Nag-iisip ka bang nagkamali kami?
Pilitin naming patunayan ito.
Isumite ang inyong domain para sa pag-aaral muli. Sinusuri namin ang aming ebidensya laban sa kasalukuyang mga threat-intel feed, ginagawa ang isang independiyenteng awtomatiko na pagsusuri, at tinutukso ng isang tao ang anumang bagay na hindi malinaw.
Bawat apela ay bahagyang inanalisa ng AI, ngunit ang huling desisyon ay nangangailangan pa rin ng isang operator reviewer. Kung walang operator ang nakapagpatibay ng iyong apela sa loob ng 48 oras, ang sistema awtomatikong pinapayagan — tinatanggal ang iyong domain mula sa aming website, GitHub repository, at database. Nagsisimula ang orasan sa sandaling ipinasa mo ito.
I-paste ang iyong appeal ID (UUID) o buksan ang tracking URL na ipinadala namin sa iyo.
Diretsahang sagot
Tungkol sa paghingi ng paumanhin, sa "pagiging malupit", at sa mga ibinibintang sa amin.
Bakit hindi kayo humingi ng paumanhin noon?
Lagi naming tinatanggal ang domain — hindi iyon kailanman pinagdudahan. Ang hindi namin ginawa ay sumulat para humingi ng paumanhin. Hindi dahil sa kayabangan: inakala lang talaga namin na walang halaga para kaninuman ang isang liham mula sa amin. Kongkreto ang pagtanggal; salita lang ang paumanhin. Mali kami roon. Para sa isang nawalan ng trapiko o kinailangang makipag-ayos sa kanyang rehistrador ng domain, mahalagang marinig nang malinaw na sa amin ang pagkakamali. Hindi ito mahirap para sa amin, at lagi naming sinikap na gawin ito hangga't kaya namin.
Ang tunay na hadlang ay ang datos. Mahigpit kaming tutol sa pag-iimbak ng hindi pampublikong datos: bawat naka-imbak na address ay isang pananagutan at isang panganib. Hindi trabaho namin ang PhishDestroy, at binuo ito para puwede itong tumigil na maging amin anumang oras nang hindi nasisira. Hindi ito dapat umasa sa amin. Ang mga mailing list, talaan ng mga user, at mga naka-imbak na log ay pawang nagtatali rito sa amin nang personal.
Ngayon, magagawa na namin ito nang walang iniimbak na anuman. Kung naaprubahan ang iyong apela — ngayon man o sa anumang panahon sa nakaraan — ilagay sa ibaba ang ID ng iyong apela at isang email address. Magpapadala kami ng iisang paumanhin, kasama ang isang PDF na liham na maaari mong ipasa sa iyong rehistrador o sa iyong mga customer, at pagkatapos ay itatapon ang address. Isang maling deteksyon — isang liham.
"Malupit ang PhishDestroy."
Madalas namin itong marinig. Hindi kami makikipagtalo — pero sa totoo lang, hindi namin makita kung nasaan ang kalupitang ito, o kung kanino ito nakatutok. Kaya narito nang eksakto ang ginagawa namin, at masusuri mo ang bawat bahagi nito.
"Maramihan kayong nagre-report sa mga rehistrador."
Ang "maramihan" ay tumutukoy sa dami ng mga phishing domain na hinahawakan namin, hindi sa kung gaano kalakas ang tama namin sa alinman sa mga ito. Isang ulat lang ang natatanggap ng isang domain, at ipinapadala ito sa rehistrador nito. May follow-up lamang kung live pa ang domain, at maaari rin itong ipadala sa ICANN o sa operator ng TLD. Mahigpit na limitado ang dalas ng mga follow-up: hindi kailanman mas maaga sa 48 oras matapos ang naunang ulat. Ayon sa sarili naming datos, mga 7% ng mga domain noong 2026 ang nakatanggap ng anuman lampas sa unang ulat — at bawat isa sa kanila ay kumpirmadong malisyoso. Bukas ang aming sistema: pampubliko ang bilang ng mga ulat na ipinadala para sa anumang domain.
Hindi kami sumisigaw ng "i-ban sila" sa mga rehistrador. Wala kaming kapangyarihang pilitin ang sinuman, at matagal nang pampubliko ang aming mga template ng ulat. Hinihiling ng mga ito sa abuse team ng rehistrador na agarang imbestigahan ang domain, ang may-ari nito, at ang nilalaman nito. Hindi namin sinasabing malisyoso ang may-ari, o kahit na sa kanya ang nilalaman. Sinasabi naming maaaring na-compromise o na-hack ang site, at hinihiling namin sa rehistrador o host na suriin ito. Tahasan naming iginagalang ang kanilang mga panloob na pamamaraan at ipinauubaya ang desisyon sa kanilang AUP at Mga Tuntunin ng Serbisyo. Nakasaad din sa ulat na idinagdag ang domain sa aming pampublikong listahan, kasama ang timestamp, upang ipaalam sa komunidad ng seguridad.
Hindi kami nag-aakusa ng sinuman, at hindi kami humihingi ng pag-block. Hindi iyon angkop, at lampas iyon sa aming awtoridad. Nagmumula ang aming mga konklusyon sa mga kwalipikadong scanning system at sa mga indicator na kami mismo ang nangongolekta, pero walang scanner, sertipikado man o hindi, ang makagagarantiya ng zero na pagkakamali — sapat na ang cloaking para matiyak iyon. Hindi namin kailanman sinabing hindi kami nagkakamali. Kabaligtaran pa nga ang sinasabi namin saanman.
Kung inaatake namin ang mga rehistrador, matagal na sana nila kaming na-blocklist.
May may-akda ang mitong ito. Mga isang taon na ang nakalipas, naglathala ang mga scammer ng gabay kung paano malulusutan ang mga suspensyon ng NiceNIC. Ayon sa template na liham nito para sa rehistrador, ang kanilang scam na casino ay target daw ng "mga koordinadong maramihang atake na iniutos ng mga kakumpitensya".
"Nagda-DDoS ng mga website ang PhishDestroy."
Hindi. Inimbento ito ng AI, mula sa mga salitang "seed-phrase flooding". Para sa AI, ang "flood" ay nangangahulugang malisyosong atake. Hindi iyon ang tunay na nangyayari.
Ang seed flooding ay ang pagsusumite ng mga pekeng recovery phrase sa collection form ng isang phishing kit. Pinabababa nito ang halaga ng ninakaw na datos at inilalantad kung paano ito pinoproseso ng kit, para mai-report ang backend nito. Karamihan sa mga serbisyong tulad ng EmailJS ay tumugon sa pamamagitan ng pagbawi sa mga key na tumukoy sa mga phishing site. Ginamit namin ang pamamaraang ito sa maraming imbestigasyon sa imprastraktura, at buong inilalarawan ang pamamaraan sa /seed-flooding/.
Naka-log ang bawat run — target, oras, at bilang ng request. Maaaring malaki ang volume, minsan umaabot sa 1 milyong submission. Pero halos hindi ito kailanman ganap na automated. Ilang taon na ang nakalipas, sinubukan naming i-automate ito laban sa mga phishing form mula sa Google ads, at hindi ito gumana: binago ng mga phisher ang mga format, nagdagdag ng captcha, at nag-encrypt ng mga payload, kaya imposibleng awtomatikong mahanap ang tamang pagkakataon.
- Ang isang submission ay iisang POST na may 12 salita at isang response status. Di hamak na mas mabigat pa ang pagbukas ng isang website mula sa sarili mong IP.
- Halos lahat ng paggamit sa loob ng mga taong ito ay nasa loob ng Cloudflare, mula Cloudflare papuntang Cloudflare. Dahil sa laki ng packet, sa shared na imprastraktura, at sa distribusyon ng load, hindi ito gagana bilang atake. Ang dalawang eksepsiyon ay hinawakan nang may mga batayang pag-iingat: binalaan muna ang hosting provider tungkol sa aming testing.
- Kami ay isang non-profit na proyekto. Wala kaming botnet, walang proxy, walang anumang ginagamit para pabagsakin ang isang server.
- Walang dapat ikatakot ang isang lehitimong site. Kung may form ka man, walang epekto rito ang isang 12/24-salitang phrase. May mga partikular na variable ang mga handler ng kit; sa isang normal na site, ang mga ito ay hindi nakapipinsalang POST request na walang pinupuntahan.
Ang kailangan namin ay kabaligtaran ng outage: dapat manatiling gumagana ang phishing site habang sinusuri ito ng rehistrador. Hindi kailanman nag-DDoS ng sinuman ang PhishDestroy. Hindi namin iniisip na kaaya-aya ang pamamaraang ito, pero walang masamang intensyon dito, at pinananatili namin ito sa loob ng makatwirang hangganan.
"May gumagamit ng inyong sistema laban sa isang kakumpitensya."
Sabihin mo sa amin nang direkta — sa pamamagitan ng isang GitHub issue o ng Telegram bot. Sumasagot kami.
Wala kaming interes na ilista ang anumang lehitimo o maling entry. Wala kaming napapala rito, kundi pinsala lang sa aming reputasyon at mas mahigpit na mga filter sa sarili naming sistema. Pero may mga contributor ang sistema. Nakukuha lamang ang karapatang magsumite nang walang pagsusuri matapos munang pumasa sa karaniwang pagsusuri ang malaking bilang ng mga domain. May halaga ang katayuang iyon, at naabuso na ito, gaya ng ilang "stress-test" na serbisyo at isang grey-market na operasyon ng casino sa Indonesia.
Mahigpit kaming tutol sa sinumang gumagamit ng PhishDestroy para sa pansariling pakinabang sa halip na labanan ang phishing. Kahit hindi ganap na malinis ang sarili mong serbisyo, kung naniniwala kang may nagbabayad para sa mga takedown, ipadala sa amin ang domain o mga domain. Susuriin namin. Kung nagbebenta ng mga takedown ang isang miyembro ng aming komunidad, iba-block namin ang miyembrong iyon at ang bawat domain na inilista niya para sa komersyal na layunin. Malulutas ang anumang usapin. Pero kung talagang ilegal ang iyong site, malamang na hindi namin ito tatanggalin.
Iniimbestigahan ba ninyo ang sarili ninyong mga pagkakamali?
Oo. Bawat maling deteksyon ay ibinabalik sa aming mga patakaran. Ang mga maramihang kaso o anomalya — ilang lehitimong site sa database nang sabay-sabay — ay hindi kailanman nakalulusot: inaalam namin kung aling signal ang pumalya, aling source ang nagpasok nito, at ano pa ang naapektuhan ng source na iyon.
Pampubliko ba ang bawat pagwawasto?
Oo. Bawat domain na maling natukoy ay hayagang tinatanggal sa GitHub at idinaragdag sa allow/allowlist.json bilang hiwalay na commit. Walang halaga ang pagwawastong hindi kayang patunayan ng sinuman.
Mga karaniwang tanong
Gaano kabilis ang desisyon?
Sa loob ng 48 oras pagkatapos ng pagsumite. Ang aming AI ay bahagyang nagpapa-check ng bawat apela, ngunit ang huling desisyon ay kailangan pa ring suriin ng isang operator. Kung walang operator ang nakakapag-confirm sa tamang oras, ang sistema awtomatikong pinapayagan at tinatanggal ang iyong domain mula sa aming site, GitHub repo, at database — walang kinakailangang pahintulot ng tao. Pinipilit ang oras sa pamamagitan ng code, hindi sa patakaran.
Mag-e-email ka ba sa akin?
Kung hihilingin mo lang: pagkatapos maaprubahan, maaari kang humiling ng isang beses na paumanhin sa itaas. Ang privacy ang aming pinakamahalaga — hindi namin iniimbak ang mga request log at hindi namin ginagana ang mailing pipeline. Suriin ang iyong appeal gamit ang ID sa pamamagitan ng link na ibibigay namin sa iyo pagkatapos i-submit. Naglalaan kami ng email lamang sa mga bihira na kaso na nangangailangan ng paglilinaw.
Totoong pinapara mo ba ang mga website?
Hindi.Wala kaming "delete this site" button. Sinuscan, sinusuri, at ipinapadala namin ang aming mga natuklasan sa mga domain registrar, hosting provider, at mga partner threat-intel feed. Ang aktwal na desisyon sa takedown ay kanila — at ang mga registrar ay gumagana lamang sa mga legitimate phishing. Kung legitimate ang iyong site, wala kang dapat takot.
Kailangan ko bang magbigay ng patunay ng pag-aari?
Hindi. Ipadala lamang ang domain at isang pangungusap na konteksto. Kami ang nagpapatunay nito — pinagsasama-samahin namin ito sa kasalukuyang threat-intel, mga DNS records, kasaysayan ng certificate, at ang aming sariling ebidensya. Dahil nakakaramdam ng paglabag sa privacy ang paghingi ng pagpapatunay sa mga may-ari, tinigil na namin ito.
Bakit sa unang lugar ay nakalista ang aking domain?
Karamihan ng mga listing ay nagmumula sa awtomatadong pagtuklas ng mga phishing kit, drainer script, pagpapanggap ng brand, o mga ulat mula sa komunidad. Kung nais mong makita ang eksaktong ebidensya na hawak namin, magsumite ng isang appeal at suriin ang pampublikong tracking page.
Nag-a-auto-decide ka na ba gamit ang AI?
Hindi pa — pinag-aaral namin ito nang maingat. Sa kasalukuyan, ang mga apela ay tinatamayan sa automated triage na nagpapakita ng mga signal (VirusTotal, urlscan, DNS, certificate history), ngunit ang desisyon ay ginagawa pa rin ng tao. Tumatanggi kaming i-automate ang isang proseso na may tunay na epekto sa mga may-ari ng website hangga't hindi pa namin sapat na tiwala ang sistema.
Ano ang mangyayari kung tatanggihan ako?
Maaari mong i-resubmit sa hinaharap kung magbago ang mga sitwasyon, o buksan ang isang GitHub issue para sa pampublikong diskusyon kung naniniwala kang mali ang pagtanggi. Hindi kami gumagamit ng back-and-forth na email pipeline — ang layunin ay makabuo ng makatarungang desisyon, hindi negosyasyon.