Defender błędnie blokuje linki Google: co to oznacza dla zaufania do antywirusów

Dlaczego Defender sprawdza zwykłe linki Google

W Microsoft 365 linki z maili mogą przechodzić przez Safe Links. Usługa przepisywuje lub weryfikuje URL podczas dostarczania i w momencie kliknięcia, aby wykryć phishing, złośliwe przekierowania i strony, które zmieniły się po wysłaniu maila.

Dla adresu wyszukiwania jest to trudniejsze niż dla zwykłej statycznej strony. Adres Google może zawierać parametry zapytania, przekierowania, różne domeny lokalizacji, kodowanie i długi tekst. System bezpieczeństwa musi ocenić, czy taki URL jest bezpieczny, ale błąd modelu klasyfikacji może uznać nietypową strukturę za podejrzaną.

Ochrona działa na zasadzie redukcji ryzyka, a nie absolutnej bezbłędności. Może przepuścić nowe zagrożenie, zablokować bezpieczny URL lub tymczasowo wyświetlić ostrzeżenie podczas aktualizacji reguł. Dlatego w organizacjach łączy się automatyczne filtry, kontrolę administratora i zdrowy rozsądek użytkownika.

Jak wyglądał problem

Użytkownik otwierał link do strony wyników Google z maila lub innej obsługiwanej usługi Microsoft 365. Safe Links weryfikował adres, po czym pojawiało się ostrzeżenie o niebezpiecznej stronie. Według opisu incydentu, kopiowanie URL i wklejanie go bezpośrednio do przeglądarki nie zawsze omijało ostrzeżenie, co oznacza, że problem leżał nie w konkretnym kliknięciu, lecz w klasyfikacji adresu.

Dla organizacji mogło to powodować kilka skutków:

• pracownicy nie otwierali legalnych wyników wyszukiwania;
• dział wsparcia otrzymywał wiele podobnych zgłoszeń;
• SIEM lub portal Defender mogły wyświetlać zbędne powiadomienia;
• administrator mógł błędnie dodać zbyt szeroką politykę wyjątków;
• użytkownicy mogli przyzwyczaić się do ignorowania ostrzeżeń.

Ostatni punkt jest szczególnie niebezpieczny. Fałszywy alarm nie czyni wyłączenia ochrony właściwym rozwiązaniem, ponieważ kolejne ostrzeżenie może być prawdziwe.

Jak odróżnić false positive od realnego zagrożenia

Sprawdź nie tylko nazwę „Google”, ale pełny URL i kontekst. Prawdziwy adres wyszukiwania zwykle należy do domeny Google i zawiera czytelną ścieżkę lub parametry zapytania. Strona phishingowa może używać słowa google w subdomenie lub długiej domenie, np. google.example.com, gdzie prawdziwym właścicielem jest example.com.

Przed otwarciem sprawdź:

1. adres nadawcy maila;
2. pełną domenę linku;
3. czy oczekiwałeś tej wiadomości;
4. czy strona prosi o hasło, kod MFA lub dane płatnicze;
5. czy URL nie prowadzi przez skracacz lub kilka przekierowań.

Jeśli ostrzeżenie pojawiło się dla oficjalnego URL, nie wpisuj danych na stronie i nie twórz wyjątku samodzielnie. Prześlij URL administratorowi lub otwórz Google przez własną zakładkę wpisaną ręcznie.

Co robić zwykłemu użytkownikowi

Jeśli zobaczysz ostrzeżenie na komputerze służbowym:

• nie klikaj „kontynuuj” bez sprawdzenia;
• nie wyłączaj antywirusa i Safe Links;
• skopiuj pełny adres, nie otwierając go ponownie;
• zrób zrzut ekranu i przekaż go administratorowi;
• sprawdź, czy oficjalna strona otwiera się przez zakładkę lub ręcznie wpisany adres;
• poczekaj na aktualizację polityki lub potwierdzenie od działu IT.

Na domowym komputerze bez Microsoft 365 możesz sprawdzić ten sam URL w przeglądarce, ale nie traktuj braku ostrzeżenia jako gwarancji bezpieczeństwa. Różne systemy mają różne bazy reputacji. Nie instaluj rozszerzeń obiecujących „usunięcie ostrzeżenia Defender”, ponieważ mogą przechwytywać całe wyszukiwanie.

Co robić administratorowi Microsoft 365

Najpierw otwórz Microsoft 365 admin center i sprawdź Service health oraz aktywne advisories. Porównaj czas pojawienia się problemu, politykę Safe Links, wersje reguł i konkretne URL. Nie dodawaj google.com do globalnej listy dozwolonych tylko po to, by usunąć ostrzeżenia: może to osłabić weryfikację złośliwych stron i przekierowań.

Jeśli wyjątek jest naprawdę potrzebny, ogranicz go do dokładnej domeny lub URL, udokumentuj powód, wskaż właściciela i datę przeglądu. Sprawdź, czy polityka dotyczy wszystkich użytkowników i przetestuj nie tylko pozytywny, ale i negatywny scenariusz z znanym niebezpiecznym URL.

Zachowaj przykłady false positive: oryginalny URL, URL po Safe Links, czas, identyfikator komunikatu i zrzut ekranu. Nie przesyłaj poufnych maili do zewnętrznych serwisów bez oczyszczenia danych. Te informacje pomogą wsparciu Microsoft zlokalizować problem.

Czy trzeba zmieniać antywirusa

Nie, pojedynczy incydent nie dowodzi, że Defender jest gorszy od innego produktu. Systemy reputacji popełniają błędy, zwłaszcza przy śledzeniu złożonych URL i szybkich przekierowań. Ważniejsze jest, jak szybko producent przyznaje problem, poprawia klasyfikację i daje administratorowi kontrolowane ustawienia.

Nie instaluj jednocześnie kilku pełnoprawnych antywirusów i nie wyłączaj wbudowanej ochrony bez planu. Konflikt filtrów może powodować więcej blokad, obciążenie i niezrozumiałe powiadomienia. Do ochrony przeglądarki ważne są też aktualizacje Windows, bezpieczne rozszerzenia i ograniczone prawa użytkownika.

Jeśli po blokadzie pojawiły się inne objawy

Jeśli ostrzeżenia pojawiają się na wszystkich stronach, przeglądarka sama zmienia wyszukiwanie, występują przekierowania lub instalują się nieznane rozszerzenia, problem może już nie być false positive. Sprawdź programy, rozszerzenia, proxy i DNS, ale nie usuwaj systemowych plików na ślepo.

Przy powtarzających się zawieszeniach przeglądarki, podejrzanym ruchu lub samowolnych zmianach ustawień zachowaj dowody i zgłoś się na diagnostykę laptopa. Jeśli do systemu dostało się złośliwe oprogramowanie, najpierw odłącz urządzenie od sieci i zmień ważne hasła z innego zaufanego urządzenia.

Warto też przejrzeć podejrzane i ukryte aplikacje i usunąć tylko te, które potrafisz zidentyfikować. Nie ufaj programom, które proszą o wyłączenie Defendera dla „prawidłowego działania”.

Podsumowanie

Fałszywe blokowanie linków Google w Defender for Office 365 pokazuje, że automatyczna ochrona również wymaga kontroli jakości. Ostrzeżeń nie należy ignorować, ale też nie panikować z powodu każdego błędu klasyfikacji. Sprawdzaj pełną domenę, kontekst maila i status Microsoft 365, a wyjątki twórz tylko punktowo i dokumentuj.

Dla użytkownika domowego najlepszy schemat to nie wyłączać ochrony, nie instalować podejrzanych „poprawek”, otwierać Google przez własną zakładkę i zwracać się do administratora, jeśli blokady się powtarzają. Dla biznesu ważne są logi, Service Health, wąskie wyjątki i weryfikacja polityki po każdej zmianie.