E-mail mówi: „mam nagranie z Twojej kamery” i pokazuje stare hasło. Nie płać

Wiadomość zaczyna się od zdania, które ma zatrzymać oddech: „Mam dostęp do Twojego urządzenia”. Nadawca twierdzi, że zainstalował program szpiegujący, przejął kamerę i nagrał intymny film. Grozi wysłaniem materiału do rodziny, współpracowników i wszystkich kontaktów. Daje 24 lub 48 godzin na zapłatę w kryptowalucie.

W treści pojawia się hasło, którego naprawdę kiedyś używałeś. To sprawia, że reszta historii brzmi wiarygodnie. Jednak znajomość starego hasła najczęściej nie dowodzi dostępu do kamery. Dane logowania mogły pochodzić z wcześniejszego wycieku i zostać połączone z adresem e-mail. Oszust wysyła podobną groźbę masowo, licząc, że strach i wstyd skłonią część odbiorców do zapłaty.

Nie odpowiadaj i nie płać. Najpierw oceń, co wiadomość rzeczywiście zawiera, zabezpiecz konta i zachowaj dowody. Jednocześnie nie zakładaj automatycznie, że każda groźba jest blefem — wiadomość z realnym, prywatnym materiałem lub dowodem aktywnego dostępu wymaga dodatkowych działań.

Co naprawdę potwierdza hasło w wiadomości

Hasło pokazuje, że nadawca zna ciąg znaków powiązany kiedyś z Twoim adresem. Nie pokazuje, skąd go ma, czy nadal działa ani czy ktokolwiek uzyskał dostęp do urządzenia.

Wycieknięte bazy są kopiowane i łączone przez lata. Stare hasło do sklepu, forum lub serwisu rozrywkowego może zostać użyte w szantażu długo po zmianie. Wiadomość często nie podaje nazwy konkretnego urządzenia, prawdziwego pliku, daty nagrania ani fragmentu materiału, ponieważ nadawca ich nie ma.

Jeżeli pokazane hasło nadal jest aktywne gdziekolwiek, potraktuj je jako osobny incydent. Zmień je w danej usłudze i wszędzie, gdzie zostało użyte ponownie. Zacznij od poczty, ponieważ dostęp do skrzynki może ułatwić resetowanie innych kont.

Typowe elementy masowego blefu

ogólna opowieść o „zaawansowanym programie” bez sprawdzalnego szczegółu;
brak nazwy urządzenia, systemu, pliku lub dokładnej daty;
stare albo nieużywane hasło w pierwszym akapicie;
twierdzenie, że wiadomość została wysłana „z Twojego konta”;
licznik 24–48 godzin, który ma uniemożliwić konsultację;
żądanie kryptowaluty na wskazany adres;
zakaz kontaktu z policją, rodziną lub specjalistą;
groźba wysłania filmu do „wszystkich kontaktów” bez pokazania listy.

Adres nadawcy może wyglądać jak Twój własny. Pole „Od” w e-mailu nie jest pewnym dowodem, że wiadomość opuściła Twoją skrzynkę. Sprawdź folder wysłanych wiadomości, historię logowań, reguły przekazywania i aktywne sesje w panelu dostawcy poczty.

Kiedy sytuacja może być czymś więcej niż masową wiadomością

Podejdź do sprawy jak do możliwego przejęcia lub rzeczywistego szantażu, jeśli nadawca:

przesyła fragment autentycznego, prywatnego zdjęcia lub filmu;
zna bieżące hasło albo pokazuje aktywną sesję;
podaje treść niedawnej prywatnej korespondencji;
zmienił dane odzyskiwania konta;
publikuje materiał lub kontaktuje się z bliskimi;
grozi przemocą i zna aktualne miejsce pobytu;
uzyskał materiał podczas relacji, rozmowy wideo albo wcześniejszego kontaktu.

Nie negocjuj samodzielnie. Zachowaj wiadomości i metadane, nie przesyłaj kolejnych zdjęć, nie wykonuj poleceń i skontaktuj się z policją. Jeżeli materiał dotyczy osoby niepełnoletniej, sytuacja wymaga natychmiastowego wsparcia dorosłego i właściwych służb; nie kopiuj ani nie rozsyłaj materiału jako „dowodu”.

Osobie dorosłej może pomóc nasz osobny plan dotyczący intymnego zdjęcia lub deepfake’u opublikowanego bez zgody. Sam fakt istnienia prawdziwego materiału nie oznacza, że zapłata zatrzyma jego rozpowszechnienie.

Co zrobić w pierwszej godzinie

1. Nie odpowiadaj i nie wysyłaj pieniędzy

Odpowiedź potwierdza, że adres jest aktywny i że groźba dotarła do osoby. Zapłata nie daje kontroli nad rzekomą kopią. Może natomiast oznaczyć ofiarę jako skłonną do dalszych wpłat.

2. Zachowaj dowody

Zrób zrzuty pokazujące nadawcę, temat, datę, adres portfela i pełną treść. Zachowaj oryginalną wiadomość wraz z nagłówkami, jeżeli potrafisz je wyeksportować. Nie klikaj linków i nie otwieraj załączników.

3. Zabezpiecz pocztę

Wejdź do skrzynki przez własną zakładkę lub aplikację. Zmień hasło na unikalne, wyloguj obce sesje, włącz uwierzytelnianie wieloskładnikowe i sprawdź dane odzyskiwania. Przejrzyj reguły przekazywania, filtry i adresy, na które wysyłane są kopie.

4. Usuń ponowne użycie hasła

Jeżeli hasło z szantażu występuje jeszcze w innych usługach, zmień je w każdej z nich. Nie twórz prostych odmian przez dodanie cyfry. Menedżer haseł ułatwia przypisanie osobnego hasła do każdego konta.

5. Oceń urządzenie według faktów

Zaktualizuj system i aplikacje, uruchom zaufany skan zabezpieczeń oraz sprawdź nieznane programy i rozszerzenia. Nie instaluj „narzędzia do usunięcia nagrania” z linku w wiadomości. Sam szantaż bez innych oznak nie dowodzi infekcji, ale podstawowa kontrola jest rozsądna.

Czy zasłonięcie kamery rozwiązuje problem

Fizyczna osłona kamery może zwiększyć prywatność, ale nie jest odpowiedzią na wyciek hasła i nie zabezpiecza mikrofonu, konta pocztowego ani plików w chmurze. Traktuj ją jako dodatkowy nawyk, nie dowód, że wiadomość była prawdziwa lub fałszywa.

Ważniejsze są unikalne hasła, MFA, aktualizacje, przegląd uprawnień aplikacji i ostrożność wobec instalatorów. Gdy wskaźnik kamery zachowuje się nietypowo albo urządzenie ma inne objawy, skorzystaj z pomocy zaufanego specjalisty. Nie dzwoń do numeru z szantażu ani przypadkowej reklamy „pomocy hakerskiej”.

Wstyd jest częścią mechanizmu

Treść ma sprawić, że odbiorca ukryje problem. Nawet osoba, która nigdy nie odwiedzała opisanych stron, może poczuć lęk: „a co, jeśli ktoś mi nie uwierzy?”. Oszust nie musi wiedzieć nic o zachowaniu ofiary. Wystarczy, że temat utrudnia proszenie o pomoc.

Powiedz jednej zaufanej osobie. Drugi człowiek łatwiej zobaczy ogólniki, stare hasło i masowy charakter wiadomości. W firmie zgłoś incydent zespołowi bezpieczeństwa, szczególnie jeśli wiadomość przyszła na służbową skrzynkę lub hasło było używane w pracy. Dobre zgłoszenie nie powinno wymagać tłumaczenia prywatnych nawyków.

Nie zawstydzaj osoby, która otrzymała szantaż. Spokojna reakcja zwiększa szansę, że ujawni kolejne wiadomości, próby logowania lub prawdziwy materiał.

Jeśli zapłaciłeś

Nie wysyłaj kolejnej kwoty, nawet jeśli nadawca obiecuje „ostateczne usunięcie” pliku. Zachowaj adres portfela, identyfikator transakcji, kwotę i czas. Skontaktuj się z giełdą lub usługą, przez którą zakupiono kryptowalutę, oraz zgłoś sprawę policji. Transakcje kryptowalutowe mogą być trudne do odwrócenia, ale dane nadal są ważne dla śledztwa.

Uważaj na późniejszą ofertę odzyskania środków lub zhakowania szantażysty za zaliczkę. Informacja o osobie, która zapłaciła, może posłużyć do kolejnej próby. Podejrzaną wiadomość lub stronę zgłoś przez incydent.cert.pl.

Fakty źródłowe i rekomendacje Breachroad

Brytyjskie National Cyber Security Centre opisuje ten schemat jako phishing: nadawca często nie wie, czy odbiorca ma kamerę lub odwiedzał wskazane strony, a techniczne szczegóły i hasło mają uczynić masowy blef bardziej wiarygodnym. Amerykańska Federalna Komisja Handlu potwierdza, że hasło może pochodzić z wcześniejszego wycieku i zaleca, by nie płacić szantażystom żądającym Bitcoina.

Podział na oznaki masowego blefu i realnego przejęcia, plan pierwszej godziny oraz zasada rozmowy z zaufaną osobą są rekomendacjami Breachroad. Nie zastępują działań policji w przypadku rzeczywistej groźby. Higienę po ujawnieniu hasła rozwijamy w poradniku silne hasła: mity i praktyka, a bezpieczne zgłaszanie podobnych sytuacji ćwiczymy podczas szkoleń z cyberbezpieczeństwa.