Dostajesz wiadomość na WhatsAppie od prawdziwego przyjaciela, kogoś, kogo znasz od lat. Prosi cię, żebyś kliknął w link i zagłosował na jego dziecko w konkursie tanecznym, na jego psa w konkursie fotograficznym albo na jego szkołę w jakiejś zbiórce funduszy. Nic w tej wiadomości nie krzyczy „oszustwo" — nie prosi o hasło do konta bankowego, a przychodzi od kontaktu, któremu ufasz, w wątku, który macie od lat.

I o to właśnie chodzi. Badacze bezpieczeństwa z Malwarebytes udokumentowali ten schemat na początku sierpnia 2026 roku: wiadomość nie pochodzi ze sfałszowanego numeru. Pochodzi z prawdziwego, przejętego konta WhatsApp twojego przyjaciela. Atakujący nie podszywa się pod niego — jest wewnątrz jego konta, wysyła wiadomości jako on, do wszystkich osób z jego listy kontaktów, w tym do ciebie.

Jak dochodzi do przejęcia konta bez hasła

WhatsApp pozwala jednemu kontu być zalogowanym jednocześnie na maksymalnie czterech dodatkowych urządzeniach — twoim telefonie, plus WhatsApp Web w przeglądarce, aplikacji desktopowej i tak dalej — dzięki funkcji zwanej urządzeniami powiązanymi. Powiązanie nowego urządzenia zwykle oznacza otwarcie WhatsAppa na telefonie, przejście do Ustawień i zeskanowanie kodu QR wyświetlonego na nowym urządzeniu. Hasło nie jest potrzebne, ponieważ twój telefon jest już zalogowany i poręcza za nową sesję.

Oszustwo przejmuje ten proces, a nie samo logowanie. Ofiara klika link — czasem na prawdziwej domenie wa.me — który prowadzi ją przez coś, co wygląda jak „konfiguracja WhatsApp Web", albo każe jej wpisać kod na własnym ekranie urządzeń powiązanych. Wykonanie tych kroków robi dokładnie jedno: zatwierdza urządzenie atakującego jako nową powiązaną sesję na koncie ofiary. Od tego momentu atakujący może czytać i wysyłać wiadomości tak, jakby był właścicielem konta, na urządzeniu, którego ofiara nigdy nie widzi.

Dlatego nie uruchamia żadnego z alarmów, których ludzie są nauczeni wypatrywać. Nie dochodzi do zmiany hasła, więc nie przychodzi e-mail „twoje hasło zostało zmienione". Nie ma nieudanej próby logowania, więc nie ma alertu bezpieczeństwa. Telefon właściciela konta nadal działa całkowicie normalnie. Jedynym śladem jest jeden dodatkowy, nieznany wpis cicho siedzący na liście urządzeń powiązanych — a prawie nikt nie sprawdza tej listy, jeśli nie wie, że powinien tam zajrzeć.

Sprawdź teraz swoje własne urządzenia powiązane

Zrób to niezależnie od tego, czy dostałeś taką wiadomość, ponieważ zajmuje to mniej niż dwie minuty i nic nie kosztuje:

  • Na iPhonie lub Androidzie: Otwórz WhatsAppa → dotknij Ustawień (lub menu z trzema kropkami na Androidzie) → Urządzenia powiązane.
  • Przejrzyj każdy wpis. Każdy pokazuje typ urządzenia (Chrome, Windows, Mac, inny telefon) oraz kiedy był ostatnio aktywny. Jeśli używasz WhatsAppa wyłącznie na swoim telefonie, ta lista powinna być pusta. Jeśli korzystasz z WhatsApp Web na komputerze domowym lub służbowym, powinieneś rozpoznać każdy pojedynczy wpis.
  • Cokolwiek, czego nie rozpoznajesz — usuń to natychmiast. Dotknij urządzenia, a następnie „Wyloguj", albo użyj opcji „Wyloguj ze wszystkich urządzeń", jeśli nie masz pewności, który wpis jest problemem. To natychmiast odcina dostęp atakującemu; nie wymaga zmiany hasła ani numeru telefonu.

Potem zamknij za sobą drzwi

Usunięcie nieautoryzowanego urządzenia zatrzymuje natychmiastowy dostęp, ale nie powstrzymuje kogoś przed powiązaniem nowego w ten sam sposób. Liczą się dwa kolejne kroki:

  • Włącz weryfikację dwuetapową. Ustawienia → Konto → Weryfikacja dwuetapowa → Włącz. To dodaje 6-cyfrowy PIN, który jest wymagany przy niektórych wrażliwych działaniach i utrudnia komuś ponowne przejęcie kontroli, nawet jeśli znów cię oszuka.
  • Nigdy nie wpisuj kodu we własnych ustawieniach WhatsAppa tylko dlatego, że kazała ci to zrobić jakaś wiadomość. To właśnie rzeczywisty mechanizm tego oszustwa. Legalne powiązanie urządzenia zawsze zaczyna się od tego, że sam otwierasz WhatsApp Web lub aplikację Desktop i skanujesz kod QR aparatem telefonu — nigdy nie inicjuje się go poprzez wpisanie kodu, który przyszedł w czacie, SMS-ie czy linku. Jeśli jakakolwiek strona każe ci to zrobić, zamknij ją.

Jeśli wiadomość przyszła od przyjaciela, nie od ciebie

Nie klikaj linku i nie wysyłaj pieniędzy, jeśli rozmowa przerodzi się w prośbę o nie — to często kolejny krok, gdy atakujący ma już dostęp, ponieważ wiadomość proszącą o pilną gotówkę z konta prawdziwego przyjaciela jest dużo bardziej przekonująca niż ta sama wiadomość od obcej osoby. Zamiast tego skontaktuj się z tym przyjacielem zupełnie innym kanałem — telefonicznie, SMS-em, e-mailem, czymkolwiek, co nie jest samym wątkiem WhatsApp, ponieważ ten wątek może w rzeczywistości nie być nim. Powiedz mu, co dostałeś, i zasugeruj, żeby sprawdził własną listę urządzeń powiązanych. Jeśli okaże się, że jego konto zostało przejęte, powinien w ten sam sposób ostrzec swoje pozostałe kontakty, ponieważ cała strategia atakującego zależy od tego, żeby wiadomość wyglądała dokładnie tak wiarygodnie, jak wygląda teraz.

Nic z tego nie wymaga oprogramowania antywirusowego, menedżera haseł ani żadnego narzędzia poza własnym menu ustawień WhatsAppa. Wymaga świadomości, że lista „urządzeń powiązanych" jest listą wartą sprawdzenia — oraz tego, że prośba o przysługę od prawdziwej osoby nie jest dowodem na to, że ta prośba faktycznie od niej pochodzi.