Cyberpediaod Brain
PLDEENESFRITNLPT

Typosquatting i combosquatting

Jak atakujący rejestruje domenę zbliżoną do domeny marki, by wykraść Pana/Pani dane logowania, i jak rozpoznać podstawiony adres.

W 30 sekund

Gdzie to się zdarza
W e-mailu, SMS-ie lub wiadomości, w których adres nadawcy albo link naśladuje znaną firmę. Adres może być bardzo bliski prawdziwemu, z kilkoma zmienionymi lub pominiętymi znakami2.
Czego chce atakujący
Skłonić Pana/Panią do wejścia na fałszywą witrynę, aby zdobyć dane osobowe, najczęściej dane logowania4.
Odruch
Przeczytać adres w całości, nie klikać otrzymanego linku, by podać dane osobowe lub finansowe2, zamiast tego otworzyć usługę z zakładek (zalecenie Brain) i zgłosić wiadomość.
Jeśli to już się stało
Powiadomić odpowiednie osoby w organizacji i bezzwłocznie zmienić wpisane hasła, a także hasła do innych kont, na których używane jest to samo hasło2.

O co chodzi

Nazwa domeny to czytelny adres witryny, na przykład część po znaku „@” w adresie e-mail albo ta, która widnieje w pasku przeglądarki. Domenę można kupić, a w niektórych przypadkach uzyskać za darmo1. Atakujący wybiera czasem domenę zbliżoną do domeny prawdziwej firmy: litery zastępuje znakami do nich podobnymi (homoglify) albo zmienia rozszerzenie, na przykład .co zamiast .com1.

Domeny zbliżone do domeny legalnej mogą służyć do dostarczania złośliwych ładunków przez zainfekowanie odwiedzającego podczas wizyty na witrynie (drive-by compromise)1.

Pytania wprost

Czym jest domena sobowtór?

To nazwa domeny zarejestrowana tak, by przypominała domenę prawdziwej organizacji. MITRE ATT&CK opisuje domeny podobne do legalnych, uzyskane przez homoglify lub inne rozszerzenie1. CISA opisuje adresy nadawców łudząco podobne do adresu renomowanej firmy, w których kilka znaków zmieniono lub pominięto2.

Czym jest homoglif?

To znak wyglądający jak inny. MITRE wymienia „IDN homograph attacks”: atakujący używa zinternacjonalizowanych nazw domen i innych alfabetów (cyrylicy, greki), by stworzyć domeny wizualnie podobne do oryginału1. Z tej samej techniki korzystają linki pozornie niewinne, które wykorzystują znaki specjalne, by naśladować legalną witrynę3.

Czy kłódka w przeglądarce dowodzi, że to właściwa witryna?

Źródło CISA przytoczone tutaj zaleca szukać adresu zaczynającego się od „https” i zamkniętej kłódki, czyli oznak, że informacje będą szyfrowane2. Mowa jest o szyfrowaniu, nie o tożsamości witryny: ten sam tekst każe sprawdzić także pisownię adresu i domenę2. Kłódka nie zastępuje więc czytania adresu.

Czy e-mail z linkiem do domeny sobowtóra może też zainstalować złośliwe oprogramowanie?

Tak. MITRE wskazuje, że typosquatting może służyć do dostarczania złośliwych ładunków podczas odwiedzin witryny1. Link może też prowadzić do strony, która proponuje pobranie pliku3.

Co zrobić, jeśli sądzę, że kliknąłem/kliknęłam?

Jeśli informacje organizacji mogły zostać ujawnione, CISA radzi powiadomić zainteresowane osoby, w tym administratorów sieci, którzy mogą obserwować nietypową aktywność2. Ujawnione hasła należy natychmiast zmienić2.

1W skórze atakującego1 min

Atakujący zaczyna od wyboru nazwy zbliżonej do nazwy celu. MITRE opisuje kilka wariantów: homoglify, inne rozszerzenie, różne alfabety1. Grupa EXOTIC LILY podszywała się na przykład pod organizacje, zmieniając rozszerzenie na „.us”, „.co” lub „.biz”1.

Następnie kupuje domenę. Każdy rejestrator prowadzi publiczną bazę, w której widać dane kontaktowe każdej zarejestrowanej domeny. Prywatne usługi WHOIS wyświetlają zamiast nich własne informacje, co ukrywa właściciela. Atakujący może też zmieniać dane rejestracyjne i rejestratorów, by utrudnić śledzenie swojej infrastruktury1.

Niektóre domeny są jednorazowe: MITRE zauważa, że adresy mogą być generowane dynamicznie, by dostarczyć złośliwą treść jednej ofierze, także z użyciem jednorazowych nazw domen1. Inni atakujący wykupują domeny, które wygasły i które obrońcy mogą już mieć na liście dozwolonych lub uważać za wiarygodne na podstawie ich historii1.

Pozostaje sama witryna. Może to być klon legalnego portalu logowania albo witryna na tyle do niego podobna, że w jej adresie znajdują się elementy prawdziwej witryny4. Towarzysząca wiadomość ma skłonić do kliknięcia, czasem za pomocą kilku wiadomości sprawiających wrażenie pilnych4.

2Co widać na ekranie1 min

Wiadomość wygląda, jakby pochodziła od znanej instytucji. CISA wymienia wskazówki: adres nadawcy zbliżony do prawdziwego, ogólnikowy zwrot grzecznościowy w rodzaju „Dear Valued Customer”, podpis bez danych kontaktowych, błędy ortograficzne i niespójny układ2.

Słabym punktem jest link. Jeśli po najechaniu kursorem wyświetlany adres nie zgadza się z tekstem linku, może on być sfałszowany. Złośliwa witryna może wyglądać jak oryginał, ale jej adres ma inną pisownię albo inną domenę, na przykład .com zamiast .net2. Usługa skracania adresów może też ukryć prawdziwy cel2.

Strona logowania może być kopią legalnego portalu: informacje wpisane w formularzach są zbierane i wysyłane atakującemu4. W przypadku niektórych zestawów do phishingu (EvilProxy, Evilginx2) ofiara jest potem przekierowywana na prawdziwą witrynę, a atakujący przechwytuje oprócz loginu i hasła także ciasteczko sesji4.

Kontrola wzrokowa ma granice. MITRE przyznaje, że homoglify, zarówno w ASCII, jak i w domenach zinternacjonalizowanych, oraz zaciemnianie adresów mogą utrudniać ręczną weryfikację3. Stąd wartość narzędzi: ostrzegawczych banerów przy e-mailach z zewnątrz, filtrów oraz funkcji antyphishingowych przeglądarki i poczty23.

3Pod maskąZespoły IT1 min

Droga techniczna sprowadza się do kilku etapów, które źródła opisują osobno. Atakujący nabywa domenę zbliżoną do domeny celu1. Przygotowuje witrynę, która klonuje legalny portal lub naśladuje jego wygląd4. Wysyła e-mail z linkiem i tekstem, który nakłania do kliknięcia albo do skopiowania adresu do przeglądarki4. Witryna zbiera wtedy dane logowania albo, zależnie od pretekstu, proponuje pobranie pliku34.

Link może ukrywać cel w inny sposób. MITRE wymienia format adresu z liczbą całkowitą lub szesnastkową w roli nazwy hosta oraz fakt, że tekst przed znakiem „@” jest ignorowany. Oto zneutralizowany przykład takiego adresu, zaczerpnięty z przykładu MITRE4:

Fragment
Ilustracja (adres zneutralizowany):
hxxp://google[.]com@1157586937
[przeglądarka ignoruje „google.com” przed znakiem @ i łączy się z adresem liczbowym]

Po stronie obrony organizacji MITRE proponuje dobrowolną rejestrację domen zbliżonych do własnych, by zniechęcić do typosquattingu1, monitorowanie niedawno utworzonych domen o strukturze podobnej do własnej, także z innym rozszerzeniem1, oraz stosowanie SPF, DKIM i DMARC do filtrowania wiadomości na podstawie ważności domeny nadawcy6.

4Analizy incydentówPrawdziwe przypadki1 min

Strony MITRE podają rzeczywiste przypadki bez daty kampanii: data ostatniej modyfikacji strony nie datuje incydentu. Poniższe przypadki przedstawiono więc bez daty.

FIN7: link z literówką do fałszywego narzędzia (data nieokreślona przez źródło)

MITRE podaje, że FIN7 wysyłała e-maile ze spearphishingiem zawierające link typosquattingowy do „ip-sccanner[.]com”3. Grupa zarejestrowała też złośliwą domenę advanced-ip-sccanner[.]com, która przekierowywała do Dropboksa kontrolowanego przez atakującego i zawierającego złośliwy plik wykonywalny1.

Magic Hound: domeny dobrane do konkretnych ofiar (data nieokreślona przez źródło)

Magic Hound zarejestrowała fałszywe domeny, takie jak „mail-newyorker[.]com” i „news12[.]com.recover-session-service[.]site”, by atakami phishingowymi celować w wybrane ofiary1.

Scattered Spider i Silent Librarian (data nieokreślona przez źródło)

Scattered Spider rejestrowała domeny, by podszywać się pod firmowe portale logowania1. Silent Librarian nabyła domeny na strony zbierające dane logowania, które często podszywają się pod atakowaną organizację, z darmowymi rozszerzeniami: .TK, .ML, .GA, .CF i .GQ1.

5Co Pan/Pani robi1 min
  • Przed kliknięciem należy przeczytać adres w całości, od lewej do prawej. Warto najechać kursorem na link i porównać go z wyświetlanym tekstem2.
  • Nie należy otwierać usługi z otrzymanego linku: CISA zaleca nie klikać linków przysłanych e-mailem, by podać dane osobowe lub finansowe2. Brain radzi korzystać z zakładek. CISA zaleca też sprawdzić prośbę w organizacji, używając danych kontaktowych z wcześniejszej korespondencji, a nie ze strony wskazanej w wiadomości2.
  • Należy włączyć uwierzytelnianie wieloskładnikowe, gdy jest dostępne2.
  • Należy zgłosić wiadomość. Brytyjskie NCSC podaje, że zgłoszenie oszustwa jest bezpłatne, zajmuje minutę i pomaga chronić innych5. NCSC może zbadać fałszywe adresy e-mail i witryny oraz doprowadzić do ich usunięcia5. W firmie należy najpierw zastosować wewnętrzną procedurę zgłaszania.
6Pułapki1 min
  • Poleganie wyłącznie na kłódce: patrz wyżej, źródło mówi o szyfrowaniu2.
  • Ocenianie po układzie strony: witryna może być wierną kopią legalnego portalu4.
  • Zdawanie się na oko: homoglify utrudniają ręczną weryfikację3.
  • Używanie tego samego hasła: jeśli hasło wpisane na fałszywej witrynie służy gdzie indziej, trzeba je zmienić wszędzie2.
  • Publikowanie zbyt wielu informacji o sobie: NCSC zauważa, że przestępcy wykorzystują informacje dostępne w sieci, także w mediach społecznościowych, by ich wiadomości były bardziej przekonujące5.

Karta

Identyfikator
CP-015
Skrzydło
1. Ataki i techniki
Kompetencja Brain
Rozpoznawanie phishingu (detect_phishing)
Odruch Brain
cr-005
Schemat
G1 · Łańcuch ataku (Kill Chain)
Języki
de, en, es, fr, it, nl, pl, pt
Źródła
Źródła sprawdzone 3 listopada 2026: 6
ŹródłaŹródła: 6
  1. MITRE ATT&CK, „Acquire Infrastructure: Domains, Sub-technique T1583.001 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1583/001/ (dostęp 3 listopada 2026)
  2. CISA, „Avoiding Social Engineering and Phishing Attacks”, 1 lutego 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (dostęp 3 listopada 2026)
  3. MITRE ATT&CK, „Phishing: Spearphishing Link, Sub-technique T1566.002 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1566/002/ (dostęp 3 listopada 2026)
  4. MITRE ATT&CK, „Phishing for Information: Spearphishing Link, Sub-technique T1598.003 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1598/003/ (dostęp 3 listopada 2026)
  5. NCSC (Royaume-Uni), „Phishing scams: how to spot and report them”, 26 listopada 2021. https://www.ncsc.gov.uk/collection/phishing-scams (dostęp 3 listopada 2026)
  6. MITRE ATT&CK, „Phishing, Technique T1566 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1566/ (dostęp 3 listopada 2026)

Zacytuj ten artykuł

Brain, „Typosquatting i combosquatting”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/pl/articles/typosquatting-combosquatting-domeny-sobowtory/

BibTeX 
@misc{brain_cp015_pl_2026,
  author = {Brain},
  title = {Typosquatting i combosquatting},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/pl/articles/typosquatting-combosquatting-domeny-sobowtory/},
  note = {CC BY 4.0}
}
Licencja CC BY 4.0