To zdjęcie zostało wygenerowane z pomocą sztucznej inteligencji (AI). Bezpieczną stronę rozpoznasz po prawidłowej domenie, certyfikacie SSL, spójnej treści oraz braku presji na natychmiastowe podanie danych. Sama kłódka przy adresie nie wystarcza, dlatego sprawdź także właściciela witryny, jej reputację i sposób działania. Te czynności zajmują kilka minut, a mogą uchronić Cię przed phishingiem, utratą pieniędzy i kradzieżą tożsamości.
Od czego zacząć sprawdzanie strony?
Najpierw zatrzymaj się przed kliknięciem przycisku logowania, płatności lub pobierania pliku. Fałszywa witryna może wyglądać niemal identycznie jak serwis banku, sklepu czy operatora płatności. Phishing wykorzystuje właśnie tę pozorną wiarygodność, aby przejąć login, hasło, numer karty albo kod autoryzacyjny.
Adres otrzymany w wiadomości SMS, e-mailu lub komunikatorze traktuj z rezerwą. Oszuści często informują o rzekomym zadłużeniu, blokadzie konta, niedopłacie albo wyjątkowej promocji. Presja czasu ma ograniczyć Twoją czujność – legalna firma nie powinna wymuszać pochopnej decyzji komunikatem o natychmiastowej zapłacie.
Sprawdź pełny adres URL
W pasku przeglądarki odczytaj całą domenę, a nie tylko początek tekstu. Liczy się fragment przed pierwszym ukośnikiem. W adresie login.ingbank.pl/mojeing/app właściwą domeną jest login.ingbank.pl, natomiast dalsze ścieżki opisują konkretną podstronę.
Przy logowaniu do ING Banku Śląskiego S.A. sprawdź, czy końcowe części domeny odpowiadają nazwie banku i rozszerzeniu pl. Dodatkowe parametry po ciągu #login, w tym oauth2/ref oraz zmienny ciąg liter i cyfr, mogą być prawidłowym elementem adresu Mojego ING od 24 listopada 2024 roku.
Podejrzane będą między innymi domeny z literówkami, zamienionymi znakami lub myślnikami: ing.bank.pl, inqbank.pl, login.banking.pl, ing-pl.com, login-ing-pl.com oraz ing.b0nk.pl. Na telefonie dotknij paska adresu, ponieważ przeglądarka często ukrywa jego pełną wersję.
Jak ocenić certyfikat i wygląd witryny?
Adres powinien zaczynać się od https://, a przeglądarka powinna sygnalizować szyfrowane połączenie. Certyfikat SSL chroni przesyłanie danych między urządzeniem a serwerem, lecz nie potwierdza, że właściciel domeny jest uczciwy. Cyberprzestępca także może uzyskać certyfikat dla własnej, fałszywej strony.
Kłódka oznacza szyfrowanie połączenia, ale nie stanowi dowodu autentyczności witryny. Zawsze porównaj nazwę domeny i organizację wskazaną w certyfikacie.
Kliknij ikonę informacji przy adresie i otwórz szczegóły certyfikatu. Przy logowaniu do bankowości ING dokument powinien wskazywać ING Bank Śląski S.A. Jeżeli kłódka jest przekreślona, połączenie nie jest zabezpieczone albo certyfikat wystawiono dla innej organizacji, nie wpisuj żadnych danych.
Przyjrzyj się treści
Fałszywe strony często zawierają błędy językowe, nienaturalne tłumaczenia, nietypowe czcionki i niespójne kolory. Zwróć uwagę na brakujące logotypy, rozmazane grafiki oraz przyciski prowadzące do nieznanych adresów. Pojedynczy błąd nie przesądza o oszustwie, ale kilka takich sygnałów powinno przerwać transakcję.
Sprawdź zakładkę kontaktową, dane firmy i politykę prywatności. Dokument powinien wyjaśniać, jakie informacje są zbierane, gdzie są przechowywane i komu mogą zostać przekazane. Brak tych danych albo bardzo ogólny tekst utrudniają ocenę wiarygodności serwisu.
Obserwuj zachowanie strony
Nagłe przekierowania, liczne wyskakujące okna, automatyczne pobieranie plików i żądanie dostępu do kamery lub mikrofonu nie pasują do zwykłej płatności. Ostrzeżenie przeglądarki o możliwym włamaniu lub złośliwej zawartości potraktuj poważnie. Malware może zostać umieszczone także na wcześniej legalnej stronie, która padła ofiarą ataku.
Jakie dane może wyłudzać fałszywa witryna?
Zakres żądanych informacji często wskazuje na próbę oszustwa. Zwykły sklep nie powinien wymagać hasła do bankowości ani kodu SMS służącego do zatwierdzania operacji. Nigdy nie wpisuj danych tylko dlatego, że formularz wygląda znajomo.
Przestępcy mogą próbować przejąć:
- login i hasło do bankowości internetowej,
- numer karty, datę ważności oraz kod CVV,
- kod SMS, kod push lub inne dane autoryzacyjne,
- numer PESEL, adres, numer telefonu i dane dokumentu.
Legalny operator płatności, taki jak eService, stosuje mechanizmy weryfikacji transakcji, ale nie zwalnia to użytkownika ze sprawdzenia adresu. Do serwisu banku lub operatora przejdź samodzielnie, wpisując jego adres w przeglądarce.
Jak sprawdzić reputację strony internetowej?
Wątpliwy adres możesz przeanalizować w kilku niezależnych narzędziach. Wynik jednego skanera nie daje pełnej pewności, ponieważ bazy zagrożeń aktualizują się w różnym tempie. Porównanie rezultatów zwiększa wiarygodność oceny.
| Narzędzie | Co sprawdza | Wynik |
| Bezpieczne Przeglądanie Google | Znane strony z phishingiem i malware | Ostrzeżenie lub brak wykrytych zagrożeń |
| VirusTotal | Adres URL w wielu usługach bezpieczeństwa | Liczba wykryć, nawet do około 80 skanerów |
| UpGuard | Ogólny poziom bezpieczeństwa zasobu | Ocena liczbowa od 0 do 950 oraz litera A–F |
Bezpieczne Przeglądanie Google służy do wykrywania witryn, które mogą rozpowszechniać złośliwe oprogramowanie lub wyłudzać dane. VirusTotal porównuje adres z wieloma bazami i skanerami. W UpGuard wynik A albo B jest zwykle lepszym sygnałem niż niskie oceny, lecz nadal wymaga sprawdzenia domeny i treści.
Jeśli narzędzie pokazuje zagrożenie, nie otwieraj strony ponownie na tym samym urządzeniu. Raport może zawierać błąd, dlatego porównaj wynik z adresem znanej, legalnej witryny. Nie ignoruj jednak powtarzających się ostrzeżeń z kilku źródeł.
Sprawdź właściciela domeny
Bazę WHOIS Krajowego Rejestru Domen można wykorzystać do sprawdzenia daty rejestracji i podstawowych danych domeny. Bardzo świeża domena, brak danych kontaktowych oraz nazwa niezwiązana z deklarowaną firmą zwiększają ryzyko. Sama data rejestracji nie przesądza o oszustwie, lecz pomaga ocenić kontekst.
Opinie użytkowników również bywają pomocne. Szukaj informacji o domenie niezależnie, zamiast korzystać z rekomendacji zamieszczonych na podejrzanej stronie. Odznaki zaufania można łatwo skopiować, więc nie traktuj ich jako samodzielnego potwierdzenia autentyczności.
Co zrobić po wejściu na fałszywą stronę?
Jeżeli jeszcze niczego nie wpisałeś, zamknij kartę i nie pobieraj proponowanych plików. Nie odpowiadaj też na wiadomość, z której pochodził link. Podejrzaną domenę możesz zgłosić do CERT Polska, aby trafiła do analizy.
Po wpisaniu loginu, hasła lub danych karty działaj natychmiast:
- skontaktuj się z bankiem oficjalnym numerem i zastrzeż kartę,
- zmień hasło, zaczynając od konta, którego dane podano na stronie,
- unieważnij aktywne sesje oraz metody autoryzacji, jeśli bank na to pozwala,
- przeskanuj urządzenie aktualnym programem ochronnym i zgłoś zdarzenie.
Nie zatwierdzaj żadnego powiadomienia w aplikacji bankowej, którego sam nie rozpocząłeś. Jeśli doszło do przelewu, przekaż bankowi godzinę zdarzenia, adres witryny, treść wiadomości i potwierdzenia płatności. Te szczegóły ułatwiają szybkie zablokowanie operacji.
FAQ – najczęściej zadawane pytania
Jak szybko ocenić, czy strona może być fałszywa przed zalogowaniem się?
Zatrzymaj się i sprawdź pełny adres URL oraz czy strona nie wywiera presji na natychmiastowe podanie danych; podejrzane linki często przychodzą w SMS-ach lub e-mailach z groźbą lub ofertą specjalną.
Co dokładnie sprawdzić w pasku adresu przeglądarki?
Odczytaj całą domenę przed pierwszym ukośnikiem i porównaj ją z oczekiwaną nazwą serwisu; na telefonie dotknij paska, by zobaczyć pełny adres.
Czy kłódka przy adresie gwarantuje, że strona jest bezpieczna?
Kłódka oznacza tylko szyfrowane połączenie, nie autentyczność właściciela; sprawdź też dane organizacji w certyfikacie.
Jakie sygnały w wyglądzie strony wskazują na możliwe oszustwo?
Błędy językowe, nieprofesjonalne grafiki, brak logo, nietypowe czcionki i przyciski prowadzące do obcych adresów powinny wzbudzić podejrzenia.
Jakie informacje nigdy nie powinny być wymagane przez zwykły sklep internetowy?
Sklep nie powinien prosić o hasło do bankowości ani kod SMS służący do autoryzacji transakcji; to typowy sygnał wyłudzenia.
Jak sprawdzić reputację witryny za pomocą narzędzi zewnętrznych?
Przeanalizuj adres w kilku niezależnych skanerach, np. Google Safe Browsing, VirusTotal i UpGuard, i porównaj wyniki zamiast polegać na jednym źródle.
Co zrobić, jeśli już wpisałem dane na podejrzanej stronie?
Natychmiast skontaktuj się z bankiem, zastrzeż kartę, zmień hasło i przeskanuj urządzenie programem antywirusowym.
Jak sprawdzić właściciela domeny i dlaczego to ważne?
Użyj bazy WHOIS, by zobaczyć datę rejestracji i dane kontaktowe; bardzo świeża rejestracja lub brak informacji zwiększają ryzyko.
Często zadawane pytania
Zatrzymaj się i sprawdź pełny adres URL oraz czy strona nie wywiera presji na natychmiastowe podanie danych; podejrzane linki często przychodzą w SMS-ach lub e-mailach z groźbą lub ofertą specjalną.
Odczytaj całą domenę przed pierwszym ukośnikiem i porównaj ją z oczekiwaną nazwą serwisu; na telefonie dotknij paska, by zobaczyć pełny adres.
Kłódka oznacza tylko szyfrowane połączenie, nie autentyczność właściciela; sprawdź też dane organizacji w certyfikacie.
Błędy językowe, nieprofesjonalne grafiki, brak logo, nietypowe czcionki i przyciski prowadzące do obcych adresów powinny wzbudzić podejrzenia.
Sklep nie powinien prosić o hasło do bankowości ani kod SMS służący do autoryzacji transakcji; to typowy sygnał wyłudzenia.
Przeanalizuj adres w kilku niezależnych skanerach, np. Google Safe Browsing, VirusTotal i UpGuard, i porównaj wyniki zamiast polegać na jednym źródle.
Natychmiast skontaktuj się z bankiem, zastrzeż kartę, zmień hasło i przeskanuj urządzenie programem antywirusowym.
Użyj bazy WHOIS, by zobaczyć datę rejestracji i dane kontaktowe; bardzo świeża rejestracja lub brak informacji zwiększają ryzyko.
