Jak unikać phishingu poprzez odpowiednią politykę domenową

Skuteczna ochrona przed phishingiem zaczyna się dużo wcześniej, niż w momencie kliknięcia w podejrzany link. Fundamentem bezpieczeństwa jest świadome zarządzanie **domenami**, ich konfiguracją oraz tym, kto i w jaki sposób może się pod nie podszywać. Odpowiednio zaprojektowana **polityka domenowa** pozwala ograniczyć możliwość fałszowania adresów e‑mail, stron logowania i paneli klienta, a tym samym radykalnie utrudnia atakującym przeprowadzanie oszustw. Zamiast tylko edukować użytkowników, warto tak ustawić domeny, aby ataki phishingowe były wykrywane i odrzucane już na poziomie infrastruktury.

Rola domen w atakach phishingowych

Dlaczego atakujący tak chętnie wykorzystują domeny

Adres domeny jest jednym z pierwszych elementów, na który użytkownicy zwracają uwagę, oceniając wiarygodność strony lub wiadomości e‑mail. Cyberprzestępcy doskonale to rozumieją i inwestują czas oraz środki w rejestrowanie domen podobnych do marek swoich ofiar. W wielu atakach phishingowych kluczowym komponentem nie jest złośliwe oprogramowanie, lecz starannie dobrana, myląca nazwa domeny, która ma stworzyć wrażenie autentyczności.

Na przykład zamiast prawdziwej domeny banku, atakujący mogą użyć adresu z minimalną różnicą wizualną, licząc na nieuwagę odbiorcy. Z punktu widzenia użytkownika drobne różnice, takie jak dodatkowa litera, inna końcówka krajowa lub użycie znaków z alfabetu łudząco podobnych graficznie, bywają niemal niewidoczne. To sprawia, że **domena** staje się potężnym narzędziem socjotechniki.

Przestępcy często łączą takie domeny z darmowymi certyfikatami TLS, dzięki czemu w przeglądarce pojawia się kłódka, a adres zaczyna się od HTTPS. Dla niedoświadczonego użytkownika jest to mylący sygnał bezpieczeństwa, choć w rzeczywistości certyfikat jedynie potwierdza zaszyfrowane połączenie, a nie wiarygodność podmiotu, który domenę zarejestrował.

Najczęstsze techniki podszywania się pod domeny

Istnieje kilka powtarzalnych schematów wykorzystywania domen do phishingu. Jednym z najpopularniejszych jest tzw. typosquatting, czyli rejestrowanie domen z literówkami lub drobnymi zmianami. Przykładowo domena legalnej firmy to:

• mojafirma.pl
• bankonline.pl

Atakujący może zarejestrować:

• mojafirrna.pl (podwójne r zamiast m+n)
• bank-onIine.pl (duże I zamiast małego L)
• mojafirma.com.pl lub mojafirma.net

Kolejną techniką jest combosquatting – rejestrowanie domen zawierających nazwę marki wraz z dodatkowymi słowami, które brzmią wiarygodnie, np. logowanie-mojafirma.pl, mojafirma-secure.com, panel-bankonline.pl. Tego typu adresy są często wykorzystywane w kampaniach phishingowych imitujących panele administracyjne, portale klienta czy strony resetowania hasła.

Coraz powszechniejsze jest też używanie znaków Unicode w nazwach domen. Atakujący dobierają znaki z innych alfabetów, które wyglądają niemal identycznie jak litery łacińskie (tzw. homografy). W efekcie w przeglądarce użytkownik widzi adres pozornie nieodróżnialny od prawdziwego, choć technicznie jest to inna nazwa. Tego typu domeny są wyjątkowo niebezpieczne, jeśli organizacja nie stosuje dodatkowych mechanizmów weryfikacji.

Znaczenie „zdrowego portfela” domen

Portfel domen organizacji to nie tylko jedna główna nazwa, ale zazwyczaj wiele adresów pomocniczych, aliasów regionalnych, domen technicznych i marketingowych. Im bardziej chaotyczny jest ten zestaw, tym łatwiej atakującym wślizgnąć się z podobną nazwą, która umknie uwadze zespołu IT i działu bezpieczeństwa.

Firmy, które nie prowadzą spójnej polityki rejestracji i utrzymania domen, narażają się na sytuacje, w których kończą im się rejestracje, ktoś przejmuje wygasłą domenę lub rejestruje podobną końcówkę krajową. Zdarza się też, że działy marketingu rejestrują domeny na potrzeby kampanii, nie informując o tym zespołów odpowiedzialnych za **bezpieczeństwo**, co tworzy niekontrolowany obszar podatny na nadużycia.

Zdrowy portfel domen oznacza przemyślaną strukturę nazw, kontrolę nad cyklem życia każdej domeny, centralizację odpowiedzialności za ich rejestrację oraz jasne zasady wykorzystywania. Tylko wtedy możliwe jest konsekwentne wdrożenie mechanizmów ochronnych, takich jak SPF, DKIM czy DMARC, w odniesieniu do wszystkich ważnych adresów, z których organizacja komunikuje się z klientami.

Projektowanie bezpiecznej polityki domenowej

Strategia rejestracji i rozszerzeń

Bezpieczna polityka domenowa rozpoczyna się od świadomej strategii rejestracji. Organizacja powinna ustalić, jakie rozszerzenia (TLD) są kluczowe z punktu widzenia klientów, rynków oraz języków, na których działa. Oprócz głównej domeny warto rozważyć rejestrację najważniejszych wariantów, takich jak wersje narodowe (.pl, .de, .fr), popularne domeny globalne (.com, .net) oraz tych rozszerzeń, które często pojawiają się w kampaniach phishingowych.

Nie jest możliwe zarejestrowanie wszystkich kombinacji, ale można zminimalizować ryzyko, zabezpieczając najbardziej prawdopodobne i potencjalnie najbardziej szkodliwe warianty. Dobrą praktyką jest też unikanie zbyt skomplikowanych nazw, które same w sobie zachęcają do tworzenia podobnych, zniekształconych wersji. Im prostsza i krótsza domena, tym łatwiej ją zapamiętać klientom, a jednocześnie trudniej dyskretnie ją podrobić.

W strategii rejestracji ważne jest także ustalenie jasnych zasad dla działu marketingu i partnerów zewnętrznych. Jeśli kampanie są prowadzone na dedykowanych domenach lub subdomenach, powinno to odbywać się według jednolitego schematu, który będzie można objąć spójną konfiguracją zabezpieczeń. Rejestrowanie domen ad hoc, bez konsultacji z zespołem odpowiedzialnym za **infrastrukturę**, zwykle owocuje lukami w zabezpieczeniach.

Zasady nazywania subdomen

Subdomeny są często wykorzystywane do segmentowania usług – panel.mojafirma.pl, api.mojafirma.pl, klient.mojafirma.pl i podobne. Dla atakujących jest to doskonała podstawa do tworzenia adresów phishingowych, które wyglądają na element rozbudowanej infrastruktury dużej organizacji. Polityka domenowa powinna precyzyjnie definiować, jakich subdomen można używać i do jakich celów.

Warto stosować pewne konwencje, np. że subdomeny związane z płatnościami zawsze zawierają konkretny człon, a subdomeny testowe są izolowane i nie są publicznie promowane. Dzięki temu łatwiej w wewnętrznych procedurach wychwycić adresy, które nie pasują do ustalonych wzorców. Równie ważne jest unikanie nadmiernej liczby subdomen, które nie są potrzebne biznesowo – każdy dodatkowy element to potencjalny punkt ataku, zarówno dla phishingu, jak i innych form nadużyć.

Należy też wprowadzić kontrolę nad czasem życia subdomen. Tymczasowe adresy tworzone na potrzeby projektów pilotażowych, akcji promocyjnych lub testów powinny mieć jasno określone daty wyłączenia. Pozostawienie nieużywanych subdomen może prowadzić do sytuacji, w której ktoś przejmuje kontrolę nad nieaktualnym zasobem i wykorzystuje go do podszywania się pod organizację, korzystając z zaufania klientów do dobrze znanej nazwy.

Centralizacja zarządzania domenami

Jednym z największych zagrożeń dla bezpieczeństwa jest rozproszone zarządzanie domenami pomiędzy wieloma działami, dostawcami i osobami, bez centralnego nadzoru. W takiej sytuacji trudno jest nawet sporządzić aktualną listę wszystkich utrzymywanych nazw, a tym bardziej monitorować ich konfigurację DNS, termin ważności oraz zastosowane mechanizmy ochronne.

Skuteczna polityka domenowa zakłada wyznaczenie jednostki lub zespołu, który ma pełny wgląd w portfel domen organizacji, odpowiada za ich rejestrację, odnowienia oraz konfigurację rekordów DNS. Dopuszczalne jest delegowanie części zadań do partnerów lub agencji, ale wymaga to jednoznacznych umów i procedur audytu. Każda nowa domena powinna przechodzić formalny proces rejestracji, w ramach którego od razu są ustawiane odpowiednie rekordy SPF, DKIM i DMARC, a także wymagane zabezpieczenia DNS.

Centralizacja umożliwia również prowadzenie jednolitej polityki haseł, kluczy i dostępów do paneli rejestratorów i dostawców DNS. Częstym błędem jest utrzymywanie paneli na kontach indywidualnych pracowników, co po ich odejściu z firmy tworzy zagrożenia organizacyjne i techniczne. Zamiast tego dostęp powinien być realizowany przez konta firmowe z wieloskładnikowym uwierzytelnianiem i jasnym podziałem ról.

Ochrona poczty: SPF, DKIM i DMARC jako tarcza przeciw phishingowi

Konfiguracja SPF – kontrola nad wysyłającymi serwerami

Rekord SPF (Sender Policy Framework) jest jednym z podstawowych elementów ochrony domeny przed nadużyciami w poczcie elektronicznej. Jego zadaniem jest wskazanie, które serwery mogą wysyłać e‑maile w imieniu danej domeny. Odbiorca, otrzymując wiadomość, sprawdza rekord SPF, aby zweryfikować, czy adres IP serwera nadawcy znajduje się na liście dozwolonych.

Poprawnie skonfigurowany SPF utrudnia atakującym podszywanie się pod adresy organizacji, wykorzystując dowolne serwery w sieci. Jeśli rekordu SPF nie ma lub jest on zdefiniowany zbyt szeroko, przestępcy mogą nadawać wiadomości z dowolnej infrastruktury, a filtry antyspamowe będą miały mniej danych do odrzucenia podejrzanej korespondencji. Dlatego szczególnie istotne jest, aby polityka domenowa wymagała aktualizacji SPF przy każdym wdrażaniu nowego systemu wysyłkowego – np. narzędzia marketing automation czy zewnętrznego helpdesku.

Nie chodzi jednak tylko o dodawanie wpisów. Należy unikać konstrukcji typu „+all” lub nadmiernej liczby zagnieżdżonych odwołań do innych rekordów, co może mieć skutki odwrotne od zamierzonych. Dobrą praktyką jest regularny przegląd konfiguracji SPF, w trakcie którego weryfikuje się, czy wszystkie wymienione serwery są nadal używane i czy nie ma zbędnych wpisów ułatwiających nadużycia. Z uwagi na limit długości i liczbę zapytań DNS, przemyślana struktura SPF jest kluczowa.

DKIM – kryptograficzne potwierdzenie integralności wiadomości

Mechanizm DKIM (DomainKeys Identified Mail) działa w oparciu o kryptografię klucza publicznego. Nadawca wiadomości podpisuje wybrane nagłówki i treść e‑maila kluczem prywatnym powiązanym z domeną, natomiast odbiorca weryfikuje podpis przy użyciu klucza publicznego opublikowanego w rekordzie DNS. Jeśli podpis się zgadza, odbiorca zyskuje wysokie prawdopodobieństwo, że wiadomość nie została zmodyfikowana w trakcie transmisji i pochodzi z deklarowanego źródła.

W kontekście phishingu DKIM utrudnia podszywanie się pod domenę, ponieważ atakujący, nawet jeśli podszyje się pod adres nadawcy, nie będzie w stanie poprawnie podpisać wiadomości. Systemy odbiorcze, które respektują DKIM, mogą wówczas oznaczać takie e‑maile jako podejrzane lub bezpośrednio je odrzucać. Z tego względu każda poważna organizacja powinna włączyć DKIM do standardu dla wszystkich domen, z których wysyłana jest poczta, w tym domen marketingowych i transakcyjnych.

Polityka domenowa powinna określać minimalne wymagania dotyczące długości kluczy oraz cyklicznej rotacji. Zbyt długi okres używania tych samych kluczy zwiększa ryzyko, że zostaną one przechwycone lub osłabione. Należy także zadbać o to, aby każdy zewnętrzny dostawca usług mailingowych wykorzystywał własny selektor DKIM, co ułatwia kontrolę i ewentualne wycofanie konkretnych kluczy bez wpływu na całą infrastrukturę.

DMARC – polityka egzekwująca tożsamość domeny

DMARC (Domain‑based Message Authentication, Reporting and Conformance) to mechanizm, który spina razem SPF i DKIM, dodając do nich politykę i mechanizm raportowania. Rekord DMARC informuje serwery odbiorcze, jak traktować wiadomości, które nie przechodzą pomyślnie weryfikacji SPF lub DKIM dla danej domeny. Może to być jedynie monitorowanie, oznaczanie jako spam lub całkowite odrzucanie.

Właściwie skonfigurowany DMARC jest jednym z najsilniejszych narzędzi do ochrony przed phishingiem z użyciem prawdziwej domeny organizacji. Dzięki niemu można stopniowo przechodzić od trybu obserwacji (p=none), przez częściową egzekucję (p=quarantine), aż po pełne odrzucanie niezgodnych wiadomości (p=reject). Proces ten powinien być prowadzony ostrożnie, z uwzględnieniem analizy raportów, które DMARC generuje i wysyła na wskazane adresy.

Raporty DMARC dostarczają cennych informacji o tym, skąd w świecie pojawiają się wiadomości rzekomo wysyłane z danej domeny, które nie spełniają wymogów SPF/DKIM. Na tej podstawie można zidentyfikować nieautoryzowane systemy wysyłkowe, luki w konfiguracji oraz realne próby nadużyć. Polityka domenowa powinna wymagać regularnego przeglądu tych raportów i wprowadzania korekt w konfiguracji, aby poprawnie odróżnić legalne źródła od potencjalnie złośliwych.

Dlaczego ochrona poczty musi objąć wszystkie ważne domeny

Wiele organizacji wdraża SPF, DKIM i DMARC wyłącznie dla głównej domeny, zaniedbując domeny dodatkowe, aliasy oraz adresy używane sporadycznie – np. na potrzeby kampanii marketingowych. Dla atakującego jest to idealna okazja. Wystarczy, że wykorzysta mniej znaną domenę zbliżoną do marki organizacji, w której nie ma żadnej ochrony pocztowej, a filtry antyspamowe będą miały znacznie mniej przesłanek, by taki e‑mail odrzucić.

Dlatego polityka domenowa powinna jednoznacznie wskazywać, że każdy adres z potencjałem komunikacji z klientem musi być objęty tymi samymi standardami, co domena główna. Nawet jeśli dana domena nie jest używana do wysyłania poczty, warto ją zabezpieczyć za pomocą odpowiednich rekordów SPF i DMARC ustawionych w sposób uniemożliwiający wysyłkę (tzw. polityka „reject all”). Taka konfiguracja signalizuje, że żadna wiadomość nie powinna się legitymować tą domeną w polu nadawcy.

Zaawansowane zabezpieczenia domen: DNSSEC, HSTS i monitoring

DNSSEC – ochrona przed fałszowaniem odpowiedzi DNS

DNSSEC (Domain Name System Security Extensions) to zestaw rozszerzeń zabezpieczających system DNS przed modyfikacją odpowiedzi w czasie ich transmisji. Dzięki podpisom kryptograficznym odbiorca może zweryfikować, że informacja o adresie IP powiązanym z konkretną domeną nie została podmieniona przez atakującego. W kontekście phishingu ma to szczególne znaczenie, ponieważ część kampanii opiera się na przechwytywaniu zapytań DNS i kierowaniu użytkownika na fałszywe serwery.

Wdrożenie DNSSEC sprawia, że nawet jeśli ktoś próbuje przechwycić lub zmanipulować odpowiedź DNS, przeglądarka obsługująca ten standard będzie w stanie wykryć brak lub nieprawidłowość podpisu kryptograficznego. To kolejna warstwa ochrony utrudniająca atakującym podszywanie się pod domenę, szczególnie w sieciach publicznych lub środowiskach, gdzie kontrola nad infrastrukturą jest ograniczona.

Polityka domenowa powinna uwzględniać, że nie każdy rejestr i nie każdy dostawca DNS oferuje wsparcie dla DNSSEC. Wybór partnerów technicznych musi zatem brać pod uwagę możliwość korzystania z tego mechanizmu, a nie wyłącznie cenę czy wygodę panelu. Należy również zadbać o prawidłowy proces rotacji kluczy DNSSEC oraz monitorowanie ich ważności, aby uniknąć sytuacji, w której wygasły podpis doprowadzi do niedostępności usług.

HSTS i polityka przejścia na HTTPS

Choć HSTS (HTTP Strict Transport Security) kojarzy się przede wszystkim z ochroną przed atakami typu man‑in‑the‑middle, pełni także znaczącą rolę w kontekście phishingu. Wymuszając korzystanie z protokołu HTTPS na wszystkich połączeniach z domeną, organizacja utrudnia przestępcom przechwytywanie sesji, wstrzykiwanie treści w ruch HTTP oraz manipulowanie przekierowaniami.

Polityka HSTS publikowana w nagłówkach odpowiedzi HTTP instruuje przeglądarki, aby zawsze korzystały z szyfrowanego połączenia z daną domeną przez określony czas. Dodatkowo możliwe jest zgłoszenie domeny do tzw. listy preload w przeglądarkach, co sprawia, że ochrona HSTS jest stosowana już od pierwszego kontaktu, zanim przeglądarka w ogóle wyśle zapytanie HTTP. Z perspektywy bezpieczeństwa użytkownika oznacza to znaczne zmniejszenie powierzchni dla ataków opartych na przejmowaniu nieszyfrowanych połączeń.

Przed wdrożeniem HSTS na pełną skalę konieczne jest jednak uporządkowanie wszystkich subdomen oraz upewnienie się, że nie ma usług, które nie obsługują HTTPS. Polityka domenowa powinna opisywać proces testowania HSTS na mniejszych zakresach, a dopiero potem rozszerzania go na cały portfel. Zbyt pochopne ustawienie HSTS z flagą „includeSubDomains” może prowadzić do problemów z dostępnością, jeśli któraś z usług nie jest gotowa na szyfrowanie.

Monitoring wykorzystania domen i wykrywanie podobnych nazw

Żadna, nawet najlepiej zdefiniowana polityka domenowa, nie będzie kompletna bez systematycznego monitoringu. Chodzi zarówno o obserwację własnej konfiguracji DNS i certyfikatów TLS, jak i śledzenie pojawiających się w sieci domen podobnych do marki organizacji. Narzędzia typu brand protection, usługi rejestrów domen oraz specjalistyczne platformy bezpieczeństwa umożliwiają automatyczne wykrywanie nowych rejestracji, które mogą być powiązane z próbami phishingu.

Organizacja powinna ustalić procedury reagowania na wykrycie podejrzanych domen. Może to obejmować zgłaszanie ich do rejestratorów, dostawców hostingu, certyfikacyjnych urzędów klucza, a także do dostawców filtrów antyspamowych i przeglądarek. W wielu przypadkach szybkie działanie pozwala zablokować szkodliwą domenę jeszcze przed rozpoczęciem szerokiej kampanii ataku, ograniczając liczbę potencjalnych ofiar.

Monitoring powinien obejmować także certyfikaty TLS wydawane dla domen zawierających nazwę marki. Publiczne logi certyfikatów pozwalają wykryć, gdy ktoś próbuje uzyskać certyfikat dla domeny łudząco podobnej do legalnej. To sygnał ostrzegawczy, który w połączeniu z analizą ruchu i zgłoszeń użytkowników może pomóc zawczasu przygotować komunikację ostrzegającą oraz zainicjować działania prawne.

Automatyzacja i integracja z procesami bezpieczeństwa

Z uwagi na rosnącą liczbę zagrożeń oraz złożoność portfeli domen, ręczne zarządzanie wszystkimi elementami polityki domenowej staje się mało realne. Dlatego kluczowe jest wykorzystanie automatyzacji – zarówno w zakresie odnawiania rejestracji, jak i wdrażania standardowych konfiguracji DNS, monitorowania rekordów SPF/DKIM/DMARC, jak i śledzenia zmian w certyfikatach i konfiguracji serwerów.

Polityka domenowa powinna być zintegrowana z szerszym systemem zarządzania bezpieczeństwem informacji. Zdarzenia takie jak rejestracja nowej domeny, wygasanie certyfikatu TLS czy wykrycie podejrzanej nazwy podobnej do marki powinny generować zapisy w systemie SIEM, zgłoszenia w systemach ticketowych oraz powiadomienia do odpowiedzialnych zespołów. W ten sposób domeny są traktowane nie jako statyczny zasób techniczny, lecz jako żywy element powierzchni ataku, którym trzeba aktywnie zarządzać.