חושבים שטעינו?
תעשו לנו להוכיח את זה.
הגישו את הדומיין שלכם לבדיקה חוזרת. אנו בודקים את הראיות שלנו מול פידים עדכניים של מודיעין איומים, מבצעים בדיקה אוטומטית עצמאית, ובוחן אנושי בודק כל מקרה שאינו חד-משמעי.
כל ערעור נבחן באופן חלקי על ידי בינה מלאכותית, אך ההחלטה הסופית עדיין דורשת בדיקה על ידי מפעיל. אם אף מפעיל לא מצליח לאשר את הערעור שלך תוך 48 שעות, המערכת אושר אוטומטית — הדומיין שלך מוסר מאתרנו, מאגף GitHub וממאגר הנתונים. השעון מתחיל לרוץ ברגע שאתה שולח.
הדבק את מזהה הערעור שלך (UUID) או פתח את כתובת מעקב ששלחנו אליך.
תשובות ישירות
על התנצלויות, על "קשיחות" ועל מה שמאשימים אותנו בו.
למה לא התנצלתם קודם?
תמיד הסרנו את הדומיין — זה מעולם לא עמד בספק. מה שלא עשינו הוא לכתוב ולהתנצל. לא מתוך יהירות: פשוט לא חשבנו שלמכתב מאיתנו יש ערך עבור מישהו. הסרה היא דבר מוחשי; התנצלות היא מילים. בזה טעינו. למי שאיבד תנועה לאתר או נאלץ להתמודד מול רשם הדומיין שלו, חשוב לשמוע במפורש שהטעות הייתה שלנו. זה לא קשה לנו, ותמיד השתדלנו לעשות זאת היכן שיכולנו.
המכשול האמיתי היה הנתונים. אנחנו מתנגדים בתוקף לשמירת נתונים שאינם פומביים: כל כתובת שמורה היא נטל וסיכון. PhishDestroy אינו העבודה שלנו, והוא בנוי כך שיוכל להפסיק להיות שלנו בכל רגע מבלי שמשהו יישבר. אסור שהוא יהיה תלוי בנו. רשימות תפוצה, רשומות משתמשים ויומנים שנשמרים — כל אלה קושרים אותו אלינו באופן אישי.
עכשיו אנחנו יכולים לעשות זאת בלי לשמור דבר. אם הערעור שלכם אושר — היום או בכל זמן בעבר — הזינו למטה את מזהה הערעור וכתובת דוא"ל. אנחנו שולחים התנצלות אחת, עם מכתב PDF שתוכלו להעביר לרשם הדומיין או ללקוחות שלכם, והכתובת נמחקת. זיהוי שגוי אחד — מכתב אחד.
"PhishDestroy קשוח."
שומעים את זה הרבה. לא נתווכח — אבל בכנות, אנחנו לא רואים איפה הקשיחות הזו, או כלפי מי היא מופנית. אז הנה בדיוק מה שאנחנו עושים, ותוכלו לבדוק כל חלק מזה.
"אתם מדווחים לרשמי דומיינים באופן המוני."
"המוני" מתאר את מספר דומייני הפישינג שאנחנו מטפלים בהם, ולא את עוצמת הפגיעה שלנו באף אחד מהם. כל דומיין מקבל דיווח אחד, שנשלח לרשם שלו. דיווח המשך נשלח רק אם הדומיין עדיין פעיל, והוא עשוי להישלח גם ל-ICANN או למפעיל ה-TLD. דיווחי המשך כפופים להגבלת קצב קפדנית: לעולם לא מוקדם מ-48 שעות לאחר הדיווח הקודם. לפי הנתונים שלנו, כ-7% מהדומיינים ב-2026 קיבלו משהו מעבר לדיווח הראשון — וכולם אומתו כזדוניים. המערכת שלנו פתוחה: מספר הדיווחים שנשלחו על כל דומיין הוא פומבי.
אנחנו לא צועקים על רשמים "תחסמו אותם". אין לנו שום כוח לכפות דבר על איש, ותבניות הדיווח שלנו פומביות כבר זמן רב. הן מבקשות מצוות הטיפול בשימוש לרעה (abuse) של הרשם לבדוק בדחיפות את הדומיין, את בעליו ואת התוכן שלו. איננו טוענים שהבעלים זדוני, ואפילו לא שהתוכן שייך לו. אנחנו אומרים שייתכן שהאתר נפגע או נפרץ, ומבקשים מהרשם או מספק האחסון לבדוק. אנחנו מכבדים במפורש את הנהלים הפנימיים שלהם ומשאירים את ההחלטה למדיניות השימוש המקובל (AUP) ולתנאי השירות שלהם. בדיווח מצוין גם שהדומיין נוסף לרשימה הציבורית שלנו, עם חותמת זמן, כדי ליידע את קהילת אבטחת המידע.
אנחנו לא מאשימים איש, ולא דורשים חסימה. זה לא היה ראוי, וזה גם חורג מסמכותנו. המסקנות שלנו מבוססות על מערכות סריקה מקצועיות ועל אינדיקטורים שאנחנו אוספים בעצמנו, אבל שום סורק, בעל הסמכה או לא, אינו יכול להבטיח אפס טעויות — טכניקות הסוואה (cloaking) לבדן דואגות לכך. מעולם לא טענו שאיננו טועים. אנחנו אומרים את ההפך בכל מקום.
אילו תקפנו רשמי דומיינים, הם היו מכניסים אותנו לרשימה שחורה מזמן.
למיתוס הזה יש מחבר. לפני כשנה פרסמו נוכלים מדריך לעקיפת השעיות של NiceNIC. מכתב התבנית שבו, המיועד לרשם, טען שקזינו ההונאה שלהם היה יעד ל"מתקפות המוניות מתואמות בהזמנת מתחרים".
"PhishDestroy מבצע מתקפות DDoS על אתרים."
לא. את זה המציאה בינה מלאכותית, מתוך הביטוי "הצפת ביטויי שחזור" (seed-phrase flooding). בעיני בינה מלאכותית, "הצפה" פירושה מתקפה זדונית. אבל לא בזה מדובר.
הצפת ביטויי שחזור (seed flooding) פירושה הזנת ביטויי שחזור מזויפים לטופס האיסוף של ערכת פישינג. כך הנתונים הגנובים מאבדים מערכם, ומתגלה האופן שבו הערכה מעבדת אותם, כדי שאפשר יהיה לדווח על צד השרת שלה. שירותים כמו EmailJS הגיבו לרוב בביטול המפתחות שזיהו את אתרי הפישינג. השתמשנו בשיטה בחקירות תשתית רבות, והשיטה המלאה מתוארת בכתובת /seed-flooding/.
כל הפעלה מתועדת — יעד, זמן ומספר בקשות. ההיקפים יכולים להיות גדולים, לפעמים עד מיליון שליחות. אבל כמעט אף פעם זה לא היה אוטומטי לחלוטין. לפני שנים ניסינו להפוך את זה לאוטומטי מול טופסי פישינג שהופצו דרך מודעות Google, וזה לא עבד: הפישרים שינו פורמטים, הוסיפו קאפצ'ות והצפינו את המטענים, ולא היה אפשר למצוא את החלון המתאים באופן אוטומטי.
- שליחה אחת היא בקשת POST יחידה של 12 מילים ועוד סטטוס תגובה. פתיחת אתר מכתובת ה-IP שלכם שוקלת הרבה יותר.
- כמעט כל שימוש בכל השנים האלה היה בתוך Cloudflare, מ-Cloudflare ל-Cloudflare. בהתחשב בגודל החבילות, בתשתית המשותפת ובפיזור העומס, זה לא יכול לתפקד כמתקפה. שני המקרים החריגים טופלו באמצעי זהירות בסיסיים: ספק האחסון קיבל התראה מראש על הבדיקות שלנו.
- אנחנו פרויקט ללא מטרות רווח. אין לנו בוטנט, אין פרוקסי, אין שום דבר שמשמש להפלת שרת.
- לאתר לגיטימי אין ממה לחשוש. אם יש לכם טופס בכלל, ביטוי של 12/24 מילים לא עושה לו כלום. למנגנוני הטיפול של הערכות יש משתנים ספציפיים; באתר רגיל אלה פשוט בקשות POST תמימות שלא מגיעות לשום מקום.
אנחנו צריכים את ההפך מהשבתה: אתר הפישינג חייב להישאר באוויר בזמן שהרשם בודק אותו. PhishDestroy מעולם לא ביצע מתקפת DDoS על אף אחד. אנחנו לא חושבים שהשיטה הזו נעימה, אבל אין בה שום זדון, ואנחנו שומרים עליה בגבולות סבירים.
"מישהו משתמש במערכת שלכם נגד מתחרה."
ספרו לנו ישירות — דרך Issue ב-GitHub או דרך בוט ה-Telegram. אנחנו עונים.
אין לנו שום עניין להכניס לרשימה משהו לגיטימי או שגוי. איננו מרוויחים מכך דבר, רק נזק למוניטין שלנו ומסננים מחמירים יותר על המערכת שלנו עצמה. אבל למערכת יש תורמים. הזכות להגיש ללא בדיקות מתקבלת רק לאחר שמספר משמעותי של דומיינים עבר קודם בדיקה רגילה. למעמד הזה יש ערך, והיו שניצלו אותו לרעה, כמו כמה שירותי "בדיקות עומס" וגורם אינדונזי שמפעיל קזינו אפור.
אנחנו מתנגדים בתוקף לכך שמישהו ישתמש ב-PhishDestroy לטובת רווח אישי במקום להילחם בפישינג. גם אם השירות שלכם אינו נקי לגמרי, אם אתם סבורים שמישהו משלם על הורדת אתרים, שלחו לנו את הדומיין או הדומיינים. נבדוק. אם חבר בקהילה שלנו מוכר שירותי הורדת אתרים, אנחנו חוסמים את החבר הזה ואת כל הדומיינים שהוסיף לרשימה על בסיס מסחרי. כל שאלה ניתנת לפתרון. אבל אם האתר שלכם באמת לא חוקי, לא סביר שנסיר אותו.
האם אתם חוקרים את הטעויות שלכם?
כן. כל זיהוי שגוי מוזן בחזרה לכללים שלנו. מקרים המוניים או חריגות — כמה אתרים לגיטימיים במסד הנתונים בבת אחת — אף פעם לא עוברים בלי שנבחין בהם: אנחנו מוצאים איזה אות כשל, איזה מקור הזין אותו, ובמה עוד נגע אותו מקור.
האם כל תיקון פומבי?
כן. כל דומיין שזוהה בטעות מוסר באופן פומבי מ-GitHub ומתווסף לקובץ allow/allowlist.json כ-commit נפרד. לתיקון שאיש אינו יכול לאמת אין שום ערך.
שאלות נפוצות
מה מהירות קבלת ההחלטה?
תוך 48 שעות מהגשת הבקשה. המערכת המבוססת על בינה מלאכותית מבצעת בדיקה מקדימה חלקית לכל ערעור, אך ההחלטה הסופית עדיין דורשת בדיקה על ידי מפקח אנושי. אם אף מפקח לא מצליח לאשר את הבקשה בזמן, המערכת אושר אוטומטית ומסיר את הדומיין שלך מאתרנו, מאחסון GitHub וממאגר הנתונים — ללא צורך באישור אנושי. ההגבלה בזמן אכיפה ברמת הקוד, ולא ברמת המדיניות.
תשלח לי מייל?
רק לבקשתך: לאחר האישור ניתן לבקש התנצלות חד-פעמית למעלה. אנו שמים את הפרטיות בראש סדר העדיפויות – איננו שומרים יומני בקשות ואיננו מפעילים תהליך שליחת דוא"ל. ניתן לעקוב אחר הערעיר שלך באמצעות המזהה (ID) דרך הקישור שנקנה לך בעת הגשה. אנו פונים אליך בדוא"ל רק במקרים נדירים הדורשים הבהרה.
האם אתם באמת מורידים אתרים מהרשת?
לא.אין לנו כפתור "מחיקת אתר זה". אנו סורקים, מנתחים ומעבירים את הממצאים שלנו לרשמי דומיינים, ספקי אירוח ולפידים של מודיעין איומים שותפים. ההחלטה הסופית על הסרת התוכן נמצאת בידיהם – ורשמי דומיינים פועלים רק מול דפי דייג (Phishing) לגיטימיים. אם האתר שלך לגיטימי, אין לך מה לחשוש.
האם עליי לספק הוכחת בעלות?
לא. יש לשלוח את הדומיין ומשפט הקשר בלבד. אנו מבצעים את האימות בעצמנו – באמצעות השוואה מול מודיעין איומים עדכני, רישומי DNS, היסטוריית תעודות והראיות שלנו. הדרישה מבעלי הדומיין להוכיח את עצמם נתפסה כפולשנית, ולכן חדלנו מנהג זה.
מדוע דומיין שלי הופיע ברשימה מלכתחילה?
רוב הרשומות נובעות מזיהוי אוטומטי של ערכות דגיש, סקריפטים לגניבת נתונים, חיקוי מותגים או מדיווחי קהילה. אם ברצונך לראות בדיוק אילו ראיות אנו מחזיק, הגש ערעור ובדוק את דף המעקב הציבורי.
האם אתם כבר מקבלים החלטות באופן אוטומטי באמצעות בינה מלאכותית?
עדיין לא — אנו מתקדמים לכיוון זה בזהירות. כרגע, ערעורים עוברים דרך סינון אוטומטי המציג אינדיקטורים (VirusTotal, urlscan, DNS, היסטוריית תעודות), אך ההחלטה נעשית עדיין על ידי אדם. אנו מסרבים לאוטומט את מה שיש לו השלכות בעולם האמיתי עבור בעלי האתרים, עד שנתחיל לסמוך על המערכת במידה מספקת.
מה אם אדחה?
ניתן להגיש את הבקשה שוב בהמשך אם הנסיבות ישתנו, או לפתוח הודעה (Issue) ב-GitHub לדיון ציבורי אם סבורים שהדחייה הייתה שגויה. איננו מפעילים תהליך של התכתבות הדדית בדוא"ל — המטרה היא קבלת החלטות הוגנות, ולא משא ומתן.