Przeanalizowaliśmy 139 345 domen z listy ostrzeżeń CERT Polska

Rady o rozpoznawaniu fałszywych stron powtarzają się od lat: „sprawdź kłódkę“, „zobacz, czy adres zaczyna się od nazwy sklepu“, „uważaj na dziwne końcówki“. Postanowiliśmy sprawdzić, czy to w ogóle działa — nie na wyczucie, tylko na danych.

CERT Polska publikuje pełną listę ostrzeżeń przed niebezpiecznymi stronami jako zwykły plik tekstowy. 28 lipca 2026 roku pobraliśmy ją w całości i przeanalizowaliśmy wszystkie 139 345 wpisów. Poniżej wyniki — i jeden wniosek, który każe odwrócić najczęściej powtarzaną poradę.

Najważniejsze liczby

Co sprawdziliśmy	Wynik
Domen na liście	139 345
Różnych końcówek (TLD)	336
Udział domen spoza .pl	99,1%
Adresów zawierających nazwę znanej marki	16 931 (12,2%)
…z nich: marka wyłącznie w subdomenie	97,7%
Adresów zawierających słowo „allegro“	10 950

Polska lista ostrzeżeń prawie nie zawiera polskich domen

Pierwsze zaskoczenie. Końcówka .pl zajmuje na tej liście dopiero 20. miejsce z udziałem 0,9% — czyli 1 256 domen ze 139 tysięcy. Dominują końcówki, których większość ludzi nigdy świadomie nie odwiedziła:

Końcówka	Liczba domen	Udział
.com	45 523	32,7%
.shop	13 133	9,4%
.sbs	7 440	5,3%
.cyou	6 466	4,6%
.click	5 924	4,3%
.info	5 315	3,8%
.cfd	5 141	3,7%

To ma praktyczne znaczenie. Rejestracja domeny .pl wymaga danych, które da się powiązać z osobą, a NASK reaguje na zgłoszenia nadużyć. Rejestracja .sbs albo .cfd kosztuje kilka złotych, bywa promocyjnie darmowa i nie wiąże się z żadną realną weryfikacją. Dlatego oszustwo wymierzone w polskiego użytkownika najczęściej nie stoi na polskiej domenie.

Wniosek dla użytkownika: nieznana końcówka adresu to nie ciekawostka, tylko sygnał ostrzegawczy. Polski sklep, bank czy urząd praktycznie nigdy nie zaprosi Cię na adres kończący się .cfd, .sbs czy .cyou.

Podszywają się pod sklepy, nie pod banki

Drugie zaskoczenie jest jeszcze wyraźniejsze. Policzyliśmy, ile domen zawiera nazwy popularnych marek:

Marka	Liczba domen
Allegro	10 950
OLX	3 118
Vinted	2 126
DPD	265
InPost / Paczkomat	157
Poczta Polska	34

A teraz banki: mBank — 5 domen. PKO — 9. Santander — 9. Pekao — 7. ING — 2. Razem kilkadziesiąt adresów wobec prawie jedenastu tysięcy podszywających się pod jeden serwis ogłoszeniowy.

Nie znaczy to, że phishing bankowy zniknął. Znaczy, że punktem wejścia jest dziś handel, a nie logowanie do banku. Oszust nie potrzebuje fałszywej strony mBanku, skoro może przekonać Cię na Allegro Lokalnie albo OLX, żebyś sam podał kod BLIK lub „odebrał płatność“ przez podstawiony formularz. Autoryzację i tak wykonasz w prawdziwej aplikacji banku — tyle że nie tę, o której myślisz.

Wniosek, który odwraca standardową poradę

To jest najważniejsza część analizy.

Spośród 16 931 adresów zawierających nazwę znanej marki aż 16 537, czyli 97,7%, miało tę nazwę wyłącznie w subdomenie — czyli w części adresu, którą właściciel domeny ustawia sobie sam, bez pytania kogokolwiek o zgodę i bez żadnego kosztu. Tylko 394 adresy miały nazwę marki w faktycznie zarejestrowanej domenie.

Wygląda to tak (przykłady wprost z listy CERT):

allegro-lokalnie.0099866g8g.click
allegro-lokalnie.01289523rt.shop
1linpost.aw4btq.top

Człowiek czyta od lewej i widzi allegro-lokalnie. Przeglądarka czyta od prawej i widzi domenę 0099866g8g.click, która z Allegro nie ma nic wspólnego. Rada „sprawdź, czy adres zaczyna się od nazwy sklepu“ jest w tym świetle nie tylko nieskuteczna — jest dokładnie tym, co atak wykorzystuje.

Zasada, która działa: czytaj adres od prawej strony. Znajdź końcówkę, cofnij się o jeden człon w lewo — to jest prawdziwa domena i tylko ona coś znaczy. W adresie allegro-lokalnie.0099866g8g.click prawdziwa domena to 0099866g8g.click. Wszystko na lewo od niej to napis, który oszust mógł ustawić dowolnie.

Warto to przećwiczyć raz na spokojnie, bo w praktyce ten fragment adresu ogląda się przez dwie sekundy na telefonie, gdzie pasek adresu dodatkowo skraca długie nazwy — i pokazuje właśnie początek.

Jak wyglądają te nazwy

Kilka mierzalnych cech całej listy:

• mediana długości nazwy domeny to 13 znaków (bez końcówki),
• 26,6% zawiera cyfrę,
• 26,2% zawiera myślnik,
• 11,6% to długie, kilkunastoznakowe ciągi samych liter — losowe, niewymawialne.

Cyfra i myślnik same w sobie niczego nie przesądzają: sporo uczciwych firm ma je w adresie. Ale w połączeniu z egzotyczną końcówką i losowym ciągiem znaków tworzą profil, który na tej liście powtarza się tysiące razy.

Ile mają lat

Sprawdziliśmy również daty rejestracji, odpytując rejestry przez RDAP — protokół, którym oficjalnie udostępnia się dane o domenach. Na losowej próbce 45 domen dane rejestracyjne udało się uzyskać dla 42. Wyniki:

• mediana wieku: 137 dni,
• 33% miało mniej niż 90 dni,
• 76% — mniej niż rok,
• najmłodsza domena: 18 dni; najstarsza: ponad 6 500 dni, czyli blisko osiemnaście lat.

Ta najstarsza jest ważnym zastrzeżeniem. Nie każda domena na liście została założona przez oszusta — część to przejęte, legalnie działające od lat strony, na których ktoś umieścił złośliwą podstronę. Dlatego „stary adres“ nie jest dowodem bezpieczeństwa, tak samo jak kłódka.

Zastrzegamy też uczciwie: 42 domeny to próbka, nie cała lista, i podajemy ją jako rząd wielkości, a nie precyzyjny pomiar. Odpytanie 139 tysięcy domen wymagałoby zgody rejestrów na taki ruch — pierwsza, szybsza próba została po prostu odrzucona limitem zapytań.

Co z tego wynika w praktyce

Trzy rzeczy, które można zastosować od zaraz:

1. Czytaj adres od prawej. Prawdziwa domena to dwa ostatnie człony przed pierwszym ukośnikiem. Reszta jest dekoracją.
2. Traktuj nieznaną końcówkę jak ostrzeżenie. .sbs, .cfd, .cyou, .click, .rest — polskie firmy z nich nie korzystają, a na liście ostrzeżeń stanowią razem większy udział niż .pl.
3. Przestań patrzeć na kłódkę. Nie odróżnia uczciwej strony od fałszywej i nigdy tego nie robiła. Certyfikat jest darmowy i wydawany automatycznie.

Jeśli mimo wszystko trafiłeś na taką stronę i coś na niej podałeś, liczy się czas — kolejne kroki opisaliśmy w poradniku co zrobić po oszustwie. Przy zakupach z drugiej ręki pomaga checklista rozpoznawania fałszywego sklepu oraz zasady bezpiecznych zakupów na OLX i Vinted.

Jak można to powtórzyć

Analiza nie wymaga specjalnych narzędzi ani dostępu. Lista jest publiczna pod adresem hole.cert.pl/domains/v2/domains.txt i pobiera się jako plik tekstowy. Statystyki końcówek i wystąpień nazw marek liczy się na całym pliku, a rozdzielenie subdomeny od domeny rejestrowanej sprowadza się do wzięcia dwóch ostatnich członów adresu. Daty rejestracji pochodzą z zapytań RDAP do rejestrów — z zastrzeżeniem, że część rejestrów ogranicza liczbę zapytań i odpowiada wtedy błędem, który łatwo pomylić z informacją „domena nie istnieje“.

Stan danych: 28 lipca 2026. Lista zmienia się codziennie, więc konkretne liczby po kilku tygodniach będą inne — ale proporcje, zwłaszcza ta dotycząca subdomen, utrzymują się na tyle wyraźnie, że nie są kwestią jednego pomiaru.