówkę. Liczy się cel, czyli pomylenie odbiorcy, a nie konkretna technika.
Jakie techniki tworzenia domen-podróbek stosują atakujący?
Atakujący modyfikują nazwę marki tak, żeby różnica umknęła przy szybkim czytaniu: usuwają lub przestawiają litery, podmieniają znaki na podobne, zmieniają domenę najwyższego poziomu albo doklejają słowo. Poniższa tabela pokazuje warianty dla przykładowej domeny „firmaprzyklad.pl”.
| Technika | Przykład | Co ją zdradza |
|---|---|---|
| pominięcie litery | firmaprzykad.pl | krótsza nazwa, widoczna przy powolnym czytaniu |
| przestawienie liter | firmaprzykald.pl | zaburzona kolejność, łatwa do przeoczenia |
| podwojenie litery | firmaprzykklad.pl | powtórzony znak |
| znak podobny wizualnie | firmaprzyk1ad.pl, firrnaprzyklad.pl | cyfra zamiast litery, „rn” zamiast „m” |
| inna domena najwyższego poziomu | firmaprzyklad.com.pl, firmaprzyklad.eu | końcówka adresu |
| dodane słowo lub myślnik | firmaprzyklad-faktury.pl | dodatkowy człon, który brzmi wiarygodnie |
| zwodnicza subdomena | firmaprzyklad.pl.logowanie-konta.com | prawdziwa domena stoi na początku, a nie na końcu adresu |
| znak diakrytyczny | firmaprzykład.pl | „ł” zamiast „l”, prawie niewidoczne w małej czcionce |
Ostatni wiersz pokazuje, że domena-podróbka nie musi zawierać błędu. Dla firmy, która zarejestrowała nazwę bez polskich znaków, nazwa z „ł” jest osobną, wolną domeną. Wiersz „zwodnicza subdomena” to z kolei wariant szerszego znaczenia z sekcji definicyjnej: nikt nie rejestruje tu literówki domeny marki, tylko umieszcza jej nazwę w subdomenie własnej domeny.
Do czego atakujący wykorzystują domeny-podróbki?
Atakujący wykorzystują domeny-podróbki przede wszystkim do wiadomości, które mają wyglądać na korespondencję od firmy, i do stron, które mają wyglądać na jej serwisy. MITRE ATT&CK wymienia wśród zastosowań phishing, ataki drive-by oraz komunikację ze złośliwym oprogramowaniem (command and control).
Skalę zjawiska w Polsce widać w opisie Listy Ostrzeżeń CERT Polska: strony wyłudzające dane są rejestrowane w dużych ilościach, używane krótko po rejestracji, a potem porzucane na rzecz nowych adresów. Dla obrońcy oznacza to, że domena bywa groźna od pierwszych godzin i przestaje być potrzebna atakującemu, zanim zwykła procedura prawna zdąży się zacząć.
Scenariusze, które bezpośrednio kosztują pieniądze albo dostęp, to: faktury z podmienionym numerem konta, prośby o pilny przelew od rzekomego zarządu oraz fałszywe strony logowania do poczty, systemu klienta albo panelu partnera. Ten sam schemat podszywania się pod osoby opisuje tekst o spear phishingu.
Dlaczego DMARC, SPF i DKIM nie chronią przed typosquattingiem?
DMARC, SPF i DKIM chronią przed użyciem Twojej własnej domeny, a domena-podróbka jest inną domeną, którą atakujący konfiguruje według własnej woli. Może ona mieć poprawne rekordy SPF, podpisy DKIM i politykę DMARC, więc wiadomość z niej przejdzie wszystkie trzy testy.
Specyfikacja RFC 9989 z maja 2026 r., która zastąpiła RFC 7489, mówi to wprost w sekcji o phishingu: DMARC może bezpośrednio zwalczać tylko podszywanie się pod dokładnie tę samą domenę i nie zajmuje się domenami podobnymi wizualnie ani nazwą wyświetlaną nadawcy. Wdrożenie DMARC jest więc warunkiem koniecznym, ale nie wystarczającym.
Jak skonfigurować SPF, DKIM i DMARC dla własnej domeny, opisuje przewodnik po bezpieczeństwie poczty elektronicznej. Typosquatting wymaga dodatkowej warstwy, która patrzy na domeny spoza Twojej kontroli. Różnicę między podszywaniem się pod prawdziwą domenę a podróbką wyjaśnia też tekst o spoofingu.
Czym są ataki homograficzne IDN i czy dotyczą domen .pl?
Atak homograficzny IDN polega na rejestracji domeny ze znakami z innego alfabetu, które wyglądają jak łacińskie, na przykład cyrylickie „а” zamiast łacińskiego „a”. MITRE ATT&CK opisuje taki wariant jako „IDN homograph attack”, w którym atakujący tworzy wizualnie podobne domeny przy użyciu znaków cyrylicy lub greki.
Technicznie nazwa ze znakami narodowymi jest zapisywana w DNS w postaci ASCII z prefiksem „xn—”, zgodnie z kodowaniem Punycode z RFC 3492 (marzec 2003 r.) i zasadami IDNA z RFC 5890 (sierpień 2010 r.). NASK, rejestr domeny .pl, zapisuje w zasadach rejestracji domen IDN, że przedmiotem umowy jest właśnie postać ASCII, a nazwa może zawierać znaki tylko z jednego zestawu znaków narodowych. Mieszanie zestawów jest niedozwolone.
Dla domen .pl oznacza to, że nazwa łącząca łacińskie litery z cyrylickimi nie przejdzie rejestracji. Nie chroni to jednak przed nazwą zbudowaną w całości z jednego zestawu, na przykład łacińskiego ze znakiem „ł” albo „ó”, ani przed domenami w innych rejestrach, które mają własne zasady. Do wykrywania znaków mylących służą mechanizmy opisane w standardzie Unicode UTS #39 (wersja 18.0.0 z 27 sierpnia 2026 r.), który rozróżnia znaki mylące w obrębie jednego pisma, między pismami i całe nazwy z innego pisma.
Jak wykrywać domeny podszywające się pod firmę?
Domeny-podróbki wykrywa się, porównując nowe rejestracje, rekordy DNS i certyfikaty z listą wariantów nazwy firmy. Nie wystarczy jednorazowe sprawdzenie, bo nowe domeny powstają codziennie.
MITRE ATT&CK w opisie wykrywania techniki T1583.001 zaleca monitorowanie domen o strukturze podobnej do własnej, także w innych domenach najwyższego poziomu, oraz korzystanie z baz WHOIS i pasywnego DNS. Ten sam opis zastrzega, że wykrywanie oparte na reputacji jest trudne, dopóki domena nie zostanie skategoryzowana. Świeża podróbka zwykle nie ma jeszcze złej reputacji.
Drugim źródłem sygnałów są publiczne dzienniki certyfikatów. RFC 9162 (grudzień 2021 r.) opisuje Certificate Transparency: zainteresowani mogą regularnie odpytywać dzienniki o nowe wpisy, a monitorować je może każdy. Certyfikat dla nazwy zbliżonej do Twojej marki to sygnał, że ktoś przygotowuje stronę z kłódką w pasku adresu.
W praktyce proces składa się z trzech elementów: listy wariantów nazwy (literówki, znaki podobne, inne końcówki), źródeł danych o nowych domenach i certyfikatach oraz reguły, kto i w jakim czasie ocenia trafienie. Bez trzeciego elementu monitoring generuje listę, której nikt nie czyta.
Najważniejsze:
- Domena-podróbka jest cudzą domeną, więc DMARC we własnej domenie jej nie zatrzyma.
- W domenie .pl mieszanie alfabetów jest zakazane, ale warianty ze znakami diakrytycznymi są możliwe.
- Wykrywanie opiera się na monitoringu rejestracji, DNS i dzienników certyfikatów, nie na reputacji domeny.
Jak ocenić, czy znaleziona domena jest groźna?
Znalezioną domenę ocenia się według tego, czy jest gotowa do ataku: czy ma rekordy poczty, certyfikat, treść podobną do Twojej strony i świeżą datę rejestracji. Sama rejestracja podobnej nazwy nie musi oznaczać ataku, bo bywa przypadkiem albo działaniem spekulanta domen.
Rekord MX oznacza, że domena jest gotowa odbierać pocztę, więc może prowadzić korespondencję z klientami, którzy odpowiedzą na wiadomość. Certyfikat i strona logowania łudząco podobna do Twojej oznaczają przygotowanie do wyłudzenia danych. Domena zarejestrowana kilka dni temu, z ukrytymi danymi abonenta i nazwą zawierającą słowa „faktura”, „płatność” czy „logowanie”, wymaga reakcji w ciągu godzin, a nie tygodni.
Wynik oceny warto zapisać w trzech kategoriach: obserwować, zablokować wewnętrznie i zgłosić do usunięcia. Blokada wewnętrzna na bramce pocztowej i w filtrze DNS działa od razu i nie zależy od rejestratora, dlatego idzie przed procedurą usunięcia, a nie zamiast niej.
Czy warto rejestrować domeny podobne do własnej?
Warto zarejestrować kilka najbardziej oczywistych wariantów, ale nie da się w ten sposób zamknąć problemu. MITRE ATT&CK wymienia rejestrację domen podobnych do własnych jako środek zapobiegawczy (M1056, pre-compromise), który ma zniechęcić atakujących do typosquattingu.
Ograniczeniem jest liczba możliwych wariantów. Kombinacji literówek, znaków podobnych, domen najwyższego poziomu i dodanych słów jest więcej, niż firma może utrzymać. Rejestracja obronna ma sens dla wariantów, które klienci wpisują przez pomyłkę, dla głównych końcówek, w których działa firma, i dla nazwy ze znakami diakrytycznymi, jeśli marka zawiera polską literę.
Zarejestrowane warianty powinny przekierowywać na stronę główną i mieć rekordy blokujące wysyłkę poczty, czyli SPF bez dozwolonych nadawców i DMARC z polityką odrzucania. Domena, która ma chronić markę, nie może sama stać się furtką.
Jak usunąć domenę-podróbkę lub zablokować do niej dostęp?
Najszybszą drogą jest blokada dostępu: zgłoszenie strony do CERT Polska oraz do rejestratora i dostawcy hostingu. Przejęcie domeny wymaga już postępowania przed sądem polubownym albo powszechnym, które trwa dłużej. Lista Ostrzeżeń CERT Polska obejmuje strony wyłudzające dane. Domenę używaną wyłącznie do poczty, jak w przykładzie z faktury, zgłasza się rejestratorowi i dostawcy poczty lub hostingu, a do czasu jej usunięcia blokuje na własnej bramce pocztowej.
Lista Ostrzeżeń CERT Polska działa nieprzerwanie od marca 2020 r. Stronę wyłudzającą dane można zgłosić przez formularz incydent.cert.pl/phishing, a podejrzany SMS przekazać na numer 8080. Domena wpisana na listę jest blokowana przez operatorów telekomunikacyjnych, firmy i organizacje, które z niej korzystają, a wpis obowiązuje przez sześć miesięcy.
Dla domen ogólnych, takich jak .com, istnieje procedura UDRP przyjęta przez ICANN 26 sierpnia 1999 r. i stosowana przez wszystkich rejestratorów akredytowanych przez ICANN. Skarżący musi wykazać trzy przesłanki: domena jest identyczna lub myląco podobna do jego znaku towarowego, abonent nie ma do niej praw ani uzasadnionego interesu, a domenę zarejestrowano i używa się jej w złej wierze. Skutkiem może być usunięcie domeny albo jej przeniesienie na skarżącego.
Domena .pl ma własne zasady. Regulamin nazw domeny .pl, w brzmieniu obowiązującym od 1 grudnia 2015 r., kieruje spory do stałych sądów polubownych wskazanych przez NASK albo do innego sądu. Po zawiadomieniu NASK o sporze zmiana abonenta domeny zostaje wstrzymana do jego zakończenia, nie dłużej jednak niż na rok. NASK sam sporów nie rozstrzyga, a wśród sądów polubownych wskazuje m.in. Sąd Polubowny ds. Domen Internetowych przy Polskiej Izbie Informatyki i Telekomunikacji. Wybór drogi prawnej to decyzja dla prawnika, nie dla działu IT.
Jak zbudować proces ochrony marki przed domenami-podróbkami?
Proces ochrony marki buduje się jak każdy proces wykrywania zagrożeń: z listą tego, czego szukamy, źródłami danych, kryteriami oceny, ścieżką reakcji i właścicielem. Poniższa tabela zbiera etapy i sygnały, że dany etap działa.
| Etap | Co obejmuje | Źródło danych lub narzędzie | Kto odpowiada | Sygnał, że działa |
|---|---|---|---|---|
| Lista wariantów | literówki, znaki podobne, inne końcówki, znaki diakrytyczne, dodane słowa | własna lista i generator wariantów | bezpieczeństwo i marketing | lista aktualizowana przy nowej marce lub produkcie |
| Monitoring | nowe rejestracje, rekordy DNS, certyfikaty | WHOIS, pasywny DNS, dzienniki Certificate Transparency, platforma EASM | bezpieczeństwo | trafienia ocenione w ustalonym czasie |
| Ocena | MX, certyfikat, treść strony, data rejestracji | analiza ręczna lub automatyczna | analityk bezpieczeństwa | każde trafienie ma kategorię i datę oceny |
| Blokada wewnętrzna | bramka pocztowa, filtr DNS, serwer proxy | systemy własne | administratorzy | domena zablokowana tego samego dnia |
| Zgłoszenie | CERT Polska, rejestrator, hosting | formularze zgłoszeń | bezpieczeństwo | potwierdzenie przyjęcia zgłoszenia |
| Droga prawna | UDRP dla domen ogólnych, sąd polubowny lub powszechny dla .pl | kancelaria | dział prawny | decyzja o przejęciu albo świadomej rezygnacji |
| Komunikacja | ostrzeżenie klientów i pracowników | strona, newsletter, intranet | marketing i komunikacja | klienci wiedzą, z których domen piszesz |
Ostatni wiersz bywa pomijany, a działa na korzyść firmy w każdym sporze z klientem. Klient, który wie, że faktury przychodzą wyłącznie z jednej domeny, szybciej zauważy podróbkę i szybciej ją zgłosi.
Najważniejsze:
- Lista wariantów, monitoring, ocena i blokada tego samego dnia dają najwięcej przy najmniejszym koszcie.
- Zgłoszenie do CERT Polska blokuje stronę u operatorów, zanim zacznie się droga prawna.
- Przejęcie domeny to UDRP dla domen ogólnych albo sąd polubowny lub powszechny dla .pl.
Jak nFlo może pomóc w wykrywaniu domen podszywających się pod markę?
nFlo wdraża Bitdefender GravityZone EASM, który według opisu produktu wykrywa domeny typu lookalike podszywające się pod markę oraz wygasające certyfikaty. Przy wdrożeniu konfigurujemy zakres monitorowania: domeny, spółki zależne i zasoby wskazanych dostawców, a wykrycia przekładamy na plan działań.
W usłudze Wywiad Zagrożeń (Threat Intelligence) nFlo dostarcza wskaźniki IOC, w tym domeny, do wdrożenia w systemach SIEM i EDR, oraz monitoruje dark web pod kątem wzmianek o organizacji i wycieków danych. nFlo nie jest rejestratorem domen ani kancelarią, więc spory o domeny prowadzi Twój prawnik. Jeśli chcesz sprawdzić, jakie domeny podszywają się dziś pod Twoją markę, skontaktuj się z nami.
Co jeszcze warto wiedzieć o typosquattingu?
Czym typosquatting różni się od spoofingu domeny?
Spoofing podszywa się pod prawdziwą domenę firmy, na przykład wpisując ją w nagłówek nadawcy. Typosquatting używa innej, zarejestrowanej przez atakującego domeny, która tylko wygląda podobnie. Przed spoofingiem chroni DMARC, przed typosquattingiem trzeba monitorować rejestracje podobnych domen.
Czy DMARC chroni przed domenami-podróbkami?
Nie. RFC 9989 z maja 2026 r. zastrzega, że DMARC zwalcza wyłącznie podszywanie się pod dokładnie tę samą domenę i nie zajmuje się domenami podobnymi wizualnie. Domena-podróbka może mieć własne, poprawne rekordy SPF, DKIM i DMARC.
Czy w domenie .pl można zarejestrować nazwę z cyrylicą udającą łacińskie litery?
Nie w jednej nazwie z literami łacińskimi. Zasady NASK dla domen IDN pozwalają użyć znaków tylko z jednego zestawu znaków narodowych i zakazują mieszania zestawów. W ramach zestawu łacińskiego możliwe są jednak nazwy różniące się znakiem diakrytycznym, na przykład ł zamiast l.
Gdzie zgłosić stronę podszywającą się pod firmę?
Stronę wyłudzającą dane można zgłosić do CERT Polska przez formularz incydent.cert.pl/phishing, a podejrzany SMS przekazać na numer 8080. Domeny wpisane na Listę Ostrzeżeń CERT Polska są blokowane przez operatorów i firmy, które z niej korzystają.
Czy rejestracja wszystkich podobnych domen ma sens?
Nie da się zarejestrować wszystkich wariantów, bo liczba możliwych literówek i domen najwyższego poziomu jest zbyt duża. MITRE ATT&CK wskazuje rejestrację podobnych domen jako środek zapobiegawczy, ale rozsądnie jest ograniczyć ją do kilku najbardziej oczywistych wariantów i resztę monitorować.
