Jak sprawdzić, czy link jest bezpieczny?

Otrzymałeś link w e-mailu, SMS-ie lub komunikatorze i nie wiesz, czy możesz go otworzyć? Najbezpieczniejsza zasada jest prosta: jeśli masz choć cień wątpliwości, nie klikaj. Najpierw sprawdź nadawcę, kontekst wiadomości i prawdziwy adres URL.

Jak sprawdzić link bez instalowania programu?

Phishing polega na podszywaniu się pod bank, sklep, urząd, kuriera lub inną znaną firmę. Wiadomość ma skłonić Cię do podania loginu, hasła, danych karty albo pobrania złośliwego pliku. Oszuści często wykorzystują pośpiech, strach i obietnicę korzyści, dlatego nie podejmuj decyzji pod presją czasu.

Manualna weryfikacja nie daje absolutnej pewności, ale pozwala wychwycić wiele prób oszustwa. Wykonaj te czynności:

Najedź kursorem na link – na komputerze ustaw wskaźnik myszy na odnośniku, ale go nie klikaj. W dolnej części okna przeglądarki lub programu pocztowego powinien pojawić się rzeczywisty adres. Na telefonie nie otwieraj odnośnika tylko po to, aby go sprawdzić. Możesz skopiować go bez przechodzenia na stronę, korzystając z menu kontekstowego.
Sprawdź domenę – zwróć uwagę na główną nazwę witryny, literówki, nietypowe znaki i dodatkowe człony. Adres podszywający się pod bank może różnić się od prawdziwego jednym znakiem. Sama kłódka lub szyfrowanie HTTPS nie potwierdza, że strona należy do właściwej firmy. Złośliwa witryna także może korzystać z HTTPS.
Nie ufaj skróconym adresom – linki typu tiny-URL ukrywają docelową domenę. Są użyteczne w niektórych sytuacjach, ale w wiadomościach dotyczących bankowości, płatności, przesyłek lub urzędów powinny wzbudzić ostrożność.
Wpisz adres ręcznie – jeśli wiadomość dotyczy konta, płatności lub przesyłki, otwórz oficjalną aplikację albo samodzielnie wpisz adres firmy w przeglądarce. Nie korzystaj z danych logowania pochodzących z podejrzanego odnośnika.

Sam adres URL to nie wszystko. Sprawdź, czy wiadomość była oczekiwana, czy nadawca używa oficjalnego adresu oraz czy treść pasuje do wcześniejszego kontaktu. W razie wątpliwości skontaktuj się z firmą przez numer lub stronę znalezione niezależnie, a nie przez dane z wiadomości.

Jak rozpoznać podejrzaną wiadomość?

Pojedynczy sygnał nie zawsze przesądza o oszustwie, ale kilka oznak naraz powinno wystarczyć, by nie otwierać linku. Porównaj typowe cechy:

Cecha	Bezpieczne źródło	Podejrzana wiadomość
Adres nadawcy	Oficjalna domena organizacji i zgodność z kontekstem	Dziwna domena, literówki lub przypadkowy adres
Ton komunikatu	Spokojna informacja bez wymuszania natychmiastowej reakcji	Groźba blokady, dopłaty albo presja czasu
Język	Spójna treść, poprawna pisownia i naturalne sformułowania	Błędy, brak polskich znaków, nietypowe zwroty
Adres linku	Domena zgodna z oficjalną stroną usługodawcy	Skrócony adres, nietypowe znaki lub domena podobna do prawdziwej

Przewiń tabelę w bok →

Jakie narzędzia pomagają sprawdzić link?

Narzędzia automatyczne mogą uzupełnić ręczną ocenę adresu. Nie traktuj ich jednak jako gwarancji bezpieczeństwa, ponieważ nowe domeny i kampanie mogą nie być jeszcze rozpoznane. Przydatne są:

Skanery adresów URL – na przykład VirusTotal lub F-Secure Link Checker. Adres należy wkleić do formularza, bez otwierania strony w przeglądarce.
Ochrona przeglądarki – popularne przeglądarki ostrzegają przed częścią znanych stron phishingowych i złośliwych plików.
Program antywirusowy – może blokować niebezpieczne witryny, pobierane pliki i część złośliwych skryptów.
Oficjalna aplikacja lub strona usługodawcy – w przypadku banku, kuriera czy urzędu jest zwykle bezpieczniejszym kanałem niż link z wiadomości.

Brak ostrzeżenia w skanerze nie oznacza, że możesz bez zastanowienia podać hasło lub dane karty. Ostatecznie liczy się także źródło wiadomości i jej kontekst.

Co zrobić po kliknięciu podejrzanego linku?

Nie zakładaj od razu, że doszło do kradzieży danych. Działaj spokojnie, ale szybko, zwłaszcza jeśli strona wyświetliła formularz logowania, poprosiła o dane płatnicze albo rozpoczęło się pobieranie pliku.

W takiej sytuacji wykonaj następujące czynności:

Odłącz urządzenie od sieci – wyłącz Wi-Fi lub transmisję danych, jeśli strona pobrała plik, uruchomiła nietypowy proces albo urządzenie zachowuje się podejrzanie.
Nie podawaj dalszych danych – zamknij kartę i nie wpisuj loginu, hasła, kodu SMS ani danych karty, nawet jeśli komunikat ostrzega przed blokadą konta.
Zmień hasła – jeśli podałeś dane logowania, zrób to z czystego urządzenia lub zaufanej aplikacji. Zmień także hasła używane ponownie w innych usługach i włącz uwierzytelnianie dwuskładnikowe.
Skontaktuj się z bankiem – gdy podałeś dane płatnicze, zatwierdziłeś transakcję lub zauważyłeś nieznaną operację, natychmiast zadzwoń do banku jego oficjalnym kanałem.
Przeskanuj urządzenie – uruchom aktualne oprogramowanie zabezpieczające i sprawdź, czy nie został pobrany złośliwy plik.
Zgłoś incydent – przekaż informację dostawcy poczty, operatorowi usługi lub właściwemu zespołowi reagowania, na przykład CERT Polska.

Najbezpieczniejsza decyzja przy nieznanym linku to brak kliknięcia. Ręczne sprawdzenie domeny, niezależne wejście na oficjalną stronę i ostrożność wobec presji czasu zwykle zajmują mniej czasu niż odzyskiwanie przejętego konta lub zgłaszanie nieautoryzowanej płatności.