Większość z nas ma w głowie coś w rodzaju czujnika alarmowego na hasło „moje konto zostało zhakowane": e-mail o resetowaniu hasła, o który nie prosiliśmy, SMS o logowaniu z nieznanego miasta, nagle zablokowane konto. Ten czujnik miał sens, gdy głównym zagrożeniem było zgadywanie lub łamanie hasła metodą brute-force. Nie działa niemal wcale w przypadku metod dostępu pojawiających się w ostatnich incydentach, które zostały zaprojektowane specjalnie po to, by go nie uruchamiać.

Dwa przykłady z ostatnich tygodni dobrze ilustrują ten wzorzec. Malwarebytes opisał oszustwo na WhatsApp (opublikowane 3 sierpnia 2026 r.), w którym ofiary są prowadzone przez proces wyglądający jak „konfiguracja WhatsApp Web" — czasem nawet na prawdziwej domenie wa.me — i w efekcie wpisują kod, który łączy urządzenie atakującego z ich kontem. Nigdzie nie trzeba wpisywać hasła, więc nie wysyła się żaden e-mail o resetowaniu hasła ani nie uruchamia się żaden alert o nieudanym logowaniu. Urządzenie atakującego po prostu staje się kolejnym niepozornym wpisem na liście połączonych urządzeń konta, z pełnym dostępem do odczytu i wysyłania wiadomości, co następnie wykorzystuje do przeprowadzenia tego samego oszustwa na kontaktach ofiary. Osobno Microsoft ostrzegł przed kampanią, którą nazywa „CaptiveCrunch", przechwytującą podróżnych na portalach powitalnych sieci Wi-Fi w hotelach i na konferencjach, przekierowującą ich na fałszywe strony logowania, które zbierają nie tylko hasła, ale też kody urządzeń i tokeny OAuth — dane uwierzytelniające dające dostęp bez generowania powiadomienia o „nowym logowaniu", jakie wywołałaby zmiana hasła.

Wspólny mianownik: oba ataki celują w mechanizmy sesji i autoryzacji — połączone urządzenia, uprawnienia OAuth, kody urządzeń — a nie w samo hasło. Wbudowany system powiadomień Twojego konta został zaprojektowany, by pilnować frontowych drzwi. Te metody wchodzą tylnymi drzwiami, których on nie monitoruje.

Co z tym faktycznie zrobić

Nie możesz czekać na powiadomienie, które nigdy nie nadejdzie. Zamiast tego traktuj sprawdzanie własnych połączonych urządzeń i autoryzowanych aplikacji jako rutynę, którą wykonujesz sam, tak jak sprawdzasz baterie w czujniku dymu. Oto konkretny plan działania, krok po kroku:

1. Sprawdź połączone/aktywne urządzenia w aplikacjach do wiadomości

  • WhatsApp: Ustawienia → Połączone urządzenia. Jeśli widzisz coś, czego nie rozpoznajesz, dotknij tego i wybierz „Wyloguj".
  • Telegram: Ustawienia → Urządzenia. Ta sama zasada — zakończ każdą sesję, która nie jest urządzeniem fizycznie trzymanym teraz w ręce.
  • Signal: Ustawienia → Połączone urządzenia, ta sama kontrola.

2. Sprawdź aktywne sesje i dostęp aplikacji zewnętrznych na swoich najważniejszych kontach

  • Google: myaccount.google.com/security → „Twoje urządzenia" oraz „Aplikacje innych firm z dostępem do konta". Cofnij dostęp wszystkiemu, czego nie rozpoznajesz, i zwróć szczególną uwagę na aplikacje, którym przyznałeś dostęp miesiące lub lata temu i o których zapomniałeś — stare uprawnienie jest dla atakującego tak samo użyteczne jak świeże.
  • Microsoft: account.microsoft.com/security → „Aktywność logowania" oraz „Uprawnienia aplikacji".
  • Apple ID: Ustawienia → [twoje imię i nazwisko] → sprawdź listę urządzeń na dole.
  • Facebook/Instagram: Ustawienia → „Gdzie jesteś zalogowany(a)" / „Aktywne sesje", a także „Aplikacje i strony internetowe" w celu sprawdzenia dostępu podłączonych aplikacji zewnętrznych.

3. Zachowaj podejrzliwość wobec każdego procesu, który prosi o wpisanie kodu zamiast hasła

Legalne procesy „połącz to urządzenie" rzeczywiście korzystają z kodów — to samo w sobie nie jest sygnałem ostrzegawczym. To, co powinno cię zatrzymać, to okoliczność wywołująca prośbę: jeśli monit o wpisanie kodu pojawia się w związku z wiadomością od kontaktu („zagłosuj na mnie", „zobacz to"), portalem powitalnym publicznej sieci Wi-Fi lub jakimkolwiek linkiem, którego sam nie zainicjowałeś, traktuj to jako wrogie działanie, dopóki nie udowodni się inaczej. Zamknij to i przejdź bezpośrednio do aplikacji lub konta, zamiast kontynuować z poziomu linku.

4. Sprawdź, czy twój e-mail pojawił się w znanym wycieku danych

Have I Been Pwned (haveibeenpwned.com), prowadzony przez badacza bezpieczeństwa Troy'a Hunta, to darmowa, ugruntowana usługa pozwalająca sprawdzić, czy twój adres e-mail pojawił się w znanych wyciekach danych — jest na tyle wiarygodna, że korzystają z niej rządy państw dla własnych domen (narodowe centrum cyberbezpieczeństwa Nepalu zostało, według doniesień z tego tygodnia, 47. rządem, który się do niej podłączył). Nie wykryje włamania przez połączone urządzenie, ale to szybka, darmowa kontrola warta przeprowadzenia dla twoich głównych adresów e-mail i dobry pierwszy krok, jeśli podejrzewasz jakiś problem z kontem, a nie wiesz, od czego zacząć.

5. W niezaufanych sieciach — Wi-Fi w hotelu, na konferencji, na lotnisku — unikaj logowania się do czegokolwiek wrażliwego bezpośrednio przez stronę portalu powitalnego

Jeśli strona logowania do sieci Wi-Fi w hotelu lub innym miejscu prosi o aktualizację oprogramowania, wyświetla okno „kontroli bezpieczeństwa" albo żąda logowania przez Microsoft/Google, zanim przyzna dostęp do internetu, zachowaj czujność — najpierw się połącz, a właściwe logowania wykonaj przez połączenie komórkowe telefonu lub VPN, a nie przez stronę, którą podsuwa ci sieć.

Wpisz to do kalendarza

Jednorazowe posprzątanie rozwiąże dzisiejszy problem, ale nie ten z przyszłego kwartału. Ustaw cykliczne przypomnienie — co kwartał to rozsądna częstotliwość, albo powiąż to z czymś, co i tak robisz regularnie, jak zmiana pory roku czy powtarzający się rachunek — i przejdź przez kroki 1 i 2 powyżej dla dwóch lub trzech swoich najważniejszych kont: głównego e-maila, najczęściej używanej aplikacji do wiadomości oraz każdego konta powiązanego z twoimi finansami. Zajmuje to mniej niż piętnaście minut, gdy już wiesz, gdzie szukać odpowiednich menu, i jest to jedyny pewny sposób, by wykryć dostęp zaprojektowany specjalnie po to, by cię nie zaalarmować.