Poradnik · sprawdzony 12 listopada 2026

Co zrobić, gdy witryna phishingowa podszywa się pod Państwa projekt?

Pierwsza godzina decyduje o tym, ilu użytkowników podpisze niewłaściwe żądanie. Ta lista kontrolna oddziela witrynę łudząco podobną od przejęcia własnej domeny, a następnie porządkuje ostrzeżenia, zgłoszenia i działania następcze.

Ostatnia aktualizacja: 12 listopada 2026 · 6 min czytania

Krótka odpowiedź

Co zrobić, gdy witryna phishingowa podszywa się pod Państwa projekt?

Gdy witryna phishingowa podszywa się pod Państwa projekt, należy najpierw sprawdzić, czy Państwa własna domena nadal rozwiązuje się prawidłowo, następnie ostrzec użytkowników z zaufanych kanałów, podając prawdziwy adres, zgłosić witrynę równolegle jej rejestratorowi i hostowi oraz zmienić każdy dostęp, który mógłby mieć atakujący. Chainalysis naliczył wzrost oszustw z podszywaniem się o około 1,400% w 2025. Wardmint działa w ciągu 24 godzin od dobrze udokumentowanego zgłoszenia.

Pierwsza godzina, minuta po minucie

Robocze zestawienie, a nie gwarancja jakiegokolwiek wyniku.
Okno	Działanie	Właściciel
0 do 10 minut	Potwierdź podróbkę, sprawdź własny DNS, wyznacz kierownika incydentu	Osoba odpowiedzialna za bezpieczeństwo
10 do 25 minut	Opublikuj ostrzeżenie we wszystkich zaufanych kanałach z prawdziwym adresem; wstrzymaj każdą kampanię podpisów	Osoba odpowiedzialna za społeczność
25 do 40 minut	Wyślij pakiet dowodowy rejestratorowi i hostowi; oznacz adres URL na listach ostrzeżeń	Osoba odpowiedzialna za bezpieczeństwo
40 do 60 minut	Sprawdź dostęp do konta rejestratora, zmień hasła i 2FA, przejrzyj rekordy DNS	Osoba odpowiedzialna za operacje
Po pierwszej godzinie	Śledź zgłoszenia, informuj użytkowników, zdecyduj o skardze UDRP	Kierownik incydentu

Lista kontrolna pierwszej godziny

Odróżnij domenę łudząco podobną od przejęcia
Uruchom poniższe sprawdzenie DNS. Domena łudząco podobna to inna domena; użytkownicy, którzy źle wpisali lub kliknęli, tam trafili. Przejęcie oznacza, że Państwa własna domena wskazuje teraz gdzie indziej, a sprawa jest pilna u rejestratora.
Wyznacz jednego kierownika incydentu
Jedna osoba odpowiada za oś czasu, folder z dowodami i każdą wiadomość wychodzącą. Inni wykonują; nie działają na własną rękę.
Ostrzegaj z kanałów, którym użytkownicy ufają
Opublikuj prawdziwy adres na banerze strony, w mediach społecznościowych, na serwerze społeczności i w kanałach integracji portfeli. Powiedz wprost: nigdy nie podpisuj żądania z żadnego innego adresu. Fałszywy adres zapisz w formie zneutralizowanej, np. example[.]com, aby nikt go nie kliknął.
Rozpocznij zgłoszenia równolegle
Najpierw rejestrator i host, potem Safe Browsing, Netcraft, Chainabuse i listy blokad portfeli. Poradnik o zgłoszeniach zawiera polecenia RDAP.
Zabezpiecz własny dostęp
Przejrzyj logowania do konta rejestratora, dostawcy DNS i hostingu. Zmień hasła, zastąp 2FA przez SMS kluczem sprzętowym i sprawdź rekordy DNS wiersz po wierszu. Zob. jak chronić konto rejestratora przed przejęciem.
Pomóż użytkownikom, którzy już podpisali
Powiedz im, aby przenieśli pozostałe środki do nowego portfela, przejrzeli i cofnęli zgody na tokeny za pomocą narzędzia do sprawdzania zgód w eksploratorze bloków oraz przesłali Państwu hash transakcji. Nie obiecuj zwrotu w pierwszej wiadomości.

Krok 1: czy Państwa własna domena nadal wskazuje tam, gdzie powinna?

dig +short NS yourdomain.com
dig +short A yourdomain.com
dig +short TXT yourdomain.com
curl -sL https://rdap.org/domain/yourdomain.com | jq '{status: .status, nameservers: [.nameservers[].ldhName], changed: [.events[] | select(.eventAction=="last changed") | .eventDate]}'

# compare with the values you recorded in your runbook; a changed nameserver or a new "last changed" date you did not make is a hijack