Privacy and disclaimer

Who runs ScamCheckCY

ScamCheckCY is run by Savvas Evangelou, who is responsible for how it handles your data (the "controller" under the GDPR). For privacy questions, or to report a result you think is wrong, email evsavvas@gmail.com.

What happens to what you paste

• The text is sent to the ScamCheckCY server, checked, and forgotten. It is not stored, not written to any log, and not used for anything else.
• Only if you press "Wrong result?", the links in your message and ScamCheckCY's verdict are sent to the owner: they are written to the server log and filed in a private GitHub repository. The rest of the message is sent only if you tick the box to include it.
• To answer faster, the age of each website checked (for example, that example.com was registered 3 years ago) is remembered in the server's memory for up to an hour. It is never written to disk.
• "Paste & check" reads what you have copied only when you tap it, and then treats it exactly like text you pasted yourself.
• Phone numbers you check are looked up on the ScamCheckCY server itself (country, type of number, operator) and against its list of confirmed scam numbers; they are not sent anywhere and not stored. If you press "Report this number", the number and what happened are sent to the owner in the private GitHub repository. Once confirmed, the number is added to ScamCheckCY's list of scam numbers, which is used only to warn people who check that number and is never published, because scammers can fake other people's numbers.
• Under a phone number, "Open in WhatsApp", "Open in Viber" and "Search the web" open those apps or Google on your own device with that number, so you can look it up yourself. ScamCheckCY doesn't take part: WhatsApp, Viber or Google see the number only if you tap, and their privacy policies apply.
• Email addresses in what you check are looked at the same way as links: the site's name after the @ (for example example.com, never the part before it) is checked against the scam lists and its registration date, as described below. Nothing about the person is sent anywhere.
• Pictures and QR codes (from "Picture", or a screenshot pasted into the box) are read on your own phone or computer. The picture is never uploaded: only the text or link found in it is sent to the server, and checked and forgotten like pasted text. The picture reader is downloaded from ScamCheckCY itself the first time you use it, and your browser may keep a copy of it to be faster next time.
• If you add ScamCheckCY to your phone and share a message to it from another app, the message reaches the server inside the request, exactly like pasting it (never in the web address), and is checked and forgotten the same way. The app keeps no copy of any page or message on your phone. A picture shared to the app stays on your phone: it is read there like any other picture (see above) and deleted as soon as it has been read.
• If the owner confirms a report as a scam, the scam site's name (for example evil-site.top) is added to ScamCheckCY's own list of confirmed scams, kept in the private GitHub repository. For a page on a shared service such as Google Sites, its address is kept without anything after a "?", which could identify who received the message.
• To know how much ScamCheckCY is used, it keeps daily totals only: how many times each page was opened, how many checks were run and how (typed, from a picture or QR code, shared to the app), how many were scams, and how many different visitors came. To count each visitor once a day, your IP address and browser name are turned into a scrambled code with a secret that changes every day and is never saved, so the code can't be traced back to you; codes are forgotten at the end of the day and only the totals are kept, in the private GitHub repository. No outside analytics service is used.
• There are no accounts, cookies, trackers or ads. Your language choice is remembered in your own browser only and is never sent to the server.

Who else sees anything

• The websites in your links. To see where a link really leads, the server requests it and follows up to 5 redirects, then reads the HTML of the page it ends on (up to 500 KB) to see what the page claims to be and what it asks for. Nothing on the page is run or loaded: no scripts, images or other files. Each of those sites sees a visit from the ScamCheckCY server, never from you. They do receive the full link, so if it contains a code unique to you, the sender may be able to tell that it was opened.
• rdap.org and the domain registries it forwards to receive the domain name of each link (for example example.com, not the full link) to look up when it was registered. When that date isn't available, crt.sh, a public log of website security certificates, receives the domain name to look up when the site got its first certificate. Like any website visit, the server's DNS provider also sees the domain names it looks up.
• Three security DNS services, Quad9 (a Swiss non-profit), Cloudflare and CleanBrowsing (US companies), receive the site name of each link, and of the site it leads to (for example login.example.com, not the full link), to see whether they block it as malware or phishing. This is an ordinary DNS lookup; nothing else is sent.
• Google Safe Browsing (the list behind Chrome's red warning pages) receives each full link, and the page it leads to, to check whether Google knows it as dangerous. Google's privacy policy applies to that check.
• The scam lists (OpenPhish, URLhaus, Phishing.Database, Phishing Army, CERT Polska, malware-filter, and CySEC's warning lists of unauthorised investment and crypto sites) are downloaded in full and checked on the server, so they never see your links.
• The hosting provider, Render Services, Inc., runs the server in Frankfurt, Germany (EU). It keeps standard access logs for a limited time: your IP address, the time and which page was requested. Not the text you paste.

Limits on use

To keep the service available for everyone, each visitor can run a limited number of checks per minute. To count them, the server keeps your IP address and the times of your checks in memory for about a minute. They are never written to disk. Up to 10 links per message are checked; any more are skipped.

Your rights

The only personal data involved is your IP address, used to run and protect the service (legitimate interest, GDPR Article 6(1)(f)), and anything personal in a message you choose to send with a report (your consent, which you can withdraw by email). You can ask for access to it, or for it to be deleted, by email. Because ScamCheckCY itself keeps nothing that identifies you, there is usually nothing to hand over. You can also complain to the Commissioner for Personal Data Protection in Cyprus.

Disclaimer

ScamCheckCY looks for common warning signs. It cannot prove that a link or message is safe or that it is a scam. A new scam can be marked "Not a scam", and a real site can occasionally be flagged as one.

If a message claims to be from your bank, a courier, the government or anyone else, contact them yourself through their official app, website or phone number, never through the link or number in the message. Never share passwords, PINs or one-time codes, whoever asks.

ScamCheckCY is an independent project and is not connected to any of the banks, couriers or companies it mentions. It is provided as is, without any guarantee.

← Back to ScamCheckCY

Απόρρητο και αποποίηση ευθύνης

Ποιος λειτουργεί το ScamCheckCY

Το ScamCheckCY λειτουργεί ο Savvas Evangelou, ο οποίος είναι υπεύθυνος για τον τρόπο που χειρίζεται τα δεδομένα σας («υπεύθυνος επεξεργασίας» κατά τον GDPR). Για ερωτήσεις σχετικά με το απόρρητο ή για να αναφέρετε ένα αποτέλεσμα που θεωρείτε λάθος, στείλτε email στο evsavvas@gmail.com.

Τι γίνεται με ό,τι επικολλάτε

• Το κείμενο στέλνεται στον διακομιστή του ScamCheckCY, ελέγχεται και ξεχνιέται. Δεν αποθηκεύεται, δεν γράφεται σε κανένα αρχείο καταγραφής και δεν χρησιμοποιείται για τίποτε άλλο.
• Μόνο αν πατήσετε «Λάθος αποτέλεσμα;», οι σύνδεσμοι του μηνύματός σας και η απάντηση του ScamCheckCY στέλνονται στον διαχειριστή: γράφονται στο αρχείο καταγραφής του διακομιστή και καταχωρούνται σε ιδιωτικό αποθετήριο στο GitHub. Το υπόλοιπο μήνυμα στέλνεται μόνο αν επιλέξετε το κουτάκι για να συμπεριληφθεί.
• Για πιο γρήγορες απαντήσεις, η ηλικία κάθε ιστοσελίδας που ελέγχεται (π.χ. ότι το example.com δημιουργήθηκε πριν από 3 χρόνια) κρατιέται στη μνήμη του διακομιστή για έως μία ώρα. Δεν γράφεται ποτέ στον δίσκο.
• Το «Επικόλληση & έλεγχος» διαβάζει αυτό που έχετε αντιγράψει μόνο όταν το πατήσετε, και μετά το χειρίζεται ακριβώς όπως κείμενο που επικολλήσατε εσείς.
• Οι αριθμοί τηλεφώνου που ελέγχετε εξετάζονται στον ίδιο τον διακομιστή του ScamCheckCY (χώρα, τύπος αριθμού, πάροχος) και συγκρίνονται με τη λίστα επιβεβαιωμένων αριθμών απάτης· δεν στέλνονται πουθενά και δεν αποθηκεύονται. Αν πατήσετε «Αναφέρετε αυτόν τον αριθμό», ο αριθμός και τι έγινε στέλνονται στον ιδιοκτήτη, στο ιδιωτικό αποθετήριο GitHub. Μόλις επιβεβαιωθεί, ο αριθμός μπαίνει στη λίστα αριθμών απάτης του ScamCheckCY, η οποία χρησιμοποιείται μόνο για να προειδοποιεί όσους ελέγχουν αυτόν τον αριθμό και δεν δημοσιεύεται ποτέ, επειδή οι απατεώνες μπορούν να παραποιούν τους αριθμούς άλλων.
• Κάτω από έναν αριθμό τηλεφώνου, τα «Άνοιγμα στο WhatsApp», «Άνοιγμα στο Viber» και «Αναζήτηση στο ίντερνετ» ανοίγουν αυτές τις εφαρμογές ή το Google στη δική σας συσκευή με αυτόν τον αριθμό, ώστε να τον ελέγξετε εσείς. Το ScamCheckCY δεν συμμετέχει: το WhatsApp, το Viber ή το Google βλέπουν τον αριθμό μόνο αν πατήσετε, και ισχύουν οι δικές τους πολιτικές απορρήτου.
• Οι διευθύνσεις email σε ό,τι ελέγχετε εξετάζονται όπως οι σύνδεσμοι: το όνομα μετά το @ (π.χ. example.com, ποτέ το μέρος πριν από αυτό) συγκρίνεται με τις λίστες απάτης και την ημερομηνία δημιουργίας του, όπως περιγράφεται πιο κάτω. Τίποτα για το πρόσωπο δεν στέλνεται πουθενά.
• Οι εικόνες και οι κωδικοί QR (από το «Εικόνα» ή ένα στιγμιότυπο οθόνης που επικολλάτε στο πλαίσιο) διαβάζονται στο δικό σας κινητό ή υπολογιστή. Η εικόνα δεν ανεβαίνει ποτέ: μόνο το κείμενο ή ο σύνδεσμος που βρέθηκε σε αυτήν στέλνεται στον διακομιστή, και ελέγχεται και ξεχνιέται όπως το κείμενο που επικολλάτε. Ο αναγνώστης εικόνων κατεβαίνει από το ίδιο το ScamCheckCY την πρώτη φορά που τον χρησιμοποιείτε, και ο browser σας μπορεί να κρατήσει ένα αντίγραφό του για να είναι πιο γρήγορος την επόμενη φορά.
• Αν προσθέσετε το ScamCheckCY στο κινητό σας και του στείλετε ένα μήνυμα με κοινοποίηση από άλλη εφαρμογή, το μήνυμα φτάνει στον διακομιστή μέσα στο αίτημα, ακριβώς όπως όταν το επικολλάτε (ποτέ μέσα στη διεύθυνση), και ελέγχεται και ξεχνιέται με τον ίδιο τρόπο. Η εφαρμογή δεν κρατά αντίγραφο καμίας σελίδας ή μηνύματος στο κινητό σας. Μια εικόνα που στέλνετε στην εφαρμογή μένει στο κινητό σας: διαβάζεται εκεί όπως κάθε άλλη εικόνα (δείτε πιο πάνω) και διαγράφεται μόλις διαβαστεί.
• Αν ο διαχειριστής επιβεβαιώσει ότι μια αναφορά είναι απάτη, το όνομα της ιστοσελίδας απάτης (π.χ. evil-site.top) προστίθεται στη λίστα επιβεβαιωμένων απατών του ScamCheckCY, που φυλάσσεται στο ιδιωτικό αποθετήριο στο GitHub. Για σελίδα σε κοινόχρηστη υπηρεσία όπως το Google Sites, κρατιέται η διεύθυνσή της χωρίς ό,τι ακολουθεί μετά το «?», που θα μπορούσε να δείξει ποιος έλαβε το μήνυμα.
• Για να ξέρει πόσο χρησιμοποιείται, το ScamCheckCY κρατά μόνο ημερήσια σύνολα: πόσες φορές άνοιξε κάθε σελίδα, πόσοι έλεγχοι έγιναν και πώς (με πληκτρολόγηση, από εικόνα ή κωδικό QR, με κοινοποίηση στην εφαρμογή), πόσοι ήταν απάτη και πόσοι διαφορετικοί επισκέπτες ήρθαν. Για να μετρηθεί κάθε επισκέπτης μία φορά την ημέρα, η διεύθυνση IP σας και το όνομα του browser σας μετατρέπονται σε ανακατεμένο κωδικό με ένα μυστικό που αλλάζει κάθε μέρα και δεν αποθηκεύεται ποτέ, ώστε ο κωδικός να μην μπορεί να οδηγήσει σε εσάς· οι κωδικοί ξεχνιούνται στο τέλος της ημέρας και κρατιούνται μόνο τα σύνολα, στο ιδιωτικό αποθετήριο GitHub. Δεν χρησιμοποιείται καμία εξωτερική υπηρεσία στατιστικών.
• Δεν υπάρχουν λογαριασμοί, cookies, εργαλεία παρακολούθησης ή διαφημίσεις. Η επιλογή γλώσσας αποθηκεύεται μόνο στον δικό σας browser και δεν στέλνεται ποτέ στον διακομιστή.

Ποιος άλλος βλέπει κάτι

• Οι ιστοσελίδες των συνδέσμων σας. Για να δει πού οδηγεί πραγματικά ένας σύνδεσμος, ο διακομιστής τον ανοίγει, ακολουθεί έως 5 ανακατευθύνσεις και διαβάζει τον κώδικα HTML της σελίδας όπου καταλήγει (έως 500 KB), για να δει τι ισχυρίζεται ότι είναι η σελίδα και τι ζητά. Τίποτα από τη σελίδα δεν εκτελείται ούτε φορτώνεται: ούτε scripts, ούτε εικόνες, ούτε άλλα αρχεία. Κάθε τέτοια ιστοσελίδα βλέπει επίσκεψη από τον διακομιστή του ScamCheckCY, ποτέ από εσάς. Λαμβάνει όμως ολόκληρο τον σύνδεσμο, οπότε αν περιέχει κωδικό μοναδικό για εσάς, ο αποστολέας μπορεί να καταλάβει ότι ανοίχτηκε.
• Το rdap.org και τα μητρώα ονομάτων στα οποία το προωθεί λαμβάνουν το όνομα της ιστοσελίδας κάθε συνδέσμου (π.χ. example.com, όχι ολόκληρο τον σύνδεσμο) για να βρουν πότε δημιουργήθηκε. Όταν αυτή η ημερομηνία δεν είναι διαθέσιμη, το crt.sh, ένα δημόσιο αρχείο πιστοποιητικών ασφαλείας ιστοσελίδων, λαμβάνει το όνομα της ιστοσελίδας για να βρει πότε πήρε το πρώτο της πιστοποιητικό. Όπως σε κάθε επίσκεψη ιστοσελίδας, ο πάροχος DNS του διακομιστή βλέπει επίσης τα ονόματα που αναζητά.
• Τρεις υπηρεσίες DNS ασφαλείας, το Quad9 (ελβετικός μη κερδοσκοπικός οργανισμός), η Cloudflare και η CleanBrowsing (αμερικανικές εταιρείες), λαμβάνουν το όνομα της ιστοσελίδας κάθε συνδέσμου και της ιστοσελίδας όπου οδηγεί (π.χ. login.example.com, όχι ολόκληρο τον σύνδεσμο), για να δουν αν την μπλοκάρουν ως κακόβουλο λογισμικό ή phishing. Είναι μια συνηθισμένη αναζήτηση DNS· δεν στέλνεται τίποτε άλλο.
• Το Google Safe Browsing (η λίστα πίσω από τις κόκκινες προειδοποιήσεις του Chrome) λαμβάνει ολόκληρο κάθε σύνδεσμο, και τη σελίδα όπου οδηγεί, για να ελέγξει αν η Google τον γνωρίζει ως επικίνδυνο. Για αυτόν τον έλεγχο ισχύει η πολιτική απορρήτου της Google.
• Οι λίστες απάτης (OpenPhish, URLhaus, Phishing.Database, Phishing Army, CERT Polska, malware-filter, και οι λίστες προειδοποιήσεων της Επιτροπής Κεφαλαιαγοράς (CySEC) για μη αδειοδοτημένες ιστοσελίδες επενδύσεων και κρυπτονομισμάτων) κατεβαίνουν ολόκληρες και ο έλεγχος γίνεται στον διακομιστή, οπότε δεν βλέπουν ποτέ τους συνδέσμους σας.
• Ο πάροχος φιλοξενίας, η Render Services, Inc., λειτουργεί τον διακομιστή στη Φρανκφούρτη της Γερμανίας (ΕΕ). Κρατά για περιορισμένο χρόνο τα συνηθισμένα αρχεία πρόσβασης: τη διεύθυνση IP σας, την ώρα και ποια σελίδα ζητήθηκε. Όχι το κείμενο που επικολλάτε.

Όρια χρήσης

Για να είναι η υπηρεσία διαθέσιμη σε όλους, κάθε επισκέπτης μπορεί να κάνει περιορισμένο αριθμό ελέγχων ανά λεπτό. Για να τους μετρήσει, ο διακομιστής κρατά στη μνήμη τη διεύθυνση IP σας και την ώρα των ελέγχων σας για περίπου ένα λεπτό. Δεν γράφονται ποτέ στον δίσκο. Ελέγχονται έως 10 σύνδεσμοι ανά μήνυμα· οι υπόλοιποι παραλείπονται.

Τα δικαιώματά σας

Το μόνο προσωπικό δεδομένο που εμπλέκεται είναι η διεύθυνση IP σας, που χρησιμοποιείται για τη λειτουργία και την προστασία της υπηρεσίας (έννομο συμφέρον, άρθρο 6(1)(στ) του GDPR), καθώς και ό,τι προσωπικό περιέχει ένα μήνυμα που επιλέγετε να στείλετε με μια αναφορά (με τη συγκατάθεσή σας, την οποία μπορείτε να ανακαλέσετε με email). Μπορείτε να ζητήσετε πρόσβαση σε αυτήν ή τη διαγραφή της με email. Επειδή το ίδιο το ScamCheckCY δεν κρατά τίποτα που σας ταυτοποιεί, συνήθως δεν υπάρχει τίποτα να σας δοθεί. Μπορείτε επίσης να υποβάλετε καταγγελία στον Επίτροπο Προστασίας Δεδομένων Προσωπικού Χαρακτήρα στην Κύπρο.

Αποποίηση ευθύνης

Το ScamCheckCY ψάχνει για συνηθισμένα προειδοποιητικά σημάδια. Δεν μπορεί να αποδείξει ότι ένας σύνδεσμος ή ένα μήνυμα είναι ασφαλές ή ότι είναι απάτη. Μια καινούργια απάτη μπορεί να εμφανιστεί ως «Δεν είναι απάτη» και μια πραγματική ιστοσελίδα μπορεί περιστασιακά να επισημανθεί ως απάτη.

Αν ένα μήνυμα λέει ότι είναι από την τράπεζά σας, εταιρεία courier, το κράτος ή οποιονδήποτε άλλο, επικοινωνήστε μαζί τους εσείς μέσω της επίσημης εφαρμογής, ιστοσελίδας ή τηλεφώνου τους, ποτέ μέσω του συνδέσμου ή του αριθμού στο μήνυμα. Ποτέ μη δίνετε κωδικούς, PIN ή κωδικούς μίας χρήσης, όποιος κι αν τους ζητά.

Το ScamCheckCY είναι ανεξάρτητο έργο και δεν συνδέεται με καμία από τις τράπεζες, εταιρείες courier ή άλλες εταιρείες που αναφέρει. Παρέχεται ως έχει, χωρίς καμία εγγύηση.

← Πίσω στο ScamCheckCY