--- id: CP-015 slug: typosquatting-combosquatting-domeny-sobowtory lang: pl title: Typosquatting i combosquatting description: Jak atakujący rejestruje domenę zbliżoną do domeny marki, by wykraść Pana/Pani dane logowania, i jak rozpoznać podstawiony adres. canonical_url: https://startbrain.io/cyberpedia/pl/articles/typosquatting-combosquatting-domeny-sobowtory/ markdown_url: https://startbrain.io/cyberpedia/pl/articles/typosquatting-combosquatting-domeny-sobowtory.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, „Typosquatting i combosquatting”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/pl/articles/typosquatting-combosquatting-domeny-sobowtory/ (CC BY 4.0) wing: 1 theme: detect_phishing reflex: cr-005 schema: G1 updated: "2026-11-03" translations: pl: https://startbrain.io/cyberpedia/pl/articles/typosquatting-combosquatting-domeny-sobowtory/ fr: https://startbrain.io/cyberpedia/fr/articles/typosquatting-combosquatting-domaines-sosies/ en: https://startbrain.io/cyberpedia/en/articles/typosquatting-combosquatting-lookalike-domains/ de: https://startbrain.io/cyberpedia/de/articles/typosquatting-combosquatting-doppelgaenger-domains/ es: https://startbrain.io/cyberpedia/es/articles/typosquatting-combosquatting-dominios-gemelos/ it: https://startbrain.io/cyberpedia/it/articles/typosquatting-combosquatting-domini-sosia/ nl: https://startbrain.io/cyberpedia/nl/articles/typosquatting-combosquatting-lookalike-domeinen/ pt: https://startbrain.io/cyberpedia/pt/articles/typosquatting-combosquatting-dominios-sosia/ sources: - "n": 1 title: "Acquire Infrastructure: Domains, Sub-technique T1583.001 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1583/001/ accessed: "2026-11-03" - "n": 2 title: Avoiding Social Engineering and Phishing Attacks publisher: CISA url: https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks published: "2021-02-01" accessed: "2026-11-03" - "n": 3 title: "Phishing: Spearphishing Link, Sub-technique T1566.002 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/002/ accessed: "2026-11-03" - "n": 4 title: "Phishing for Information: Spearphishing Link, Sub-technique T1598.003 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1598/003/ accessed: "2026-11-03" - "n": 5 title: "Phishing scams: how to spot and report them" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/phishing-scams published: "2021-11-26" accessed: "2026-11-03" - "n": 6 title: Phishing, Technique T1566 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/ accessed: "2026-11-03" --- # Typosquatting i combosquatting Nazwa domeny to czytelny adres witryny, na przykład część po znaku „@” w adresie e-mail albo ta, która widnieje w pasku przeglądarki. Domenę można kupić, a w niektórych przypadkach uzyskać za darmo [1]. Atakujący wybiera czasem domenę zbliżoną do domeny prawdziwej firmy: litery zastępuje znakami do nich podobnymi (homoglify) albo zmienia rozszerzenie, na przykład .co zamiast .com [1]. Domeny zbliżone do domeny legalnej mogą służyć do dostarczania złośliwych ładunków przez zainfekowanie odwiedzającego podczas wizyty na witrynie (drive-by compromise) [1]. ## W 30 sekund - Gdzie to się zdarza: w e-mailu, SMS-ie lub wiadomości, w których adres nadawcy albo link naśladuje znaną firmę. Adres może być bardzo bliski prawdziwemu, z kilkoma zmienionymi lub pominiętymi znakami [2]. - Czego chce atakujący: skłonić Pana/Panią do wejścia na fałszywą witrynę, aby zdobyć dane osobowe, najczęściej dane logowania [4]. - Odruch: przeczytać adres w całości, nie klikać otrzymanego linku, by podać dane osobowe lub finansowe [2], zamiast tego otworzyć usługę z zakładek (zalecenie Brain) i zgłosić wiadomość. - Jeśli to już się stało: powiadomić odpowiednie osoby w organizacji i bezzwłocznie zmienić wpisane hasła, a także hasła do innych kont, na których używane jest to samo hasło [2]. ## Pytania wprost ### Czym jest domena sobowtór? To nazwa domeny zarejestrowana tak, by przypominała domenę prawdziwej organizacji. MITRE ATT&CK opisuje domeny podobne do legalnych, uzyskane przez homoglify lub inne rozszerzenie [1]. CISA opisuje adresy nadawców łudząco podobne do adresu renomowanej firmy, w których kilka znaków zmieniono lub pominięto [2]. ### Czym jest homoglif? To znak wyglądający jak inny. MITRE wymienia „IDN homograph attacks”: atakujący używa zinternacjonalizowanych nazw domen i innych alfabetów (cyrylicy, greki), by stworzyć domeny wizualnie podobne do oryginału [1]. Z tej samej techniki korzystają linki pozornie niewinne, które wykorzystują znaki specjalne, by naśladować legalną witrynę [3]. ### Czy kłódka w przeglądarce dowodzi, że to właściwa witryna? Źródło CISA przytoczone tutaj zaleca szukać adresu zaczynającego się od „https” i zamkniętej kłódki, czyli oznak, że informacje będą szyfrowane [2]. Mowa jest o szyfrowaniu, nie o tożsamości witryny: ten sam tekst każe sprawdzić także pisownię adresu i domenę [2]. Kłódka nie zastępuje więc czytania adresu. ### Czy e-mail z linkiem do domeny sobowtóra może też zainstalować złośliwe oprogramowanie? Tak. MITRE wskazuje, że typosquatting może służyć do dostarczania złośliwych ładunków podczas odwiedzin witryny [1]. Link może też prowadzić do strony, która proponuje pobranie pliku [3]. ### Co zrobić, jeśli sądzę, że kliknąłem/kliknęłam? Jeśli informacje organizacji mogły zostać ujawnione, CISA radzi powiadomić zainteresowane osoby, w tym administratorów sieci, którzy mogą obserwować nietypową aktywność [2]. Ujawnione hasła należy natychmiast zmienić [2]. ## W skórze atakującego Atakujący zaczyna od wyboru nazwy zbliżonej do nazwy celu. MITRE opisuje kilka wariantów: homoglify, inne rozszerzenie, różne alfabety [1]. Grupa EXOTIC LILY podszywała się na przykład pod organizacje, zmieniając rozszerzenie na „.us”, „.co” lub „.biz” [1]. Następnie kupuje domenę. Każdy rejestrator prowadzi publiczną bazę, w której widać dane kontaktowe każdej zarejestrowanej domeny. Prywatne usługi WHOIS wyświetlają zamiast nich własne informacje, co ukrywa właściciela. Atakujący może też zmieniać dane rejestracyjne i rejestratorów, by utrudnić śledzenie swojej infrastruktury [1]. Niektóre domeny są jednorazowe: MITRE zauważa, że adresy mogą być generowane dynamicznie, by dostarczyć złośliwą treść jednej ofierze, także z użyciem jednorazowych nazw domen [1]. Inni atakujący wykupują domeny, które wygasły i które obrońcy mogą już mieć na liście dozwolonych lub uważać za wiarygodne na podstawie ich historii [1]. Pozostaje sama witryna. Może to być klon legalnego portalu logowania albo witryna na tyle do niego podobna, że w jej adresie znajdują się elementy prawdziwej witryny [4]. Towarzysząca wiadomość ma skłonić do kliknięcia, czasem za pomocą kilku wiadomości sprawiających wrażenie pilnych [4]. ## Co widać na ekranie Wiadomość wygląda, jakby pochodziła od znanej instytucji. CISA wymienia wskazówki: adres nadawcy zbliżony do prawdziwego, ogólnikowy zwrot grzecznościowy w rodzaju „Dear Valued Customer”, podpis bez danych kontaktowych, błędy ortograficzne i niespójny układ [2]. Słabym punktem jest link. Jeśli po najechaniu kursorem wyświetlany adres nie zgadza się z tekstem linku, może on być sfałszowany. Złośliwa witryna może wyglądać jak oryginał, ale jej adres ma inną pisownię albo inną domenę, na przykład .com zamiast .net [2]. Usługa skracania adresów może też ukryć prawdziwy cel [2]. Strona logowania może być kopią legalnego portalu: informacje wpisane w formularzach są zbierane i wysyłane atakującemu [4]. W przypadku niektórych zestawów do phishingu (EvilProxy, Evilginx2) ofiara jest potem przekierowywana na prawdziwą witrynę, a atakujący przechwytuje oprócz loginu i hasła także ciasteczko sesji [4]. Kontrola wzrokowa ma granice. MITRE przyznaje, że homoglify, zarówno w ASCII, jak i w domenach zinternacjonalizowanych, oraz zaciemnianie adresów mogą utrudniać ręczną weryfikację [3]. Stąd wartość narzędzi: ostrzegawczych banerów przy e-mailach z zewnątrz, filtrów oraz funkcji antyphishingowych przeglądarki i poczty [2][3]. ## Pod maską Droga techniczna sprowadza się do kilku etapów, które źródła opisują osobno. Atakujący nabywa domenę zbliżoną do domeny celu [1]. Przygotowuje witrynę, która klonuje legalny portal lub naśladuje jego wygląd [4]. Wysyła e-mail z linkiem i tekstem, który nakłania do kliknięcia albo do skopiowania adresu do przeglądarki [4]. Witryna zbiera wtedy dane logowania albo, zależnie od pretekstu, proponuje pobranie pliku [3][4]. Link może ukrywać cel w inny sposób. MITRE wymienia format adresu z liczbą całkowitą lub szesnastkową w roli nazwy hosta oraz fakt, że tekst przed znakiem „@” jest ignorowany. Oto zneutralizowany przykład takiego adresu, zaczerpnięty z przykładu MITRE [4]: ```text Ilustracja (adres zneutralizowany): hxxp://google[.]com@1157586937 [przeglądarka ignoruje „google.com” przed znakiem @ i łączy się z adresem liczbowym] ``` Po stronie obrony organizacji MITRE proponuje dobrowolną rejestrację domen zbliżonych do własnych, by zniechęcić do typosquattingu [1], monitorowanie niedawno utworzonych domen o strukturze podobnej do własnej, także z innym rozszerzeniem [1], oraz stosowanie SPF, DKIM i DMARC do filtrowania wiadomości na podstawie ważności domeny nadawcy [6]. ## Analizy incydentów Strony MITRE podają rzeczywiste przypadki bez daty kampanii: data ostatniej modyfikacji strony nie datuje incydentu. Poniższe przypadki przedstawiono więc bez daty. ### FIN7: link z literówką do fałszywego narzędzia (data nieokreślona przez źródło) MITRE podaje, że FIN7 wysyłała e-maile ze spearphishingiem zawierające link typosquattingowy do „ip-sccanner[.]com” [3]. Grupa zarejestrowała też złośliwą domenę advanced-ip-sccanner[.]com, która przekierowywała do Dropboksa kontrolowanego przez atakującego i zawierającego złośliwy plik wykonywalny [1]. ### Magic Hound: domeny dobrane do konkretnych ofiar (data nieokreślona przez źródło) Magic Hound zarejestrowała fałszywe domeny, takie jak „mail-newyorker[.]com” i „news12[.]com.recover-session-service[.]site”, by atakami phishingowymi celować w wybrane ofiary [1]. ### Scattered Spider i Silent Librarian (data nieokreślona przez źródło) Scattered Spider rejestrowała domeny, by podszywać się pod firmowe portale logowania [1]. Silent Librarian nabyła domeny na strony zbierające dane logowania, które często podszywają się pod atakowaną organizację, z darmowymi rozszerzeniami: .TK, .ML, .GA, .CF i .GQ [1]. ## Co Pan/Pani robi - Przed kliknięciem należy przeczytać adres w całości, od lewej do prawej. Warto najechać kursorem na link i porównać go z wyświetlanym tekstem [2]. - Nie należy otwierać usługi z otrzymanego linku: CISA zaleca nie klikać linków przysłanych e-mailem, by podać dane osobowe lub finansowe [2]. Brain radzi korzystać z zakładek. CISA zaleca też sprawdzić prośbę w organizacji, używając danych kontaktowych z wcześniejszej korespondencji, a nie ze strony wskazanej w wiadomości [2]. - Należy włączyć uwierzytelnianie wieloskładnikowe, gdy jest dostępne [2]. - Należy zgłosić wiadomość. Brytyjskie NCSC podaje, że zgłoszenie oszustwa jest bezpłatne, zajmuje minutę i pomaga chronić innych [5]. NCSC może zbadać fałszywe adresy e-mail i witryny oraz doprowadzić do ich usunięcia [5]. W firmie należy najpierw zastosować wewnętrzną procedurę zgłaszania. ## Pułapki - Poleganie wyłącznie na kłódce: patrz wyżej, źródło mówi o szyfrowaniu [2]. - Ocenianie po układzie strony: witryna może być wierną kopią legalnego portalu [4]. - Zdawanie się na oko: homoglify utrudniają ręczną weryfikację [3]. - Używanie tego samego hasła: jeśli hasło wpisane na fałszywej witrynie służy gdzie indziej, trzeba je zmienić wszędzie [2]. - Publikowanie zbyt wielu informacji o sobie: NCSC zauważa, że przestępcy wykorzystują informacje dostępne w sieci, także w mediach społecznościowych, by ich wiadomości były bardziej przekonujące [5]. ## Źródła 1. MITRE ATT&CK, „Acquire Infrastructure: Domains, Sub-technique T1583.001 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1583/001/ (dostęp 3 listopada 2026) 2. CISA, „Avoiding Social Engineering and Phishing Attacks”, 1 lutego 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (dostęp 3 listopada 2026) 3. MITRE ATT&CK, „Phishing: Spearphishing Link, Sub-technique T1566.002 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1566/002/ (dostęp 3 listopada 2026) 4. MITRE ATT&CK, „Phishing for Information: Spearphishing Link, Sub-technique T1598.003 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1598/003/ (dostęp 3 listopada 2026) 5. NCSC (Royaume-Uni), „Phishing scams: how to spot and report them”, 26 listopada 2021. https://www.ncsc.gov.uk/collection/phishing-scams (dostęp 3 listopada 2026) 6. MITRE ATT&CK, „Phishing, Technique T1566 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1566/ (dostęp 3 listopada 2026) --- Źródło oryginalne: Cyberpedia, publiczna encyklopedia cyberbezpieczeństwa i AI wydawana przez Brain. Wersja kanoniczna: https://startbrain.io/cyberpedia/pl/articles/typosquatting-combosquatting-domeny-sobowtory/ Możesz swobodnie wykorzystywać ten tekst na licencji CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), pod warunkiem podania „Brain, Cyberpedia” wraz z odnośnikiem do powyższego adresu.