Jak sprawdzić krótki link bez zgadywania po wyglądzie
Kontrola nie polega na mechanicznym szukaniu jednego „podejrzanego” znaku. Łączy kontekst, pochodzenie wiadomości, pełny adres docelowy i rodzaj czynności. Nawet poprawny link może być nieodpowiednim miejscem do podania hasła, jeśli nie oczekiwałeś wiadomości albo nie potrafisz potwierdzić jej celu.
Krok 1. Nazwij żądaną czynność
Zapisz, czego wiadomość oczekuje: przeczytania publicznego tekstu, pobrania pliku, zalogowania, wpisania kodu, zapłaty czy zmiany ustawień. Im większe konsekwencje, tym silniejszego potwierdzenia potrzebujesz. Licznik czasu, groźba blokady albo obietnica nagrody nie są potwierdzeniem tożsamości nadawcy.
Sprawdź, czy wiadomość pasuje do procesu, który sam rozpocząłeś. Jeśli właśnie zamówiłeś raport i uzgodniono wysłanie linku, kontekst jest inny niż przy niespodziewanej prośbie o dopłatę. Nadal porównaj nadawcę i kanał z wcześniej znanymi danymi.
Krok 2. Potwierdź nadawcę poza treścią wiadomości
Wyświetlana nazwa kontaktu może zostać skopiowana. Nie używaj numeru telefonu, adresu lub przycisku podanego w tej samej podejrzanej wiadomości do jej potwierdzenia. Otwórz znaną aplikację, wcześniejszy wątek albo oficjalną stronę wybraną samodzielnie. Zapytaj o konkretną czynność, nie tylko „czy coś wysłano?”.
Jeżeli znajomy rzeczywiście przesłał odsyłacz, jego konto nadal mogło zostać użyte bez wiedzy właściciela. Poproś o nazwę docelowego serwisu i sens linku. Krótka odpowiedź zgodna z wcześniejszym kontekstem jest bardziej użyteczna niż sama ikona profilu.
Krok 3. Ustal pełny adres docelowy
Skorzystaj z funkcji podglądu oferowanej przez zaufany system, poproś autora o pełny adres albo znajdź tę samą treść od strony głównej serwisu. Nie wklejaj prywatnego linku do przypadkowej publicznej „rozpakowywarki”: odsyłacz może zawierać token dostępu, identyfikator dokumentu lub dane kampanii.
Narzędzie, które samodzielnie pobiera obcy URL, musi brać pod uwagę także ryzyko żądań wykonywanych przez serwer i kolejnych przekierowań. OWASP opisuje ten problem w zaleceniach dotyczących SSRF. Z punktu widzenia odbiorcy ważny jest wniosek: zewnętrzny podgląd nie jest neutralny dla poufnego adresu.
Krok 4. Odczytaj host, port, ścieżkę i parametry
RFC 3986 rozdziela elementy URI. W praktyce najpierw znajdź schemat, następnie część określającą host i dopiero potem ścieżkę, zapytanie oraz fragment. Nazwa znanej usługi w ścieżce nie zmienia właściciela hosta. Zwróć uwagę na podobne znaki, literówki, nietypowy port i konstrukcję, w której przed znakiem „@” umieszczono tekst przypominający domenę.
HTTPS chroni połączenie, nie intencję strony
Połączenie HTTPS pomaga zabezpieczyć transmisję do wskazanego hosta. Nie potwierdza, że osoba kontrolująca domenę jest podmiotem, za który się podaje, ani że żądana czynność jest zasadna. Kłódka nie zastępuje rozpoznania nazwy domeny i kontekstu.
Krok 5. Do wrażliwej usługi wejdź własną drogą
Jeśli celem ma być konto, płatność, dokument lub instalacja programu, zamknij skrót i uruchom znaną aplikację albo wpisz zapamiętany adres. Odszukaj w niej powiadomienie lub rozpoczętą sprawę. Brak komunikatu w oficjalnym kanale jest powodem do dalszego sprawdzenia, nie do szybszego wykonania polecenia z SMS-a.
Nie przenoś kodów jednorazowych, haseł ani danych karty między stronami tylko dlatego, że kolejne ekrany wyglądają spójnie. Zatrzymaj się, gdy cel zmienia domenę bez jasnej przyczyny albo prosi o dane nieadekwatne do zadania.
Krok 6. Po otwarciu nadal obserwuj drogę
Przekierowań może być kilka. Sprawdź końcowy host przed logowaniem i pobraniem. Anuluj operację przy niespodziewanym pliku, prośbie o włączenie makr, instalację profilu, rozszerzenia albo przekazanie zdalnego dostępu. Sam fakt, że pierwsza strona nie wyświetliła ostrzeżenia, nie przenosi zaufania na następny cel.
Jeżeli podałeś dane w miejscu, którego nie potrafisz potwierdzić, nie wracaj jedynie po to, by „sprawdzić jeszcze raz”. Użyj oficjalnej ścieżki zmiany hasła, zabezpiecz powiązane konto, skontaktuj się z właściwą instytucją i zgłoś incydent zgodnie z aktualnymi instrukcjami CERT Polska.
Wynik kontroli ma prowadzić do jednej decyzji
Wybierz: otwieram publiczną treść po potwierdzeniu celu; przechodzę do usługi inną drogą; proszę nadawcę o wyjaśnienie; rezygnuję i zgłaszam wiadomość. Nie musisz przypisywać linkowi etykiety „bezpieczny” albo „złośliwy”, gdy nie masz danych. Wystarczy dobrać drogę o ryzyku odpowiednim do czynności.