Uważasz, że się mylimy?
Wymuś na nas, byśmy to udowodnili.
Złóż wniosek o ponowną weryfikację swojej domeny. Porównujemy nasze dowody z aktualnymi strumieniami danych wywiadowczych o zagrożeniach, przeprowadzamy niezależną automatyczną weryfikację, a w przypadku wątpliwych sytuacji angażujemy weryfikację przez człowieka.
Każde odwołanie jest częściowo analizowane przez AI, jednak ostateczna decyzja wymaga weryfikacji przez operatora. Jeśli żaden operator nie potwierdzi Twojego odwołania w ciągu 48 godzin, system zatwierdza automatycznie — Twoja domena zostanie usunięta z naszej strony, repozytorium GitHub oraz bazy danych. Odliczanie rozpoczyna się w momencie wysłania zgłoszenia.
Wklej identyfikator odwołania (UUID) lub otwórz link śledzenia, który do Ciebie wysłaliśmy.
Odpowiedzi wprost
O przeprosinach, „surowości” i o tym, o co nas oskarżają.
Dlaczego wcześniej nie przepraszaliście?
Domenę zawsze usuwaliśmy — to nigdy nie podlegało dyskusji. Nie pisaliśmy natomiast z przeprosinami. Nie z arogancji: po prostu nie sądziliśmy, że list od nas ma dla kogokolwiek wartość. Usunięcie to coś konkretnego, a przeprosiny to tylko słowa. W tym się myliliśmy. Dla kogoś, kto stracił ruch albo musiał wyjaśniać sprawę ze swoim rejestratorem, ważne jest, by usłyszeć wprost, że błąd był nasz. Nie jest to dla nas trudne i zawsze staraliśmy się to robić, gdy tylko mogliśmy.
Prawdziwą przeszkodą były dane. Jesteśmy zdecydowanie przeciwni przechowywaniu niepublicznych danych: każdy zapisany adres to obciążenie i ryzyko. PhishDestroy nie jest naszą pracą i został zbudowany tak, by w każdej chwili mógł przestać być nasz, nie przestając przy tym działać. Nie może od nas zależeć. Listy mailingowe, rekordy użytkowników i przechowywane logi — wszystko to wiąże go z nami osobiście.
Teraz możemy to robić, niczego nie przechowując. Jeśli Twoje odwołanie zostało zatwierdzone — dziś lub kiedykolwiek wcześniej — wpisz poniżej identyfikator odwołania i adres e-mail. Wysyłamy jedne przeprosiny wraz z listem w formacie PDF, który możesz przekazać swojemu rejestratorowi lub klientom, a adres jest od razu usuwany. Jeden fałszywy alarm — jeden list.
„PhishDestroy jest zbyt surowy.”
Słyszymy to często. Nie będziemy się spierać — ale szczerze mówiąc, nie widzimy, gdzie jest ta surowość ani wobec kogo miałaby być skierowana. Dlatego poniżej opisujemy dokładnie, co robimy, a każdy element możesz sprawdzić.
„Zasypujecie rejestratorów masowymi zgłoszeniami.”
Słowo „masowe” opisuje liczbę domen phishingowych, którymi się zajmujemy, a nie to, jak mocno uderzamy w którąkolwiek z nich. Domena otrzymuje jedno zgłoszenie, wysyłane do jej rejestratora. Kolejne zgłoszenie wysyłamy tylko wtedy, gdy domena nadal działa, i może ono trafić również do ICANN lub operatora TLD. Kolejne zgłoszenia podlegają ścisłym limitom: nigdy wcześniej niż 48 godzin po poprzednim. Według naszych własnych danych w 2026 roku około 7% domen otrzymało cokolwiek ponad pierwsze zgłoszenie — a każda z nich została potwierdzona jako złośliwa. Nasz system jest otwarty: liczba zgłoszeń wysłanych w sprawie dowolnej domeny jest publiczna.
Nie krzyczymy do rejestratorów „zbanujcie ich”. Nie mamy władzy, by kogokolwiek do czegoś zmusić, a nasze szablony zgłoszeń od dawna są publiczne. Proszą one zespół ds. nadużyć rejestratora o pilne zbadanie domeny, jej właściciela i treści. Nie twierdzimy, że właściciel ma złe zamiary, ani nawet że treść do niego należy. Piszemy, że strona mogła zostać przejęta lub zhakowana, i prosimy rejestratora lub hostingodawcę o sprawdzenie. Wyraźnie szanujemy ich wewnętrzne procedury, a decyzję pozostawiamy ich AUP i warunkom świadczenia usług. W zgłoszeniu zaznaczamy też, że domena trafiła na naszą publiczną listę, wraz ze znacznikiem czasu, aby powiadomić społeczność bezpieczeństwa.
Nikogo nie oskarżamy i nie żądamy blokady. Byłoby to niewłaściwe i wykracza poza nasze uprawnienia. Nasze wnioski opierają się na profesjonalnych systemach skanujących i wskaźnikach, które sami zbieramy, ale żaden skaner, certyfikowany czy nie, nie zagwarantuje braku błędów — sam cloaking już o to dba. Nigdy nie twierdziliśmy, że się nie mylimy. Wszędzie mówimy coś przeciwnego.
Gdybyśmy atakowali rejestratorów, dawno wpisaliby nas na swoje czarne listy.
Ten mit ma autora. Mniej więcej rok temu oszuści opublikowali poradnik, jak obchodzić zawieszenia domen przez NiceNIC. W zamieszczonym tam szablonie listu do rejestratora twierdzili, że ich oszukańcze kasyno jest celem „skoordynowanych masowych ataków zleconych przez konkurencję”.
„PhishDestroy przeprowadza ataki DDoS na strony.”
Nie. Ten zarzut wymyśliła AI na podstawie słów „seed-phrase flooding”. Dla AI „flood” oznacza złośliwy atak. Tymczasem to coś zupełnie innego.
Seed flooding polega na wprowadzaniu fałszywych fraz odzyskiwania do formularza, którym kit phishingowy zbiera dane. Obniża to wartość skradzionych danych i ujawnia, jak kit je przetwarza, dzięki czemu można zgłosić jego backend. Serwisy takie jak EmailJS w większości przypadków reagowały, unieważniając klucze, które identyfikowały strony phishingowe. Stosowaliśmy tę metodę w wielu dochodzeniach dotyczących infrastruktury, a jej pełny opis znajduje się pod adresem /seed-flooding/.
Każde uruchomienie jest rejestrowane — cel, czas i liczba żądań. Wolumeny bywają duże, czasem sięgają nawet miliona wpisów. Ale prawie nigdy nie było to w pełni zautomatyzowane. Przed laty próbowaliśmy zautomatyzować tę metodę wobec formularzy phishingowych z reklam Google i to się nie udało: phisherzy zmieniali formaty, dodawali captche i szyfrowali payloady, a automatyczne znalezienie odpowiedniego okna okazało się niemożliwe.
- Jeden wpis to pojedyncze żądanie POST z 12 słowami plus status odpowiedzi. Otwarcie strony z własnego IP waży znacznie więcej.
- Niemal każde użycie przez te wszystkie lata odbywało się wewnątrz Cloudflare, z Cloudflare do Cloudflare. Biorąc pod uwagę rozmiar pakietów, współdzieloną infrastrukturę i rozkład obciążenia, nie może to działać jako atak. Dwa wyjątki przeprowadziliśmy z zachowaniem podstawowych środków ostrożności: dostawca hostingu został uprzedzony o naszych testach.
- Jesteśmy projektem non-profit. Nie mamy botnetu, proxy ani niczego, czym kładzie się serwery.
- Legalna strona nie ma się czego obawiać. Jeśli w ogóle masz formularz, fraza z 12/24 słów nic mu nie zrobi. Skrypty obsługujące kity mają określone zmienne; na zwykłej stronie to po prostu nieszkodliwe żądania POST donikąd.
Potrzebujemy czegoś odwrotnego niż awaria: strona phishingowa musi pozostać dostępna, dopóki rejestrator jej nie sprawdzi. PhishDestroy nigdy nikogo nie zaatakował DDoS-em. Nie uważamy, że ta metoda jest przyjemna, ale nie ma w niej złej woli i utrzymujemy ją w rozsądnych granicach.
„Ktoś wykorzystuje wasz system przeciwko konkurencji.”
Napisz do nas bezpośrednio — przez zgłoszenie (issue) na GitHubie lub bota na Telegramie. Odpowiadamy.
Nie zależy nam na tym, by na liście znalazło się cokolwiek legalnego lub dodanego przez pomyłkę. Nic na tym nie zyskujemy — tylko szkodę dla naszej reputacji i ostrzejsze filtry we własnym systemie. Ale system ma współtwórców. Prawo do zgłaszania bez weryfikacji można zdobyć dopiero wtedy, gdy znacząca liczba domen najpierw przejdzie standardową weryfikację. Ten status ma wartość i bywał nadużywany — tak było w przypadku niektórych serwisów oferujących „stress testy” i szarej indonezyjskiej operacji kasynowej.
Jesteśmy zdecydowanie przeciwni temu, by ktokolwiek wykorzystywał PhishDestroy do osobistych korzyści zamiast do walki z phishingiem. Nawet jeśli Twój własny serwis nie jest całkiem czysty, a uważasz, że ktoś płaci za zdejmowanie stron, przyślij nam tę domenę lub domeny. Sprawdzimy to. Jeśli członek naszej społeczności sprzedaje zdejmowanie stron, blokujemy go wraz ze wszystkimi domenami, które dodał komercyjnie. Każdą sprawę da się wyjaśnić. Ale jeśli Twoja strona jest faktycznie nielegalna, raczej jej nie usuniemy.
Czy analizujecie własne błędy?
Tak. Każdy fałszywie pozytywny wynik wpływa z powrotem na nasze reguły. Przypadki masowe lub anomalie — kilka legalnych stron w bazie jednocześnie — nigdy nie przechodzą niezauważone: ustalamy, który sygnał zawiódł, jakie źródło go dostarczyło i czego jeszcze to źródło dotknęło.
Czy każda korekta jest publiczna?
Tak. Każda domena, która okazała się fałszywie pozytywnym wynikiem, jest publicznie usuwana z GitHuba i dodawana do allow/allowlist.json w osobnym commicie. Korekta, której nikt nie może zweryfikować, jest nic niewarta.
Częste pytania
Jak szybko podejmowana jest decyzja?
W ciągu 48 godzin od złożenia wniosku. Nasza sztuczna inteligencja częściowo wstępnie weryfikuje każde odwołanie, jednak ostateczna decyzja wymaga udziału operatora. Jeśli żaden operator nie potwierdzi wniosku w wyznaczonym czasie, system zatwierdza automatycznie i usuwa Twoją domenę z naszej witryny, repozytorium GitHub oraz bazy danych — bez konieczności zatwierdzenia przez człowieka. Limit czasowy jest egzekwowany w kodzie, a nie w polityce.
Czy wyślesz mi e-mail?
Tylko na Twoją prośbę: po zatwierdzeniu możesz poprosić o jednorazowe przeprosiny powyżej. Priorytetem jest prywatność — nie przechowujemy dzienników żądań i nie uruchamiamy mechanizmów wysyłki korespondencji. Śledź status swojego odwołania za pomocą identyfikatora, korzystając z linku, który otrzymasz po złożeniu wniosku. Skontaktujemy się drogą mailową wyłącznie w rzadkich przypadkach wymagających doprecyzowania.
Czy faktycznie doprowadzacie do wyłączenia stron internetowych?
Nie.Nie dysponujemy przyciskiem „Usuń tę witrynę”. Skanimujemy, analizujemy i przekazujemy nasze ustalenia rejestratorom domen, dostawcom usług hostingowych oraz partnerom z zakresu feedów wywiadu zagrożeń. Ostateczna decyzja o usunięciu treści należy do nich, a rejestratorzy działają wyłącznie w przypadku legalnego phishingu. Jeśli Twoja strona jest legalna, nie masz się czego obawiać.
Czy muszę dostarczyć dowód własności?
Nie. Wystarczy przesłać domenę i jedno zdanie kontekstu. Weryfikację przeprowadzamy samodzielnie — porównując dane z aktualnymi informacjami o zagrożeniach, rekordami DNS, historią certyfikatów oraz naszymi własnymi dowodami. Wymaganie od właścicieli udowodnienia swojej tożsamości wydawało się naruszeniem prywatności, dlatego z tego zrezygnowaliśmy.
Dlaczego moja domena została w ogóle umieszczona na liście?
Większość wpisów pochodzi z automatycznego wykrywania kitów phishingowych, skryptów drainers, podszywania się pod marki lub zgłoszeń społeczności. Jeśli chcesz zobaczyć dokładne dowody, które posiadamy, złóż odwołanie i sprawdź publiczną stronę śledzenia.
Czy już podejmujesz decyzje automatycznie za pomocą AI?
Jeszcze nie — pracujemy nad tym ostrożnie. Obecnie odwołania przechodzą przez automatyzowaną triaż, która identyfikuje sygnały (VirusTotal, urlscan, DNS, historia certyfikatów), ale decyzję podejmuje nadal człowiek. Odmawiamy automatyzacji procesu, który ma realne konsekwencje dla właścicieli witryn, dopóki nie będziemy wystarczająco pewni systemu.
A co, jeśli zostanę odrzucony?
Możesz ponownie złożyć wniosek w późniejszym terminie, jeśli okoliczności ulegną zmianie, lub otworzyć zgłoszenie (issue) na GitHubie w celu publicznej dyskusji, jeśli uważasz, że odrzucenie było niesłuszne. Nie prowadzimy wielostronicowej korespondencji e-mailowej — naszym celem są sprawiedliwe decyzje, a nie negocjacje.