Rövidített és átirányított link ellenőrzése megnyitás előtt

By /

Rövidített vagy átirányított linknél először ne kattints. Ellenőrizd, hogy vártad-e az üzenetet, keresd meg külön a küldő szervezet hivatalos oldalát, majd csak szükség esetén derítsd fel a célcímet. A cél-domain láthatóvá tétele hasznos, de nem biztonsági bizonyítvány: egy ma még nem jelzett oldal is lehet csaló, egy feltört legitim oldal pedig továbbirányíthat máshová.

Az első kérdés nem technikai

Gondold végig, miért kaptad a linket. Vártál csomagot, jelszó-visszaállítást vagy dokumentummegosztást? Illik a kérés a küldő szokásos kommunikációjához? Az NCSC szerint a csalók gyakran tekintélyre, sürgetésre, félelemre, kíváncsiságra vagy ritka ajánlatra építenek. Ha az üzenet azonnali belépést, fizetést vagy adatmegadást követel, a legbiztonságosabb ellenőrzés az, hogy megszakítod a kapcsolatot, és saját forrásból keresed meg a szervezetet.

Banki, futár-, adó- vagy munkahelyi ügyben ne a levélben kapott telefonszámot, választógombot vagy linket használd. Írd be kézzel a már ismert címet, nyisd meg a hivatalos alkalmazást, vagy hívd a kártyán, szerződésen szereplő számot. Az adathalász üzenetek felismeréséről szóló útmutató a feladó és a szöveg további jeleit is bemutatja.

1. Nézd meg, ami kattintás nélkül látható

  • Számítógépen vidd az egeret a link fölé, de ne kattints; a böngésző vagy levelező alján megjelenhet a ténylegesen beágyazott cím.
  • Telefonon hosszan nyomva gyakran előnézet vagy másolási lehetőség jelenik meg. Ha az előnézet rögtön betölti az oldalt, inkább csak a „Link másolása” parancsot válaszd.
  • Hasonlítsd össze a látható feliratot a kimásolt címmel. A „Számla megtekintése” szöveg bármilyen webcímre mutathat.
  • Ne csak azt keresd, hogy szerepel-e benne a márkanév. A döntő rész a hostnév: például a bank.example.csalok-oldala.test valójában a csalok-oldala.test alá tartozik.

A https:// és a lakat csak a kapcsolat titkosításáról szól; nem igazolja, hogy a webhely becsületes. Ha a böngésző tanúsítványhibát jelez, ne lépj tovább: az „A kapcsolat nem privát” hiba külön ellenőrzést igényel.

2. Rövid linknél derítsd fel a célcímet

Az URL-rövidítő címe önmagában nem mutatja meg a végső oldalt. Egy nyilvános „link expander” használata kényelmes lehet, de a beillesztett URL eljut az ellenőrző szolgáltatóhoz. Ne tölts fel ilyen oldalra meghívót, jelszó-visszaállító, dokumentummegosztó vagy leiratkozási linket: ezekben egyedi token lehet, amely hozzáférést vagy személyes azonosítást tesz lehetővé.

Gyakorlott felhasználó saját gépen a curl eszközzel csak a rövidítő szerver válaszfejléceit is lekérheti, az átirányítás automatikus követése nélkül:

curl --head --max-redirs 0 "IDE_MASOLD_A_ROVID_LINKET"

A curl dokumentációja szerint a --head csak a fejléceket kéri le, a curl pedig alapból nem követi a Location: fejlécet. A kimenetben ezt a sort keresd. Fontos korlátok: a kérés így is kapcsolatba lép a rövidítővel; egyes szerverek nem támogatják a HEAD kérést; JavaScriptes vagy HTML-alapú átirányítás nem feltétlenül látszik; több lépcsőnél minden következő cím külön vizsgálatot igényel. Ne használd ezt titkos tokenes linkkel közös vagy naplózott munkahelyi gépen.

3. A teljes célcímet bontsd részekre

  1. Protokoll: a HTTPS kívánatos, de nem elég.
  2. Hostnév: keresd meg a valódi regisztrált domaint, és figyelj az elütésekre, fölösleges kötőjelekre, megtévesztő aldomainre.
  3. Útvonal: a márkanév az első perjel után már csak szöveg lehet, nem a webhely tulajdonosa.
  4. Paraméterek: a kérdőjel után egyedi azonosító, e-mail-cím vagy munkamenetadat lehet. Ezt ne oszd meg nyilvános ellenőrzővel.

Nemzetközi karaktereket tartalmazó címnél a megjelenés hasonlíthat egy ismert domainre. Ha bizonytalan vagy, ne próbáld szemmel „kitalálni”, hanem keresd meg a szervezet hivatalos honlapját külön keresésből, és onnan navigálj a kívánt funkcióhoz.

4. Használd jól a biztonsági ellenőrzést

A Google Safe Browsing rendszere ismert adathalász, megtévesztő, rosszindulatú programot vagy kéretlen szoftvert terjesztő webcímek listái alapján tud figyelmeztetni. Ez hasznos második vélemény, de egy negatív találat csak azt jelenti, hogy a cím nincs az adott pillanatban az ismert veszélyes listán. Új, célzott vagy egyszer használatos csaló oldal átcsúszhat rajta.

Ha online URL-ellenőrzőt használsz, előbb olvasd el, nyilvánossá teszi-e a beküldött linket vagy megosztja-e más biztonsági szolgáltatókkal. Általános webcímet lehet így ellenőrizni, személyes tokent tartalmazót ne. Kétség esetén a szolgáltatás hivatalos fődomainjét vizsgáld, és az ügyet azon belül keresd meg.

Mikor ne nyisd meg akkor sem, ha a domain jónak tűnik?

  • Az üzenet váratlanul jött, és belépést vagy fizetést sürget.
  • A küldő másik csatornán nem erősíti meg, hogy ő küldte.
  • A link újabb rövidítőkre vagy több, egymástól független domainre ugrik.
  • A céloldal böngészőfrissítés, távoli elérés vagy ismeretlen alkalmazás telepítését kéri.
  • A böngésző biztonsági figyelmeztetést ad, vagy megnyitás után kéretlen átirányítás indul.

Ha már megnyitottad, de nem adtál meg adatot és nem töltöttél le semmit, zárd be az oldalt, frissítsd a böngészőt és futtass biztonsági ellenőrzést, ha bármi letöltődött. Ismétlődő jelenségnél kövesd a kéretlen átirányítások és felugró ablakok eltávolítását. Ha jelszót vagy banki adatot is megadtál, ne ezen az oldalon próbáld „visszavonni”: nyisd meg külön a valódi szolgáltatást, cseréld le az érintett jelszót, és szükség esetén hívd a bankot.

QR-kód ugyanígy rejthet el átirányítást. Ilyenkor a QR-kód biztonságos ellenőrzése mutatja meg, hogyan nézd meg a címet a böngésző megnyitása előtt.

A témához kapcsolódó további gyakorlati útmutatókat az Digitalizáció és online élet kategóriaoldalon találod.

Felhasznált források

Kapcsolódó útmutatók

Scroll to Top