Dostałeś kod lub link do resetu hasła, choć o niego nie prosiłeś

Na telefon przychodzi sześciocyfrowy kod. Chwilę później skrzynka pokazuje wiadomość „zresetuj hasło”. Niczego nie resetowałeś. Pierwsza myśl brzmi: ktoś już jest na moim koncie. Druga: trzeba szybko kliknąć link i sprawdzić.

Ani panika, ani kliknięcie nie są potrzebne. Sama wiadomość o resecie nie dowodzi przejęcia konta. Google wyjaśnia, że ktoś mógł omyłkowo wpisać cudzy adres e-mail, a niezamówiona wiadomość nie narusza bezpieczeństwa konta. Microsoft wskazuje kilka możliwości: próbę dostępu, pomyłkę przy wpisywaniu danych albo opóźnione doręczenie wcześniej zamówionego kodu.

Najważniejsza zasada: kod zostaje u ciebie

Nie odpowiadaj na wiadomość i nikomu nie podawaj kodu. Osoba, która za chwilę zadzwoni jako „pomoc techniczna”, nie potrzebuje go do anulowania operacji. Kod służy do potwierdzenia działania, nie do jego zatrzymania.

Nie używaj też linku z wiadomości, aby sprawdzić konto. Nawet jeśli pierwsze powiadomienie było prawdziwe, drugie może być phishingiem podszywającym się pod reakcję bezpieczeństwa. Otwórz znaną aplikację albo samodzielnie wpisz adres usługi w przeglądarce.

Sprawdzenie w pięciu krokach

1. Otwórz konto niezależnym kanałem. Nie klikaj przycisku w SMS-ie ani e-mailu.
2. Sprawdź ostatnią aktywność i zalogowane urządzenia. Zwróć uwagę na nieznane lokalizacje, urządzenia i zmiany ustawień.
3. Sprawdź dane odzyskiwania. Obcy numer telefonu lub e-mail oznacza, że trzeba działać natychmiast.
4. Oceń, czy to pojedynczy komunikat, czy seria. Jeden może być pomyłką. Powtarzające się kody, powiadomienia o logowaniu lub zmianach konta zwiększają ryzyko.
5. W koncie służbowym zgłoś zdarzenie IT. Podaj czas, usługę i rodzaj powiadomienia; nie przesyłaj aktywnego kodu dalej.

Jeśli konto nie pokazuje obcej aktywności, hasło jest unikalne i dotarła tylko jedna prośba, zwykle wystarczy ją zignorować. Microsoft podkreśla, że bez kodu osoba próbująca się zalogować nie przejdzie tego kroku.

Kiedy zmienić hasło

Zmień je, gdy widzisz obce logowanie, niezamówioną zmianę ustawień, serię prób albo masz powód sądzić, że obecne hasło wyciekło lub było używane w innych usługach. Zrób to na oficjalnej stronie, a potem zakończ nierozpoznane sesje.

Nowe hasło powinno być inne dla każdego konta. Menedżer haseł pomaga uniknąć sytuacji, w której jeden wyciek otwiera pocztę, sklep i media społecznościowe. Włącz drugi składnik albo passkey, jeśli usługa je oferuje, oraz zachowaj kody odzyskiwania w bezpiecznym miejscu.

Jeśli powiadomienie informuje, że hasło zostało już zmienione, a nie tylko poproszono o reset, potraktuj to jako pilny incydent. Użyj oficjalnej procedury odzyskiwania, sprawdź pocztę i zakończ aktywne sesje. W firmie nie próbuj rozwiązywać sprawy samotnie.

Uważaj na rozmowę po wiadomości

Napastnik może sam uruchomić reset, a następnie zadzwonić i wykorzystać prawdziwy kod jako element wiarygodnej historii. Może znać imię, nazwę pracodawcy i ostatnie cyfry numeru. Żaden z tych szczegółów nie zmienia przeznaczenia kodu.

Podobnie działa zalew próśb o zatwierdzenie logowania: człowiek ma nacisnąć przycisk dla świętego spokoju. Jeśli zamiast kodu widzisz serię powiadomień w aplikacji, odrzuć je i postępuj zgodnie z poradnikiem o nieoczekiwanym powiadomieniu MFA.

Fakty i wniosek Breachroad

Możliwe przyczyny niezamówionej wiadomości oraz fakt, że kodu nie należy przekazywać, pochodzą z oficjalnych materiałów Google i Microsoftu. Pięcioetapowe sprawdzenie, rozróżnienie prośby od wykonanej zmiany i zasada niezależnego kanału są rekomendacją Breachroad.

Nie każde powiadomienie oznacza włamanie, ale każde wymaga tej samej spokojnej reakcji: nie używaj otrzymanego linku, nie udostępniaj kodu i sprawdź konto bezpośrednio. Więcej o zabezpieczeniu dostępu opisujemy w poradniku MFA w firmie. Szkolenia cyberbezpieczeństwa dla pracowników pozwalają przećwiczyć taki moment, zanim prawdziwy rozmówca zacznie wywierać presję.