„Podeślij kod BLIK” — przejęcia kont na Facebooku

Dostajesz wiadomość na Messengerze od znajomego: „Hej, masz chwilę? Zablokowali mi BLIK-a, możesz podesłać kod, oddam wieczorem.” Piszesz z prawdziwym kontem prawdziwej osoby — tyle że po drugiej stronie siedzi przestępca. To jeden z najskuteczniejszych scenariuszy 2026 roku, bo wykorzystuje zaufanie, którego technologia nie chroni.

Skąd bierze się przejęte konto

Zanim padnie prośba o kod, przestępca musi przejąć czyjeś konto. Najczęstsze drogi:

Phishing loginu — fałszywy panel logowania Facebooka (link „zobacz kto oglądał Twój profil”, „Twoje konto zostanie usunięte”).
Przejęcie e-maila podpiętego do konta, a przez niego reset hasła.
Wyciekłe hasła używane w wielu serwisach (credential stuffing).

Po przejęciu konto staje się narzędziem do atakowania listy znajomych — bo wiadomość od znanej osoby ma ogromną wiarygodność.

Nie należy zakładać jednego wektora wejścia. Oprócz phishingu i ponownie użytych haseł napastnik może przejąć aktywną sesję, nadużyć procedury odzyskiwania albo wykorzystać skrzynkę pocztową. Dlatego po incydencie sama zmiana hasła na Facebooku nie wystarcza: trzeba zabezpieczyć również e-mail, zakończyć obce sesje i przejrzeć dane odzyskiwania.

Dwa najczęstsze warianty

Kod BLIK. „Znajomy” prosi o kod BLIK pod pretekstem chwilowego problemu. Kod, który podasz, przestępca natychmiast wpłaca w bankomacie lub w sklepie — a Ty tracisz pieniądze bez śladu przelewu.

Skan dowodu i pożyczka. Groźniejszy wariant: przejęte konto prosi o zdjęcie dowodu „do weryfikacji” albo namawia na „chwilówkę na chwilę”. Skan dowodu to materiał do zakładania kont i wyłudzania kredytów na Twoje dane. Niebezpiecznik opisywał przypadki, w których ofiary orientowały się dopiero po sygnale od innego znajomego.

Jak rozpoznać, że to nie znajomy

Nietypowa prośba o pieniądze, kod BLIK lub dokumenty — nawet jeśli pisze „prawdziwe” konto.
Zmiana stylu wypowiedzi, dziwne literówki, unikanie rozmowy głosowej.
Presja i tajemniczość („tylko nie dzwoń, jestem na spotkaniu”).

Złota zasada: zweryfikuj innym kanałem. Zadzwoń do znajomego albo napisz SMS-a. Jedno pytanie zadane głosem rozbraja cały atak.

Kod BLIK nie kończy transakcji samodzielnie: bank wyświetla w aplikacji prośbę o jej zatwierdzenie. To ostatni moment na kontrolę kwoty i rodzaju operacji. Nie akceptuj transakcji, której sam nie rozpocząłeś, nawet jeśli rozmówca zna szczegóły z życia znajomego. Przejęte konto zapewnia dostęp do historii postów i konwersacji, więc poprawna odpowiedź na proste pytanie nie musi potwierdzać tożsamości.

Jak się zabezpieczyć

Włącz dwuskładnikowe uwierzytelnianie (2FA) na Facebooku i na koncie e-mail — najlepiej aplikacją typu authenticator, nie SMS-em. Używaj unikalnych haseł (menedżer haseł to dziś podstawa), sprawdź aktywne sesje i urządzenia w ustawieniach bezpieczeństwa, i podepnij do konta drugi adres e-mail do odzyskiwania.

I najważniejsze — nikomu, nigdy, pod żadnym pretekstem nie podawaj kodu BLIK ani skanu dowodu na prośbę z czatu. Kod BLIK służy wyłącznie do tego, żebyś Ty zapłacił. To ta sama lekcja, co przy phishingu: najskuteczniejsze ataki celują w człowieka, nie w system.

Odzyskanie przejętego konta

Skorzystaj bezpośrednio z oficjalnego procesu Meta pod adresem facebook.com/hacked, a nie z linku przesłanego w wiadomości. Z bezpiecznego urządzenia zmień hasło do Facebooka i powiązanego e-maila, wyloguj pozostałe sesje, usuń nieznane metody MFA i sprawdź adresy oraz numery odzyskiwania. Jeżeli konto zarządza stroną firmową lub reklamami, skontroluj role administratorów, metody płatności i nowe kampanie.

Ostrzeż znajomych innym kanałem. Zachowaj zrzuty rozmów, identyfikatory transakcji i czasy zdarzeń. Jeśli zatwierdziłeś płatność, natychmiast powiadom bank i złóż zawiadomienie — nie czekaj na odpowiedź przestępcy. W firmie przejęcie konta społecznościowego powinno trafić do normalnego procesu obsługi incydentu, bo sesja przeglądarki lub skrzynka pocztowa mogą dawać dostęp także do innych usług.

Minimum dla profilu firmowego

Stosuj oddzielne konta imienne zamiast jednego współdzielonego loginu, najmniejsze niezbędne role, MFA dla każdego administratora i okresowy przegląd dostępów. Zapisz kody odzyskiwania poza urządzeniem oraz ustal, kto kontaktuje się z Meta i bankiem. Ćwiczenie odzyskania dostępu jest wartościowsze niż procedura, której nikt wcześniej nie otworzył.

Zarządzasz firmowymi profilami w mediach społecznościowych? Pomagamy wdrożyć MFA i procedury odzyskiwania dostępu w ramach usług bezpieczeństwa dla firm — a w razie przejęcia konta skontaktuj się z nami.

Źródła: Meta — odzyskiwanie przejętego konta, Meta — Security Checkup, CERT Polska — raport roczny 2025.