Czy to fake strona? Jak sprawdzić wiarygodność strony internetowej

Fałszywe strony nie wyglądają już jak amatorskie podróbki. Oszuści kopiują logotypy znanych marek, kupują certyfikaty SSL i piszą teksty, które na pierwszy rzut oka niczym się nie różnią od prawdziwych. Dlatego pytanie „czy to fake strona" warto zadać sobie za każdym razem, gdy witryna prosi o pieniądze, dane osobowe albo próbuje przekonać Cię do jakiejś tezy. Dobra wiadomość: fałszywkę prawie zawsze zdradzają szczegóły. Trzeba tylko wiedzieć, gdzie patrzeć.

W tym poradniku przejdziesz przez wszystkie warstwy weryfikacji: od adresu w pasku przeglądarki, przez certyfikat i wiek domeny, po stopkę, autorów i jakość języka. Na końcu znajdziesz listę kontrolną, którą sprawdzisz każdą podejrzaną stronę w kilka minut.

Czy to fake strona? Zacznij od adresu w pasku przeglądarki

Domena to pierwsza i najtańsza rzecz do sprawdzenia. Oszust nie może użyć prawdziwego adresu znanej marki — musi go udawać. Robi to na kilka powtarzalnych sposobów:

• Literówki i podmiany znaków. „allegr0" zamiast „allegro", „arnazon" zamiast „amazon" (r+n wygląda jak m), dodane lub usunięte litery. Przeczytaj adres znak po znaku, nie „ogólnym spojrzeniem".
• Dziwne końcówki. Znana polska marka nagle w domenie .shop, .top, .xyz, .online albo .icu? To częsty sygnał podróbki. Nie każda taka końcówka oznacza oszustwo, ale odstępstwo od głównej domeny firmy zawsze wymaga wyjaśnienia.
• Prawdziwa nazwa w złym miejscu. Adres „allegro.platnosci-24.com" nie należy do Allegro. Liczy się to, co stoi bezpośrednio przed końcówką — tutaj właściwą domeną jest „platnosci-24.com", a „allegro" to tylko przyczepiona subdomena.
• Myślniki i doklejki. „nazwa-marki-promocja.pl", „marka-logowanie.eu" — firmy rzadko tworzą takie adresy dla kluczowych usług.

Jeśli trafiasz na stronę z linku w SMS-ie, mailu albo reklamie, nie klikaj w niego bezrefleksyjnie. Wpisz adres firmy ręcznie albo znajdź go w wyszukiwarce i porównaj z tym, co dostałeś. Różnica choćby jednego znaku rozstrzyga sprawę.

Kłódka przy adresie nie znaczy „strona bezpieczna"

To najczęstszy mit weryfikacji stron. Kłódka w przeglądarce oznacza tylko tyle, że połączenie między Tobą a serwerem jest szyfrowane. Nikt po drodze nie podejrzy przesyłanych danych — ale to nie mówi nic o tym, KTO jest po drugiej stronie. Oszust też może kupić certyfikat SSL. Wiele fałszywych sklepów i stron phishingowych ma poprawną kłódkę, bo darmowe certyfikaty wystawia się w kilka minut.

Wniosek jest prosty: brak kłódki przy stronie proszącej o dane to sygnał alarmowy, ale jej obecność niczego nie dowodzi. Kłódka to warunek konieczny, nie wystarczający. Traktuj ją jak zamknięte drzwi w samochodzie — chronią przed podsłuchem w trakcie jazdy, ale nie gwarantują, że kierowca zawiezie Cię tam, gdzie obiecał.

Wiek domeny i WHOIS — metryka, której nie da się podrobić

Fałszywe strony żyją krótko. Powstają na chwilę przed kampanią oszustwa i znikają, gdy zrobi się o nich głośno. Dlatego data rejestracji domeny to jeden z najmocniejszych sygnałów. Sklep, który reklamuje „wyprzedaż likwidacyjną" i „20 lat tradycji", a jego domena ma trzy tygodnie, kłamie w oczywisty sposób.

Jak to sprawdzić? Wpisz w wyszukiwarkę „whois" i nazwę domeny albo skorzystaj z wyszukiwarki WHOIS u dowolnego rejestratora. Dla polskich domen .pl dane udostępnia rejestr NASK. Zobaczysz datę rejestracji, datę ostatniej zmiany i często nazwę rejestratora. Zwróć uwagę na:

• Świeżą datę rejestracji — domena młodsza niż kilka miesięcy plus agresywne promocje to klasyczne połączenie u fake-sklepów.
• Ukryte dane właściciela — samo w sobie nie przesądza (ochrona prywatności jest legalna), ale w połączeniu z innymi sygnałami dokłada się do obrazu.
• Rozjazd deklaracji z metryką — strona pisze o latach doświadczenia, a istnieje od wczoraj.

Warto też zajrzeć do internetowego archiwum Wayback Machine i zobaczyć, czy strona ma jakąkolwiek historię. Prawdziwe firmy zostawiają ślady: stare wersje strony, zmiany oferty, wpisy sprzed lat. Fałszywka zwykle nie ma żadnej przeszłości — albo, co ciekawsze, pod tym samym adresem działało wcześniej coś zupełnie innego.

Stopka, regulamin i kontakt — tu oszuści idą na skróty

Zbudowanie ładnej strony głównej jest łatwe. Utrzymanie spójnych dokumentów prawnych — już nie. Dlatego dół strony zdradza więcej niż góra. Sprawdź po kolei:

1. Dane firmy. Pełna nazwa, adres siedziby, NIP lub numer KRS. Brak jakichkolwiek danych rejestrowych w sklepie internetowym to w Polsce naruszenie prawa — uczciwe firmy ich nie ukrywają.
2. Weryfikacja NIP. Numer z faktury czy stopki wpisz w wyszukiwarkę Białej listy podatników VAT albo w KRS/CEIDG. Sprawdzisz, czy firma istnieje, czym się zajmuje i czy nazwa się zgadza. Oszuści czasem wklejają NIP przypadkowej, prawdziwej firmy — dlatego porównaj branżę i nazwę, nie tylko sam numer.
3. Kontakt. Tylko formularz i zagraniczny mail na darmowej skrzynce? Brak telefonu? Adres siedziby, który po sprawdzeniu w mapach okazuje się wirtualnym biurem albo blokiem mieszkalnym? Każdy z tych elementów osobno bywa niewinny, razem tworzą wzór.
4. Regulamin i polityka zwrotów. Przeczytaj choć fragment. Fałszywki często mają regulamin skopiowany z innej strony (z cudzą nazwą firmy w środku), przetłumaczony maszynowo albo wewnętrznie sprzeczny.

Fake-sklep i fake-portal — dwa różne oszustwa, dwa zestawy sygnałów

Nie każda fałszywa strona chce Twoich pieniędzy wprost. Warto rozróżnić dwa główne typy, bo weryfikuje się je trochę inaczej.

Fake-sklep: celem jest Twój przelew

Rozpoznasz go po ekonomii, która nie ma sensu. Markowy sprzęt o połowę taniej niż wszędzie indziej, „ostatnie sztuki", licznik odliczający koniec promocji, wyprzedaż likwidacyjna na świeżo zarejestrowanej domenie. Do tego jedyna forma płatności to przelew tradycyjny albo BLIK na telefon — bo płatności kartą i bramki płatnicze zostawiają ślad i dają możliwość reklamacji. Zasada jest stara, ale wciąż działa: okazja zbyt dobra, by była prawdziwa, zwykle prawdziwa nie jest. Zanim zapłacisz, poszukaj opinii o sklepie poza jego własną stroną i sprawdź listę ostrzeżeń CERT Polska, gdzie zgłaszane są niebezpieczne domeny.

Fake-portal informacyjny: celem jest Twoja opinia

Drugi typ nie kradnie pieniędzy — kradnie zaufanie. Strona udaje serwis informacyjny, żeby podsuwać zmanipulowane treści: fałszywe newsy, artykuły „eksperckie" reklamujące cudowne inwestycje, propagandę. Tu sygnały są inne:

• Autorzy bez twarzy. Teksty podpisane pseudonimem, samą redakcją albo nazwiskami, których nie znajdziesz nigdzie indziej. Prawdziwi dziennikarze mają historię publikacji.
• Jakość języka. Kalki z obcych języków, dziwna składnia, błędy fleksyjne, teksty brzmiące jak maszynowe tłumaczenie. Pojedyncza literówka zdarza się każdemu — systematyczna nieporadność językowa to sygnał.
• Emocje zamiast źródeł. Krzykliwe nagłówki, brak odnośników do danych, „szokujące" ustalenia bez podania, skąd pochodzą.
• Brak informacji o redakcji. Prawdziwe media mają stopkę redakcyjną, dane wydawcy, adres. Fałszywe portale — zwykle nic poza treścią.

Przy tym typie stron sama weryfikacja techniczna nie wystarczy — trzeba ocenić treść. Konkretny artykuł możesz przepuścić przez Faktoskop, który analizuje wiarygodność tekstu w 13 wymiarach i wskazuje chwyty perswazji użyte przez autora; jak dokładnie to działa, opisuje metodologia. Typowe techniki manipulacji — od apelu do strachu po fałszywy autorytet — znajdziesz opisane w encyklopedii chwytów, a przykłady gotowych ocen w galerii analiz. Szerzej o rozpoznawaniu zmanipulowanych treści piszemy w poradniku jak sprawdzić, czy to fake news.

Lista kontrolna: weryfikacja strony krok po kroku

Poniższa lista zajmie Ci kilka minut. Żaden pojedynczy punkt nie przesądza — liczy się suma sygnałów. Jeden zgrzyt to powód do czujności, trzy zgrzyty to powód, żeby zamknąć kartę.

1. Przeczytaj adres znak po znaku. Literówki, podmiany, dziwna końcówka, prawdziwa marka doklejona jako subdomena?
2. Nie ufaj kłódce. Jej brak dyskwalifikuje, jej obecność niczego nie dowodzi.
3. Sprawdź wiek domeny w WHOIS. Świeża rejestracja plus wielkie obietnice to czerwona flaga.
4. Zajrzyj do archiwum. Czy strona ma jakąkolwiek historię w Wayback Machine?
5. Zejdź do stopki. Dane firmy, NIP, adres, telefon — a potem zweryfikuj NIP w Białej liście podatników lub KRS.
6. Przeczytaj fragment regulaminu. Cudza nazwa firmy, maszynowe tłumaczenie, sprzeczności?
7. Oceń ekonomię oferty. Ceny drastycznie niższe niż u konkurencji i płatność tylko przelewem to wzór fake-sklepu.
8. Poszukaj opinii poza stroną. Wpisz nazwę domeny plus „opinie" albo „oszustwo"; sprawdź listę ostrzeżeń CERT Polska.
9. Przy treściach informacyjnych oceń autorów i język. Anonimowa redakcja, kalki językowe, emocje bez źródeł — a konkretny artykuł sprawdź analizą wiarygodności.

Jeśli strona nie przechodzi tej listy, nie zostawiaj na niej ani danych, ani pieniędzy. A gdy już padłeś ofiarą fałszywego sklepu — jak najszybciej skontaktuj się ze swoim bankiem i zgłoś sprawę na policję; incydent możesz też zgłosić do CERT Polska, żeby ostrzec innych.

Najczęstsze pytania

Czy kłódka przy adresie strony gwarantuje, że strona jest prawdziwa?

Nie. Kłódka oznacza wyłącznie szyfrowane połączenie — chroni dane w drodze do serwera, ale nie mówi nic o uczciwości właściciela strony. Oszuści również używają certyfikatów SSL, bo można je uzyskać za darmo w kilka minut. Traktuj kłódkę jako minimum, nigdy jako dowód wiarygodności.

Jak sprawdzić, do kogo należy strona internetowa?

Skorzystaj z wyszukiwarki WHOIS (dla domen .pl dane prowadzi rejestr NASK) — zobaczysz datę rejestracji i rejestratora. Dane firmy ze stopki zweryfikuj w Białej liście podatników VAT, KRS lub CEIDG. Jeśli strona nie podaje żadnych danych rejestrowych, a prosi o pieniądze — to wystarczający powód, by z niej zrezygnować.

Czym różni się fałszywy sklep od fałszywego portalu informacyjnego?

Fake-sklep chce Twojego przelewu: wabi zaniżonymi cenami, presją czasu i ogranicza płatności do trudnych do cofnięcia form. Fake-portal chce wpłynąć na Twoje poglądy lub wprowadzić w błąd: publikuje treści bez autorów i źródeł, gra emocjami. Pierwszy weryfikujesz głównie technicznie (domena, WHOIS, dane firmy), drugi — przez ocenę treści, autorów i języka.

Co zrobić, gdy zapłaciłem na fałszywej stronie?

Działaj szybko. Skontaktuj się z bankiem i zapytaj o możliwość zablokowania lub cofnięcia transakcji (przy kartach istnieje procedura chargeback), zmień hasła, jeśli podałeś je na tej stronie, zgłoś oszustwo na policję i poinformuj CERT Polska. Zachowaj zrzuty ekranu strony i potwierdzenia płatności — będą potrzebne przy zgłoszeniu.