Czym jest manipulacja adresami URL (przepisywanie adresów URL)? W jaki sposób atakujący przejmują zaufane linki, aby ukryć ataki phishingowe

W skrzynce odbiorczej pojawia się wiadomość e-mail zawierająca link, który został już sprawdzony. Po najechaniu kursorem na adres internetowy wyświetla się informacja o bezpiecznej domenie od zaufanego dostawcy zabezpieczeń, takiego jak Microsoft Safe Links. Ponieważ narzędzia zabezpieczające Twojej organizacji zweryfikowały i zatwierdziły ten link, klikasz go bez wahania. Kilka sekund później trafiasz na przekonującą stronę logowania, której celem jest wykradzenie Twoich danych uwierzytelniających.

Aby zrozumieć to zagrożenie, należy rozróżnić dwa powiązane pojęcia: manipulację adresami URL i przepisywanie adresów URL. Manipulacja adresami URL to szerokie pojęcie zbiorcze obejmujące wszelkie techniki, które zmieniają, maskują lub wykorzystują link w celu wprowadzenia w błąd użytkowników lub narzędzi zabezpieczających. Przepisywanie adresów URL jest konkretnym procesem wchodzącym w skład tego pojęcia zbiorczego.

W zakresie zabezpieczeń korporacyjne bramy bezpieczeństwa poczty elektronicznej przepisują linki zawarte w przychodzących wiadomościach e-mail, zapewniając ochronę w czasie rzeczywistym. Atakujący odkryli, jak wykorzystać właśnie ten mechanizm, zamieniając funkcje zabezpieczające w przekonujące osłony dla złośliwych treści.

Czym jest manipulacja adresami URL?

Manipulacja adresami URL to termin ogólny obejmujący wszelkie złośliwe lub wprowadzające w błąd techniki, które polegają na zmianie, ukryciu lub niewłaściwym wykorzystaniu adresu internetowego w celu oszukania użytkownika lub ominięcia automatycznych filtrów bezpieczeństwa. Atakujący stosują tę technikę, aby złośliwe strony internetowe wyglądały na bezpieczne i godne zaufania.

Ponieważ specjaliści ds. bezpieczeństwa używają tego wyrażenia w kilku różnych kontekstach, warto rozróżnić trzy odrębne scenariusze:

• Ochronne przepisywanie adresów URL: Oprogramowanie zabezpieczające modyfikuje linki w wiadomościach e-mail w momencie ich dostarczenia, umieszczając je w domenie dostawcy, co umożliwia sprawdzanie ich w czasie rzeczywistym po kliknięciu.
• Nadużycia związane z przepisywaniem adresów URL: Cyberprzestępcy przejmują kontrolę nad kontami lub łączą dostawców rozwiązań zabezpieczających, aby niebezpieczne linki phishingowe wyglądały na bezpieczne.
• Manipulacja parametrami internetowymi: atak skierowany przeciwko programistom, polegający na ręcznej modyfikacji przez atakującego parametrów w pasku adresu przeglądarki internetowej w celu ominięcia mechanizmów autoryzacji. Organizacja Open Worldwide Application Security Project (OWASP) klasyfikuje to zjawisko jako „manipulację parametrami internetowymi” lub „niebezpieczne bezpośrednie odwołanie do obiektu” (IDOR).

Jeśli chcesz dokładniej zapoznać się z podstawowymi mechanizmami działania linków, przeczytaj nasz przewodnik poświęcony phishingowi URL. Pozostała część tego artykułu skupia się na tym, w jaki sposób cyberprzestępcy wykorzystują systemy zawijania linków w wiadomościach e-mail.

Czym jest przepisywanie adresów URL (i czym są bezpieczne linki)?

Przepisywanie adresów URL to zautomatyzowany mechanizm ochrony poczty elektronicznej, który zastępuje oryginalne linki w przychodzących wiadomościach zmodyfikowanymi adresami URL kierującymi do serwera proxy dostawcy rozwiązań zabezpieczających. Najwięksi dostawcy rozwiązań zabezpieczających, w tym Microsoft (Safe Links), Proofpoint (URL Defense), Mimecast, INKY, Sophos, Barracuda, Cisco, Trend Micro, EdgePilot i Libraesva, wykorzystują ten model „owijania” linków do ochrony skrzynek odbiorczych w przedsiębiorstwach.

Gdy przychodzi wiadomość e-mail, brama bezpieczeństwa przeredagowuje każdy adres internetowy zawarty w treści wiadomości. Gdy odbiorca kliknie zmodyfikowany link, jego przeglądarka najpierw przekierowuje się do bramy dostawcy. Brama sprawdza docelową stronę internetową w czasie rzeczywistym i przekierowuje przeglądarkę, jeśli strona jest bezpieczna. Jeśli strona docelowa jest złośliwa, brama blokuje dostęp.

Jak działa defensywne przepisywanie adresów URL: brama bezpieczeństwa sprawdza miejsce docelowe w momencie kliknięcia, a nie dopiero w momencie dostarczenia.

Taka kontrola przeprowadzana w momencie kliknięcia jest konieczna, ponieważ cyberprzestępcy często zmieniają zachowanie stron internetowych po ich udostępnieniu. Link może prowadzić do całkowicie nieszkodliwej strony internetowej w momencie, gdy wiadomość e-mail trafia do skrzynki odbiorczej o godz. 9:00 rano. Już o godz. 14:00 ten sam link może przekierowywać do złośliwej witryny służącej do wykradania danych uwierzytelniających.

Firma Barracuda, zajmująca się bezpieczeństwem, poinformowała, że jej silnik LinkProtect sprawdza co tydzień ponad 10 milionów żądań kliknięcia. Około 1% sprawdzanych linków okazuje się złośliwe w momencie kliknięcia, a nie w momencie wysłania.

Klasyczne techniki manipulacji adresami URL

Zanim przyjrzymy się, w jaki sposób cyberprzestępcy wykorzystują narzędzia zabezpieczające do swoich celów, warto omówić klasyczne taktyki manipulacji linkami, które utorowały im drogę.

Ataki oparte na Punycode i homografach w nazwach domen z nazwami własnymi (IDN)

Międzynarodowe nazwy domen (IDN) umożliwiają stosowanie znaków spoza zestawu ASCII w adresach internetowych. Atakujący wykorzystują kodowanie Punycode do rejestrowania domen zawierających znaki obcojęzyczne, które wizualnie wyglądają identycznie jak litery łacińskie. Atakujący może zarejestrować domenę, zastępując łacińskie „a” cyrylicą „а”. Dla odbiorcy domena wygląda identycznie jak autentyczna nazwa marki, ale przeglądarka przekierowuje adres na zupełnie inny serwer.

Typosquatting i wprowadzające w błąd teksty wyświetlane

Typosquatting opiera się na typowych błędach pisarskich, takich jak pominięte litery, dodatkowe łączniki lub zamienione domeny najwyższego poziomu, np. .co zamiast .com. Atakujący często łączą typosquatting z technikami manipulacji tekstem wyświetlanym w HTML. W wiadomości e-mail może pojawiać się bezpieczny tekst, np. https://yourbank.com, podczas gdy rzeczywisty atrybut href w kodzie HTML przekierowuje użytkownika na złośliwą stronę. Więcej informacji na temat tych taktyk znajdziesz w naszym szczegółowym przewodniku poświęconym zjawisku typosquattingu.

Wielopoziomowe serwisy skracające adresy URL i otwarte przekierowania

Osoby złośliwe często nakładają na siebie wiele serwisów skracających adresy URL. Ukrycie ostatecznego celu za kilkoma skróconymi linkami pozwala uniknąć wykrycia miejsca docelowego podczas prostych kontroli reputacji. Podobnie atakujący wykorzystują otwarte przekierowania w legalnych aplikacjach internetowych. Dodając parametr miejsca docelowego do skryptu przekierowującego zaufanej domeny, początkowy link wskazuje na witrynę o dobrej reputacji, ale natychmiast przekierowuje użytkownika na złośliwy serwer.

Powiązana sztuczka wykorzystuje sposób, w jaki przeglądarki analizują dane uwierzytelniające zawarte w adresie URL. Wszystko przed symbolem @ jest traktowane jako dane logowania, a nie jako domena docelowa, więc link taki jak https://[email protected] może sprawiać wrażenie, że prowadzi do zaufanej marki, podczas gdy w rzeczywistości przekierowuje użytkownika na stronę malicious-domain.com.

Manipulowanie parametrami aplikacji internetowych (OWASP)

W zakresie bezpieczeństwa aplikacji internetowych manipulowanie adresami URL przybiera inną formę. Użytkownicy ręcznie modyfikują parametry zapytania lub strukturę katalogów w pasku adresu przeglądarki, aby uzyskać dostęp do nieautoryzowanych rekordów. Chociaż ta kategoria luk ma kluczowe znaczenie dla bezpieczeństwa aplikacji internetowych, wiąże się ona z bezpośrednią manipulacją przeglądarką, a nie z inżynierią społeczną opartą na wiadomościach e-mail.

W jaki sposób cyberprzestępcy wykorzystują sam proces przepisywania adresów URL jako narzędzie ataku (2024–2026)

Najbardziej niepokojącym zjawiskiem w zakresie bezpieczeństwa linków jest to, że cyberprzestępcy wykorzystują obecnie mechanizmy obronne związane z przepisywaniem adresów URL jako technikę omijania zabezpieczeń. Zamiast unikać domen-otoczek dostawców, cyberprzestępcy aktywnie ich poszukują, aby złośliwe wiadomości wyglądały na wiarygodne.

Odkrycie: przejęcie konta i luki w liście dozwolonych adresów

W połowie 2024 roku badacze ds. bezpieczeństwa z firmy Perception Point zidentyfikowali kampanie, w ramach których atakujący przejęli kontrolę nad legalnymi kontami Microsoft 365 chronionymi przez automatyczne przepisywanie adresów URL. Atakujący wysyłali do siebie z przejętego konta link o niewinnym wyglądzie, pozwalając narzędziu zabezpieczającemu przepisać adres na adres URL zaufanego dostawcy. Po uzyskaniu przepisanego linku zmieniali docelową lokalizację serwera zaplecza tak, aby wskazywała na złośliwą stronę phishingową, a następnie rozsyłali ten zaufany link do wybranych organizacji.

Ta taktyka wykorzystuje luki w listach dozwolonych adresów. Niektóre bramy zabezpieczające pocztę elektroniczną automatycznie uznają za zaufane linki, które zawierają własne domeny otaczające. Ponieważ link wydaje się pochodzić od wewnętrznego dostawcy usług bezpieczeństwa, filtry działające na dalszym etapie często pomijają ponowne skanowanie adresu bazowego.

Udokumentowane kampanie: podwójne przerabianie treści i nadużywanie marki

Badacze zajmujący się bezpieczeństwem udokumentowali kilka kampanii wykorzystujących infrastrukturę do zawijania linków:

• Atak typu „Double Rewrite”: Naukowcy udokumentowali ataki polegające na połączeniu w łańcuch operacji przepisywania danych przez Proofpoint i INKY. W wiadomości e-mail wykorzystano przynętę w postaci serwisu SharePoint oraz bramkę CAPTCHA, aby uniemożliwić automatycznym skanerom analizę strony docelowej przed pozyskaniem danych uwierzytelniających użytkownika.
• Nadużycie funkcji Mimecast Wrapper: Atakujący przekierowywali linki phishingowe przez infrastrukturę przepisującą firmy Mimecast, aby ukryć serwery docelowe, na których gromadzono korporacyjne dane logowania.
• Podszywanie się pod IRS: Cyberprzestępcy podszywali się pod IRS i ID.me, wykorzystując linki zmodyfikowane przez firmę Sophos, a także domenę tego dostawcy rozwiązań zabezpieczających, aby uniknąć czujności użytkowników.

Wykorzystywanie narzędzi bezpieczeństwa przeciwko ofiarom: trwałość OAuth

Badania opublikowane przez firmę Abnormal Security pod koniec 2024 roku wykazały, w jaki sposób manipulacja linkami prowadzi do uzyskania trwałego dostępu wykraczającego poza samą kradzież hasła. Atakujący przejęli kontrolę nad kontem M365 i wygenerowali zmodyfikowany link za pośrednictwem bramy pocztowej organizacji. Wykorzystali ten budzący zaufanie link w kampanii typu spear-phishing, podszywając się pod oficjalny alert bezpieczeństwa firmy Microsoft.

Gdy odbiorcy klikali w link, musieli rozwiązać test CAPTCHA, a następnie zostali poproszeni o udzielenie uprawnień złośliwej aplikacji OAuth. Token OAuth zapewnił atakującym stały dostęp do skrzynki odbiorczej ofiary, pozwalając im ominąć przyszłe resetowania hasła oraz standardowe kontrole uwierzytelniania wieloskładnikowego. Ta technika zapewniania stałego dostępu stanowi coraz częstszą przyczynę ataków typu „business email compromise” na firmy.

Eskalacja w latach 2025–2026: łańcuchy przekierowań z udziałem wielu dostawców

Badania przeprowadzone przez LevelBlue SpiderLabs wykazały, że pod koniec 2025 r. i na początku 2026 r. cyberprzestępcy rozbudowali te techniki do postaci łańcuchów przekierowań obejmujących wielu dostawców. Nowoczesne platformy typu „phishing-as-a-service”, takie jak Tycoon2FA i Sneaky2FA, tworzą rozbudowane ścieżki przekierowań, które kolejno przechodzą przez trzech, czterech lub pięciu różnych dostawców rozwiązań zabezpieczających.

Platformy te działają jako zestawy typu „Adversary-in-the-Middle” (AiTM). Zamiast jedynie przechwytywać statyczne hasła, pełnią one rolę serwerów proxy dla aktywnych sesji uwierzytelniających w czasie rzeczywistym, przechwytując pliki cookie sesji w celu ominięcia standardowego uwierzytelniania wieloskładnikowego (MFA).

Firma LevelBlue SpiderLabs udokumentowała kampanię Tycoon2FA, w ramach której wykorzystano pojedynczy link zawierający ponad 1 200 znaków. Adres źródłowy był kolejno przekierowywany przez pięć oddzielnych domen dostawców: Libraesva → Sophos → INKY → EdgePilot → Barracuda. Sam e-mail-przynęta miał formę powiadomienia o podpisaniu dokumentu przez firmę Microsoft. Po przejściu przez bramkę CAPTCHA, mającą na celu odfiltrowanie automatycznych skanerów, ofiary trafiały na fałszywą stronę logowania firmy Microsoft, stworzoną w celu wyłudzenia ich danych uwierzytelniających.

Udokumentowany łańcuch Tycoon2FA: pięć domen zaufanych dostawców występujących kolejno przed bramką CAPTCHA i fałszywą stroną logowania. (Źródło: LevelBlue SpiderLabs)

Podobnie, raporty agregatorów informacji o bezpieczeństwie, takich jak Paubox, śledzące badania publikowane m.in. na stronach TechRadar i GBHackers, odnotowały kampanie Sneaky2FA wykorzystujące trójwarstwowe łańcuchy (Barracuda → Sophos → Cisco) dostarczane za pośrednictwem załączników HTML. Wstępne szacunki wskazują, że kampanie te dotarły do dziesiątek tysięcy firmowych skrzynek pocztowych. Te wieloetapowe łańcuchy odnoszą sukces, ponieważ wiele filtrów bezpieczeństwa sprawdza jedynie pierwszą lub ostatnią domenę w sekwencji przekierowań, nie śledząc wszystkich pośrednich etapów.

Jak rozpoznać zmanipulowany lub budzący podejrzenia przerobiony adres URL

Użytkownicy końcowi potrzebują prostych, praktycznych wskazówek, które pomogą im ocenić zmodyfikowane linki przed ich kliknięciem. Skorzystaj z poniższej listy kontrolnej do szybkiej weryfikacji:

• Sprawdź pełny adres: przed kliknięciem najedź kursorem na link, aby wyświetlić jego pełną treść. Jeśli chcesz bezpiecznie sprawdzić podejrzany link, przetestuj go za pomocą narzędzia do sprawdzania linków phishingowych.
• Zwróć uwagę na nadmierne zagnieżdżanie: zachowaj ostrożność w przypadku linków zawierających wiele adresów internetowych lub powtarzających się parametrów URL, takich jak url=, redirect= czy target=.
• Podchodź sceptycznie do próśb o weryfikację: wiadomości sugerujące, że link został sprawdzony lub zablokowany, i wymagające ręcznego kliknięcia w celu weryfikacji, to częste sztuczki stosowane przez oszustów.
• Należy zwrócić uwagę na ograniczenia związane z domenami opakowującymi: link zawierający domenę dostawcy, np. safelinks.protection.outlook.com, wskazuje, że wiadomość przeszła przez bramę bezpieczeństwa poczty elektronicznej, ale nie gwarantuje to, że miejsce docelowe jest bezpieczne.

Aby uzyskać bardziej podstawowe wskazówki dotyczące oceny podejrzanych wiadomości, zapoznaj się z naszym przewodnikiem na temat tego, czym jest link phishingowy.

Jak chronić się przed taktykami ataków polegających na manipulacji adresami URL

Ochrona sieci korporacyjnych przed wielopoziomową manipulacją połączeniami wymaga połączenia aktualizacji mechanizmów kontroli połączeń z solidną ochroną tożsamości oraz standardami uwierzytelniania wiadomości e-mail.

1. Sprawdzaj pełne ścieżki przekierowań: Skonfiguruj bramy pocztowe i narzędzia zabezpieczające punkty końcowe tak, aby śledziły każde przekierowanie w łańcuchu linków. Narzędzia do skanowania bezpieczeństwa muszą analizować docelową stronę, a nie zatrzymywać się na początkowej, zaufanej domenie.
2. Znieś domyślne zaufanie do domen-otoczek: Upewnij się, że wewnętrzne filtry bezpieczeństwa ponownie sprawdzają linki, nawet jeśli zawierają one domenę-otoczkę pochodzącą od Twojego dostawcy rozwiązań zabezpieczających pocztę elektroniczną.
3. Wprowadź uwierzytelnianie odporne na phishing: zaawansowane zestawy do phishingu, takie jak Tycoon2FA, przechwytują tokeny sesji podczas logowania na żywo. Chroń swoją organizację, wdrażając klucze sprzętowe FIDO2, klucze dostępu (passkeys) lub uwierzytelnianie oparte na dopasowaniu numerów, aby ograniczyć zmęczenie związane z uwierzytelnianiem wieloskładnikowym (MFA) oraz przejęcie sesji.
4. Zaktualizuj szkolenia z zakresu świadomości bezpieczeństwa: poinformuj pracowników, że ukryte linki nie są automatyczną gwarancją bezpieczeństwa. Naucz pracowników, aby natychmiast zgłaszali przekierowania wieloetapowe oraz nieoczekiwane prośby o podanie danych uwierzytelniających.
5. Wprowadź rygorystyczne uwierzytelnianie wiadomości e-mail: wdroż systemy Sender Policy Framework (SPF), DomainKeys Identified Mail (DKIM) oraz DMARC we wszystkich domenach organizacji. Chociaż DMARC nie zapobiega mechanizmom przekierowań stosowanym przez podmioty zewnętrzne, stosowanie polityki p=reject uniemożliwia atakującym sfałszowanie dokładnej nazwy Twojej domeny w celu wysłania początkowych wiadomości phishingowych. Skorzystaj z dedykowanego narzędzia do analizy DMARC, aby monitorować źródła wysyłające i bezpiecznie egzekwować ścisłą zgodność.

Wniosek

Obronne przepisywanie adresów URL pozostaje ważnym narzędziem do wykrywania zagrożeń pojawiających się w momencie kliknięcia, jednak atakujący nauczyli się wykorzystywać tę warstwę ochronną jako przykrywkę. Łącząc ze sobą linki od różnych dostawców rozwiązań zabezpieczających, współczesne kampanie typu „Adversary-in-the-Middle” omijają podstawowe filtry i nakłaniają użytkowników do udzielenia dostępu.

Ochrona Twojej organizacji wymaga wielopoziomowego podejścia do bezpieczeństwa. Sprawdzaj pełne ścieżki przekierowań, wdrażaj uwierzytelnianie odporne na phishing oraz blokuj ścieżki dostarczania wiadomości z fałszywych domen za pomocą zautomatyzowanych narzędzi, takich jak DMARC Analyzer firmy PowerDMARC, aby zapewnić bezpieczeństwo środowiska dostarczania wiadomości do skrzynki odbiorczej.

Najczęściej zadawane pytania

Jaka jest różnica między manipulacją adresami URL a przepisywaniem adresów URL?

Manipulacja adresami URL to ogólne pojęcie obejmujące zmianę lub maskowanie linków w celach oszukańczych. Przepisywanie adresów URL to konkretny proces, w ramach którego narzędzia zabezpieczające pocztę elektroniczną umieszczają przychodzące linki w domenach dostawców, aby umożliwić kontrolę w czasie rzeczywistym w momencie kliknięcia, zanim użytkownik dotrze do miejsca docelowego.

Czy można bezpiecznie klikać w linki „Microsoft Safe Links”?

Usługa Microsoft Safe Links zapewnia skuteczną ochronę w czasie rzeczywistym, jednak linki w jej ramach nie są całkowicie odporne na nadużycia. Atakujący mogą przejąć kontrolę nad kontami lub tworzyć łańcuchy przekierowań obejmujące wielu dostawców, aby przekierowywać linki z usługi Safe Links do złośliwych miejsc docelowych, co oznacza, że użytkownicy powinni nadal dokładnie sprawdzać podejrzane wiadomości.

W jaki sposób cyberprzestępcy wykorzystują przepisywanie adresów URL w atakach phishingowych?

Atakujący wysyłają linki za pośrednictwem przejętych kont chronionych przez dostawców rozwiązań zabezpieczających, aby generować „opakowane”, budzące zaufanie adresy URL. Łączą również ze sobą po kolei linki z przeróbkami od różnych dostawców, dezorientując w ten sposób automatyczne skanery, które w rezultacie nie są w stanie wykryć ukrytej, złośliwej strony docelowej.

Czym jest phishing wykorzystujący homografy w kodowaniu Punycode?

W phishingu typu „Punycode” w nazwie domeny wykorzystywane są znaki z języków obcych, które wyglądają identycznie jak standardowe litery alfabetu łacińskiego. Atakujący rejestrują te wizualnie identyczne adresy internetowe, aby przekonać użytkowników, że odwiedzają witrynę legalnej firmy.

Czy protokół DMARC może powstrzymać ataki polegające na manipulacji adresami URL?

DMARC nie sprawdza ani nie modyfikuje bezpośrednio linków przekierowujących. Jednak egzekwowanie DMARC przy użyciu polityki p=reject uniemożliwia atakującym sfałszowanie dokładnie tej samej domeny Twojej firmy w celu wysłania początkowej wiadomości phishingowej, co skutecznie zapobiega głównym taktykom polegającym na podszywaniu się pod markę.

Czym są Tycoon2FA i Sneaky2FA?

Tycoon2FA i Sneaky2FA to zaawansowane zestawy do phishingu typu „Adversary-in-the-Middle”. Przechwytują one dane uwierzytelniające użytkowników oraz tokeny sesji na żywo w czasie rzeczywistym, umożliwiając atakującym ominięcie standardowych mechanizmów uwierzytelniania wieloskładnikowego nawet na bezpiecznych platformach.

• O
• Latest Posts

Ahona Rudra

Ekspert ds. bezpieczeństwa domen i poczty elektronicznej w PowerDMARC

Ahona jest Marketing Managerem w PowerDMARC, z ponad 5-letnim doświadczeniem w pisaniu na tematy związane z cyberbezpieczeństwem, specjalizującym się w bezpieczeństwie domen i poczty elektronicznej. Ahona posiada dyplom ukończenia studiów podyplomowych w zakresie dziennikarstwa i komunikacji, umacniając swoją karierę w sektorze bezpieczeństwa od 2019 roku.

Latest posts by Ahona Rudra (zobacz wszystkie)

• Czym jest manipulacja adresami URL (przepisywanie adresów URL)? W jaki sposób atakujący przejmują zaufane linki, aby ukryć ataki phishingowe – 10 sierpnia 2026 r.
• E-mail z ostrzeżeniem dotyczącym bezpieczeństwa konta Microsoft: jak rozpoznać oszustwa i chronić swoją domenę – 9 sierpnia 2026 r.
• Czym jest pharming? Jak to działa i jak organizacje mogą ograniczyć ryzyko – 8 sierpnia 2026 r.