Jak sprawdzić wiarygodność strony przed rejestracją

Przekonujący wygląd to najłatwiejsza rzecz do podrobienia. Skopiowanie logo, kolorów i układu zajmuje kilka minut, więc pierwsze, co warto sprawdzić, to adres w pasku przeglądarki. Przeczytaj nazwę domeny litera po literze i porównaj ją z tą, której się spodziewasz. Typowe sztuczki to zamienione lub podwojone litery, dodatkowe słowo, takie jak login, secure czy support, dołączone myślnikiem, inna końcówka, na przykład kod kraju, oraz znaki z innego alfabetu, które wyglądają identycznie jak litery łacińskie.

Zwróć uwagę, która część adresu jest prawdziwą domeną. Liczy się nazwa znajdująca się bezpośrednio przed końcówką, taką jak com czy kod kraju, w części adresu przed pierwszym pojedynczym ukośnikiem. Adres zaczynający się od znanej marki, po której następuje kropka i nieznana nazwa, należy do tej nieznanej nazwy. Marka na początku to tylko subdomena, którą właściciel tej nazwy może ustawić na dowolną wartość.

Najbezpieczniejszy nawyk to wchodzenie na ważne strony przez samodzielnie wpisany adres lub zakładkę, a nie przez linki z e-maili, wiadomości czy reklam w wyszukiwarce. Oszuści faktycznie wykupują reklamy wyświetlane nad prawdziwymi wynikami wyszukiwania, więc link na górze strony wyników sam w sobie niczego nie dowodzi.

HTTPS oznacza, że połączenie między twoją przeglądarką a stroną jest szyfrowane, a certyfikat został wydany dla tej domeny. Chroni to wpisywane dane przed odczytaniem po drodze, co jest niezbędne na każdej stronie, która prosi o hasło lub dane płatnicze. Strona bez HTTPS nie powinna nigdy otrzymać żadnego z nich.

HTTPS nie mówi natomiast, czy osoby stojące za domeną są uczciwe. Certyfikaty łatwo zdobyć i można je wystawiać automatycznie, dlatego strony wyłudzające dane używają ich równie rutynowo jak strony uczciwe, a niektóre przeglądarki z tego powodu zmieniły sposób pokazywania kłódki. Traktuj HTTPS jako wymóg minimalny, a nie oznakę wiarygodności.

Ostrzeżenia przeglądarki traktuj poważnie. Pełnoekranowe ostrzeżenie o błędzie certyfikatu albo o stronie zgłoszonej jako wyłudzająca dane lub zawierająca złośliwe oprogramowanie ma swoje powody, więc zamknij kartę zamiast klikać dalej. Możesz też otworzyć szczegóły certyfikatu z paska adresu, aby zobaczyć, jakiej domeny dotyczy i kto go wydał.

Wiarygodna firma mówi, kim jest. Poszukaj strony o firmie, działających danych kontaktowych i stron prawnych: regulaminu, polityki prywatności oraz jasnego opisu zwrotów lub rozstrzygania sporów. Przeczytaj je, zamiast tylko sprawdzać, że istnieją. Prawdziwy regulamin wskazuje operatora, opisuje, jak działa usługa, i zgadza się z tym, co strona mówi gdzie indziej. Gotowy tekst skopiowany od innej firmy, czasem z jej nazwą wciąż w treści, to poważny sygnał ostrzegawczy.

Sprawdź, czy formy kontaktu mają sens dla danego rodzaju działalności. Formularz pomocy, adres e-mail w domenie strony i centrum pomocy to norma. Strona, z którą można się skontaktować wyłącznie przez anonimowe konto w komunikatorze albo której strona kontaktowa jest pusta, nie daje ci nikogo, do kogo mógłbyś się zwrócić, gdy coś pójdzie źle.

Możesz też sprawdzić, kiedy zarejestrowano domenę, w publicznym narzędziu WHOIS lub RDAP. Ukryte dane właściciela są częste i same w sobie nie budzą podejrzeń, bo wielu rejestratorów ukrywa je domyślnie, ale świeżo zarejestrowana domena stojąca za stroną, która twierdzi, że ma długą historię, to niezgodność warta uwagi.

Wyszukaj nazwę strony razem ze słowami takimi jak opinie, reklamacje czy oszustwo i przeczytaj, co pojawia się na niezależnych platformach z opiniami, forach i w społecznościach. Referencje na samej stronie wybiera sama strona, więc niewiele znaczą.

Szukaj wzorców, a nie ocen w gwiazdkach. Prawdziwe opinie różnią się długością i tonem, wspominają konkretne szczegóły i zawierają także skargi, najlepiej z odpowiedzią pokazującą, jak je załatwiono. Sygnały ostrzegawcze to nagła fala krótkich, entuzjastycznych opinii opublikowanych mniej więcej w tym samym czasie, autorzy bez żadnej innej historii oraz wiele zgłoszeń tego samego problemu, na przykład zamówień, które nigdy nie dotarły.

Zupełnie nowa strona może po prostu nie mieć jeszcze opinii. To nie dowód oszustwa, ale oznacza, że warto zacząć od czegoś niewielkiego i bardziej polegać na pozostałych kontrolach opisanych tutaj.

Metody płatności zdradzają dużo. Płatności kartą i uznane usługi płatnicze zwykle oferują jakąś formę procedury reklamacyjnej. Przelewy na konta prywatne, karty podarunkowe i bezpośrednie przelewy kryptowalutowe są zazwyczaj nieodwracalne, więc po wysłaniu pieniędzy bardzo trudno je odzyskać. Strona, która popycha cię ku metodom nieodwracalnym albo oferuje zniżkę za płatność poza standardowym koszykiem, przerzuca całe ryzyko na ciebie.

Gdy platforma przyjmuje metodę nieodwracalną, liczy się to, jak radzi sobie z problemami. Dowiedz się, dokąd trafiają twoje pieniądze po zapłacie, kiedy sprzedawca faktycznie je otrzymuje i co się dzieje, gdy zamówienie jest błędne. Rzetelna platforma odpowiada na te pytania na stronach pomocy lub w regulaminie, zanim się zarejestrujesz, a jeśli nie możesz znaleźć odpowiedzi, potraktuj to jako ostrzeżenie samo w sobie.

Nigdy nie wpisuj danych karty na stronie otwartej z nieoczekiwanego linku i uważaj na każdy proces płatności, który prosi o informacje niepotrzebne do zapłaty, takie jak hasło do poczty czy zdjęcie karty.

Na marketplace platforma i sprzedawca to różne strony, więc oceniać trzeba obie. Sprawdź, czy sprzedawcy są weryfikowani, zanim zaczną sprzedawać, czy oferty są sprawdzane, co pokazuje profil sprzedawcy i jak rozwiązywane są problemy. Marketplace, który pozwala transakcjom przenosić się poza własny system, nie daje ci nikogo, do kogo mógłbyś się zwrócić, gdy pójdą źle.

Jako przykład tego, na co patrzeć, oto jak rStock podchodzi do tych kwestii. rStock to marketplace, na którym niezależne sklepy sprzedają towary cyfrowe, takie jak konta; platforma zatwierdza sklepy, zanim zaczną sprzedawać, i sprawdza każdą ofertę, zanim trafi do sprzedaży. Kupujący płacą z salda rStock, które doładowuje się kryptowalutą przez dostawcę płatności Cryptomus, a środki są wstrzymane, a nie od razu przekazywane sklepowi. Ponieważ przelew kryptowalutowy jest zazwyczaj nieodwracalny po wysłaniu, przeczytaj te zasady przed doładowaniem. Po dostawie jest ograniczony czas na otwarcie sporu, najpierw odpowiada sklep, a jeśli nie ma porozumienia, można wezwać moderatora. Profile sklepów pokazują liczbę sprzedaży, ocenę i saldo ubezpieczeniowe, czyli środki, które sklep trzyma na platformie, a miejsca sponsorowane są oznaczone.

Niezależnie od tego, z której platformy tego typu korzystasz, przeczytaj jej zasady przed pierwszym zamówieniem, a nie po pojawieniu się problemu, i przestrzegaj regulaminu każdej marki, której konto lub usługę kupujesz.

Niektóre sygnały są na tyle poważne, że same kończą sprawdzanie. Zrezygnuj z rejestracji, jeśli strona prosi o twoje hasła, kody uwierzytelniania dwuskładnikowego lub frazę odzyskiwania portfela kryptowalutowego, każe zainstalować oprogramowanie do zdalnego dostępu albo rozszerzenie przeglądarki, by kontynuować, lub próbuje przenieść rozmowę i płatność do prywatnego komunikatora.

Inne sygnały ostrzegawcze to odliczające liczniki czasu i presja, by działać od razu, ceny znacznie niższe niż u wszystkich innych, obietnice brzmiące zbyt dobrze, by były prawdziwe, formularze rejestracji żądające dokumentów tożsamości bez wyraźnego powodu oraz wiele zepsutych linków, literówek lub stron prowadzących donikąd. Jedna drobna wada nie dowodzi oszustwa, ale kilka naraz to wyraźny sygnał.

Przejście tych kontroli zmniejsza ryzyko, ale go nie usuwa. Używaj unikalnego hasła wygenerowanego przez menedżera haseł. Dodatkowo menedżer haseł zwykle nie zaproponuje wstawienia zapisanego loginu na domenie łudząco podobnej, co jest przydatną wskazówką, że coś jest nie tak.

Włącz uwierzytelnianie dwuskładnikowe, jeśli strona je oferuje, podawaj tylko informacje, których usługa naprawdę potrzebuje, i rozważ osobny adres e-mail lub alias do zakupów i rejestracji. Po rejestracji sprawdź, czy e-mail z potwierdzeniem pochodzi z tej samej domeny, na której założono konto, i zachowaj potwierdzenia zamówień, dopóki nie upewnisz się, że wszystko zadziałało.