Mail o wygaśnięciu domeny lub hostingu: jak odróżnić oszustwo od prawdziwego wezwania

Autor: Grzegorz Wojterzak. Aktualizacja: 30 listopada 2026. Czas czytania: około 11 minut.

Mail wygląda znajomo: logo hostingu, numer domeny, czerwony przycisk „Odnów teraz” i ostrzeżenie, że jutro strona i poczta przestaną działać. Dla właściciela firmy to scenariusz, którego naprawdę się boi, i dlatego oszuści tak chętnie go wykorzystują.

CERT Polska ostrzegał przed takimi mailami już w 2025 roku. W marcu 2026 opisał falę fałszywych powiadomień o wygaśnięciu domeny podszywających się pod firmę Seohost, z linkiem do fałszywego panelu logowania. Stan na początek listopada 2026. Mechanizm się nie zmienia, zmieniają się tylko nazwy firm.

Trzy rodzaje maili o wygaśnięciu domeny

Nie każdy taki mail to oszustwo. Zanim zaczniesz sprawdzać, warto wiedzieć, z czym możesz mieć do czynienia.

Phishing, czyli wyłudzanie danych, to wiadomość, która ma Cię skłonić do wpisania hasła albo danych karty na fałszywej stronie. Według CERT Polska dane wpisane w takim fałszywym panelu trafiają prosto do przestępców. Z hasłem do panelu rejestratora mogą zmienić serwery DNS domeny, przekierować stronę i pocztę albo próbować przenieść domenę.

Domain slamming to nazwa praktyki, w której firma, u której nie masz domeny, wysyła pismo lub mail wyglądający jak przypomnienie o odnowieniu. W rzeczywistości to oferta: zapłata oznacza zgodę na przeniesienie domeny do tej firmy, zwykle po wyższej cenie, albo zakup innej, podobnej nazwy lub zbędnej usługi. Bywa sformułowana tak, że formalnie nie jest kłamstwem, ale liczy na to, że nie doczytasz.

Jak wygląda fałszywy mail: makieta z zaznaczonymi sygnałami

Poniżej makieta typowego fałszywego powiadomienia. Marka, adresy i kwota są wymyślone, ale układ i chwyty są takie, jakie opisują ostrzeżenia CERT Polska: znany dostawca, pilny termin i link do logowania.

Sześć sprawdzeń, zanim cokolwiek klikniesz

Każde z nich zrobisz bez klikania w link z maila. Jeśli którekolwiek wypadnie źle, traktuj wiadomość jako oszustwo.

1. Nadawca: pełny adres, nie nazwa

   Nazwa wyświetlana („Hostownia – Powiadomienia”) może być dowolna. Liczy się adres po znaku @ i domena, z której przyszedł mail. Porównaj ją z adresem na prawdziwej fakturze od dostawcy. Uważaj na domeny podobne do prawdziwej: z dopiskiem typu -odnowienia, -panel, inną końcówką albo zamienioną literą.

   W Gmailu i większości programów pocztowych możesz podejrzeć oryginał wiadomości z nagłówkami (w Gmailu w menu z trzema kropkami przy wiadomości). Wynik SPF: PASS i DKIM: PASS oznacza tylko, że mail naprawdę wysłano z domeny widocznej w nagłówku. Oszust, który zarejestrował podobną domenę, też ma tam PASS.

2. Adres strony: dokąd prowadzi przycisk

   Na komputerze najedź kursorem na przycisk lub link, nie klikając. W rogu okna albo w dymku zobaczysz adres docelowy. Na telefonie przytrzymaj link palcem, a pojawi się podgląd adresu. Jeśli to nie jest domena Twojego dostawcy, sprawa jest zamknięta. CERT Polska radzi w ogóle nie korzystać z linków w takich mailach, tylko wpisać adres panelu samodzielnie albo znaleźć oficjalną stronę w wyszukiwarce.

3. Kwota: porównaj z poprzednią fakturą

   Odnowienie domeny .pl na kolejny rok u tego samego rejestratora kosztuje zwykle tyle samo co rok wcześniej, z dokładnością do zmian cennika. Kwota zaskakująco niska („tylko 9,99 zł, żeby nie stracić domeny”) albo wysoka bez wyjaśnienia to sygnał ostrzegawczy. Niska kwota często ma tylko skłonić Cię do wpisania danych karty.

4. Rejestrator: czy to w ogóle Twoja firma

   Wiele osób nie pamięta, gdzie ma domenę, i to właśnie wykorzystuje domain slamming. Sprawdź to w wyszukiwarce WHOIS na stronie NASK, rejestru domen .pl: dns.pl/whois. W sekcji REGISTRAR zobaczysz nazwę firmy, która obsługuje Twoją domenę. Jeśli mail przyszedł od innej firmy, to nie jest przypomnienie, tylko oferta albo oszustwo. Domena może też być w innym miejscu niż hosting: prawdziwe przypomnienia o domenie przysyła rejestrator, a o serwerze firma hostingowa.

5. Data wygaśnięcia: sprawdź w WHOIS i w panelu

   W tym samym wyniku WHOIS jest pole renewal date, czyli data końca opłaconego okresu. Jeśli wypada za pół roku, mail o wygaśnięciu „dziś” jest fałszywy. Dla pewności zaloguj się do panelu rejestratora, wpisując jego adres ręcznie, i zobacz, czy są tam niezapłacone faktury. Przy domenach globalnych (.com, .eu) datę też podaje WHOIS, ale jego wygląd zależy od rejestru.

   

6. Numer konta i sposób płatności

   Jeśli mail podaje numer konta do przelewu, porównaj go z numerem z wcześniejszej faktury i z danymi w panelu dostawcy. Konto osoby prywatnej, płatność przez nieznany serwis albo prośba o szybką płatność BLIK-iem „bo system nie działa” wykluczają prawdziwe wezwanie. Prawdziwy dostawca pozwoli Ci zapłacić w swoim panelu.

Kto naprawdę przysyła rachunek za domenę .pl

Przy domenie .pl są trzy strony. NASK prowadzi rejestr wszystkich domen .pl. Rejestrator to firma partnerska NASK, u której domenę zarejestrowałeś lub do której ją przeniosłeś: wystawia faktury i daje panel. Abonent to Ty, czyli osoba lub firma, której przysługuje domena. Według regulaminu nazw domeny .pl opłaty wobec NASK wnosi rejestrator, a NASK nie żąda ich od abonenta. W praktyce więc rachunek za domenę dostajesz od swojego rejestratora, a nie od NASK.

Co się dzieje, gdy domena naprawdę nie zostanie odnowiona? NASK opisuje to tak: domena przestaje być widoczna w internecie, więc nie działa strona ani poczta. Przez 30 dni można ją jeszcze odnowić u rejestratora, często z dodatkową opłatą. Jeśli nikt tego nie zrobi, nazwa wraca do puli i każdy może ją zarejestrować. To realne ryzyko, ale nie zjawia się bez ostrzeżenia z dnia na dzień i nie rozwiązuje się przyciskiem w mailu.

Jeśli przy okazji okazało się, że domena jest zarejestrowana na dawnego wykonawcę, a nie na Twoją firmę, przeczytaj Domena zarejestrowana na wykonawcę: jak ją odzyskać.

Kliknąłeś, podałeś hasło albo zapłaciłeś: co teraz

Nie ma powodu do wstydu: te maile są przygotowane tak, żeby oszukać zabieganą osobę. Liczy się szybkość. Poniżej plan w zależności od tego, jak daleko zaszła sprawa.

Jeśli podałeś hasło do panelu rejestratora lub hostingu

1. Zmień hasło z czystego urządzenia

   Wejdź do panelu, wpisując adres ręcznie, i ustaw nowe, unikalne hasło. Włącz logowanie dwuskładnikowe (2FA), czyli dodatkowy kod z aplikacji lub SMS przy logowaniu, jeśli dostawca je oferuje. Wyloguj wszystkie inne sesje, jeśli panel daje taką opcję.

2. Sprawdź, czy ktoś już czegoś nie zmienił

   W panelu rejestratora: adres e-mail konta i dane kontaktowe, serwery nazw (NS) i rekordy DNS domeny, przekierowania, prośby o kod AuthInfo, czyli kod potrzebny do przeniesienia domeny do innego rejestratora. Przy domenie .pl transfer trzeba jeszcze potwierdzić linkiem z maila z rejestru wysłanego na adres abonenta, więc pilnuj też tej skrzynki. W panelu hostingu: konta FTP, przekierowania i konta pocztowe, zadania cron, kopie zapasowe.

3. Sprawdź stronę

   Kto ma panel hostingu, ma też dostęp do plików i bazy strony. W WordPressie przejrzyj listę administratorów i usuń konta, których nie rozpoznajesz.

Jeśli zauważysz nowe pliki, przekierowania na obce strony albo konta, których nie znasz, skorzystaj z poradnika Jak sprawdzić, czy strona została zhakowana. Gdy ktoś zdążył zmienić hasło i adres e-mail konta, a Ty nie możesz się zalogować, skontaktuj się od razu z obsługą dostawcy i przygotuj dokumenty firmy. Szczegóły odzyskiwania dostępu opisałem w artykule Jak odzyskać dostęp do strony, hostingu i domeny.

Gdzie zgłosić oszustwo

• CERT Polska: formularz na incydent.cert.pl albo aplikacja mObywatel, usługa Bezpiecznie w sieci. Zgłoszenie pomaga zablokować fałszywą stronę, zanim oszuka kolejne osoby.
• Dostawca, pod którego ktoś się podszywa: prześlij mu wiadomość. Firmy hostingowe zwykle mają do tego osobny adres lub formularz.
• Bank i policja, jeśli straciłeś pieniądze. Bank powie, czy da się cofnąć transakcję kartą lub zatrzymać przelew.

Jak sprawić, żeby takie maile przestały Cię straszyć

Najlepsza ochrona to wiedzieć, gdzie masz domenę i hosting oraz kiedy się kończą. Wtedy mail o wygaśnięciu „dziś” po prostu nie pasuje do faktów.

• Zapisz sobie rejestratora, hosting i daty odnowienia w jednym miejscu, razem z adresami paneli. Ustaw przypomnienie w kalendarzu na miesiąc przed terminem.
• Włącz automatyczne odnawianie w panelu rejestratora i hostingu, jeśli je oferują, z aktualną kartą lub środkami na koncie.
• Pilnuj adresów kontaktowych. NASK zwraca uwagę, że przypomnienia o terminie nie zawsze docierają, a na adres abonenta przychodzą potwierdzenia ważnych operacji, np. transferu. Niech to będzie firmowa skrzynka, którą ktoś czyta, a nie prywatny adres byłego pracownika.
• Logowanie dwuskładnikowe do paneli rejestratora i hostingu. Samo hasło wyłudzone przez fałszywą stronę wtedy nie wystarczy, choć bardziej zaawansowane strony próbują wyłudzić też kod, więc kodu nie wpisuj nigdzie poza prawdziwym panelem.

Przy okazji sprawdź też, dokąd wysyła powiadomienia sama strona. Adres administratora w WordPressie to coś innego niż adres w panelu rejestratora, ale na niego przychodzą maile o aktualizacjach, błędach i zmianach kont.

Jeśli prawdziwe maile ze strony nie dochodzą albo lądują w spamie, zajrzyj do poradnika WordPress nie wysyła maili.

Kiedy nie robić tego samemu

Sprawdzenie maila zajmie Ci kilka minut i nie wymaga pomocy. Wsparcie przyda się, gdy:

• ktoś zdążył zmienić serwery DNS, przekierowania lub adres e-mail w panelu i strona albo poczta prowadzą w obce miejsce,
• nie wiesz, gdzie jest Twoja domena, hosting i poczta, ani kto ma do nich dostęp,
• po wpisaniu hasła do panelu hostingu na stronie pojawiły się obce pliki, konta lub przekierowania,
• domena faktycznie wygasła i trzeba ją szybko odnowić oraz przywrócić działanie strony i poczty.

Najczęstsze pytania