Rozpoznanie phishingowe: w jaki sposób atakujący identyfikują i wybierają jako cel podatne na ataki domeny

Większość ludzi wyobraża sobie phishing jako grę liczbową – wysyłanie milionów e-maili i czekanie, aż ktoś w nie kliknie. Niektóre kampanie nadal działają w ten sposób. Jednak ataki, które powodują rzeczywiste szkody – te, które trafiają do firmowych skrzynek pocztowych i oszukują doświadczonych pracowników – prawie nigdy nie zaczynają się od wysłanej wiadomości. Zaczynają się od zbierania informacji.

Rozpoznanie phishingowe to usystematyzowany proces, który atakujący stosują w celu sporządzenia profilu docelowej domeny jeszcze przed napisaniem jakiejkolwiek wiadomości e-mail. Analizują oni zapisy uwierzytelniające, konfigurację DNS, ślady subdomen oraz złożoność środowiska wysyłającego. Cel jest prosty: znaleźć domeny, w których sfałszowana wiadomość ma największą szansę na ominięcie filtrów i dotarcie do prawdziwej skrzynki odbiorczej.

Według APWG tylko w pierwszym kwartale 2025 roku odnotowano ponad milion ataków phishingowych, a w raporcie FBI IC3 z 2024 roku phishing i spoofing wymieniono jako najczęstszą kategorię skarg. Tak duża skala ataków jest możliwa, ponieważ faza rozpoznania nie wymaga specjalnego dostępu, wykorzystania luk w zabezpieczeniach ani narzędzi o podwyższonych uprawnieniach. Opiera się ona niemal wyłącznie na informacjach dostępnych publicznie. Zrozumienie, jakie informacje o Twojej domenie mogą uzyskać atakujący – przy użyciu tych samych narzędzi, z których oni korzystają – jest najprostszym sposobem na wyeliminowanie luk, z których oni korzystają.

Czym jest rozpoznanie phishingowe?

Rozpoznanie przed atakiem phishingowym to faza poprzedzająca atak, podczas której osoba stanowiąca zagrożenie gromadzi publicznie dostępne informacje o celu, aby zmaksymalizować prawdopodobieństwo powodzenia swojej kampanii. Jest to forma OSINT (Open Source Intelligence) – gromadzenia danych ze źródeł, które są już publicznie dostępne, bez konieczności przeprowadzania bezpośredniego ataku lub uzyskiwania nieuprawnionego dostępu.

W kontekście phishingu realizowanego za pośrednictwem poczty elektronicznej działania rozpoznawcze skupiają się na trzech aspektach: zrozumieniu stanu zabezpieczeń uwierzytelniających domeny docelowej, sporządzeniu mapy całej infrastruktury wysyłkowej i subdomen oraz zidentyfikowaniu najsłabszego punktu, przez który sfałszowana wiadomość e-mail ma największe szanse ominąć filtry i dotrzeć do skrzynki odbiorczej. Idealnym celem jest domena, w której mechanizmy uwierzytelniające są słabe lub nie istnieją, posiadająca nie monitorowane subdomeny oraz złożone, nieudokumentowane środowisko nadawców.

Narzędzia wykorzystywane na tym etapie – narzędzia do wyszukiwania adresów DNS, dzienniki przejrzystości certyfikatów, programy do wyliczania subdomen, rekordy WHOIS oraz usługi weryfikacji adresów e-mail – są bezpłatne, publicznie udokumentowane i nie wymagają specjalistycznej wiedzy technicznej do obsługi. Próg wejścia w przeprowadzenie rozpoznania phishingowego wobec dowolnej domeny jest niski. Próg obrony przed nim jest również niski, jeśli wie się, na co zwrócić uwagę.

Etap 1: Sprawdzenie stanu uwierzytelniania domeny

Pierwszą rzeczą, którą sprawdza osoba prowadząca atak phishingowy, jest rekord DMARC domeny. Zajmuje to zaledwie kilka sekund przy użyciu dowolnego bezpłatnego narzędzia do wyszukiwania DNS i natychmiast pozwala ustalić aktualny poziom egzekwowania.

Sprawdzanie zasad DMARC

Atakujący liczą na to, że znajdą wartość p=none lub że w ogóle nie ma rekordu DMARC. Domena z wartością p=none opublikowała rekord DMARC – co oznacza, że prowadzony jest pewien monitoring – ale poinstruowała każdy serwer pocztowy odbierający wiadomości, aby nie podejmował żadnych działań w przypadku niepowodzenia uwierzytelnienia wiadomości e-mail. W praktyce oznacza to, że osoba atakująca może wysłać sfałszowaną wiadomość e-mail z tej domeny, a serwer odbierający może wykryć, że nie została ona uwierzytelniona, i mimo to ją dostarczyć, ponieważ polityka tej domeny nakazuje, aby jej nie blokować.

Domeny, które w ogóle nie posiadają rekordu DMARC, są jeszcze bardziej narażone. Brakuje w nich wytycznych dotyczących polityki, zbiorczych raportów oraz możliwości analizy śledczej. Atakujący aktywnie wyszukują takie domeny i traktują je priorytetowo jako cele ataków polegających na podszywaniu się właśnie dlatego, że właściciel domeny nie dysponuje żadnym mechanizmem pozwalającym wykrywać lub blokować próby podszywania się.

Ustawienie „p=none” stanowi częsty punkt wyjścia dla organizacji zajmujących się konfiguracją uwierzytelniania – jest to rozsądny moment na rozpoczęcie monitorowania przed przejściem do etapu egzekwowania zasad. Problem polega na tym, że wiele organizacji zaczyna właśnie od tego etapu i nigdy nie idzie dalej. Domeny, które od miesięcy lub lat działają z ustawieniem „p=none”, stanowią dobrze udokumentowaną i często atakowaną grupę w kampaniach phishingowych.

Kontrola wpisu SPF

Po sprawdzeniu DMARC atakujący sprawdzają rekord SPF. Prawidłowo skonfigurowany rekord SPF zawiera listę wszystkich serwerów uprawnionych do wysyłania wiadomości w imieniu domeny i kończy się na -all, co nakazuje serwerom odbierającym odrzucanie wszelkich wiadomości nieznajdujących się na tej liście. Atakujący szukają liberalnego rekordu SPF kończącego się na „~all” (miękki błąd, który nadal pozwala na dostarczenie wiadomości) lub „+all” (co autoryzuje każdego nadawcę), albo rekordu SPF, który przekroczył limit dziesięciu zapytań DNS, co powoduje całkowity błąd.

Rekord SPF kończący się na ~all zamiast -all stanowi subtelną, ale znaczącą lukę: serwery odbiorcze traktują „miękkie” błędy jako podejrzane, ale zazwyczaj i tak dostarczają wiadomość, zwłaszcza gdy DMARC nie jest w trybie egzekwowania. Atakujący, którzy zidentyfikują tę kombinację – SPF z ~all i DMARC ustawiony na p=none – wiedzą, że sfałszowane wiadomości e-mail z tej domeny w większości przypadków dotrą do skrzynki odbiorczej.

Sprawdzenie konfiguracji DKIM

DKIM jest nieco trudniejszy do bezpośredniej weryfikacji, ponieważ wyszukiwanie klucza publicznego DKIM wymaga znajomości używanego selektora. Jednak osoby atakujące mogą wywnioskować konfigurację DKIM na podstawie zbiorczych raportów DMARC oraz z nagłówków wiadomości e-mail zaobserwowanych w dowolnej wiadomości wysłanej zgodnie z prawem przez domenę docelową. Nagłówki pobrane z powiadomień serwisu LinkedIn, subskrypcji komunikatów prasowych lub e-maili marketingowych ujawniają używany selektor DKIM oraz domenę podpisującą. Gdy atakujący pozna selektor, może wysłać zapytanie o klucz publiczny i potwierdzić, czy podpis DKIM jest aktywny i spójny.

Szczególnie atrakcyjne są domeny, w których podpisywanie odbywa się w sposób niespójny – czyli takie, w których niektóre źródła wysyłające uwierzytelniają się za pomocą DKIM, a inne nie. Zgodność z DMARC wymaga, aby co najmniej jeden z mechanizmów – SPF lub DKIM – przeszedł test z uwzględnieniem zgodności identyfikatorów. Domena, w której część ruchu jest uwierzytelniana, a część nie, stanowi właśnie takie środowisko, w którym sfałszowany ruch miesza się z uzasadnionymi błędami.

Faza 2: Analiza zasięgu subdomen i domen

Kontrole uwierzytelniania domeny skupiają się na domenie głównej. Jednak większość organizacji posiada znacznie szerszy zakres domen niż ten, który jest aktywnie monitorowany – a działania rozpoznawcze w ramach phishingu mają na celu właśnie jego wykrycie.

Wymienianie wpisów w rejestrze przejrzystości certyfikatów

Każdy certyfikat SSL/TLS wydany dla danej domeny jest publicznie rejestrowany w rejestrach przejrzystości certyfikatów (CT), które są otwarte i dostępne dla każdego. Narzędzia takie jak crt.sh pozwalają atakującemu w ciągu kilku sekund przejrzeć pełną historię certyfikatów dla danej domeny, ujawniając każdą subdomenę, dla której kiedykolwiek wydano certyfikat – w tym środowiska programistyczne, serwery testowe, regionalne mikrostrony oraz dawno zapomniane strony kampanii.

Jest to jedna z najskuteczniejszych dostępnych technik rozpoznania pasywnego, ponieważ ma charakter kompleksowy i historyczny. Poddomeny, które zostały już wycofane z użytku, ale kiedyś posiadały certyfikaty, nadal pojawiają się w logach CT. Atakujący może stworzyć kompletny historyczny obraz obecności poddomen organizacji bez wysyłania ani jednego pakietu do celu.

Wykazywanie subdomen

Oprócz logów CT, biernych baz danych DNS oraz narzędzi do ataków brute-force na subdomeny można wykryć dodatkowe subdomeny. Przejęcie subdomeny – sytuacja, w której zapomniany rekord DNS subdomeny nadal wskazuje na wycofaną z użytku usługę, którą może przejąć atakujący – jest udokumentowanym schematem ataku, na który zwracają szczególną uwagę osoby prowadzące rozpoznanie. Subdomena z wiszącym rekordem CNAME wskazującym na wygasłą usługę strony trzeciej może zostać przejęta i wykorzystana do wysyłania wiadomości phishingowych, które sprawiają wrażenie, jakby pochodziły od legalnej organizacji.

Poddomeny są szczególnie narażone na ataki phishingowe, ponieważ zazwyczaj wykraczają poza zakres uwierzytelniania skonfigurowany przez zespoły ds. bezpieczeństwa. Domena, w której główna domena wysyłająca ma włączoną politykę DMARC, ale poddomeny nie są objęte tagiem „sp” DMARC, naraża każdą poddomenę na spoofing, niezależnie od tego, co przewiduje główna polityka.

WHOIS i historia rejestracji domeny

Wpisy WHOIS zawierają daty rejestracji, informacje o rejestratorze, a w niektórych przypadkach także dane rejestrującego. Wiek domeny jest wskaźnikiem, na podstawie którego atakujący oceniają, czy dana domena posiada wystarczająco długą historię wysyłania wiadomości, co utrudnia filtrowanie sfałszowanego ruchu. Wykorzystują oni również dane WHOIS do identyfikacji powiązanych domen zarejestrowanych przez tę samą organizację – domen nabytych, rejestracji służących ochronie marki, wariantów regionalnych – które mogą nie być aktywnie monitorowane.

Faza 3: Analiza środowiska nadawcy

Środowisko nadawcze domeny – czyli pełen zestaw usług i platform uprawnionych do wysyłania wiadomości e-mail w jej imieniu – jest widoczne w zbiorczych raportach DMARC i można je częściowo wywnioskować na podstawie publicznie dostępnych nagłówków wiadomości e-mail. Dla osób prowadzących ataki phishingowe złożone lub słabo udokumentowane środowisko nadawcze stanowi okazję do wykorzystania.

Złożoność nadawców zewnętrznych

Współczesne organizacje zazwyczaj wysyłają wiadomości e-mail z wielu źródeł: głównego serwera pocztowego, platformy marketingowej, systemu CRM (np. HubSpot), systemu obsługi zgłoszeń, dostawcy usług rozliczeniowych czy narzędzia do zarządzania kalendarzem. Każde z tych źródeł wymaga wyraźnego upoważnienia w rekordzie SPF oraz konfiguracji DKIM. Każde z nich generuje wpisy w zbiorczych raportach DMARC. W przypadku dużych organizacji raporty te mogą zawierać tysiące wierszy dziennie, pochodzących z dziesiątek różnych źródeł wysyłania.

Taki natężenie ruchu generuje szum, a oszuści zajmujący się phishingiem celowo to wykorzystują. Gdy zbiorcze dane DMARC organizacji wskazują czterdziestu autoryzowanych nadawców, stosunek sygnału do szumu przy wykrywaniu nietypowego źródła znacznie spada. Ruch wynikający z podszywania się o niewielkim natężeniu – kilkaset wiadomości dziennie pochodzących ze złośliwego źródła – może wtopić się w dane raportowe intensywnie działającego środowiska wysyłkowego przedsiębiorstwa, nie wywołując przy tym automatycznych alertów.

Widoczne nagłówki wiadomości e-mail

Prawdziwe wiadomości e-mail wysyłane z domeny docelowej stanowią jedno z najbardziej przydatnych źródeł informacji o środowisku nadawcy, dostępnych dla osoby prowadzącej atak phishingowy. Biuletyny marketingowe, subskrypcje komunikatów prasowych, potwierdzenia zgłoszeń o pracę oraz powiadomienia dla klientów zawierają nagłówki wiadomości e-mail, które ujawniają wykorzystywaną infrastrukturę wysyłkową: serwer przesyłania poczty, selektor DKIM i domenę podpisującą, domenę Return-Path oraz wyniki uwierzytelniania zarejestrowane przez serwer odbierający.

Osoba atakująca, która zapisze się na listę mailingową docelowej organizacji, uzyskuje szczegółowy wgląd w jej konfigurację uwierzytelniania bez żadnych kosztów i bez pozostawiania śladów. Informacje te mają bezpośredni wpływ na sposób przeprowadzenia kampanii phishingowej – pozwalają ustalić, z jakiego źródła wysyłki należy się podawać, jakie nagłówki sfałszować oraz które luki w uwierzytelnianiu mogą umożliwić dostarczenie wiadomości.

Faza 4: Weryfikacja grupy docelowej przed uruchomieniem

Po sporządzeniu profilu domeny operatorzy ataków phishingowych przeprowadzają dodatkowe kontrole przed rozpoczęciem kampanii, aby zmaksymalizować jej skuteczność i zminimalizować marnotrawstwo zasobów infrastruktury.

Weryfikacja adresu e-mail

Operatorzy sprawdzają, czy docelowe adresy e-mail są aktywne i należą do osób o wysokim znaczeniu – kadry kierowniczej, członków działu finansowego oraz wszystkich osób mających dostęp do systemów zawierających dane wrażliwe lub uprawnionych do zatwierdzania płatności. Wysyłanie wiadomości na nieaktywne adresy powoduje wysoki wskaźnik odrzuceń, co może skutkować przypisaniem oceny spamowej infrastrukturze wysyłającej oraz zwiększyć ryzyko wykrycia, zanim kampania dotrze do rzeczywistych odbiorców.

Adresy e-mail są często pozyskiwane z serwisu LinkedIn, stron internetowych firm, zbiorów danych pochodzących z wycieków oraz poprzednich kampanii. Narzędzia takie jak theHarvester automatyzują ten proces w odniesieniu do wybranej domeny, pobierając adresy e-mail pracowników z wyników wyszukiwarek, mediów społecznościowych i publicznych katalogów.

Rozgrzewanie infrastruktury wysyłkowej

Większość głównych dostawców usług pocztowych traktuje historię wysyłek jako wskaźnik zaufania. Nowo zarejestrowana domena bez historii wysyłek jest znacznie bardziej narażona na wykrycie przez filtry oparte na reputacji niż domena o ugruntowanej pozycji. Dlatego właśnie osoby prowadzące ataki phishingowe często rejestrują domeny o podobnej nazwie na kilka tygodni lub miesięcy przed rozpoczęciem kampanii i wysyłają niewielką liczbę wiadomości, aby zbudować podstawową reputację przed zwiększeniem skali działań.

Faza przygotowawcza ma na celu przejście tych samych testów reputacyjnych, z których korzystają legalni nadawcy podczas rejestracji nowych domen. Z zewnątrz infrastruktura wygląda jak nowa firma lub usługa, która dopiero zaczyna wysyłać wiadomości e-mail. Zanim kampania zostanie uruchomiona, domena przejdzie już wstępne filtry reputacyjne.

Tworzenie domen homograficznych i domen o podobnej nazwie

Zgodnie z raportem CSC dotyczącym bezpieczeństwa domen 88% domen zawierających homoglify, wymierzonych w największe marki, należy do podmiotów zewnętrznych. W domenach tych zastępuje się lub dodaje niemal identyczne znaki, aby przeszły one szybką kontrolę wizualną – na przykład „arnazon.com” zamiast „amazon.com” lub znaki Unicode, które w większości klientów poczty elektronicznej wyświetlają się identycznie jak litery łacińskie.

Domeny podobne są również tworzone w celu podszywania się pod nazwę wyświetlaną – w takich przypadkach nagłówek „From” zawiera nazwę budzącą zaufanie, ale rzeczywistą domeną nadawczą jest domena podobna. Technika ta całkowicie omija system DMARC, ponieważ DMARC weryfikuje jedynie zgodność domeny podanej w nagłówku „From” z rekordami SPF i DKIM, a nie samą nazwę wyświetlaną. Jest to jeden z powodów, dla których samo egzekwowanie standardu DMARC, choć niezbędne, nie stanowi jedynej wymaganej warstwy zabezpieczeń.

Jak przekształcić działania rozpoznawcze związane z phishingiem w przewagę obronną

Każdy sygnał, na który zwraca uwagę rozpoznanie phishingowe, stanowi sygnał, który zespół ds. bezpieczeństwa może zweryfikować i monitorować za pomocą tych samych, ogólnodostępnych narzędzi. Celem jest zapewnienie, że gdy osoba atakująca będzie analizować profil domeny, nie znajdzie niczego, co warto by zaatakować – pełne egzekwowanie uwierzytelniania, udokumentowane środowisko nadawców oraz brak porzuconych zasobów subdomen.

Sprawdź zgodność polityki DMARC we wszystkich domenach i subdomenach

Zacznij od pobrania rekordów DMARC dla swojej domeny głównej oraz każdej subdomeny, którą uda Ci się zidentyfikować. Każda domena, która nadal ma ustawienie p=none i funkcjonuje od ponad kilku miesięcy, stanowi priorytet. Przejście od p=none do p=reject nie musi nastąpić z dnia na dzień, ale musi odbywać się zgodnie z ustalonym harmonogramem – nie można pozostawiać jej w trybie monitorowania na czas nieokreślony.

Należy jawnie skonfigurować tag DMARC sp, aby rozszerzyć egzekwowanie zasad na subdomeny. Nieaktywne subdomeny, które nie generują żadnego uzasadnionego ruchu wychodzącego, należy natychmiast ustawić na p=reject. Nie ma powodu, aby pozostawiać ustawienie egzekwowania na „none” w przypadku domeny, która nie wysyła żadnych wiadomości.

Sprawdź poprawność i uzupełnij swój wpis SPF

Sprawdź rekord SPF swojej domeny i upewnij się, że każdy wymieniony nadawca jest nadal aktywnie używany i prawidłowo autoryzowany. Zmień wszelkie kwalifikatory ~all na -all, o ile Twoje środowisko wysyłkowe jest stabilne i w pełni udokumentowane. Jeśli Twój rekord zbliża się do limitu dziesięciu wyszukiwań DNS lub go przekracza, zastosuj spłaszczenie SPF – rekord SPF przekraczający limit kończy się całkowitą porażką, co pod względem dostarczalności jest gorsze niż brak rekordu i stanowi błąd konfiguracji, który mogą wykryć atakujący.

Mapuj i monitoruj całe środowisko nadawców

Wykorzystaj zbiorcze raporty DMARC, aby stworzyć pełny wykaz wszystkich nadawców wysyłających wiadomości e-mail podających się za pochodzące z Twojej domeny. Każdy nadawca pojawiający się w raportach, który nie figuruje na liście autoryzowanych nadawców, jest albo nieprawidłowo skonfigurowaną, legalną usługą, albo nieautoryzowanym nadawcą. W obu przypadkach należy podjąć odpowiednie działania.

W większości organizacji na bieżąco wdrażane są nowe narzędzia SaaS i integracje. Oznacza to, że środowisko nadawców nie jest statyczne. Spis, który trzy miesiące temu był aktualny, dziś może być już nieaktualny. Mapowanie środowiska nadawców należy traktować jako proces cykliczny, a nie jednorazowe działanie.

Wymień wszystkie swoje subdomeny

Wykorzystaj crt.sh oraz narzędzia do pasywnej analizy DNS, aby uzyskać taki sam obraz obecności Twojej domeny, jaki miałby atakujący. Wszelkie wykryte elementy, które nie są monitorowane, nie są uwierzytelnione lub mają nieprawidłowy rekord DNS, należy natychmiast usunąć. W przypadku domen podobnych i homograficznych narzędzia do ochrony przed spoofingiem domen oraz monitorowania marki mogą je wykryć, zanim zostaną wykorzystane w aktywnej kampanii. W przypadku własnych domen warto przeanalizować ukryte zagrożenia bezpieczeństwa związane z wieloma domenami i subdomenami jako punkt wyjścia do pełnego audytu domen.

Co odkrywają atakujący, przeprowadzając rozpoznanie phishingowe w Twojej domenie

Cały opisany powyżej proces rozpoznania phishingowego – sprawdzenie stanu uwierzytelniania, mapowanie zasięgu subdomen, analiza środowiska nadawcy oraz weryfikacja celów – zajmuje doświadczonemu atakującemu mniej niż godzinę przy użyciu darmowych narzędzi. Narzędzie do sprawdzania DMARC, wyszukiwanie SPF, crt.sh oraz zapytanie WHOIS wystarczą, by ustalić, czy dana domena jest warta ataku.

Najtrudniejsze do zaatakowania są te organizacje, w przypadku których rozpoznanie nie przynosi żadnych użytecznych informacji: polityka DMARC ustawiona na p=reject z obsługą subdomen, poprawny rekord SPF kończący się na -all, udokumentowane podpisywanie DKIM we wszystkich źródłach wysyłania oraz brak porzuconych subdomen z otwartymi lukami w uwierzytelnianiu. Gdy rozpoznanie przeprowadzane przez atakującego wykryje domenę, która zamknęła te luki, atakujący przechodzi dalej. I właśnie o to chodzi.

• O
• Latest Posts

Ahona Rudra

Ekspert ds. bezpieczeństwa domen i poczty elektronicznej w PowerDMARC

Ahona jest Marketing Managerem w PowerDMARC, z ponad 5-letnim doświadczeniem w pisaniu na tematy związane z cyberbezpieczeństwem, specjalizującym się w bezpieczeństwie domen i poczty elektronicznej. Ahona posiada dyplom ukończenia studiów podyplomowych w zakresie dziennikarstwa i komunikacji, umacniając swoją karierę w sektorze bezpieczeństwa od 2019 roku.

Latest posts by Ahona Rudra (zobacz wszystkie)

• Bezpieczeństwo faksów: Kompletny przewodnik po ochronie poufnych dokumentów w 2026 roku – 30 lipca 2026 r.
• Czym jest usługa filtrowania wiadomości e-mail? – 29 lipca 2026 r.
• Podszywanie się pod adresy e-mail: czym jest i jak temu zapobiegać – 29 lipca 2026 r.