Cum verifici dacă un link este sigur fără să-l deschizi

Ai primit un link prin SMS, WhatsApp, e-mail sau într-un mesaj privat și nu știi dacă este sigur? Cea mai bună decizie este să nu îl deschizi imediat. Un URL oferă multe indicii înainte ca pagina să fie vizitată, iar câteva verificări simple pot face diferența dintre o navigare normală și pierderea unei parole sau a datelor cardului.

Regula de bază: dacă mesajul îți cere să acționezi urgent, oprește-te și verifică independent. Urgența este una dintre cele mai folosite tehnici de manipulare.

1. Privește domeniul real, nu cuvintele familiare

Într-o adresă precum https://plata-curier.exemplu.xyz/colet, domeniul controlat de proprietar este exemplu.xyz. Cuvintele „plata” și „curier” nu demonstrează nicio legătură cu o firmă reală. Atacatorii introduc intenționat nume de branduri, termeni precum „securizare”, „verificare” sau „confirmare” și extensii care par plauzibile.

Citește domeniul de la dreapta spre stânga, începând înaintea primei bare oblice. Fii atent la:

• litere adăugate sau inversate: „faceboook” în loc de „facebook”;
• cratime și cuvinte suplimentare: „brand-plata-securizata”;
• subdomenii înșelătoare: „banca.ro.exemplu.com” aparține domeniului exemplu.com;
• caractere care seamănă vizual, dar provin din alte alfabete;
• adrese formate direct dintr-un IP sau dintr-un șir lung și neobișnuit.

2. HTTPS este necesar, dar nu dovedește că site-ul este legitim

HTTPS arată că legătura dintre browser și server este criptată. Nu arată că proprietarul paginii este cinstit. Și un site de phishing poate obține rapid un certificat valid și poate afișa simbolul de conexiune securizată. Lipsa HTTPS este un semnal serios, mai ales pe o pagină care solicită date; prezența lui este doar o verificare de bază.

3. Nu te baza pe textul vizibil al linkului

Într-un e-mail, textul „Intră pe site-ul oficial” poate ascunde o destinație complet diferită. Pe desktop, treci cursorul peste link fără să apeși și verifică adresa afișată de browser. Pe telefon, o apăsare lungă poate afișa previzualizarea destinației, dar evită să continui dacă nu recunoști domeniul.

Cea mai sigură metodă este să deschizi manual aplicația oficială sau să scrii tu adresa cunoscută în browser. Dacă mesajul spune că există o problemă cu un cont, verifică notificările direct în cont, nu prin linkul primit.

4. Extinde linkurile scurtate înainte să ai încredere

Serviciile de scurtare ascund destinația finală. Ele pot fi folosite legitim, dar elimină informația de care ai nevoie pentru a lua o decizie. Un verificator de linkuri poate urmări redirecționările într-un mediu controlat și îți poate arăta domeniul final fără să vizitezi tu pagina.

5. Analizează contextul, nu doar adresa

Un link devine mult mai suspect când este însoțit de o poveste construită să grăbească decizia. Semnalele frecvente sunt:

• „contul va fi blocat astăzi”;
• „coletul nu poate fi livrat până nu plătești o taxă mică”;
• „ai câștigat un premiu, confirmă acum”;
• „trimite codul primit prin SMS pentru anularea fraudei”;
• „cumpărătorul a plătit, introdu datele cardului ca să primești banii”.

Greșelile gramaticale pot fi un indiciu, dar absența lor nu înseamnă siguranță. Mesajele frauduloase pot fi scrise impecabil și personalizate cu numele tău.

6. Verifică reputația și informațiile tehnice

Un raport tehnic util poate compara adresa cu liste de phishing, poate verifica vechimea domeniului, certificatul TLS, redirecționările, DNS-ul, infrastructura de găzduire și tiparele din URL. Niciun semnal nu este perfect singur. Un domeniu nou nu este automat rău, iar lipsa lui dintr-o listă neagră nu îl face automat sigur. Verdictul trebuie interpretat împreună cu explicațiile.

Checklist de 30 de secunde

1. Nu deschide linkul direct din mesaj.
2. Identifică domeniul real și caută greșeli sau cuvinte adăugate.
3. Întreabă-te dacă mesajul creează urgență, frică sau promite un câștig.
4. Intră manual în aplicația sau pe site-ul oficial.
5. Verifică linkul cu VerificaNet și citește semnalele, nu doar scorul.
6. Dacă încă ai dubii, contactează organizația folosind datele de pe site-ul oficial.

Ce să nu introduci niciodată pe o pagină nesigură

Nu furniza parole, coduri de autentificare, coduri OTP, PIN-uri, date complete de card, fotografii ale actelor sau fraze de recuperare pentru portofele digitale. O bancă, o platformă serioasă sau un reprezentant legitim nu are nevoie să îi comunici parola ori codul de autorizare primit pentru o operațiune.

Întrebări frecvente

Un link este sigur dacă apare ca sigur în Google?

Nu în mod absolut. Sistemele de reputație sunt foarte utile, dar un domeniu nou poate să nu fi fost încă raportat. Analizează și domeniul, contextul și comportamentul paginii.

Pot verifica un link fără să îl deschid?

Da. Îl poți copia fără a-l accesa și îl poți trimite unui serviciu de analiză precum VerificaNet. Nu include însă URL-uri private care conțin tokenuri de resetare sau date personale.

Dacă expeditorul este cunoscut, mesajul este sigur?

Nu neapărat. Contul persoanei poate fi compromis, iar numele sau numărul expeditorului poate fi imitat. Confirmă cererea printr-un alt canal.

Surse și resurse utile

• Poliția Română — Prevenire phishing
• Google — Cum recunoști și raportezi phishingul
• DNSC — Platforma PNRISC pentru raportarea incidentelor