Mail przychodzi rano i wygląda jak zwykłe wezwanie do zapłaty. Domena wygasa za 3 dni, kwota jest na tyle mała, że nie chce się o niej myśleć, a pod spodem stoi zapowiedź przekazania sprawy do windykacji. Kliknięcie zajmuje sekundę, a stawką jest adres, pod którym działa firmowa strona i cała poczta.
Ten atak omija stronę i celuje w człowieka, który za nią płaci. Żadna wtyczka bezpieczeństwa go nie zatrzyma, bo z punktu widzenia serwera nic złego się nie dzieje. Przychodzi wiadomość, właściciel sam wchodzi na podstawioną witrynę i sam wpisuje hasło. Dlatego w stałej opiece nad stroną i jej terminami pilnowanie dat i faktur jest osobnym punktem, obok aktualizacji i kopii zapasowych.
Najważniejsze wnioski w skrócie
- Fałszywe maile o wygasającej domenie wróciły w 2026 roku co najmniej 2 razy. CERT Polska ostrzegał przed nimi w marcu i w lipcu.
- Oszust nie musi o Tobie nic wiedzieć. Data ważności domeny i nazwa rejestratora bywają jawne, a adres e-mail leży na Twojej stronie w zakładce z kontaktem.
- Jedna zasada rozstrzyga każdą taką wiadomość. Nie klikaj w link z maila, wpisz adres panelu swojego rejestratora ręcznie i sprawdź status domeny u siebie.
- Sama czujność nie wystarcza, bo trudno wychwycić kłamstwo, gdy nie wiesz, u kogo stoi Twoja domena i kiedy trzeba ją przedłużyć. Rejestr usług na 4 wiersze zamyka to pytanie w 2 minuty.
- Gdy ktoś już podał dane, liczy się kolejność. Najpierw hasło i weryfikacja dwuetapowa w panelu domeny, potem karta w banku, na końcu zgłoszenie.
Jak wygląda fałszywy mail o wygasającej domenie
Wygląda jak rutynowe powiadomienie od firmy, u której kupiłeś domenę. Nadawca podpisuje się nazwą znanego rejestratora, czyli firmy prowadzącej rejestrację adresów internetowych, termin jest krótki, a przycisk prowadzi na stronę łudząco podobną do prawdziwego panelu logowania. Dane wpisane w takim panelu trafiają prosto do przestępców.
CERT Polska, czyli zespół reagowania na incydenty komputerowe działający przy NASK, opisał taką kampanię 20 marca 2026 roku. Wiadomości mówiły o zbliżającym się wygaśnięciu domeny i podszywały się pod jednego z polskich rejestratorów. 22 lipca 2026 roku fala wróciła i objęła domeny .pl, a celem były dane logowania do paneli obsługujących domeny i hosting.
Groźniejszy wariant pokazał w maju 2026 roku CERT Orange Polska. Wiadomość podpisana była nazwą home.pl, najpopularniejszego rejestratora w kraju, straszyła przekazaniem sprawy do windykacji, a po kliknięciu prosiła o pełne dane karty płatniczej. Adres nadawcy nie miał z tą firmą nic wspólnego i kończył się zupełnie obcą domeną.
Cztery rzeczy powtarzają się w każdej z tych wiadomości:
- Krótki termin. 3 dni, 48 godzin, czasem „ostatnie wezwanie”. Pośpiech ma wyłączyć sprawdzanie.
- Groźba nieproporcjonalna do kwoty. Windykacja, utrata nazwy, przekazanie domeny komuś innemu.
- Adres nadawcy spoza domeny firmy. Podpis mówi „home.pl”, a wiadomość wychodzi z adresu, którego nikt nigdy nie widział.
- Link, który ma zastąpić panel. Prawdziwy rejestrator informuje o terminie, ale nie potrzebuje, żebyś logował się akurat przez jego wiadomość.
Skąd oszust wie, że masz domenę i kiedy ona wygasa
Najczęściej nie wie nic ponad to, co jest publiczne. Rejestr domen .pl prowadzi NASK, a podstawowe informacje o adresie, w tym data ważności i nazwa rejestratora, są dostępne przez zwykłe zapytanie WHOIS, czyli publiczną wyszukiwarkę danych o domenie. Dane osobowe abonenta są chronione, ale sam termin przedłużenia widać z zewnątrz.
Reszta jest jeszcze prostsza. Adres e-mail oszust bierze z Twojej strony, zwykle z zakładki z kontaktem albo ze stopki. W tym samym miejscu stoi nazwa firmy i często imię właściciela, więc wiadomość potrafi brzmieć osobiście, choć nikt jej ręcznie nie pisał. Wysyłka idzie automatem na tysiące adresów naraz.
Taki obraz wychodzi też z raportów krajowych. Phishing, czyli podszywanie się pod zaufaną instytucję, od lat stoi na czele listy zagrożeń, co widać w analizie raportu ABW i CSIRT GOV. Strony firmowe są przy tym celem wdzięcznym, bo ich dane kontaktowe z definicji muszą być jawne.
To samo oszustwo przychodzi w 3 wariantach
Wszystkie 3 warianty kończą się tak samo, czyli przelewem albo przejęciem panelu. Różnią się opakowaniem, bo trafiają w 3 różne odruchy właściciela firmy.
| Co przychodzi | Czym straszy | Czego naprawdę chce | Po czym poznasz |
|---|---|---|---|
| Mail o wygasającej domenie podszyty pod rejestratora | utratą adresu strony i windykacją | danych logowania do panelu domeny | adres nadawcy spoza domeny firmy, link do logowania zamiast samej informacji o terminie |
| Faktura proforma za wpis do „rejestru domen” | brakiem ochrony nazwy firmy | przelewu na wskazane konto | drobny druk mówiący, że to oferta, a nie rachunek za usługę, z której korzystasz |
| Alert o rzekomym włamaniu do WordPressa | infekcją i blokadą strony | danych do panelu wp-admin | prośba o zalogowanie się przez link, czego nie robi żadna prawdziwa wtyczka |
Trzeci wariant bywa najskuteczniejszy u właścicieli, którzy słyszeli o atakach na WordPressa i są gotowi zareagować natychmiast. Wtyczka bezpieczeństwa tu nie pomoże, bo w samej wiadomości nie ma żadnego złośliwego kodu do wykrycia. Widać tu granicę, którą opisaliśmy przy okazji pytania o to, co robi Wordfence, a czego nie zrobi żadna wtyczka bezpieczeństwa.
Jak sprawdzić w 2 minuty, czy mail mówi prawdę
Sprawdzenie sprowadza się do jednego ruchu. Zignoruj wszystko, co jest w wiadomości, i wejdź do panelu rejestratora osobno, wpisując jego adres z pamięci albo z własnych zakładek. Jeśli domena faktycznie wygasa, zobaczysz to u siebie w panelu i tam ją przedłużysz.
To ta sama zasada, którą banki powtarzają przy telefonach od rzekomego konsultanta. Nie rozmawiasz dalej z osobą, która zadzwoniła, odkładasz słuchawkę i dzwonisz na numer z własnej karty. Kanał, który sam do Ciebie przyszedł, nigdy nie jest kanałem weryfikacji.
Kolejność, która działa za każdym razem:
- Nie klikaj w żaden link ani przycisk w wiadomości. Nie otwieraj też załącznika z rzekomą fakturą.
- Sprawdź pełny adres nadawcy, a nie samą nazwę wyświetlaną. W telefonie trzeba w tym celu rozwinąć nagłówek wiadomości.
- Wejdź do panelu rejestratora, wpisując adres ręcznie. Status domeny i data ważności są tam na pierwszym ekranie.
- Przy jakiejkolwiek niepewności zadzwoń do rejestratora na numer z własnej faktury albo z umowy, nigdy z maila.
Klienci, których strony mamy pod opieką, przysyłają nam takie wiadomości regularnie, zwykle z jednym zdaniem „czy to prawdziwe”. Odpowiedź zajmuje kilka minut, bo mamy przed sobą ich rejestr usług i od razu widzimy, czy termin się zgadza. Ta jedna wiadomość kosztuje chwilę, a rachunek za jej brak bywa liczony w utraconej domenie albo w danych karty, dlatego zawsze wolimy dostać pytanie o jeden mail za dużo niż o jeden za mało.
Szersze nawyki dotyczące poczty i haseł zebraliśmy w przewodniku po bezpieczeństwie w sieci, bo ta sama metoda wraca w wiadomościach o przesyłkach i płatnościach.
Rejestr usług strony rozstrzyga sprawę szybciej niż czujność
Czujność jest kosztowna, bo wymaga uwagi przy każdej wiadomości z osobna. Rejestr usług wymaga jej raz. To kartka albo jeden plik, w którym stoi, gdzie kupiona jest domena, gdzie stoi hosting, kiedy kończy się certyfikat i kto za to wszystko płaci. Z taką tabelą przed sobą ocenę maila robisz w kilkanaście sekund, bo od razu widzisz, czy podany termin ma sens.
| Usługa | Gdzie kupiona | Data przedłużenia | Kto płaci | Przedłużenie automatyczne |
|---|---|---|---|---|
| Domena | rejestrator z faktury | dzień i miesiąc | firma albo agencja | tak lub nie |
| Hosting | dostawca serwera | dzień i miesiąc | firma albo agencja | tak lub nie |
| Certyfikat SSL | hosting albo osobny dostawca | dzień i miesiąc | firma albo agencja | tak lub nie |
| Poczta firmowa | hosting albo osobna usługa | dzień i miesiąc | firma albo agencja | tak lub nie |
Przy przejmowaniu stron pod opiekę prosimy klientów dokładnie o taką listę i to jest moment, w którym najczęściej wychodzi luka. Domenę opłaca dawna agencja, faktura idzie na prywatną skrzynkę osoby, która nie pracuje już w firmie, a terminu nie zna nikt. Wtedy mail straszący wygaśnięciem trafia w próżnię, bo właściciel nie ma jak go z niczym porównać.
Ustalenie, kto realnie odpowiada za każdą z tych usług, jest u nas jednym z pierwszych zadań przy wdrożeniu, obok kopii zapasowej poza serwerem i przeglądu aktualizacji. Zakres i ceny takiej opieki zebraliśmy w cenniku planów opieki nad stroną.
Co zrobić, gdy ktoś już kliknął i podał dane
Licz się z tym, że masz kilkadziesiąt minut, a nie kilka dni. Przejęty panel domeny jest groźniejszy niż zainfekowana strona, bo kopia zapasowa nie pomoże, kiedy sam adres przestaje należeć do Ciebie. Kolejność działań wygląda tak:
- Zmień hasło do panelu rejestratora i włącz weryfikację dwuetapową, czyli dodatkowy kod potwierdzający logowanie.
- Sprawdź dane kontaktowe domeny i rekordy DNS, czyli ustawienia kierujące ruch na Twój serwer. Podmiana adresu e-mail przypisanego do domeny to zwykle pierwszy ruch przejmującego.
- Zastrzeż kartę, jeśli jej dane poszły w formularzu, i zgłoś sprawę w banku.
- Zmień hasło administratora WordPressa, gdy ten sam ciąg znaków był używany w kilku miejscach naraz.
- Zgłoś wiadomość do CERT Polska przez formularz na incydent.cert.pl albo w aplikacji mObywatel w usłudze „Bezpiecznie w sieci”. Podejrzane SMS-y przekazuje się na bezpłatny numer 8080.
Jeśli po kliknięciu na stronie zaczęły dziać się rzeczy, których nikt nie zlecał, osobnym tematem jest rozpoznanie i usunięcie wirusa ze strony. Przejęcie panelu domeny i infekcja WordPressa to dwa różne problemy i rozwiązuje się je osobno.
Najprostsze zabezpieczenie przed całą tą kategorią oszustw nie jest techniczne. Ktoś ma wiedzieć, kiedy wygasa domena, i ten ktoś ma opłacić rachunek, zanim przyjdzie jakikolwiek mail. Jeśli nie chcesz trzymać tych dat w głowie, przekaż je razem z resztą technicznych obowiązków i traktuj każdą taką wiadomość jak spam, którym jest.
Pytania i odpowiedzi
Czy rejestrator w ogóle wysyła maile o wygasającej domenie?
Tak i to jest właśnie źródło problemu. Prawdziwe powiadomienia istnieją i przychodzą zwykle z kilkutygodniowym wyprzedzeniem, więc sam fakt otrzymania wiadomości niczego nie przesądza. Rozstrzyga dopiero to, czy ten sam termin widzisz po zalogowaniu się do panelu, do którego wszedłeś samodzielnie.
Co zrobić, gdy nie wiem, u kogo mam domenę?
Sprawdź publiczne dane domeny zapytaniem WHOIS, bo nazwa rejestratora jest tam zwykle widoczna. Druga droga prowadzi przez księgowość, czyli przez faktury cykliczne za domenę i hosting z ostatniego roku. Gdy stronę stawiała agencja, zapytaj wprost, na kogo zapisany jest adres i kto go opłaca.
Czy faktura proforma za wpis do rejestru domen jest oszustwem?
Formalnie to zwykle oferta handlowa napisana tak, żeby wyglądała na rachunek za usługę, z której już korzystasz. Opłacenie jej nie przedłuża Twojej domeny i nie daje nic poza wpisem w prywatnym katalogu firmy, która wysłała papier. Przed zapłatą porównaj nazwę nadawcy z nazwą rejestratora ze swojego rejestru usług.
Czy wtyczka bezpieczeństwa ochroni mnie przed takim mailem?
Nie ochroni, bo wtyczka pilnuje tego, co dzieje się na stronie, a wiadomość przychodzi na skrzynkę i nie zawiera żadnego kodu do wykrycia. Barierą jest tu procedura sprawdzania i filtr antyspamowy na poczcie, a nie oprogramowanie zainstalowane w WordPressie.
Autorka: Sylwia Jasiak
Copywriterka i strateżka treści. Pisze teksty na strony firmowe, opisy usług i artykuły eksperckie tak, żeby jednocześnie sprzedawały i budowały widoczność w Google. Odpowiada za komunikację marki Avangardo, szkolenia z WordPressa oraz zarządzanie projektami.
