Ciemna strona DNS: Dlaczego jeden na pięć nowych domen może być niebezpieczny

Co sekundę na świecie rejestrowane są dziesiątki domen. Ktoś uruchamia startup. Programista tworzy portfolio. Oszust zakłada kolejną stronę phishingową, mającą na celu kradzież danych uwierzytelniających. Proces jest dla wszystkich identyczny – kilka kliknięć, płatność i nagle w internecie pojawia się nowy adres.

Szybkość i dostępność rejestracji domen są naprawdę imponujące. To jeden z czynników, które sprawiają, że współczesny internet jest tak dynamiczny. Jednak ta sama dostępność ma swoją mroczną stronę, z którą branża od lat nie może sobie poradzić.

Liczby są oszałamiające

Niedawna analiza przeprowadzona przez Interisle Consulting Group objęła ogólne domeny najwyższego poziomu (gTLD) – takie jak .com, .website czy .fun – i ujawniła coś alarmującego. Spośród 85 milionów nowych rejestracji domen w 2025 roku około 8,5 miliona znalazło się na listach blokad bezpieczeństwa do maja. Oznacza to, że 10% z nich zostało oznaczonych jako złośliwe. Jednak badacze uważają, że rzeczywista liczba jest bliższa 20%, jeśli uwzględnić domeny jeszcze niewykryte lub powiązane z już oznaczonymi witrynami.

Niech to do Ciebie dotrze. Jedna na pięć nowo zarejestrowanych domen z gTLD jest prawdopodobnie zaangażowana w oszustwa, dystrybucję złośliwego oprogramowania lub inną działalność przestępczą.

Niektóre domeny najwyższego poziomu są gorsze od innych. W przypadku trzynastu domen najwyższego poziomu ponad połowa rejestracji znalazła się na listach blokad. Przewidywalnie, domeny takie jak .bid czy .loan – często wykorzystywane w fałszywych oszustwach bankowych i płatniczych – wykazywały ekstremalnie wysoki wskaźnik nadużyć. Jednak obecność na tej liście domen takich jak .mobi sugeruje, że problem nie ogranicza się do oczywistych, podejrzanych rozszerzeń.

Dlaczego rejestratorzy mają trudności z nadążaniem

W NameOcean traktujemy bezpieczeństwo domen poważnie. Wdrażamy zabezpieczenia, monitorujemy wzorce nadużyć i staramy się zapewnić, że nasza platforma nie jest wykorzystywana do szkodliwych celów. Jednak oto niewygodna prawda: żaden rejestrator nie jest w stanie wyłapać wszystkiego, a ekonomia sytuacji sprzyja atakującym.

Gdy złośliwy aktor rejestruje domenę na potrzeby kampanii phishingowej, często wykorzystuje ją tylko przez 24–48 godzin. Wysyła miliony spamowych e-maili, zbiera dane uwierzytelniające od nieświadomych ofiar i porzuca domenę, zanim większość list blokad zdąży zareagować. W momencie, gdy nasz zespół ds. nadużyć lub zewnętrzne usługi bezpieczeństwa oznaczają domenę, szkody są już wyrządzone.

Tak właśnie wygląda nadużywanie DNS w praktyce:

• Domeny phishingowe podszywające się pod banki, usługi rządowe lub popularne marki
• Witryny dystrybuujące złośliwe oprogramowanie, przebrane za pobrania lub aktualizacje oprogramowania
• Domeny sterowania i kontroli (C&C) wykorzystywane przez botnety
• Domeny typosquattingowe wykorzystujące częste błędy w pisowni (np. „g00gle.com” lub „paypa1.com”)

Internet działa z prędkością światła. Naduzycia działają jeszcze szybciej.

Co naprawdę działa?

Badania wskazują, że wskaźniki zawieszania domen z list blokad wynoszą zaledwie od 7,4% do 16,3%, co oznacza, że większość złośliwych domen pozostaje aktywna nawet po oznaczeniu. Sugeruje to, że obecne reaktywne podejście nie działa.

Co mogłoby zmienić tę sytuację?

Lepsze polityki rejestratorów byłyby dobrym początkiem. Kilku dużych rejestratorów było krytykowanych za słabe procedury obsługi nadużyć, a nawet za świadome hostowanie domen oszustw