Co zrobić po kliknięciu w podejrzany link? Instrukcja krok po kroku

Kliknięcie w podejrzany link nie zawsze oznacza, że komputer lub telefon został zainfekowany. O poziomie zagrożenia decyduje przede wszystkim to, co wydarzyło się później: czy podałeś hasło, dane karty, pobrałeś plik albo zainstalowałeś aplikację.

Najważniejsze jest szybkie, ale spokojne działanie. Zamknij podejrzaną stronę, nie wykonuj kolejnych poleceń i ustal, jakie informacje mogły trafić do oszustów.

Kliknąłem w podejrzany link – co zrobić najpierw?

Pierwszym krokiem powinno być przerwanie kontaktu z podejrzaną stroną. Zamknij kartę przeglądarki i nie klikaj znajdujących się na niej przycisków, nawet jeśli pojawi się informacja o wykryciu wirusa, zablokowaniu konta albo konieczności pilnego kontaktu z pomocą techniczną.

Nie dzwoń pod numer telefonu wyświetlony na stronie. Nie pobieraj programu, który ma rzekomo sprawdzić lub zabezpieczyć urządzenie. Nie podawaj też kodu otrzymanego w wiadomości SMS. Oszuści często próbują wywołać presję, aby użytkownik nie miał czasu na zastanowienie się nad sytuacją.

Warto jednak zachować podstawowe informacje o zdarzeniu:

• zrób zrzut ekranu otrzymanej wiadomości,
• zapisz adres strony, o ile jest nadal widoczny w historii przeglądarki,
• zanotuj godzinę zdarzenia,
• zachowaj adres nadawcy wiadomości e-mail,
• nie usuwaj SMS-a ani korespondencji w komunikatorze,
• sprawdź folder pobranych plików.

Takie materiały mogą pomóc podczas kontaktu z bankiem, operatorem serwisu, administratorem firmowej sieci albo Policją. Nie wracaj jednak na fałszywą stronę wyłącznie po to, aby zrobić dodatkowe zdjęcie lub ponownie skopiować jej adres.

Samo otwarcie strony w większości przypadków nie prowadzi jeszcze do kradzieży danych. Najczęściej potrzebna jest dodatkowa czynność użytkownika, na przykład wpisanie hasła, zatwierdzenie płatności, pobranie pliku albo udzielenie aplikacji określonych uprawnień. Nie oznacza to jednak, że każdy link jest bezpieczny. Nieaktualna przeglądarka lub system mogą zawierać luki wykorzystywane przez złośliwe strony.

Jeżeli podejrzana wiadomość wyglądała jak komunikat banku, firmy kurierskiej lub portalu społecznościowego, nie korzystaj z umieszczonego w niej odnośnika. Otwórz oficjalną aplikację albo samodzielnie wpisz adres serwisu w przeglądarce. Dopiero tam sprawdź, czy rzeczywiście czeka na Ciebie nowe powiadomienie.

W przyszłości część takich stron może zatrzymać poprawnie skonfigurowana przeglądarka. W osobnym poradniku wyjaśniamy, jak ustawić filtr antyphishingowy w przeglądarce.

Co zrobić w zależności od tego, co wydarzyło się na stronie?

Nie każda sytuacja wymaga takich samych działań. Samo wyświetlenie strony oznacza mniejsze zagrożenie niż przekazanie danych logowania albo uruchomienie pobranego programu.

Tylko otworzyłeś stronę i niczego nie wpisałeś

Jeżeli strona została jedynie otwarta, a Ty nie pobrałeś pliku, nie wpisałeś danych, nie udzieliłeś zgody na powiadomienia i nie instalowałeś żadnej aplikacji, ryzyko jest zazwyczaj niewielkie.

Zamknij stronę, a następnie:

1. sprawdź, czy przeglądarka nie pobrała automatycznie żadnego pliku,
2. zaktualizuj przeglądarkę,
3. zainstaluj dostępne aktualizacje systemu,
4. sprawdź listę rozszerzeń przeglądarki,
5. zwróć uwagę na nowe powiadomienia i nietypowe przekierowania.

Jeżeli po wejściu na stronę zezwoliłeś jej na wysyłanie powiadomień, usuń to uprawnienie w ustawieniach przeglądarki. Fałszywe alerty mogą później informować o rzekomej infekcji, wygranej, niedopłacie albo konieczności odnowienia programu antywirusowego.

Wykonanie skanowania urządzenia jest wskazane przede wszystkim wtedy, gdy przeglądarka pobrała plik, system zaczął zachowywać się nietypowo albo pojawiły się nowe aplikacje, reklamy i rozszerzenia. Więcej informacji o różnych formach infekcji znajdziesz w artykule opisującym rodzaje wirusów komputerowych.

Wpisałeś login i hasło

Jeżeli podałeś dane logowania na fałszywej stronie, potraktuj hasło jako przejęte. Nie czekaj na podejrzane powiadomienie ani pierwszą próbę włamania.

Zmień hasło bezpośrednio na oficjalnej stronie usługi. Nie korzystaj ponownie z linku, który znajdował się w wiadomości. Jeżeli istnieje podejrzenie, że urządzenie zostało zainfekowane, zmianę hasła wykonaj na innym, zaufanym telefonie lub komputerze.

Następnie:

• wyloguj wszystkie aktywne sesje,
• sprawdź ostatnie logowania i podłączone urządzenia,
• usuń nierozpoznane aplikacje mające dostęp do konta,
• sprawdź adres e-mail oraz numer telefonu służący do odzyskiwania konta,
• włącz uwierzytelnianie dwuskładnikowe,
• zmień to samo hasło we wszystkich innych serwisach, w których było używane.

Google w przypadku podejrzenia przejęcia konta zaleca sprawdzenie aktywności, urządzeń, ustawień bezpieczeństwa i połączeń z zewnętrznymi usługami. Użytkownik może również zakończyć nierozpoznane sesje.

W pierwszej kolejności zabezpiecz konto pocztowe. Osoba mająca dostęp do Twojej skrzynki może przechwytywać wiadomości służące do resetowania haseł w innych serwisach.

W poczcie sprawdź również:

• reguły automatycznego przekazywania wiadomości,
• filtry przenoszące wiadomości do kosza,
• nieznane adresy do odzyskiwania konta,
• wysłane wiadomości,
• ostatnio usunięte wiadomości,
• nierozpoznane logowania.

Jeżeli przejęte zostało konto w mediach społecznościowych, ostrzeż znajomych. Oszuści mogą podszywać się pod Ciebie i prosić o kod BLIK, szybką pożyczkę, opłacenie przesyłki albo kliknięcie kolejnego linku.

Ogólne zasady wzmacniania haseł, aktualizowania systemu i ochrony kont opisaliśmy także w artykule Jak chronić się w sieci?.

Podałeś dane karty lub bankowości internetowej

Jeżeli fałszywa strona otrzymała dane karty, login do bankowości, hasło, kod SMS, kod BLIK albo inne dane związane z rachunkiem, natychmiast skontaktuj się z bankiem.

Nie korzystaj z numeru telefonu przesłanego przez nadawcę wiadomości. Zadzwoń na oficjalną infolinię banku, której numer znajdziesz w aplikacji, na stronie banku lub na odwrocie karty.

W zależności od przekazanych danych bank może zalecić:

• czasowe zablokowanie albo zastrzeżenie karty,
• zmianę hasła do bankowości,
• zablokowanie dostępu do rachunku,
• wyłączenie płatności internetowych,
• zmianę limitów transakcji,
• zastrzeżenie bankowości mobilnej,
• zgłoszenie nieautoryzowanych transakcji.

Jeśli podałeś dane karty lub rachunku, nie czekaj, aż pojawi się pierwsza płatność. Ministerstwo Cyfryzacji oraz UOKiK zalecają jak najszybszy kontakt z bankiem, zmianę danych dostępowych i zastrzeżenie karty, gdy istnieje ryzyko kolejnych transakcji.

Sprawdź historię operacji, blokady środków i oczekujące płatności. Niewielka transakcja może służyć oszustowi do sprawdzenia, czy dane karty są prawidłowe.

Jeżeli pieniądze zostały już pobrane albo wykonałeś przelew na rachunek wskazany przez oszusta, pilnie poinformuj bank i złóż zawiadomienie na Policji. Szybkie zgłoszenie nie gwarantuje odzyskania pieniędzy, ale może zwiększyć szansę na zatrzymanie lub prześledzenie transakcji. CERT Polska również wskazuje, że po wyłudzeniu danych bankowych należy niezwłocznie skontaktować się z bankiem, zmienić hasło, a kradzież pieniędzy zgłosić Policji.

Nie wykonuj przelewu na „rachunek techniczny”, „konto bezpieczne” ani „rachunek rezerwowy”. Bank lub Policja nie polecą Ci przesyłania pieniędzy w celu ich zabezpieczenia.

Pobrałeś plik, ale go nie uruchomiłeś

Samo pobranie pliku nie zawsze oznacza, że złośliwy kod został uruchomiony. Mimo to pliku nie należy otwierać, rozpakowywać ani przesyłać innym osobom.

Usuń go z folderu pobranych plików i opróżnij kosz. Następnie wykonaj skanowanie systemu. W systemie Windows możesz kliknąć plik prawym przyciskiem myszy i wybrać skanowanie za pomocą Microsoft Defender. Jeżeli plik został już usunięty albo obawiasz się szerszej infekcji, uruchom pełne skanowanie systemu. Microsoft wskazuje, że najbardziej kompletne sprawdzenie może wymagać skanowania Microsoft Defender Offline.

Nie przesyłaj podejrzanego dokumentu znajomym z pytaniem, czy uda im się go otworzyć. Jeżeli wiadomość trafiła do firmowej skrzynki, przekaż ją działowi IT lub osobie odpowiadającej za cyberbezpieczeństwo.

Uruchomiłeś plik albo zainstalowałeś program

To jeden z poważniejszych scenariuszy. Zainstalowany program może przechwytywać wpisywane hasła, pobierać kolejne składniki, szyfrować pliki albo umożliwić zdalny dostęp do urządzenia.

Jeżeli po otwarciu pliku pojawiło się nietypowe okno, komputer zwolnił, program poprosił o uprawnienia administratora albo uruchomił się instalator, odłącz urządzenie od internetu i sieci lokalnej. Wyłącz Wi-Fi, odłącz kabel sieciowy i nie loguj się z tego urządzenia do poczty, banku ani mediów społecznościowych.

Następnie:

1. z innego, zaufanego urządzenia zmień najważniejsze hasła,
2. uruchom pełne skanowanie programu ochronnego,
3. sprawdź programy uruchamiane wraz z systemem,
4. usuń podejrzane rozszerzenia przeglądarki,
5. sprawdź listę ostatnio zainstalowanych aplikacji,
6. poinformuj administratora, jeśli jest to komputer służbowy.

Nie próbuj na własną rękę usuwać losowych plików systemowych. Jeżeli program ochronny nie potrafi usunąć zagrożenia albo urządzenie nadal zachowuje się nietypowo, skorzystaj z pomocy specjalisty. W niektórych przypadkach bezpieczniejsza będzie ponowna instalacja systemu niż dalsze korzystanie z urządzenia, którego stanu nie da się wiarygodnie ocenić.

Jeżeli zauważysz zaszyfrowane dokumenty, zmienione rozszerzenia plików lub komunikat z żądaniem zapłaty, możliwe, że doszło do ataku ransomware. Nie płać okupu i nie podłączaj do urządzenia dysku z kopią zapasową. Szczegółową procedurę znajdziesz w poradniku Czym jest ransomware? Jak działa, jak się chronić i co zrobić po ataku.

Zainstalowałeś aplikację na telefonie

Szczególną ostrożność zachowaj, jeżeli strona nakłoniła Cię do pobrania aplikacji spoza oficjalnego sklepu. Fałszywe aplikacje mogą podszywać się pod bank, firmę kurierską, program antywirusowy, czytnik dokumentów lub narzędzie do śledzenia przesyłki.

Na telefonie z Androidem:

• włącz tryb samolotowy,
• sprawdź ostatnio instalowane aplikacje,
• usuń podejrzany program,
• odbierz mu uprawnienia do SMS-ów, kontaktów, aparatu i plików,
• sprawdź ustawienia ułatwień dostępu i administratorów urządzenia,
• uruchom skanowanie Google Play Protect,
• zainstaluj aktualizacje Androida i aplikacji.

Google Play Protect sprawdza aplikacje zarówno z oficjalnego sklepu, jak i z innych źródeł. Może ostrzec przed szkodliwym programem, dezaktywować go albo usunąć z urządzenia.

Na iPhonie sprawdź, czy nie została zainstalowana nieznana aplikacja, konfiguracja VPN albo profil zarządzania. Profile można znaleźć w ustawieniach urządzenia w sekcji dotyczącej VPN i zarządzania urządzeniem. Usunięcie nieznanego profilu usuwa również powiązane z nim ustawienia.

Jeżeli aplikacja otrzymała dostęp do SMS-ów, powiadomień lub ułatwień dostępu, nie korzystaj z telefonu do logowania do banku przed wyjaśnieniem sytuacji. Skontaktuj się z bankiem z innego urządzenia.

Jak zabezpieczyć konta i sprawdzić, czy doszło do włamania?

Zmiana hasła to ważny krok, ale sama może nie wystarczyć. Po phishingu trzeba również sprawdzić, czy przestępca nie zdążył zmienić ustawień konta albo pozostawić sobie innej drogi dostępu.

Zmień hasła w odpowiedniej kolejności

Najpierw zabezpiecz:

1. pocztę elektroniczną,
2. bankowość internetową,
3. konto Google, Apple lub Microsoft,
4. chmurę z dokumentami i zdjęciami,
5. portale społecznościowe,
6. sklepy internetowe i serwisy płatnicze,
7. pozostałe konta korzystające z tego samego hasła.

Każde nowe hasło powinno być unikalne. Zmiana Kasia123 na Kasia124 nie zabezpieczy konta przed osobą, która zna poprzednią wersję. Dobrym rozwiązaniem jest korzystanie z menedżera haseł, który tworzy i przechowuje długie, losowe kombinacje.

Zakończ aktywne sesje

W ustawieniach bezpieczeństwa poszukaj sekcji takich jak:

• Twoje urządzenia,
• aktywne sesje,
• miejsca logowania,
• ostatnia aktywność,
• zalogowane urządzenia.

Wyloguj wszystkie urządzenia, których nie rozpoznajesz. Jeżeli serwis pozwala wylogować wszystkie sesje jednocześnie, skorzystaj z tej opcji, a następnie zaloguj się ponownie wyłącznie na zaufanych urządzeniach.

Sprawdź metody odzyskiwania konta

Osoba, która uzyskała dostęp do konta, może zmienić:

• dodatkowy adres e-mail,
• numer telefonu,
• pytania zabezpieczające,
• urządzenie zaufane,
• kody zapasowe,
• aplikację uwierzytelniającą.

Usuń każdą metodę, której nie rozpoznajesz. Wygeneruj nowe kody zapasowe, jeśli stare mogły zostać ujawnione.

Włącz uwierzytelnianie dwuskładnikowe

Uwierzytelnianie dwuskładnikowe utrudnia zalogowanie się samym hasłem. Najlepiej korzystać z aplikacji uwierzytelniającej, klucza bezpieczeństwa lub potwierdzania logowania na zaufanym urządzeniu.

Kod SMS jest lepszy niż brak dodatkowego zabezpieczenia, ale również może zostać wyłudzony. Nigdy nie podawaj kodu logowania osobie dzwoniącej z banku, pomocy technicznej ani serwisu społecznościowego.

Obserwuj konto przez kolejne dni

Po incydencie zwracaj uwagę na:

• wiadomości o nowych logowaniach,
• próby resetowania hasła,
• nieznane zakupy,
• zmiany danych profilu,
• wiadomości wysłane bez Twojej wiedzy,
• reklamy opublikowane z Twojego konta,
• nowe aplikacje połączone z profilem,
• operacje finansowe o niewielkiej wartości.

Nie ignoruj alertów tylko dlatego, że hasło zostało już zmienione. Jeżeli kolejne podejrzane zdarzenia nadal się pojawiają, ponownie zakończ sesje, sprawdź urządzenie i skontaktuj się z obsługą danego serwisu.

Gdzie zgłosić podejrzany link lub próbę oszustwa?

Zgłoszenie phishingu nie służy wyłącznie odzyskaniu własnego konta. Może również doprowadzić do zablokowania fałszywej strony i ochronić kolejnych użytkowników.

CERT Polska

Podejrzaną stronę, wiadomość e-mail lub inny incydent możesz zgłosić przez formularz CERT Polska dostępny pod adresem incydent.cert.pl.

Wiadomość SMS zawierającą podejrzany link można przekazać bezpłatnie na numer 8080. Najlepiej użyć funkcji „Przekaż” lub „Udostępnij”, aby zachować oryginalną treść wiadomości. CERT Polska wykorzystuje zgłoszenia między innymi do aktualizowania listy niebezpiecznych stron.

Nie wysyłaj na numer 8080 zdjęcia ekranu. Numer służy do przekazywania treści podejrzanych SMS-ów.

Bank lub operator usługi

Jeżeli oszust podszywał się pod bank, platformę społecznościową, firmę kurierską albo sklep, zgłoś fałszywą stronę również prawdziwej instytucji. Korzystaj z formularza lub danych kontaktowych dostępnych na jej oficjalnej stronie.

Dzięki zgłoszeniu firma może ostrzec klientów, zablokować konto wykorzystywane przez oszusta albo podjąć działania wobec domeny podszywającej się pod markę.

Policja

Zawiadomienie na Policji jest szczególnie ważne, gdy:

• straciłeś pieniądze,
• wykonano nieautoryzowane transakcje,
• doszło do przejęcia konta,
• ktoś wykorzystuje Twoją tożsamość,
• oszust szantażuje Cię lub żąda zapłaty,
• na Twoje dane zawarto umowę,
• przestępca przejął firmowe informacje.

Zachowaj historię transakcji, korespondencję, zrzuty ekranu, adres strony, numery telefonów i dane rachunku odbiorcy. Centralne Biuro Zwalczania Cyberprzestępczości zaleca również pilny kontakt z bankiem i zabezpieczenie danych osobowych.

Zastrzeżenie numeru PESEL

Jeżeli na fałszywej stronie podałeś numer PESEL, dane dowodu osobistego albo szczegółowy zestaw danych umożliwiający kradzież tożsamości, rozważ zastrzeżenie numeru PESEL.

Możesz zrobić to między innymi w aplikacji mObywatel, serwisie internetowym mObywatel albo urzędzie gminy. Zastrzeżenie jest bezpłatne i może ograniczyć możliwość wykorzystania danych do zaciągnięcia kredytu lub pożyczki.

Dział IT w firmie

Podejrzany link otwarty na służbowym komputerze należy zgłosić nawet wtedy, gdy nie zauważyłeś żadnych skutków. Administrator może sprawdzić logi, ruch sieciowy, aktywność konta i zachowanie urządzenia.

Nie ukrywaj zdarzenia z obawy przed konsekwencjami. W środowisku firmowym szybkie odizolowanie jednego komputera może zapobiec przejęciu poczty, kradzieży danych albo rozprzestrzenieniu złośliwego oprogramowania w całej sieci.

Czego nie robić po kliknięciu w podejrzany link?

Największym błędem jest dalsze wykonywanie instrukcji oszusta. Po otwarciu podejrzanej strony:

• nie instaluj programu do zdalnej pomocy,
• nie podawaj kodów SMS ani kodów BLIK,
• nie przelewaj pieniędzy na „bezpieczne konto”,
• nie dzwoń pod numer wyświetlony na stronie,
• nie zezwalaj na zdalne sterowanie ekranem,
• nie wyłączaj programu antywirusowego,
• nie ignoruj ostrzeżeń przeglądarki,
• nie zmieniaj haseł na urządzeniu, które może być zainfekowane,
• nie przesyłaj podejrzanego pliku innym osobom,
• nie usuwaj wszystkich dowodów przed zgłoszeniem zdarzenia.

Cyberprzestępca może skontaktować się z Tobą ponownie, przedstawiając się jako pracownik banku, Policji, CERT-u albo firmy pomagającej odzyskiwać pieniądze. Nie ufaj rozmówcy tylko dlatego, że zna Twoje imię, numer telefonu lub szczegóły wcześniejszego zdarzenia. Informacje te mogły pochodzić z formularza, który sam wcześniej wypełniłeś.

Rozłącz się i samodzielnie skontaktuj z właściwą instytucją za pomocą oficjalnego numeru.

Jak uniknąć podobnej sytuacji w przyszłości?

Phishing może trafić do Ciebie przez pocztę, SMS, komunikator, reklamę, kod QR albo przejęte konto znajomego. Fałszywa wiadomość nie zawsze zawiera błędy językowe. Coraz częściej wygląda profesjonalnie i prowadzi do strony niemal identycznej z oryginalnym serwisem.

Przed podaniem danych:

• sprawdź właściwą domenę strony,
• nie oceniaj witryny wyłącznie na podstawie logo i wyglądu,
• loguj się przez oficjalną aplikację lub zapisaną zakładkę,
• nie działaj pod wpływem presji czasu,
• używaj unikalnych haseł,
• włącz uwierzytelnianie dwuskładnikowe,
• regularnie aktualizuj system i przeglądarkę,
• pozostaw włączoną ochronę antyphishingową,
• wykonuj kopie zapasowe najważniejszych danych.

CERT Polska podkreśla, że współczesne fałszywe strony mogą bardzo dokładnie odwzorowywać wygląd prawdziwych serwisów. Dlatego najważniejszym elementem weryfikacji pozostaje poprawny adres domeny, a nie grafika, kolory czy logo strony.

Warto również pamiętać, że linki rozsyłane przez przejęte konta znajomych mogą wyglądać bardziej wiarygodnie niż wiadomości od całkowicie obcych osób. Więcej o takich infekcjach przeczytasz w artykule Czy da się zarazić wirusem komputerowym przez media społecznościowe?.

Kliknięcie w podejrzany link nie musi skończyć się utratą konta ani pieniędzy. Kluczowe jest rozpoznanie, co zostało przekazane oszustom, i dopasowanie reakcji do konkretnej sytuacji. Jeżeli niczego nie wpisałeś ani nie pobrałeś, często wystarczy zamknąć stronę i sprawdzić urządzenie. Jeśli podałeś hasło, dane karty albo uruchomiłeś plik, potrzebne są już zdecydowane działania: zmiana danych dostępowych, kontakt z bankiem, skanowanie urządzenia i zgłoszenie incydentu.