Prawdziwa strona logowania też może prowadzić do oszustwa. Przeczytaj ekran „Zezwól”

Dostajesz zaproszenie do dokumentu, konferencji albo rozmowy z dziennikarzem. Link otwiera prawdziwą stronę logowania Google, Microsoftu lub innego znanego dostawcy. Adres się zgadza, hasło działa, a drugi składnik logowania pojawia się jak zwykle. Potem widzisz ekran z przyciskiem „Zezwól”.

To właśnie ten ostatni ekran może być celem oszustwa. Nie przekazujesz hasła fałszywej stronie. Nadajesz obcej aplikacji prawo do działania na Twoim prawdziwym koncie.

Kłódka potwierdza stronę, nie intencje aplikacji

Wygodne przyciski „Zaloguj przez Google” lub „Zaloguj przez Microsoft” pozwalają łączyć usługi bez tworzenia kolejnego hasła. Aplikacja może poprosić o podstawowe dane profilu, ale może też żądać odczytu poczty, wysyłania wiadomości, dostępu do plików, kontaktów lub kalendarza.

Prawdziwa strona dostawcy uczciwie wyświetla taką prośbę. Nie wie jednak, czy spodziewałeś się aplikacji i czy osoba wysyłająca link mówi prawdę. Bezpieczna domena nie zamienia szerokiej zgody w dobry pomysł.

Przed kliknięciem przeczytaj trzy rzeczy: nazwę aplikacji, dane wydawcy oraz listę czynności, na które się zgadzasz. Pytanie nie brzmi tylko „czy ufam Google lub Microsoftowi?”, lecz „czy znam tę konkretną aplikację i czy naprawdę potrzebuje mojej poczty lub plików?”.

Zaproszenie nie powinno wymagać oddania skrzynki

Oszust może podszyć się pod organizatora wydarzenia, urząd, redakcję albo osobę udostępniającą dokument. Historia wyjaśnia, dlaczego masz się spieszyć, a ekran uprawnień wygląda jak formalność między logowaniem a treścią.

Zatrzymaj się, gdy nazwa aplikacji jest ogólna, wydawca nieznany, a uprawnienia wykraczają poza cel. Prosty podgląd dokumentu nie potrzebuje wysyłania wiadomości w Twoim imieniu. Rejestracja na wydarzenie nie potrzebuje dostępu do wszystkich plików.

Jeśli nie masz pewności, zamknij kartę i skontaktuj się z nadawcą innym kanałem. W pracy zapytaj IT lub właściciela usługi, czy aplikacja jest zatwierdzona. Nie wysyłaj całego linku na publiczny czat; wystarczy nazwa, zrzut ekranu uprawnień i informacja, skąd przyszła prośba.

Sama zmiana hasła może nie wystarczyć

Po kliknięciu „Zezwól” aplikacja może otrzymać własny dostęp, który działa bez ponownego wpisywania hasła. Dlatego zmiana hasła nie zawsze odbiera jej przyznane prawa.

Jeśli zgoda została udzielona, otwórz ustawienia konta bezpośrednio i znajdź listę połączonych aplikacji lub usług zewnętrznych. Cofnij dostęp aplikacji, której nie rozpoznajesz, i sprawdź ostatnią aktywność konta. W skrzynce poszukaj wysłanych wiadomości i reguł, których nie tworzyłeś. W firmie zgłoś sytuację natychmiast, bo administrator może zobaczyć zakres zgody i unieważnić dostęp szerzej.

Nie usuwaj wiadomości źródłowej przed zgłoszeniem. Zachowaj nazwę aplikacji, listę uprawnień, czas i nadawcę. Te informacje są bardziej użyteczne niż samo stwierdzenie „kliknąłem podejrzany link”.

Jak firma może uprościć dobrą decyzję

Ekran zgody jest trudny do oceny, jeśli pracownik widzi go pierwszy raz podczas pilnego zadania. Organizacja powinna pokazać na przykładach, jak wyglądają podstawowe i nadmierne uprawnienia, oraz opublikować listę zatwierdzonych aplikacji lub prosty kanał weryfikacji.

Administrator może ograniczyć samodzielne zgody na bardziej ryzykowne uprawnienia i wymagać akceptacji. Nie zastępuje to rozmowy z pracownikami, ale przenosi najtrudniejsze decyzje do osoby, która zna kontekst i może ocenić dostawcę.

Co potwierdza źródło, a co rekomenduje Breachroad

FBI opisało 1 września 2026 roku kampanię przejmowania kont przez zgodę dla obcej aplikacji. Od końca 2025 roku sprawcy kontaktowali się z rozpoznawalnymi osobami, ich rodzinami i znajomymi, podszywając się między innymi pod urzędników, media lub organizatorów wydarzeń. Prawdziwy ekran zgody pozwalał złośliwej aplikacji czytać i wysyłać pocztę oraz uzyskiwać dostęp do danych. FBI podkreśla, że cofnięcie zgody jest konieczne, a sama zmiana hasła nie musi jej unieważnić. Źródło nie twierdzi, że każda prośba o zgodę jest złośliwa ani że kampania masowo dotyczy Polski.

Wnioskiem Breachroad jest traktowanie ekranu „Zezwól” jak decyzji o dostępie, a nie ostatniego kroku logowania. Więcej o sprawdzaniu nieoczekiwanych plików znajdziesz w poradniku ktoś udostępnił Ci dokument. Firmom pomagamy przełożyć takie komunikaty na proste zachowania podczas szkoleń z cyberbezpieczeństwa dla pracowników.