„Zagłosujesz na moje dziecko?” Niewinna wiadomość może przejąć Twój WhatsApp

Wiadomość przychodzi od osoby, którą znasz: „Możesz szybko zagłosować na córkę koleżanki? Brakuje jednego głosu”. Nie ma prośby o pieniądze ani groźby. Jest drobna przysługa, sympatyczne zdjęcie i link do konkursu. To właśnie sprawia, że ten scenariusz działa.

Pułapka zaczyna się później. Strona prosi o numer telefonu, kod otrzymany SMS-em albo zeskanowanie kodu QR w ustawieniach WhatsAppa. Nie potwierdzasz wtedy głosu. Możesz właśnie rejestrować swoje konto na urządzeniu oszusta.

Znajomy może być prawdziwy, ale wiadomość nie

Taki link często rozsyła już przejęte konto. Zdjęcie profilowe, imię i wspólna historia rozmowy są prawdziwe, bo oszust korzysta z tożsamości właściciela. Następnie powtarza ten sam schemat wobec jego kontaktów.

Nie musisz więc rozstrzygać, czy znajomy „wygląda wiarygodnie”. Wystarczy ocenić czynność. Zwykłe głosowanie nie powinno wymagać kodu, którym logujesz komunikator na nowym urządzeniu, ani wejścia do sekcji „Połączone urządzenia”. Kod opisany przez WhatsApp jako kod rejestracji służy do konta, nie do konkursu.

Najbezpieczniejsza odpowiedź brzmi: „Jasne, ale najpierw do Ciebie zadzwonię”. Krótka rozmowa pod znanym wcześniej numerem szybko pokaże, czy właściciel konta rzeczywiście wysłał prośbę.

Trzy momenty, w których należy się zatrzymać

Pierwszy to niespodziewany link, nawet od bliskiej osoby. Samo otwarcie nie musi oznaczać utraty konta, ale nie wpisuj na stronie danych logowania i nie wykonuj kolejnych instrukcji.

Drugi to prośba o kod z SMS-a. Przeczytaj całą wiadomość, nie tylko cyfry. Usługa zwykle wyjaśnia, czego dotyczy kod i ostrzega, aby nikomu go nie przekazywać.

Trzeci to kod QR. Jeżeli strona każe otworzyć WhatsApp, wejść w „Połączone urządzenia” i coś zeskanować, nadajesz innemu urządzeniu dostęp do komunikatora. Konkurs nie potrzebuje takiego uprawnienia.

Jeśli kod został już podany albo QR zeskanowany

Otwórz WhatsApp bezpośrednio, przejdź do listy połączonych urządzeń i wyloguj te, których nie rozpoznajesz. Włącz weryfikację dwuetapową oraz sprawdź, czy do konta nadal przypisany jest Twój numer i adres odzyskiwania. Jeśli utraciłeś dostęp, korzystaj wyłącznie z oficjalnej procedury odzyskiwania WhatsAppa.

Ostrzeż kontakty innym kanałem, że wiadomości o głosowaniu lub pieniądzach mogły wyjść z przejętego konta. Nie przesyłaj dalej aktywnego linku. Wystarczy zrzut ekranu z zasłoniętymi danymi i krótki opis.

Jeśli oszust zdążył poprosić kogoś o przelew, BLIK lub dane karty, ta osoba powinna natychmiast skontaktować się ze swoim bankiem. Podejrzaną stronę można zgłosić przez incydent.cert.pl, a SMS z linkiem przesłać na numer 8080.

Co powinny z tego wziąć firmy i szkoły

Nie wystarczy powtarzać „nie klikaj linków od obcych”. Tutaj nadawcą jest znana osoba, a prośba nie brzmi groźnie. Lepsza reguła brzmi: kod rejestracji i ekran łączenia urządzenia zawsze dotyczą Twojego konta, niezależnie od historii opowiedzianej w wiadomości.

W firmowym komunikatorze podobna przysługa może dotyczyć ankiety, głosowania na projekt albo potwierdzenia obecności. Pracownik powinien mieć prosty kanał do zgłoszenia wiadomości, a zespół wsparcia gotowy komunikat ostrzegający resztę organizacji bez zawstydzania osoby, która kliknęła.

Co potwierdza źródło, a co rekomenduje Breachroad

Singapore Police Force opisała 10 lutego 2026 roku wiadomości z prośbą o głos na dziecko w konkursie. Według komunikatu fałszywa strona prosiła o numer i jednorazowy kod albo o zeskanowanie QR, co w rzeczywistości łączyło konto WhatsApp z urządzeniem oszusta. Potem przejęte konto rozsyłało tę samą prośbę dalej lub prosiło kontakty o pieniądze. To opis zgłoszeń z Singapuru, a nie potwierdzenie konkretnej kampanii w Polsce.

Rekomendacją Breachroad jest ocenianie żądanej czynności zamiast samego nadawcy. Prośba może przyjść z prawdziwego konta znajomego, ale kod logowania nadal pozostaje kodem logowania. Warto też znać podobny mechanizm opisany w poradniku „Mamo, mam nowy numer”. Organizacjom pomagamy przećwiczyć takie spokojne decyzje podczas szkoleń z cyberbezpieczeństwa dla pracowników.