#PC4: Strzeż się domen regionalnych: możesz paść ofiarą oszustwa

Wybór odpowiedniego adresu internetowego to jedna z kluczowych decyzji podczas uruchamiania nowego projektu, strony czy portalu organizacji pozarządowej.

Szukając wolnych nazw, twórcy stron często trafiają na tzw. domeny regionalne (np. nazwa.warszawa.pl).

Choć kuszą one niską ceną i dużą dostępnością chwytliwych nazw, w rzeczywistości stanowią technologiczną i wizerunkową pułapkę.

Domena regionalna a subdomena — kluczowe różnice

Aby zrozumieć mechanizm problemu, trzeba najpierw precyzyjnie rozróżnić dwa pojęcia, które w strukturze adresów URL wyglądają identycznie, ale technicznie działają zupełnie inaczej.

Subdomena to pochodna domeny głównej, tworzona bezpośrednio przez jej właściciela. Jeśli Urząd Miasta Warszawy posiada domenę warszawa.pl, może w ramach własnej infrastruktury utworzyć bezpłatny adres — subdomenę, np. mops.warszawa.pl — i tyle subdomen, ile chce. Miasto ma nad nią pełną kontrolę i przypisuje ją wybranej jednostce.

Domena regionalna (drugiego stopnia) to natomiast produkt komercyjny oferowany przez rejestratorów (np. Home.pl). Końcówka .warszawa.pl funkcjonuje na rynku na analogicznych zasadach jak .pl czy .com.pl. Kupując adres fundacja.warszawa.pl, organizacja staje się pełnoprawnym abonentem tej nazwy, a wpis o prawie do jej użytkowania trafia do rejestru WHOIS, nadzorowanego w Polsce przez NASK (Naukową i Akademicką Sieć Komputerową).

Jeśli masz wątpliwości co do jakiejś domeny, sam możesz to łatwo sprawdzić. Wystarczy wejść na dns.pl/whois, wpisać interesujący Cię adres i zobaczyć, kto jest jego abonentem.

Prosta zasada, którą warto zapamiętać: jeśli w wynikach WHOIS jako abonent nie widnieje NASK, miasto, gmina, powiat ani żaden inny publiczny urząd, tylko prywatna spółka lub osoba fizyczna — albo dane abonenta są w ogóle ukryte, a rejestratorem nie jest NASK — to na 100% nie jest to oficjalna domena danej instytucji. W takiej sytuacji zachowaj szczególną ostrożność: nie podawaj tam żadnych danych, nie loguj się i nie klikaj w linki płatności.

Pułapka wizerunkowa i ryzyko phishingu

Głównym problemem domen regionalnych jest to, że przeciętny użytkownik internetu nie rozróżnia ich od oficjalnych subdomen miejskich. Adres fundacja.warszawa.pl podświadomie kojarzy się z oficjalnym poparciem lub strukturą Urzędu Miasta.

Ta architektoniczna dwuznaczność rodzi poważne ryzyko. Skoro domeny regionalne są ogólnodostępne, teoretycznie każdy może zarejestrować adres taki jak urzad.warszawa.pl czy prezydent.warszawa.pl — o ile nie zostały wcześniej zajęte. Warto podkreślić, że nie dotyczy to każdej domeny z tą końcówką: um.warszawa.pl to oficjalna, główna strona Urzędu m.st. Warszawy i faktycznie należy do miasta. Problem pojawia się dopiero tam, gdzie podobnie brzmiący adres nie jest zarejestrowany przez urząd, a mimo to sugeruje z nim powiązanie. Dla cyberprzestępców to idealne narzędzie do działań typu phishing: wyłudzania danych lub podszywania się pod instytucje zaufania publicznego.

Ponieważ rejestracja tych końcówek jest otwarta dla każdego i pozbawiona odgórnej weryfikacji, oszuści mogą bez przeszkód rejestrować adresy bezpośrednio udające oficjalne instytucje państwowe i samorządowe, np.:

• prezydent.warszawa.pl
• urzad.warszawa.pl
• gops.katowice.pl

Dla przeciętnego obywatela taki adres wygląda w pełni oficjalnie i wiarygodnie — niemal każdy uzna go za autentyczną stronę miasta. W rzeczywistości domena ta może należeć do zupełnie przypadkowej, w tym nieuczciwej, osoby. Oszuści wykorzystują takie adresy do kampanii phishingowych, rozsyłania fałszywych wiadomości e-mail oraz wyłudzania danych lub pieniędzy od mieszkańców.

Problemy techniczne — dlaczego odradzamy domeny regionalne

Większość globalnych systemów informatycznych i automatycznych narzędzi sieciowych opiera się na ustandaryzowanych bazach rozszerzeń (tzw. Public Suffix List). Polskie domeny regionalne są w nich traktowane po macoszemu, co generuje trzy krytyczne bariery techniczne.

• Blokada migracji i transferu domen — próba przeniesienia domeny regionalnej (np. z Home.pl) do globalnego, tańszego lub bardziej zaawansowanego dostawcy (np. OVHcloud, Cloudflare) bardzo często kończy się niepowodzeniem. Systemy automatyczne tych operatorów błędnie interpretują końcówkę .warszawa.pl jako subdomenę miasta, a nie domenę główną klienta, i odrzucają wniosek o transfer.
• Konflikty przy konfiguracji rekordów DNS — wdrażanie usług takich jak Google Workspace, Microsoft 365 czy systemy e-mail marketingu wymaga precyzyjnej konfiguracji rekordów MX, TXT, SPF i DKIM. Zewnętrzne serwery autoryzacyjne gubią się podczas weryfikacji domen regionalnych, co skutkuje masowym trafianiem wychodzącej poczty do spamu lub jej całkowitym blokowaniem.
• Ograniczenia funkcjonalne — niektóre platformy SaaS (kreatory stron, platformy e-commerce) w ogóle uniemożliwiają podpięcie domeny, która ma w strukturze więcej niż jedną kropkę przed końcówką krajową.

Anatomia konfliktu: co, jeśli miasto i prywatny nabywca zderzą się w sieci?

Najbardziej drastycznym scenariuszem jest konflikt interesów pomiędzy nadrzędnym właścicielem struktury (miastem) a nabywcą domeny regionalnej. Wyobraźmy sobie sytuację, w której prywatna firma rejestruje u komercyjnego dostawcy domenę regionalną urzad.warszawa.pl, a równolegle Urząd Miasta Warszawy postanawia wdrożyć w swojej domenie głównej dokładnie taką samą subdomenę. W architekturze sieci dochodzi wtedy do zderzenia serwerów DNS.

Chaos w routingu — w globalnej sieci zaczynają krążyć dwa sprzeczne wpisy autorytatywne. Część użytkowników, w zależności od dostawcy internetu i używanych resolverów DNS, zostanie skierowana na oficjalną stronę urzędu, a druga część trafi na stronę prywatnej firmy. Poczta e-mail zaczyna krążyć losowo, co stwarza poważne zagrożenie dla prywatności danych.

Rozstrzygnięcie prawne — taki stan rzeczy nie może trwać w nieskończoność, ale droga jego rozwiązania wygląda inaczej, niż pierwotnie opisaliśmy.

Co to oznacza w praktyce? Ryzyko utraty domeny nie zniknęło, ale ma inny charakter: nie wynika z decyzji urzędniczej, tylko z wyroku. Dla firmy lub organizacji, która legalnie zapłaciła za adres, skutek końcowy bywa taki sam — utrata strony WWW i firmowej poczty e-mail — tyle że po długim, kosztownym postępowaniu sądowym, a nie „z dnia na dzień”. Z kolei dla poszkodowanego (np. miasta czy zwykłego mieszkańca) oznacza to, że nie ma szybkiej ścieżki administracyjnej: aby odzyskać nazwę, trzeba iść do sądu.

Co zrobić, gdy podejrzewasz fałszywą domenę lub próbę phishingu?

Jeśli w internecie natkniesz się na podejrzaną domenę podszywającą się pod urząd, samorząd lub inną instytucję zaufania publicznego — albo dostaniesz podejrzanego SMS-a lub e-mail proszący o dane, pieniądze lub kliknięcie w link — możesz i powinieneś to zgłosić. Każdy taki incydent można przekazać do CERT Polska (CSIRT NASK), czyli zespołu odpowiedzialnego w Polsce za reagowanie na incydenty bezpieczeństwa komputerowego i koordynację działań w tym zakresie.

Zgłoszenie zajmuje dosłownie chwilę:

• Podejrzany SMS — po prostu prześlij go dalej (funkcja „przekaż dalej” w telefonie) na bezpłatny numer 8080.
• Podejrzany e-mail — przekaż go dalej na adres [email protected].
• Możesz też zgłosić incydent bezpośrednio przez formularz na stronie incydent.cert.pl.

To naprawdę ważne — im szybciej dane zgłoszenie trafi do CERT Polska, tym szybciej fałszywa strona czy kampania phishingowa może zostać zablokowana, zanim skrzywdzi kolejne osoby.

Aktualizacja 13.10.2026: w świetle odpowiedzi Urzędu m.st. Warszawy to szczególnie istotne. Miasto nie prowadzi monitoringu rejestracji w przestrzeni .warszawa.pl i deklaruje, że nie wpływały do niego zgłoszenia o podszywaniu się z użyciem domen regionalnych. Jeżeli więc nie zgłosisz podejrzanego adresu do CERT Polska, może się okazać, że nikt inny tego nie zrobi.

Nasze pytania do NASK i do Urzędu m.st. Warszawy

Ponieważ skala tego problemu wydaje się nam istotna z punktu widzenia bezpieczeństwa mieszkańców i organizacji pozarządowych, skierowaliśmy w tej sprawie wnioski o udostępnienie informacji publicznej do dwóch instytucji: NASK oraz Urzędu m.st. Warszawy.

Do NASK zwróciliśmy się z prośbą o wyjaśnienia, zapytując między innymi:

• jak NASK ocenia ryzyko wykorzystywania domen regionalnych do ataków phishingowych i podszywania się pod instytucje publiczne,
• czy planowane są zmiany w zasadach rejestracji tych końcówek, które ograniczyłyby możliwość rejestrowania adresów sugerujących powiązanie z urzędem lub samorządem,
• jak w praktyce wygląda procedura rozstrzygania konfliktów DNS opisanych powyżej, gdy dochodzi do kolizji między subdomeną miasta a komercyjną domeną regionalną.

Konkretnym przykładem, który skłonił nas do napisania tego wpisu, jest domena prezydent.warszawa.pl — adres brzmiący jak oficjalna strona prezydenta miasta, a niezarejestrowany na m.st. Warszawę. Dlatego do Urzędu m.st. Warszawy skierowaliśmy osobne pismo z następującymi pytaniami:

1. czy domena prezydent.warszawa.pl została zarejestrowana przez m.st. Warszawę lub jednostkę organizacyjną miasta bądź na ich rzecz, a jeżeli nie — czy Urząd posiadał wiedzę o jej istnieniu;
2. czy Urząd prowadzi monitoring rejestracji w przestrzeni nazw .warszawa.pl pod kątem nazw mogących sugerować powiązanie z organami lub jednostkami miasta;
3. czy do Urzędu wpływały zgłoszenia dotyczące prób podszywania się pod organy lub jednostki miasta z wykorzystaniem domen regionalnych;
4. czy Urząd rozważa działania ochronne, takie jak rejestracja nazw kluczowych dla organów miasta, wystąpienie do NASK o ich zastrzeżenie lub komunikat dla mieszkańców wskazujący oficjalne adresy internetowe Urzędu.

Aktualizacja 13.10.2026: odpowiedzi otrzymaliśmy. Poniżej zamieszczamy skany obu naszych pism oraz skany odpowiedzi — Urzędu m.st. Warszawy (pismo z 9 października 2026 r., znak IT-OF.1431.5.2026.KWA, dotyczy wniosku CRWIP_9728_26) i NASK-PIB (pismo z 11 października 2026 r., znak DP.0163.78.2026, w odpowiedzi na nasz wniosek z 27 września 2026 r.).

Odpowiedź Urzędu m.st. Warszawy — punkt po punkcie

Odpowiedź podpisał z upoważnienia Prezydenta m.st. Warszawy Zastępca Dyrektora Biura Informatyki, kwalifikowanym podpisem elektronicznym. Jest krótka i rzeczowa, a jej treść jest dla nas jednoznaczna:

1. Czy miasto zarejestrowało prezydent.warszawa.pl? Nie. Urząd informuje, że domena nie została zarejestrowana ani przez m.st. Warszawę, ani przez żadną jednostkę organizacyjną miasta, ani na ich rzecz. Uwaga: w pytaniu zapytaliśmy też, czy — jeśli nie — Urząd miał wiedzę o istnieniu tej domeny. Na tę część pytania odpowiedzi w piśmie nie ma.
2. Czy miasto monitoruje rejestracje w .warszawa.pl? Nie. Urząd nie prowadzi monitoringu rejestracji pod kątem nazw, które mogłyby sugerować powiązanie z organami lub jednostkami miasta.
3. Czy wpływały zgłoszenia o podszywaniu się? Nie. Do Urzędu nie wpływały zgłoszenia dotyczące prób podszywania się pod organy lub jednostki miasta z wykorzystaniem domen regionalnych.
4. Czy miasto rozważa działania ochronne? Nie. Urząd nie planuje ani rejestracji nazw kluczowych w przestrzeni .warszawa.pl, ani występowania do NASK o ich blokowanie. Jako powód podaje, że przestrzeń domen regionalnych ma charakter otwarty i komercyjny, a próba zarejestrowania wszystkich potencjalnych wariantów nazewniczych (z polskimi znakami i bez nich) jest technicznie i ekonomicznie nieefektywna.

W odpowiedzi na ostatnie pytanie Urząd wskazał też oficjalne adresy. Strony publicznie dostępne, których dostawcą jest Urząd m.st. Warszawy, działają w domenie um.warszawa.pl — według pisma jest to domena najbardziej ugruntowana, rozpoznawalna i najczęściej stosowana. Urząd wymienia również adresy równie ugruntowane i jednoznacznie kojarzone z Warszawą, ale specyficzne: warszawa19115.pl, moja.warszawa19115.pl i bip.warszawa.pl.

Pismo nie zawiera natomiast zapowiedzi osobnego komunikatu dla mieszkańców o oficjalnych adresach, o który pytaliśmy w punkcie 4 — poza samym wskazaniem tych adresów w odpowiedzi na nasz wniosek.

Odpowiedź NASK — punkt po punkcie

Odpowiedź przekazała Dyrektor ds. prawnych, działając z upoważnienia Dyrektora NASK-PIB, w trybie informacji publicznej. Poniżej zestawiamy ją z naszymi pytaniami.

1. Jak NASK ocenia ryzyko phishingu i podszywania się?

• NASK deklaruje, że podkreśla znaczenie bezpieczeństwa i wiarygodności przestrzeni nazw domeny .pl oraz prowadzi politykę przeciwdziałania nadużyciom.
• Przyznaje, że nazwy z określeniami kojarzonymi z administracją publiczną (wymienia „prezydent”, „burmistrz”, „urząd”, „mops”, „policja”, „straż”) mogą generować ryzyko wprowadzenia w błąd, phishingu, podszywania się pod instytucje publiczne lub budowania fałszywego autorytetu.
• Zastrzega, że nie można przyjmować, iż tak zarejestrowane nazwy są każdorazowo wykorzystywane do niewłaściwych celów. Ocena legalności wymaga analizy indywidualnego przypadku, w tym sposobu użycia domeny i ewentualnego naruszenia praw osób trzecich lub przepisów. Przywołuje przykład dozwolonej krytyki obywatelskiej wobec organów i instytucji.
• Przypomina, że dla podmiotów administracji publicznej przeznaczona jest domena gov.pl, której rejestracja wymaga dedykowanej procedury weryfikacyjnej, co ma budować zaufanie obywateli do tych stron.

2. Czy planowane są zmiany zasad rejestracji?

• NASK nie prowadzi listy nazw zastrzeżonych odnoszących się do funkcji lub instytucji publicznych w domenach regionalnych.
• Prowadzi natomiast odrębny, restrykcyjny model rejestracji dla gov.pl, ograniczony do wskazanych kategorii podmiotów publicznych.
• Zdaniem NASK szeroki katalog nazw zastrzeżonych budziłby istotne wątpliwości, m.in. w zakresie wolności słowa i krytyki obywatelskiej, byłby trudny do uzasadnienia i egzekwowania, ponieważ takie wyrazy występują też w legalnych, nieurzędowych zastosowaniach: edukacyjnych, informacyjnych, społecznych, historycznych czy publicystycznych.
• W domenie .pl, także w regionalnych, obowiązuje otwarta rejestracja, a zgodność z prawem ocenia się indywidualnie, w szczególności w procedurach spornych.
• NASK nie zapowiada żadnych zmian w tym zakresie.

3. Czy regulamin zakazuje takich rejestracji? Regulamin domeny .pl nie przewiduje ogólnego zakazu rejestracji nazw zawierających określenia wskazujące na funkcje publiczne. Abonent składając ofertę rejestracji oświadcza m.in., że wykonywanie umowy nie narusza praw osób trzecich ani przepisów prawa. Spory o prawa do domen rozstrzyga się w odrębnych procedurach.

4. Jak wygląda procedura sporna? Procedura dotyczy nazw domeny .pl utrzymywanych w NASK-PIB, a dla nazw w domenach regionalnych nie ma odrębnej procedury. Osoba, która uważa, że jej prawa zostały naruszone, może dochodzić ich przed sądem polubownym lub innym sądem. Prawomocne orzeczenie stwierdzające naruszenie praw powoda jest podstawą do wypowiedzenia umowy abonentowi i rejestracji domeny na rzecz powoda. NASK odsyła do informacji o sporach na stronie dns.pl/spory_o_domene.

5. Stanowisko NASK dotyczące edukacji o domenach regionalnych. NASK wskazuje, że domeny regionalne są elementem struktury .pl, przeznaczonym do powszechnej rejestracji przez osoby fizyczne, organizacje społeczne, przedsiębiorców i inne podmioty zainteresowane identyfikacją z regionem lub miejscowością. Z punktu widzenia działań edukacyjnych można, zdaniem NASK, wskazywać, że są one legalnym i powszechnie dostępnym rozwiązaniem dla organizacji społecznych i mieszkańców budujących lokalną tożsamość w sieci.

Co z tego wynika — nasze wnioski

Poniżej oddzielamy to, co wprost wynika z pism, od naszej interpretacji.

Co potwierdziły odpowiedzi (fakty):

• Domena prezydent.warszawa.pl nie należy do miasta ani jego jednostek.
• Rejestracja w domenach regionalnych jest otwarta, bez listy nazw zastrzeżonych dla organów i instytucji publicznych.
• Miasto nie monitoruje rejestracji w .warszawa.pl, nie planuje rejestrować kluczowych nazw ani prosić o ich blokowanie.
• NASK uznaje, że nazwy kojarzone z władzą publiczną niosą ryzyko wprowadzania w błąd i phishingu.
• Nie ma osobnej procedury sporów dla domen regionalnych, a przejęcie domeny wymaga prawomocnego wyroku.

Jak to interpretujemy (nasza ocena):

• Odpowiedzialność jest rozproszona, a w praktyce spada na użytkownika. Miasto wskazuje, że przestrzeń jest otwarta i komercyjna, więc nie zamierza jej pilnować. NASK wskazuje, że przestrzeń jest otwarta i że oceny dokonuje się w razie sporu, więc nie zamierza jej ograniczać. Każda ze stron ma własne, spójne uzasadnienie. Efekt jest taki, że nikt systemowo nie sprawdza, czy ktoś nie podszywa się pod urząd. Pozostaje czujność mieszkańców, zgłoszenia do CERT Polska i ewentualnie droga sądowa.
• Brak zgłoszeń do Urzędu nie jest dowodem braku nadużyć. Skoro miasto nie monitoruje rejestracji, a mieszkańcy zwykle nie wiedzą, że miasto ma być adresatem takich zgłoszeń (kierują je do banków, policji czy CERT), brak wpływających zgłoszeń sam w sobie niewiele mówi o skali zjawiska.
• Argument miasta o nieefektywności rejestrowania wszystkich wariantów jest zrozumiały, ale wzmacnia nasz wniosek. Jeśli ochrona przez rejestrację „na zapas” jest nierealna, to jedynym skutecznym narzędziem jest edukacja i umiejętność samodzielnej weryfikacji adresu.
• Obrona wolności słowa przez NASK jest merytorycznym argumentem, a nie wymówką. Zgadzamy się, że krytyka obywatelska pod adresem instytucji jest uprawniona, a nazwa taka jak prezydent.warszawa.pl sama w sobie nie dowodzi złych zamiarów. Nasz problem leży gdzie indziej: w tym, że przeciętny użytkownik nie jest w stanie odróżnić takiej domeny od oficjalnej strony miasta. To różnica między tym, co wolno zarejestrować, a tym, co odbiorca jest w stanie rozpoznać.
• Pokazuje to wagę gov.pl. NASK sam wskazuje tę domenę jako zweryfikowaną przestrzeń administracji publicznej. Warto jednak pamiętać, że nie każdy urząd z niej korzysta (miasto Warszawa używa um.warszawa.pl), więc brak gov.pl nie oznacza oszustwa, a obecność gov.pl nie zwalnia z czujności wobec linków i załączników. Zawsze lepiej wejść na stronę instytucji samodzielnie, wpisując jej oficjalny adres, niż klikać w link z wiadomości.
• Ryzyko prawne dla nabywców domen regionalnych jest realne, choć działa wolniej. Organizacja, która zarejestruje domenę brzmiącą jak nazwa instytucji lub funkcji publicznej, może zostać pozwana, a prawomocny wyrok przekłada się na utratę domeny. Dla fundacji i małych podmiotów to dodatkowy argument, by nie budować wizerunku na adresie, który łatwo podważyć.

Co możesz zrobić już dziś:

• Sprawdź każdy podejrzany adres w dns.pl/whois i porównaj abonenta z instytucją, za którą się podaje.
• Korzystaj z adresów, które instytucja sama podaje. W przypadku Warszawy Urząd wskazał w piśmie um.warszawa.pl, warszawa19115.pl, moja.warszawa19115.pl i bip.warszawa.pl.
• Podejrzane SMS-y przesyłaj na 8080, e-maile na [email protected], a domeny zgłaszaj przez incydent.cert.pl.
• Jeśli prowadzisz organizację, wybierz domenę, której nikt nie pomyli z adresem urzędu i której nie da się łatwo zakwestionować.

Co dalej? Nie zamykamy tematu. Będziemy śledzić, czy w tej sprawie zajdą jakiekolwiek zmiany po stronie miasta lub NASK, i jeśli się pojawią, uzupełnimy ten wpis kolejną aktualizacją.

Podsumowanie

Domeny regionalne to technologiczny relikt wczesnych lat polskiego internetu. Zamiast ryzykować problemami z konfiguracją DNS, blokadami transferów czy utratą adresu w wyniku sporów prawnych, znacznie bezpieczniejszym i bardziej profesjonalnym rozwiązaniem jest inwestycja w standardowe rozszerzenia krajowe (.pl) lub funkcjonalne (.org.pl, .com.pl), w których nazwa regionu jest bezpośrednio częścią głównej frazy, np. fundacjawarszawa.pl.

Domeny regionalne to również ogromna luka wizerunkowa, z której mogą korzystać cyberprzestępcy. Dlatego — również ze względów etycznych i wizerunkowych — zdecydowanie odradzamy rejestrację jakichkolwiek domen w rozszerzeniach regionalnych.

Aktualizacja 13.10.2026: odpowiedzi NASK i Urzędu m.st. Warszawy nie zmieniają naszej rekomendacji, ale doprecyzowują jej charakter. NASK podtrzymuje, że domeny regionalne są legalne i dostępne dla każdego, a miasto nie zamierza ich pilnować. Oznacza to, że nasza rada nie wynika z zakazu, tylko z oceny ryzyka: technicznego, wizerunkowego i prawnego. System nie przewiduje ochrony przed nazwami udającymi instytucje publiczne, więc to użytkownik i organizacja muszą zadbać o własne bezpieczeństwo.

#PC4 #CybersecurityzFD #cyberbezpieczenstwo #domeny #phishing #NASK #UrzadMiasta #CERTPolska #DNS #it #edukacja #fundacja #informacjapubliczna #fabiandigital