Telefon zawibrował. Zerkasz na ekran i widzisz komunikat, że ktoś próbował zalogować się na twoje konto. Nieznane urządzenie. Lokalizacja, której nie kojarzysz. Czasem wystarczy taki jeden komunikat, żeby od razu poczuć niepokój.

Pierwsza myśl jest właściwie oczywista: trzeba sprawdzić, co się stało.

Tylko że z klikaniem lepiej się wstrzymać.

Nie klikaj linku z alertu

Fałszywy alert bezpieczeństwa jest skuteczny właśnie dlatego, że wygląda jak coś, na co trzeba zareagować natychmiast. Nikt nie chce przecież obudzić się następnego dnia i odkryć, że ktoś przejął jego pocztę, konto społecznościowe czy dostęp do zakupów.

Wiadomość może wyglądać bardzo dobrze. Logo się zgadza, język jest poprawny, a przycisk prowadzi do strony, która na pierwszy rzut oka niczym nie różni się od oryginału.

Na pierwszy rzut oka.

Klikasz „Sprawdź aktywność”, strona prosi o login i hasło, wpisujesz dane i wracasz do swoich zajęć. Dopiero później może się okazać, że żadnego prawdziwego logowania nie było. Była za to podstawiona strona, której zadaniem było zebranie twoich danych.

CERT Polska opisywał podobne kampanie. Przestępcy wykorzystują w nich między innymi informacje o nowym urządzeniu, podejrzanym logowaniu czy rzekomym problemie z kontem.

Najbezpieczniejsza reakcja jest trochę mniej wygodna, ale za to prosta. Nie korzystaj z linku w wiadomości. Otwórz przeglądarkę, wpisz adres serwisu ręcznie albo użyj zapisanej zakładki. Zaloguj się tak jak zwykle i sprawdź, czy coś się stało.

Możesz też sprawdzić adres nadawcy. I nie chodzi o nazwę „Google” czy „Bank”, którą widzisz w skrzynce. Sprawdź właściwy adres oraz domenę po znaku @. @google.com i @goog1e.com są do siebie podobne tylko na pierwszy rzut oka.

Sprawdź, skąd naprawdę było logowanie

Kiedy wejdziesz już na prawdziwe konto, zajrzyj do ustawień bezpieczeństwa. Poszukaj historii logowań, aktywnych sesji albo listy urządzeń.

Nazwy zależą od serwisu, ale zasada jest podobna. Powinna być możliwość sprawdzenia, gdzie i kiedy konto było używane.

I tutaj warto zachować odrobinę zdrowego rozsądku. Dziwna lokalizacja nie musi oznaczać włamania.

Lokalizacja jest ustalana między innymi na podstawie adresu IP. Ten natomiast nie zawsze pokazuje miejsce, w którym faktycznie siedzisz. W domu możesz korzystać z jednego adresu, w pracy z innego.

Przy internecie mobilnym wynik może być jeszcze mniej oczywisty. VPN również zmienia obraz sytuacji, bo serwis może zobaczyć lokalizację serwera, przez który przechodzi połączenie.

Sprawdź też urządzenie, datę i godzinę.

Jeżeli widzisz telefon, którego używasz na co dzień, a godzina zgadza się z momentem, kiedy rzeczywiście korzystałeś z konta, prawdopodobnie nie wydarzyło się nic złego.

Co innego nieznany komputer o godzinie, kiedy spałeś. Albo logowanie z urządzenia, którego nigdy nie posiadałeś.

W takim przypadku nie ma sensu czekać. Wyloguj podejrzaną sesję. Większość dużych serwisów pozwala zrobić to zdalnie.

Hasło? Nie zawsze trzeba je zmieniać

Nie ma potrzeby zmieniać hasła za każdym razem, gdy pojawi się alert.

Jeśli sprawdziłeś historię logowań i okazało się, że podejrzana aktywność była twoja, możesz po prostu zostawić konto w spokoju.

Jeżeli natomiast pojawia się coś, czego naprawdę nie rozpoznajesz, sytuacja jest inna. Zmień hasło i wyloguj pozostałe sesje.

Przy okazji zadaj sobie jedno pytanie: czy tego samego hasła używasz gdzieś jeszcze?

Jeśli tak, to dobry moment, żeby z tym skończyć. Powtarzanie haseł jest wygodne, dopóki jedno z kont nie zostanie zaatakowane. Później ta wygoda może okazać się sporym problemem, bo przestępca może spróbować tych samych danych w innych serwisach.

Jeżeli podejrzewasz, że twój adres e-mail znalazł się w wycieku, możesz sprawdzić wyciek danych.

Nowe hasło powinno być naprawdę nowe. Nie chodzi o zmianę ostatniej cyfry albo dodanie wykrzyknika. Jeśli poprzednie hasło gdzieś wyciekło, taka kosmetyka niewiele pomoże.

2FA zdecydowanie warto mieć

Uwierzytelnianie dwuskładnikowe jest jedną z tych funkcji, które konfigurujesz raz, a później właściwie o nich zapominasz.

Działa prosto. Samo hasło nie wystarczy. Potrzebny jest jeszcze drugi element: kod z aplikacji, klucz bezpieczeństwa albo SMS.

Jeżeli ktoś zdobędzie twoje hasło, nadal nie powinien móc wejść na konto bez tego drugiego składnika.

Jeśli możesz wybrać aplikację uwierzytelniającą zamiast SMS-a, warto rozważyć właśnie ją. Sprawdź również kody zapasowe. Jeżeli istnieje ryzyko, że ktoś mógł je zobaczyć, wygeneruj nowy zestaw.

Takich alertów będzie jeszcze sporo

Fałszywe powiadomienia o logowaniu nie są pojedynczym wybrykiem oszusta. To część większego problemu z phishingiem i socjotechniką.

Według danych przytoczonych przez NASK na podstawie raportu CERT Polska liczba potwierdzonych incydentów cyberbezpieczeństwa w Polsce przekroczyła w 2025 roku 260 tys. W porównaniu z wcześniejszym okresem oznaczało to wzrost o 152 proc.

Za tymi liczbami stoją różne rodzaje ataków, ale wiele z nich opiera się na podobnym pomyśle: wywołać emocje i skłonić człowieka do wykonania konkretnej czynności.

Dlatego następnym razem, gdy zobaczysz komunikat o podejrzanym logowaniu, nie reaguj automatycznie.

Odłóż telefon na moment. Wejdź na stronę serwisu własną drogą. Sprawdź historię logowań, urządzenia oraz godzinę.

Jeżeli wszystko się zgadza, możesz odetchnąć. Jeżeli nie, wyloguj podejrzaną sesję, zmień hasło i sprawdź ustawienia 2FA.

To kilka minut. W porównaniu z odzyskiwaniem przejętego konta naprawdę niewiele.