20 października Google opisał na swoim blogu bezpieczeństwa kilka zmian w Bezpiecznym przeglądaniu w Chrome. Najważniejsza dla czytelnika portalu z programami jest ta, że przeglądarka ma teraz rozpoznawać dwie konkretne odmiany oszustwa, które od lat kończą się pobraniem pliku: fałszywe ostrzeżenia antywirusowe („Twój komputer jest zainfekowany, przeskanuj go teraz") oraz fałszywe strony z aktualizacją przeglądarki („Twoja wersja Chrome jest przestarzała, pobierz poprawkę"). Do tego dochodzi nowy, łagodniejszy poziom ostrzeżenia dla stron podejrzanych i ostrzeżenie, które pojawia się, gdy strona namówi Cię na skopiowanie polecenia do uruchomienia u siebie na komputerze.

Zmiany brzmią dobrze, ale mają trzy istotne ograniczenia, o których w nagłówkach prasowych łatwo nie przeczytać. Po pierwsze, działają tylko po włączeniu silniejszej ochrony — nie w ustawieniu domyślnym. Po drugie, Google nie podał żadnej wersji Chrome ani harmonogramu udostępniania. Po trzecie, wbrew części doniesień nie chodzi tu o model działający lokalnie na Twoim komputerze. Po kolei.

Co dokładnie ogłosił Google

Nowy, łagodniejszy poziom ostrzeżeń

Do tej pory Chrome miał w praktyce jeden sposób reagowania na groźną stronę: czerwony ekran na całą szerokość okna, który zasłania witrynę. Taki komunikat pojawia się przy wysokim poziomie pewności, że strona jest złośliwa — i tak zostaje. Nowość polega na dodaniu drugiego, niższego poziomu: dla stron, co do których Bezpieczne przeglądanie ma podejrzenia, ale nie pewność. Google pisze, że takie ostrzeżenia różnią się od czerwonego ekranu formą, ikonografią, kolorem i treścią, tak aby użytkownik szybko zrozumiał, z jak poważną sytuacją ma do czynienia.

Sens tej zmiany jest prosty i warto go nazwać wprost: jeden surowy komunikat na wszystko powoduje, że twórca systemu musi być bardzo ostrożny z jego wyświetlaniem, bo pomyłka blokuje legalną stronę. Mając do dyspozycji łagodniejszy stopień, Google może ostrzegać częściej — również w przypadkach, w których wcześniej wolał nie reagować wcale. Dla nas, czytających takie ostrzeżenie, oznacza to jednak coś ważnego: pojawienie się łagodniejszego komunikatu nie jest dowodem, że strona jest bezpieczna, i nie jest dowodem, że jest groźna. To zaproszenie do zastanowienia się, a nie werdykt.

Fałszywy antywirus i fałszywa aktualizacja przeglądarki

Rok wcześniej Chrome dostał mechanizm oceniający treść strony pod kątem oszustw udających pomoc techniczną — klasyczne „zadzwoń pod ten numer, nasz konsultant naprawi Twój komputer". Teraz ten sam mechanizm obejmuje szerszy zestaw zagrożeń, w tym właśnie fałszywe alarmy antywirusowe i fałszywe strony z aktualizacją. Model ocenia między innymi, jaką marką strona się podszywa, jaki jest jej zamiar i jak wysokie jest prawdopodobieństwo oszustwa; Bezpieczne przeglądanie łączy tę ocenę z reputacją domeny i innymi sygnałami, dopiero potem wydaje werdykt.

Google zaznacza, że tekst strony jest analizowany tylko wtedy, gdy witryna wykazuje wcześniej silne wskaźniki oszustwa. Nie jest to więc stałe przesyłanie treści wszystkiego, co otwierasz — choć warto pamiętać, że silniejsza ochrona i tak wysyła do Google adresy odwiedzanych stron oraz niewielkie próbki ich zawartości, niezależnie od tej nowości.

Ostrzeżenie o skopiowanym poleceniu

Trzecia zmiana dotyczy techniki, którą branża nazywa ClickFix. Schemat jest zawsze ten sam: strona udaje awarię, weryfikację „czy jesteś człowiekiem" albo błąd odtwarzania wideo, a jako „rozwiązanie" prosi, żebyś skopiował przygotowany tekst i wkleił go w okno uruchamiania programów, w PowerShell albo w terminal. Jeśli to zrobisz, pobranie i uruchomienie złośliwego programu dzieje się poza przeglądarką, więc wszystkie zabezpieczenia pobierania w Chrome są po prostu pomijane.

Jedna zasada wystarczy, żeby się na to nie nabrać: żadna uczciwa strona internetowa nigdy nie prosi o wklejenie czegokolwiek do okna uruchamiania, PowerShella ani terminala, żeby coś „naprawić", „zweryfikować" czy „odblokować". Nie ma od tego wyjątków dla stron z filmami, dokumentami w chmurze, kaptcha ani dla komunikatów udających system Windows. Jeśli widzisz taką prośbę, zamknij kartę — i nie wklejaj tego nawet „żeby sprawdzić, co to robi".

Chrome ma teraz wykrywać moment, w którym użytkownik z włączoną silniejszą ochroną kopiuje podejrzane polecenie. Zawartość schowka jest wtedy pozbawiana danych osobowych i wysyłana do Bezpiecznego przeglądania do analizy; jeśli werdykt brzmi „niebezpieczne", pojawia się ostrzeżenie. Google twierdzi, że mechanizm jest zaprojektowany z wysoką precyzją, żeby nie przeszkadzać programistom, którzy kopiują polecenia do konsoli po kilkadziesiąt razy dziennie — to jednak zapowiedź producenta, a nie zmierzony wynik; żadnych liczb w ogłoszeniu nie ma.

Gemini w chmurze, nie „Gemini Nano" — dlaczego to ma znaczenie

W doniesieniach serwisów branżowych o tej zmianie bardzo często pojawia się nazwa Gemini Nano, czyli model działający lokalnie na urządzeniu. W oryginalnym ogłoszeniu Google ta nazwa nie występuje ani razu, a opisany kierunek jest wręcz odwrotny: wcześniejsza funkcja korzystała z Gemini na urządzeniu i tylko na obsługiwanych urządzeniach, a Chrome przeszedł od tego czasu na mocniejszy model działający po stronie serwera. Rzeczowe relacje — na przykład opis w Help Net Security — oddają to poprawnie, ale wersja z „Nano" rozeszła się szerzej.

Różnica nie jest kosmetyczna. Analiza na urządzeniu oznacza, że treść strony nie opuszcza komputera. Analiza po stronie serwera oznacza, że w określonych sytuacjach tekst strony jest wysyłany do Google. Google deklaruje, że te dane są przetwarzane ulotnie — nigdy nie są rejestrowane, przechowywane ani używane do trenowania modeli — i że dotyczy to wyłącznie stron z silnymi wskaźnikami oszustwa. To wiarygodna i konkretna obietnica, ale pozostaje obietnicą producenta, której użytkownik nie jest w stanie samodzielnie zweryfikować. Jeśli ktoś włącza silniejszą ochronę świadomie, powinien wiedzieć, że płaci właśnie tym, a nie czymś mniejszym.

Czego w ogłoszeniu nie ma

  • Numeru wersji Chrome ani kanału wydania — nie da się powiedzieć „masz to od wersji X".

  • Harmonogramu udostępniania ani informacji, dla jakiego odsetka użytkowników funkcje są już aktywne.

  • Podziału na komputer i Androida. Ilustracje w ogłoszeniu pokazują oba, ale tekst tego nie rozstrzyga.

Google powtarza przy okazji swoją tezę, że osoby z silniejszą ochroną są dziesięciokrotnie bezpieczniejsze od phishingu, socjotechniki i nadużywania powiadomień niż osoby z ochroną standardową. W przypisie wyjaśnia, jak tę liczbę policzono: przez porównanie średniej liczby ostrzeżeń pokazanych jednej i drugiej grupie. To wskaźnik zastępczy — mierzy, ile razy przeglądarka zareagowała, a nie ile szkód faktycznie udało się uniknąć. Traktujmy to jako deklarację producenta.

Jak rozpoznać fałszywy antywirus i fałszywą aktualizację

Nowa warstwa w Chrome jest pomocna, ale oszuści zmieniają domeny i wygląd stron szybciej, niż działa jakakolwiek lista. Dlatego najtrwalszą ochroną pozostaje kilka odruchów:

  • Przeglądarka nigdy nie skanuje komputera z poziomu strony. Jeśli witryna „wykrywa wirusy", animuje pasek postępu skanowania i liczy zagrożenia — to zwykła animacja na stronie, nie wynik badania Twojego dysku.

  • Aktualizacja przeglądarki nigdy nie przychodzi ze strony internetowej. Chrome, Firefox, Edge i Opera aktualizują się same, a stan aktualizacji sprawdzasz w menu przeglądarki, nie w otwartej karcie.

  • Presja czasu i liczniki to sygnał ostrzegawczy. „Masz 2 minuty", „5 zagrożeń krytycznych", migające czerwone ramki — uczciwe oprogramowanie nie komunikuje się w ten sposób.

  • Sprawdź adres w pasku, nie logo na stronie. Podrobione komunikaty świetnie odwzorowują wygląd Windows, Chrome czy znanych antywirusów; domena zwykle nie ma z nimi nic wspólnego.

  • Nieoczekiwane okno na cały ekran z dźwiękiem alarmu albo zablokowaną klawiszem Esc stroną to standardowy chwyt. Zamknij kartę, a jeśli nie da się inaczej — cały proces przeglądarki.

  • Prośba o wklejenie polecenia to zawsze oszustwo, bez względu na to, jak profesjonalnie wygląda strona.

Dlaczego te strony w ogóle istnieją

Odpowiedź jest nudna i finansowa: takie strony są wejściem do pobrania pliku. Fałszywy „skaner antywirusowy" prowadzi do instalatora, który albo udaje program zabezpieczający i straszy wykrytymi problemami do momentu zapłaty, albo podrzuca adware i porywacza przeglądarki, albo robi coś znacznie gorszego — kradnie dane z przeglądarki i hasła. Fałszywa „aktualizacja Chrome" działa identycznie, tylko wykorzystuje odruch, który sami w czytelnikach wyrabiamy: aktualizuj się regularnie.

Właśnie dlatego ten temat pojawia się u nas tak często. Pisaliśmy niedawno o luce omijającej Mark of the Web, czyli znacznik, dzięki któremu Windows wie, że plik pochodzi z internetu — bez niego system nie wyświetla ostrzeżenia przy uruchamianiu pobranego instalatora. Opisywaliśmy też aktualizację KB5127648, która zablokowała przełącznik Inteligentnego sterowania aplikacjami. Wniosek z obu historii jest ten sam: każda warstwa zabezpieczeń kiedyś zawodzi albo jest wyłączona, więc decyzja, czy kliknąć „Uruchom", ostatecznie zostaje przy człowieku.

Skąd brać instalatory

Kolejność jest zawsze taka sama. Najpierw strona producenta — Chrome na przykład tylko z oficjalnej polskiej strony pobierania Google. Potem oficjalny sklep lub repozytorium systemu: Microsoft Store, winget, Google Play, App Store. Na końcu katalog, który jasno pisze, skąd bierze pliki i podaje sumy kontrolne — u nas przy każdym programie znajdziesz pochodzenie pliku, a przy większości także SHA-256. Czego unikać: wyników reklamowych w wyszukiwarce nad wynikami organicznymi, „szybkich pobieraczy" dodających własny instalator oraz linków z komentarzy i wiadomości.

Jeśli potrzebujesz programu zabezpieczającego, zajrzyj do działu Antywirusy — kompletny zestaw na Windows 11 opisaliśmy też w przewodniku po darmowych programach na Windows 11. Gdy komputer już zachowuje się dziwnie, dobrym uzupełnieniem Microsoft Defendera są skanery na żądanie: Malwarebytes jako druga opinia i AdwCleaner do adware oraz porywaczy przeglądarki. Oba są bezpłatne i żaden nie zastępuje ochrony w czasie rzeczywistym.

Jak sprawdzić pobrany plik

  • Nazwa i rozszerzenie. Aktualizacja przeglądarki nie przychodzi jako archiwum z hasłem, skrót ani plik skryptu. Włącz w Eksploratorze plików pokazywanie rozszerzeń, żeby nie dać się nabrać na podwójne.

  • Rozmiar. Instalator dużego programu, który waży kilkaset kilobajtów, to zwykle pobieracz czegoś innego.

  • Suma kontrolna. Jeśli producent podaje SHA-256, porównaj ją — w PowerShellu robi to polecenie Get-FileHash. Zgadza się: plik jest dokładnie tym, co producent wydał.

  • Wydawca w okienku kontroli konta użytkownika. Puste pole lub „Nieznany wydawca" przy znanej marce to powód, żeby przerwać.

  • Dodatkowy skan. Przy jakiejkolwiek wątpliwości przepuść plik przez drugi skaner, zanim go uruchomisz.

Gdzie włączyć silniejszą ochronę

Wszystkie opisane nowości wymagają silniejszej ochrony, a domyślnie włączona jest standardowa. W Google Chrome znajdziesz przełącznik w menu Więcej → Ustawienia → Prywatność i bezpieczeństwo → Bezpieczeństwo, gdzie do wyboru są trzy poziomy: Silniejsza ochrona, Standardowa ochrona i Brak ochrony (niezalecane). Dokładny opis różnic Google publikuje w polskiej pomocy Chrome. Decyzja jest świadomym kompromisem: więcej wykrytych oszustw w zamian za więcej danych wysyłanych do Google. Trzeciej opcji nie wybieraj nigdy.

Firefox, Edge i Opera — te same odruchy

Ta nowość dotyczy wyłącznie Chrome, ale użytkownicy pozostałych przeglądarek nie są bez ochrony — tylko działa ona inaczej i nie obejmuje opisanych tu nowych mechanizmów. Mozilla Firefox ma własną wbudowaną ochronę przed próbami oszustwa i złośliwym oprogramowaniem, włączoną domyślnie, obejmującą także ostrzeganie przed niepożądanym oprogramowaniem i blokowanie groźnych plików. Edge korzysta z SmartScreena, a Opera, jak każda przeglądarka na silniku Chromium, z tej samej bazy Bezpiecznego przeglądania Google — ale bez funkcji dodawanych wyłącznie do Chrome.

Najważniejsze zdanie na koniec jest jednak niezależne od przeglądarki. Każdy taki filtr jest siatką bezpieczeństwa, a nie ochroną: reaguje na to, co już zdążył rozpoznać, nowe kampanie łapie z opóźnieniem, a przy ClickFiksie ocenia dopiero tekst, który sam skopiowałeś. Sprawdzony odruch — pobieram tylko ze strony producenta albo z katalogu, który pokazuje źródło pliku, i nigdy nie wklejam niczego do konsoli na prośbę strony — działa we wszystkich przeglądarkach, na każdym systemie i także wtedy, gdy nikt jeszcze o danym oszustwie nie wie. Pełny opis ogłoszenia znajdziesz we wpisie Google „Our latest defenses against evolving web scams" autorstwa Jasiki Bawy.