lista ostrzeżeń przed niebezpiecznymi stronami

Lista ostrzeżeń przed niebezpiecznymi stronami to publiczny wykaz domen, które według CSIRT NASK służą do wyłudzania danych i pieniędzy, prowadzony przez zespół CERT Polska i używany przez operatorów telekomunikacyjnych do blokowania dostępu do tych stron. Ustawa z 28 lipca 2023 roku definiuje ją jako jawną listę ostrzeżeń dotyczących domen, które służą do wyłudzeń danych i niekorzystnego rozporządzenia mieniem użytkowników internetu ^[2]. CERT Polska prowadzi ją nieprzerwanie od marca 2020 roku ^[1]. Lista jest jednym z głównych narzędzi obrony przed phishingiem w polskim internecie.

Jak działa

Domenę może zgłosić każdy, a CSIRT NASK wpisuje ją na listę z własnej inicjatywy albo po zgłoszeniu ^[2]. Operator, który jest stroną porozumienia z CSIRT NASK, może usunąć wpisane domeny ze swoich serwerów zamieniających nazwy domen na adresy IP i przekierować zapytania na stronę CSIRT NASK z informacją o możliwej próbie wyłudzenia ^[2]. Użytkownik, który wejdzie w link, widzi planszę ostrzegawczą zamiast fałszywej strony ^[1]. Blokadę stosują Orange Polska, Plus, Play i T-Mobile ^[1].

RYS. 1Od zgłoszenia do blokady

Domeny są blokowane na 6 miesięcy; jeśli po tym czasie nadal zawierają niebezpieczne treści, trafiają na listę jako nowy wpis ^[1]. Listę publikuje się w wielu formatach, między innymi tekstowym, CSV, JSON, XML, jako plik hosts i jako filtr dla blokerów reklam ^[1]. Dzięki temu może z niej korzystać każdy, nie tylko operator. Sekurak w 2021 roku opisał jej podłączenie do domowego filtra DNS Pi-hole ^[6].

Lista różni się od mechanizmu Safe Browsing, który działa w przeglądarce. Polska lista działa na poziomie serwerów DNS operatora i obejmuje nazwy domen ^[2]. Oba mechanizmy prowadzą jednak do podobnego skutku, czyli wpisu na czarną listę (blacklisting).

Podstawa prawna

Do 2023 roku lista działała na podstawie porozumienia z 23 marca 2020 roku, ograniczonego do stanów nadzwyczajnych i epidemii ^[2]. Ustawa o zwalczaniu nadużyć w komunikacji elektronicznej nadała jej umocowanie ustawowe.

Przepisy o liście weszły w życie dzień po ogłoszeniu ustawy, które nastąpiło 25 sierpnia 2023 roku ^[2]. Sprzeciw może wnieść podmiot mający tytuł prawny do wpisanej domeny ^[2].

Sprzeciw musi wskazywać domenę, uzasadniać, dlaczego wpis jest niezasadny, i identyfikować właściciela; opatruje się go kwalifikowanym podpisem elektronicznym, podpisem zaufanym albo podpisem osobistym i wnosi na adres do doręczeń elektronicznych Prezesa UKE ^[2]. Sprzeciw bez tych elementów pozostawia się bez rozpoznania ^[2]. Prezes UKE uwzględnia go, jeżeli domena nie służy do wyłudzeń, a na nieuwzględnienie przysługuje skarga do sądu administracyjnego ^[2]. Do postępowania nie stosuje się Kodeksu postępowania administracyjnego ^[2]. Dla właściciela, którego domena trafiła na listę omyłkowo, jest to jedyna ustawowa ścieżka; w praktyce warto równolegle skontaktować się z CERT Polska przez incydent.cert.pl, który strona listy podaje jako kanał kontaktu ^[1].

W WordPressie

Dla właściciela strony na WordPressie lista ma dwa znaczenia. Pierwsze jest obronne: z plików listy można korzystać we własnej infrastrukturze, na przykład odrzucając komentarze z linkami do wpisanych domen, co ogranicza spam w komentarzach kierujący do fałszywych bramek płatności. Poniższy fragment to ilustracja takiego filtra; adres pliku pochodzi ze strony CERT Polska ^[1].

// Ilustracja: komentarz z linkiem do domeny z Listy Ostrzeżeń trafia do spamu.
add_filter( 'pre_comment_approved', function ( $approved, $commentdata ) {
	$lista = get_transient( 'lista_ostrzezen' );
	if ( false === $lista ) {
		$odp = wp_remote_get( 'https://hole.cert.pl/domains/v2/domains.txt' );
		if ( 200 !== wp_remote_retrieve_response_code( $odp ) ) {
			return $approved;
		}
		$lista = array_flip( array_filter( preg_split( '/\R/', wp_remote_retrieve_body( $odp ) ) ) );
		set_transient( 'lista_ostrzezen', $lista, 6 * HOUR_IN_SECONDS );
	}
	preg_match_all( '#https?://([a-z0-9.-]+)#i', $commentdata['comment_content'], $m );
	foreach ( $m[1] as $host ) {
		if ( isset( $lista[ strtolower( $host ) ] ) ) {
			return 'spam';
		}
	}
	return $approved;
}, 10, 2 );

Drugie znaczenie dotyczy ryzyka, że na listę trafi własna domena. Ustawowym kryterium jest podstawowy cel domeny ^[2], ale ocenę robi CSIRT NASK. Niebezpiecznik w październiku 2022 roku opisał właściciela domen z „gmail” w nazwie, na których działał panel poczty RoundCube; CERT Polska uznał połączenie nazwy, panelu logowania i nieprawdziwych danych abonenta za podstawę do działania ^[5]. Domeny trafiły na listę, a hosting na żądanie CERT Polska zablokował konto właściciela, przez co przestały działać także strony jego klientów ^[5]. CERT Polska tłumaczył, że wcześniej obserwował prawdziwe ataki phishingowe z użyciem panelu RoundCube na domenach naśladujących popularne usługi pocztowe ^[5]. Serwer odblokowano, ale domeny pozostały na liście ^[5]. Wniosek dla administratora jest praktyczny: przed rejestracją domeny dla klienta warto sprawdzić, czy nie przypomina ona marki, pod którą podszywają się oszuści, i podawać rejestratorowi prawdziwe dane abonenta. Nazwa przypominająca znaną markę, czyli podobieństwo typowe dla ataków takich jak typosquatting czy atak homograficzny (homograph attack), jest więc realnym ryzykiem także dla uczciwego właściciela.

Skala

W komunikacie z września 2023 roku CERT Polska podał, że od początku działania projektu zablokowano 47 milionów prób wejść na ponad 54 tysiące złośliwych domen ^[4]. NASK w maju 2025 roku podsumował rok 2024: zespół przeanalizował ponad 600 tysięcy zgłoszeń, wpisał na listę 92,6 tysiąca szkodliwych domen i zablokował ponad 70 milionów prób wejścia na niebezpieczne strony ^[3]. Łączna liczba pobrań listy w 2024 roku wyniosła 345 milionów ^[3].

Jak zgłosić stronę

Podejrzaną stronę zgłasza się formularzem pod adresem incydent.cert.pl/phishing, a podejrzany SMS z linkiem przekazuje się na numer 8080 ^[1]. Oba kanały opisuje hasło zgłoszenie podejrzanego SMS-a na numer 8080 / zgłoszenie incydentu (incydent.cert.pl). Listę prowadzi zespół CERT Polska, jeden z trzech krajowych zespołów typu CSIRT. Numer 8080 służy do zgłaszania wiadomości, co do których istnieje podejrzenie smishingu ^[2].