Думаєте, ми помилилися?
Нехай ми це доведемо.
Надішліть свій домен на повторну перевірку. Ми звіряємо наші дані з актуальними джерелами інформації про загрози, проводимо незалежну автоматизовану перевірку, а всі випадки, що не є однозначними, розглядаються фахівцем.
Кожна скарга частково аналізується штучним інтелектом, але остаточне рішення все одно має ухвалити оператор-експерт. Якщо жоден оператор не підтвердить вашу скаргу протягом 48 годин, система автоматично схвалює — ваш домен буде видалено з нашого сайту, репозиторію GitHub та бази даних. Відлік часу починається з моменту відправлення форми.
Вставте ідентифікатор вашої апеляції (UUID) або відкрийте URL-адресу для відстеження, яку ми вам надіслали.
Відверті відповіді
Про вибачення, «жорсткість» і те, у чому нас звинувачують.
Чому ви не вибачалися раніше?
Домен ми завжди видаляли — це ніколи не було під питанням. Проте ми не писали, щоб попросити вибачення. Не через зарозумілість: ми просто не думали, що лист від нас має для когось цінність. Видалення — це щось конкретне, а вибачення — лише слова. У цьому ми помилялися. Для того, хто втратив трафік або мусив розбиратися зі своїм реєстратором, важливо почути прямо, що помилка була наша. Нам це не важко, і ми завжди намагалися так робити, коли мали змогу.
Справжньою перешкодою були дані. Ми категорично проти зберігання непублічних даних: кожна збережена адреса — це тягар і ризик. PhishDestroy — не наша робота, і він побудований так, щоб будь-якої миті перестати бути нашим і при цьому не зламатися. Він не повинен залежати від нас. Списки розсилки, записи користувачів і збережені журнали — усе це прив’язує його до нас особисто.
Тепер ми можемо робити це, нічого не зберігаючи. Якщо вашу апеляцію схвалили — сьогодні чи будь-коли в минулому, — введіть нижче ідентифікатор апеляції та адресу електронної пошти. Ми надсилаємо одне вибачення разом із листом у форматі PDF, який ви можете переслати своєму реєстраторові або клієнтам, після чого адресу видаляємо. Одне помилкове спрацьовування — один лист.
«PhishDestroy діє жорстко.»
Ми часто це чуємо. Сперечатися не будемо — але, чесно кажучи, не бачимо, де ця жорсткість і на кого вона спрямована. Тож ось що саме ми робимо, і ви можете перевірити кожну частину.
«Ви масово скаржитеся реєстраторам.»
«Масово» — це про те, скільки фішингових доменів ми обробляємо, а не про те, наскільки сильно ми б’ємо по кожному з них. На домен надсилається одне повідомлення — його реєстраторові. Повторне повідомлення йде лише тоді, коли домен досі працює, і воно може також надійти до ICANN або оператора TLD. Повторні повідомлення суворо обмежені за частотою: не раніше ніж через 48 годин після попереднього. За нашими власними даними, у 2026 році близько 7% доменів отримали щось понад перше повідомлення — і щодо кожного з них шкідливість підтверджено. Наша система відкрита: кількість повідомлень, надісланих щодо будь-якого домену, є публічною.
Ми не кричимо реєстраторам «забаньте їх». Ми не маємо повноважень когось змушувати, а наші шаблони повідомлень давно є публічними. У них ми просимо abuse-службу реєстратора терміново перевірити домен, його власника та вміст. Ми не стверджуємо, що власник має зловмисні наміри, ані навіть що вміст належить йому. Ми пишемо, що сайт міг бути скомпрометований або зламаний, і просимо реєстратора чи хостинг-провайдера це перевірити. Ми прямо заявляємо, що поважаємо їхні внутрішні процедури, і залишаємо рішення на розсуд їхньої AUP та Умов надання послуг. У повідомленні також зазначено, що домен додано до нашого публічного списку з позначкою часу, щоб поінформувати спільноту з безпеки.
Ми нікого не звинувачуємо і не вимагаємо блокування. Це було б некоректно, і це виходить за межі наших повноважень. Наші висновки ґрунтуються на професійних системах сканування та індикаторах, які ми збираємо самі, але жоден сканер, сертифікований чи ні, не може гарантувати нуль помилок — одного лише клоакінгу для цього досить. Ми ніколи не стверджували, що не помиляємося. Ми скрізь говоримо протилежне.
Якби ми атакували реєстраторів, вони б давно внесли нас до чорного списку.
Цей міф має автора. Приблизно рік тому шахраї опублікували інструкцію, як обходити призупинення доменів у NiceNIC. У шаблоні листа до реєстратора з цієї інструкції стверджувалося, що їхнє шахрайське казино стало мішенню «скоординованих масових атак, замовлених конкурентами».
«PhishDestroy влаштовує DDoS-атаки на сайти.»
Ні. Це вигадав штучний інтелект — зі слів «seed-phrase flooding». Для ШІ «flood» означає зловмисну атаку. Насправді йдеться зовсім не про це.
Seed flooding — це надсилання фальшивих фраз відновлення у форму збору даних фішингового набору. Це знецінює викрадені дані та показує, як набір їх обробляє, тож про його бекенд можна повідомити. Сервіси на кшталт EmailJS здебільшого реагували тим, що відкликали ключі, за якими ідентифікувалися фішингові сайти. Ми застосовували цей метод у багатьох розслідуваннях інфраструктури, а повний його опис наведено на сторінці /seed-flooding/.
Кожен запуск фіксується в журналі — ціль, час і кількість запитів. Обсяги можуть бути великими, іноді до мільйона відправлень. Але майже ніколи це не було повністю автоматизовано. Кілька років тому ми намагалися автоматизувати це проти фішингових форм із реклами Google, і нічого не вийшло: фішери змінювали формати, додавали капчі та шифрували пейлоади, тож автоматично знайти потрібне вікно було неможливо.
- Одне відправлення — це один POST-запит із 12 слів плюс статус відповіді. Відкриття сайту з вашого власного IP важить набагато більше.
- Майже кожне застосування за всі ці роки відбувалося всередині Cloudflare — з Cloudflare до Cloudflare. З огляду на розмір пакетів, спільну інфраструктуру та розподіл навантаження це не може працювати як атака. Два винятки ми провели з базовими запобіжними заходами: хостинг-провайдера попередили про наше тестування.
- Ми некомерційний проєкт. У нас немає ботнету, проксі чи будь-чого, чим кладуть сервери.
- Законному сайту немає чого боятися. Якщо у вас узагалі є форма, фраза з 12/24 слів їй нічого не зробить. Обробники фішингових наборів мають специфічні змінні; на звичайному сайті це просто нешкідливі POST-запити в нікуди.
Нам потрібне протилежне до збою: фішинговий сайт має залишатися доступним, поки реєстратор його перевіряє. PhishDestroy ніколи й ні на кого не влаштовував DDoS-атак. Ми не вважаємо цей метод приємним, але в ньому немає злого наміру, і ми тримаємо його в пристойних межах.
«Хтось використовує вашу систему проти конкурента.»
Напишіть нам напряму — через запит (issue) на GitHub або бота в Telegram. Ми відповідаємо.
Нам не цікаво вносити до списку щось законне чи помилкове. Ми нічого з цього не маємо — лише шкоду для репутації та суворіші фільтри в нашій же системі. Але система має контриб’юторів. Право надсилати без перевірки можна заслужити лише після того, як значна кількість доменів спершу пройде стандартну перевірку. Цей статус має цінність, і ним зловживали — як у випадку з деякими сервісами «стрес-тестів» і сірою індонезійською мережею казино.
Ми категорично проти того, щоб хтось використовував PhishDestroy для особистої вигоди замість боротьби з фішингом. Навіть якщо ваш власний сервіс не зовсім чистий, але ви вважаєте, що хтось платить за видалення сайтів, надішліть нам домен або домени. Ми перевіримо. Якщо учасник нашої спільноти продає видалення сайтів, ми блокуємо цього учасника і всі домени, які він додав на комерційній основі. Будь-яке питання можна вирішити. Але якщо ваш сайт справді незаконний, ми навряд чи його видалимо.
Чи розслідуєте ви власні помилки?
Так. Кожне помилкове спрацьовування враховується в наших правилах. Масові випадки чи аномалії — кілька законних сайтів у базі одночасно — ніколи не лишаються непоміченими: ми з’ясовуємо, який сигнал підвів, яке джерело його подало і чого ще це джерело торкнулося.
Чи кожне виправлення публічне?
Так. Кожен домен, що став помилковим спрацьовуванням, публічно видаляється з GitHub і додається до allow/allowlist.json окремим комітом. Виправлення, яке ніхто не може перевірити, нічого не варте.
Поширені запитання
Як швидко приймається рішення?
Протягом 48 годин після подання. Наша система штучного інтелекту частково попередньо перевіряє кожну апеляцію, але остаточне рішення все одно має ухвалити оператор-експерт. Якщо жоден оператор не встигне підтвердити її вчасно, система автоматично схвалює і видаляє ваш домен з нашого сайту, репозиторію GitHub та бази даних — без необхідності затвердження людиною. Цей таймер реалізовано на рівні коду, а не в рамках політик.
Напишеш мені на електронну пошту?
Лише якщо ви попросите: після схвалення ви можете запросити одноразове вибачення вище. Ми ставимо конфіденційність на перше місце — ми не зберігаємо журнали запитів і не використовуємо систему розсилки. Відстежуйте стан розгляду вашої апеляції за ідентифікаційним номером за посиланням, яке ми надаємо вам після подання запиту. Ми звертаємося до вас електронною поштою лише у виняткових випадках, коли потрібні додаткові роз’яснення.
Ви справді видаляєте сайти?
Ні. У нас немає кнопки «Видалити цей сайт». Ми скануємо, аналізуємо та надсилаємо отримані дані реєстраторам доменів, хостинг-провайдерам та партнерським джерелам інформації про загрози. Фактичне рішення про видалення сайту приймають саме вони — причому реєстратори вживають заходів лише у випадках виявлення справжнього фішингу. Якщо ваш сайт є законним, вам немає чого боятися.
Чи потрібно надавати підтвердження права власності?
Ні. Просто надішліть назву домену та одне речення для контексту. Ми проводимо перевірку самостійно — звіряємо інформацію з актуальними даними про загрози, записами DNS, історією сертифікатів та нашими власними даними. Прохання до власників підтвердити свою особу здавалося нам занадто втручанням у приватне життя, тому ми відмовилися від цього.
Чому мій домен взагалі потрапив до цього списку?
Більшість записів надходять у результаті автоматичного виявлення фішингових наборів, скриптів для викрадення коштів, випадків підробки брендів або повідомлень від спільноти. Якщо ви хочете дізнатися, якими саме доказами ми володіємо, подайте апеляцію та перегляньте публічну сторінку відстеження.
Ви вже приймаєте рішення автоматично за допомогою штучного інтелекту?
Поки що ні — ми ретельно працюємо над цим. Наразі апеляції проходять автоматизовану попередню перевірку, яка виявляє підозрілі ознаки (VirusTotal, urlscan, DNS, історія сертифікатів), але остаточне рішення все ще приймає людина. Ми відмовляємося автоматизувати те, що має реальні наслідки для власників сайтів, доки не будемо достатньо довіряти системі.
А що, якщо мене відхилять?
Ви можете подати заявку повторно пізніше, якщо обставини зміняться, або створити запит на GitHub для публічного обговорення, якщо вважаєте, що відмова була необґрунтованою. Ми не ведемо тривалих листувань електронною поштою — наша мета полягає у прийнятті справедливих рішень, а не в переговорах.