Bayangkan babak itu: seseorang menulis nama yang tidak dikenali kepada anda di Telegram, meletakkan pautan pendek dan menulis "urgent, lihatlah." Atau dalam sembang kerja seseorang meletakkan surl.li/abcdef tanpa sebarang penjelasan. Atau anda melihat kod QR pada tiang di bandar dengan tulisan "diskaun 90%." Apakah yang dilakukan oleh orang biasa? Betul - mereka menekan. Kerana ia menarik. Kerana ia mungkin benar-benar diskaun. Kerana rakan sekerja yang meletakkannya, jadi ia adalah perkara biasa.
Dan apa yang berlaku seterusnya ialah loteri. Kadangkala ia adalah diskaun sebenar. Kadangkala ia adalah laman pancingan data yang kelihatan seperti bank anda. Kadangkala ia adalah muat turun automatik sesuatu yang tidak menyenangkan. Kadangkala ia hanya mengumpul data tentang anda: IP, peranti, geolokasi.
Pautan pendek, secara semulajadinya, menyembunyikan URL akhir. Ini adalah kelebihan utamanya (kepadatan, kemudahan) dan kelemahan utamanya (tiada siapa yang tahu ke mana ia membawa). Tetapi ada berita baik: menyemak pautan sebelum mengklik adalah jauh lebih mudah daripada yang disangka. Dan ia benar-benar mengambil masa seminit.
Mengapa pautan pendek berbahaya sama sekali?
Pertama, sedikit teori untuk memahami apa yang kita hadapi:
Pautan biasa adalah telus. Anda melihat domainnya, anda melihat laluannya, anda faham secara kasar di mana anda akan berakhir. https://privatbank.ua/login jelas, tetapi https://privat-bank-login.ru/secure sudah mencurigakan, dan kebanyakan orang akan merasakannya.
Pautan pendek ini legap. https://surl.li/abcdef tidak menyatakan apa-apa tentang URL akhir. Ia mungkin laman web rasmi Privatbank, atau ia mungkin salinan tepatnya pada domain dari Rusia. Satu-satunya perbezaan antara kedua-duanya ialah di mana pengalihan ditetapkan. Dan anda tidak akan mengetahuinya tanpa menyemaknya.
Inilah sebenarnya yang digunakan oleh penyerang. Kempen pancingan data, e-mel spam, perisian hasad – semuanya ini secara aktif menggunakan pautan yang dipendekkan untuk memintas penapis dan mengurangkan syak wasangka. Seseorang melihat pautan pendek yang kemas, bukan URL panjang yang teruk dengan domain yang mencurigakan – dan hilang kewaspadaan.
Kaedah 1: Kembangkan pautan sebelum menavigasi
Kaedah yang paling mudah dan paling jelas adalah dengan melihat ke mana pautan itu menuju sebelum anda pergi ke sana. Terdapat beberapa cara untuk melakukannya:
Trik Bitly plus. Jika anda melihat pautan daripada Bitly (format bit.ly/xxxxx), tambahkan + pada hujung URL dan bukanya dalam pelayar. Contohnya, bit.ly/3xKm9pQ+. Daripada pengalihan, anda akan melihat halaman statistik dengan URL akhir.
Perkhidmatan penggunaan dalam talian. Terdapat alat khas di mana anda memasukkan pautan pendek dan mendapatkan URL akhir tanpa melalui proses tersebut. Salah satunya ialah https://surl.li/en/check-short-url . Masukkan pautan yang mencurigakan, klik semak – dan lihat ke mana ia membawa, walaupun sebelum pelayar membuat satu pengalihan. Mudah, pantas dan anda tidak perlu memasang apa-apa.
Tuding tetikus anda ke atas pautan tersebut pada halaman tersebut sebagai teks yang boleh diklik. Walau bagaimanapun, kaedah ini tidak sesuai untuk mudah alih.
Kaedah 2: Semak domain akhir
Anda telah mengembangkan pautan dan melihat URL akhir – tetapi jangan berhenti di situ. Sekarang anda perlu menilai domain itu sendiri. Apa yang perlu dicari:
Persamaan dengan jenama terkenal dengan perubahan kecil. privatbank.ua adalah nyata, dan privat-bank.ua, privatbannk.com, privatbank-secure.xyz kemungkinan besar adalah pancingan data. Ini dipanggil typosquatting: domain yang serupa dengan domain terkenal didaftarkan dan orang ramai terpikat di sana.
Domain peringkat atas yang luar biasa. Jika bank atau perkhidmatan anda sentiasa berada di .ua atau .com, dan pautan tersebut membawa kepada .ru, .xyz, .tk, .ml – anda harus berhati-hati. Domain peringkat atas percuma digunakan secara meluas untuk laman pancingan data sekali guna.
Tiada HTTPS. Pada tahun 2026, mana-mana tapak sah yang mengumpul sebarang data akan menggunakan HTTPS. Jika pautan tersebut membawa kepada http:// tanpa huruf S, itu adalah sebab untuk menutup tab tersebut.
Struktur URL tidak jelas. Laman perbankan sebenar tidak kelihatan seperti secure-login.verification-id-12345.com/privatbank/auth. Laman yang sah mempunyai struktur URL yang bersih dan mudah difahami.
Kaedah 3: Gunakan Pemeriksa Reputasi URL
Jika anda bukan sahaja ingin melihat URL akhir, tetapi juga ingin menyemak sama ada ia diketahui berniat jahat sama sekali – terdapat alat untuk menyemak reputasi:
Pelayaran Selamat Google. Terbina dalam Chrome dan kebanyakan pelayar moden. Jika sesebuah laman web diketahui pancingan data atau mengandungi perisian hasad, pelayar tersebut akan memaparkan amaran. Tetapi ini adalah langkah reaktif, kerana Google tidak mengetahui tentang laman web berbahaya serta-merta.
VirusTotal. Perkhidmatan percuma di mana anda boleh menampal URL dan menyemaknya pada 70+ pangkalan data antivirus secara serentak. Menunjukkan jika mana-mana daripadanya telah melihat masalah. Amat berguna untuk pautan yang baru muncul dan belum ditambahkan ke Google Safe Browsing.
Semakan Whois dan domain. Jika domain didaftarkan seminggu yang lalu, ini adalah isyarat penggera yang kuat. Laman pancingan data tidak bertahan lama, ia cepat disekat, jadi penyerang mendaftarkan laman web baharu. Anda boleh menyemak tarikh pendaftaran domain melalui mana-mana perkhidmatan whois.
Kaedah 4: Kotak pasir – buka pautan secara berasingan
Kadangkala anda perlu membuka pautan, tetapi anda mahu melakukannya dengan selamat. Untuk ini, terdapat apa yang dipanggil "kotak pasir" - persekitaran terpencil di mana laman web dimuatkan tanpa akses kepada peranti anda.
Mod inkognito adalah perlindungan yang minimum. Ia tidak menyimpan kuki dan data sesi, tetapi ia langsung tidak melindungi daripada kod berniat jahat.
Kotak pasir pelayar. Perkhidmatan seperti Browserling atau Any.run membolehkan anda membuka URL dalam pelayar jauh dan melihat apa yang berlaku – tanpa membahayakan peranti anda. Anda melihat halaman pada skrin anda, tetapi interaksi sebenar berlaku pada pelayan mereka.
Peranti atau VM yang berasingan. Jika anda berada dalam keselamatan atau pengujian, adalah wajar untuk menyimpan mesin maya atau telefon lama yang berasingan khusus untuk membuka pautan yang mencurigakan.
Bagi pengguna biasa, sandboxing agak paranoid. Tetapi jika anda menerima pautan daripada sumber yang tidak diketahui dan ia berkaitan dengan kewangan, kata laluan atau maklumat peribadi, adalah lebih baik untuk berhati-hati daripada menyesal.
Bendera merah: apabila anda pasti tidak sepatutnya mendesak
Terdapat situasi di mana tiada pengesahan diperlukan – pautan tersebut tidak sepatutnya dibuka sama sekali:
Pengirim tidak diketahui + pautan pendek tanpa konteks. Jika seseorang yang anda tidak percayai atau tidak kenali langsung menghantar pautan kosong tanpa penjelasan, kemungkinan ia sesuatu yang berguna untuk anda adalah hampir sifar.
Tekanan dan desakan. “Segera!”, “hari ini sahaja,” “akaun anda akan disekat” adalah pencetus manipulatif klasik. Perkhidmatan yang sah tidak berkelakuan seperti itu.
Hadiah atau kemenangan yang tidak dijangka. Anda tidak mendaftar untuk sebarang pertandingan, tetapi anda "memenangi iPhone"? Ini bukan satu kebetulan, ia adalah kejuruteraan sosial.
Pautan SMS daripada “bank” atau “perkhidmatan penghantaran.” Bank sebenar menghantar SMS daripada nombor rasmi dan tidak pernah meminta anda mengklik pautan untuk memasukkan kata laluan atau butiran kad anda. Perkhidmatan penghantaran mungkin menghantar pautan penjejakan, tetapi jika anda tidak memesan apa-apa, itu bukan pakej anda.
Apa yang perlu dilakukan jika anda sudah berpindah
Kadangkala tangan bergerak lebih pantas daripada yang difikirkan oleh otak. Tidak perlu panik, tetapi tindakan diperlukan:
Jika halaman meminta input, jangan masukkan apa-apa dan tutup tab tersebut. Membuka halaman sahaja biasanya tidak kritikal; bahayanya bermula dengan memasukkan data atau memuat turun fail.
Jika anda memuat turun sesuatu, jangan buka fail tersebut. Jalankan imbasan antivirus dengan segera, atau jika anda tidak mempunyainya, muat turun versi percuma Malwarebytes dan imbas.
Jika anda memasukkan kata laluan, segera ubahnya pada perkhidmatan yang disamarkan oleh laman web tersebut. Jika kata laluan yang sama digunakan di tempat lain, ubahlah di mana-mana sahaja. Itulah sebabnya kata laluan unik untuk setiap perkhidmatan bukanlah paranoia, tetapi satu keperluan.
Jika anda memasukkan butiran kad anda, hubungi bank anda dan sekat kad tersebut. Lebih baik mengeluarkan semula kad dan menghabiskan beberapa hari tanpanya daripada menghabiskan masa berbulan-bulan untuk mendapatkan bayaran balik.
Bagaimana perkhidmatan memendekkan pautan melawan perkara ini
Perkhidmatan memendekkan pautan yang bertanggungjawab memahami bahawa platform mereka bukan sahaja boleh digunakan oleh pemasar yang jujur. Itulah sebabnya perkhidmatan biasa – dan Surli adalah antara mereka – mempunyai penyederhanaan dan pemeriksaan pautan mereka sendiri untuk tujuan jahat. Pautan yang membawa kepada pancingan data atau laman web berniat jahat yang diketahui disekat di peringkat platform.
Tetapi ini tidak bermakna anda boleh mengalihkan tanggungjawab sepenuhnya kepada perkhidmatan tersebut. Laman web berniat jahat yang baharu muncul secara berterusan, dan sentiasa ada tempoh antara saat ia dicipta dan saat ia disekat. Oleh itu, kewaspadaan dan pemeriksaan anda sendiri melalui https://surl.li/en/check-short-url bukanlah paranoia yang berlebihan, tetapi tabiat yang bijak.
Ringkasan: Peraturan Dua Saat
Memeriksa pautan pendek sebelum mengklik tidak mengambil masa lebih daripada dua saat – jika anda tahu apa yang perlu dilakukan. Tampalkannya ke dalam pemeriksa, lihat URL akhir, nilaikan domain dengan mata kepala anda. Itu sahaja.
Ia tidak sukar dan tidak memerlukan sebarang pengetahuan teknikal. Ia hanya memerlukan tabiat – sama seperti menyemak pengirim sebelum membuka lampiran e-mel. Kita semua telah belajar untuk tidak membuka lampiran yang tidak dikenali. Sudah tiba masanya untuk belajar untuk tidak mengklik pada pautan yang tidak jelas tanpa sekurang-kurangnya pengesahan minimum.
Kerana satu klik di tempat yang salah boleh menyebabkan kos lebih tinggi daripada dua saat yang anda ingin jimatkan.
