Kliknąłeś w phishing i podałeś dane? Plan działania na pierwszą godzinę

Link wyglądał jak strona banku, poczty, kuriera albo Microsoft 365. Dopiero po wpisaniu danych zauważyłeś dziwną domenę. A może zatwierdziłeś powiadomienie w telefonie, otworzyłeś załącznik lub zainstalowałeś program polecony przez „konsultanta”. W takiej chwili łatwo zrobić dwie rzeczy naraz: spanikować i tracić czas na działania, które nie odpowiadają temu, co naprawdę się wydarzyło.

Najważniejsze pytanie nie brzmi „czy kliknąłem?”, lecz „co przekazałem lub uruchomiłem?”. Samo otwarcie strony, wpisanie hasła, podanie karty, zatwierdzenie logowania i oddanie zdalnego dostępu to różne incydenty. Pierwsza godzina powinna ograniczyć dalszy dostęp, ochronić pieniądze i pozostawić ślady potrzebne do zgłoszenia.

Najpierw nazwij zdarzenie

Zanim zaczniesz zmieniać wszystko po kolei, zapisz na kartce lub innym, zaufanym urządzeniu, co dokładnie zrobiłeś:

Co się wydarzyło	Najpilniejszy krok
Tylko otworzyłeś stronę, niczego nie pobrałeś i nic nie wpisałeś	Zamknij stronę, zaktualizuj przeglądarkę i zachowaj adres do zgłoszenia
Wpisałeś login i hasło	Zmień hasło na prawdziwej stronie i zakończ obce sesje
Podałeś kod jednorazowy lub zatwierdziłeś logowanie	Traktuj konto jak przejęte; sprawdź urządzenia, metody odzyskiwania i aktywne sesje
Podałeś dane karty lub zatwierdziłeś płatność	Natychmiast skontaktuj się z bankiem przez oficjalny kanał
Pobrałeś plik, aplikację lub rozszerzenie	Przestań używać urządzenia do logowania i poproś o sprawdzenie go
Udostępniłeś ekran lub zdalny pulpit	Odłącz zdalną sesję, sieć i skontaktuj się z bankiem lub IT z innego urządzenia
Podałeś PESEL albo dane dokumentu	Zabezpiecz tożsamość, rozważ zastrzeżenie PESEL i obserwuj próby użycia danych

To rozróżnienie zapobiega zarówno bagatelizowaniu, jak i bezproduktywnemu resetowaniu całego cyfrowego życia. Jeśli nie wiesz, czy strona pobrała plik albo co zatwierdziłeś, przyjmij ostrożniejszy wariant i poproś o pomoc.

Minuty 0–10: zatrzymaj najłatwiejszą drogę wejścia

Jeżeli podałeś hasło, nie wracaj do konta przez link z wiadomości. Otwórz nową kartę, sam wpisz znany adres usługi lub uruchom jej oficjalną aplikację. Najlepiej zrób to na innym, zaufanym urządzeniu, szczególnie jeśli na pierwszym coś instalowałeś.

Zacznij od skrzynki e-mail, jeżeli jej hasło znalazło się na fałszywej stronie. Poczta często pozwala resetować hasła do innych usług, więc jej przejęcie może otworzyć kolejne konta. Ustaw nowe, unikalne hasło. Jeśli starego hasła używałeś gdzie indziej, zapisz te miejsca do późniejszej zmiany — nie kopiuj nowego hasła do wszystkich kont.

Następnie zakończ nieznane lub wszystkie aktywne sesje, sprawdź urządzenia zalogowane do konta oraz numery telefonu i adresy e-mail służące do odzyskiwania. Usuń tylko pozycje, których nie rozpoznajesz. Włącz uwierzytelnianie wieloskładnikowe, a jeśli usługa obsługuje klucze dostępu, rozważ ich użycie po odzyskaniu kontroli.

W firmie nie czekaj do końca tej listy. Zadzwoń do działu IT lub zespołu bezpieczeństwa znanym numerem i powiedz konkretnie: jaka wiadomość, jakie konto, jakie dane oraz o której godzinie. Szybka informacja może pozwolić administratorowi unieważnić sesję, zablokować wiadomość u innych odbiorców i sprawdzić, czy doszło do dalszych działań.

Minuty 10–30: sprawdź, czego sama zmiana hasła nie naprawia

Zmiana hasła jest ważna, ale nie zawsze kończy aktywną sesję napastnika. Dlatego przejrzyj historię logowań, listę urządzeń i połączonych aplikacji. Zwróć uwagę na nową metodę logowania, nieznany klucz dostępu, dodatkowy numer telefonu, obcy adres odzyskiwania albo aplikację z dostępem do poczty czy plików.

W skrzynce sprawdź reguły przekazywania, filtry i automatyczne odpowiedzi. Osoba z dostępem do poczty może ustawić dyskretne przekazywanie wiadomości albo ukrywanie alertów bezpieczeństwa. Sprawdź foldery „Wysłane”, „Usunięte” i kosz. Ostrzeż bliskich lub współpracowników, jeśli z Twojego konta wysłano prośby o pieniądze, pliki albo kody.

Jeżeli ujawniłeś dane karty, kod autoryzacyjny lub dane bankowości, zadzwoń pod numer z karty, oficjalnej aplikacji lub samodzielnie wpisanej strony banku. Powiedz, co podałeś i co zatwierdziłeś. Bank zdecyduje, czy zastrzec kartę, zablokować dostęp, oznaczyć transakcję lub uruchomić procedurę reklamacyjną. Nie przenoś pieniędzy na „bezpieczne konto” i nie wykonuj instrukcji osoby, która kontaktuje się z Tobą w odpowiedzi na incydent.

Jeśli instalowałeś aplikację do zdalnego dostępu, rozszerzenie albo plik, nie używaj tego urządzenia do kolejnych zmian haseł. Rozłącz aktywną sesję, odłącz urządzenie od sieci i skontaktuj się z zaufanym serwisem lub firmowym IT. Hasła zmieniaj z innego urządzenia. Samo usunięcie widocznej aplikacji nie daje pewności, że nie pozostały inne zmiany.

Minuty 30–60: zamknij skutki uboczne i zachowaj dowody

Sprawdź konta, na których używałeś tego samego hasła. Priorytet mają poczta, bank, menedżer haseł, konto Apple lub Google, media społecznościowe i komunikatory. Każde konto powinno otrzymać inne hasło. Jeśli używasz menedżera haseł, nie zmieniaj hasła głównego na urządzeniu, któremu już nie ufasz.

Zachowaj oryginalną wiadomość, adres strony, nazwę nadawcy, numer telefonu, godzinę, potwierdzenia płatności i zrzuty ekranu. Nie musisz dalej otwierać podejrzanego linku, aby zrobić lepszy zrzut. W Polsce podejrzaną stronę lub wiadomość możesz przekazać przez incydent.cert.pl, a SMS z linkiem przesłać na numer 8080. Incydent firmowy zgłoś również wewnętrznym kanałem.

Jeżeli podałeś PESEL lub dane dokumentu, przejdź do planu ochrony tożsamości. Zastrzeżenie PESEL nie cofa wcześniejszego ujawnienia, ale ogranicza część ryzyka wykorzystania numeru. Sprawdź też, czy oszust nie uzyskał zdjęcia dokumentu, selfie, danych rachunku albo dostępu do skrzynki, w której przechowujesz umowy.

Po opanowaniu sytuacji zapisz chronologię. Krótkie zdanie „14:08 wpisałem hasło, 14:14 zmieniłem je, 14:18 zakończyłem sesje” jest dla banku lub zespołu bezpieczeństwa bardziej użyteczne niż ogólne „chyba mnie zhakowano”.

Czego nie robić w panice

Nie odpowiadaj oszustowi, żeby poinformować go, że został rozpoznany. Nie płać osobie, która obiecuje odzyskać konto lub pieniądze. Nie publikuj zrzutów zawierających pełne dane karty, kody, adres e-mail czy numer dokumentu. Nie kasuj całej korespondencji przed zapisaniem potrzebnych informacji.

Nie zakładaj też, że każde kliknięcie oznacza zainfekowanie urządzenia. Jeśli tylko otworzyłeś zwykłą stronę i niczego nie pobrałeś ani nie podałeś, ryzyko jest inne niż po instalacji programu. Aktualizacja przeglądarki i systemu oraz obserwacja urządzenia są rozsądne, ale najważniejsze jest uczciwe ustalenie, czy nastąpił kolejny krok.

Z drugiej strony nie uznawaj sprawy za zamkniętą tylko dlatego, że zmieniłeś hasło. Zatwierdzona sesja, dodana aplikacja, reguła przekazywania poczty lub zmieniony kanał odzyskiwania mogą przetrwać zmianę hasła.

Jak przygotować się, zanim wydarzy się incydent

Warto mieć zapisane oficjalne numery banku i firmowego helpdesku, kod odzyskiwania do najważniejszych kont oraz możliwość użycia drugiego, zaufanego urządzenia. Menedżer haseł ułatwia tworzenie unikalnych haseł, dzięki czemu ujawnienie jednego nie wymusza zmiany kilkudziesięciu identycznych.

Organizacja powinna dać pracownikowi prostą ścieżkę zgłoszenia i jasno powiedzieć, że szybkie przyznanie się do kliknięcia jest właściwym zachowaniem. Kultura zawstydzania sprawia, że ludzie zwlekają, a to właśnie czas może zdecydować, czy incydent zakończy się na jednym haśle.

Co potwierdzają źródła, a co rekomenduje Breachroad

Amerykańska Federalna Komisja Handlu w instrukcji co zrobić po oszustwie zaleca po ujawnieniu loginu i hasła ustawić nowe, mocne hasło, zmienić je także tam, gdzie było powtórzone, oraz włączyć uwierzytelnianie dwuskładnikowe. Po oddaniu dostępu do urządzenia zaleca aktualizację zabezpieczeń, skan i zmianę haseł. Google w procedurze zabezpieczania przejętego konta wskazuje m.in. kontrolę zdarzeń bezpieczeństwa, urządzeń, metod odzyskiwania i ustawień Gmaila. CERT Polska udostępnia kanał zgłaszania incydentów.

Podział pierwszej godziny na przedziały czasowe, kolejność „poczta — pieniądze — sesje — pozostałe konta” i tabela zależna od ujawnionych danych są rekomendacją Breachroad. To model ustalania priorytetów, a nie gwarancja odzyskania pieniędzy lub konta. Więcej o rozpoznawaniu wiadomości przeczytasz w poradniku jak działa phishing, a zespoły ćwiczymy w bezpiecznym zgłaszaniu pomyłek podczas szkoleń z cyberbezpieczeństwa.