Czy Instagram pyta o hasło w DM? To oszustwo

Czy Instagram naprawdę może napisać do mnie w wiadomości prywatnej o moim koncie?

Nie w sprawie hasła. Hasła nie podaje się w żadnym czacie, ani temu, kto podaje się za Instagram, ani za Meta, ani za kogokolwiek innego. Loguje się wyłącznie właściciel konta i robi to sam, na ekranie logowania w aplikacji albo na stronie instagram.com.

Jeśli wiadomość przyszła z konta o nazwie w stylu „Instagram Support” albo „Meta Verified Team”, potraktuj ją jak podejrzaną od pierwszej linijki.

Jak wyglądają typowe scenariusze phishingu w DM?

Najczęściej powtarzają się trzy pomysły. Różnią się tematem, ale cel jest ten sam: wyciągnąć od Ciebie hasło lub kod albo skłonić do wpisania danych na fałszywej stronie.

• Rzekome naruszenie zasad. „Twoje konto narusza regulamin i zostanie usunięte, jeśli nie złożysz odwołania”. Do wiadomości dołączony jest link do „formularza”.
• Weryfikacja konta. „Musimy potwierdzić, że jesteś właścicielem. Podaj hasło lub kod z SMS-a”.
• Niebieska odznaka. „Wybrano Cię do weryfikacji profilu, kliknij i zaloguj się”. Ten scenariusz szczególnie lubi twórców i małe firmy.

W każdym z nich pojawia się ten sam mechanizm: strach lub nadzieja plus pośpiech.

Jak rozpoznać fałszywe konto udające Instagram lub Meta?

Zacznij od samego profilu, nie od treści wiadomości. Fałszywe konta często mają logo skopiowane z prawdziwego, ale resztę widać od razu.

• Nazwa użytkownika zawiera dodatkowe znaki, cyfry lub podkreślenia.
• Profil jest świeży, ma mało postów albo ich wcale.
• Brakuje jakiejkolwiek historii, a obserwujących jest garstka.
• Wiadomość trafiła do folderu próśb o wiadomości od osoby, której nie obserwujesz.

Nawet jeśli profil wygląda przekonująco, sama forma kontaktu powinna wzbudzić wątpliwość. Oficjalne komunikaty nie przychodzą jako zwykły czat od obcego konta.

Jakie sygnały ostrzegawcze powinny mnie zatrzymać?

Trzy rzeczy zdradzają większość prób wyłudzenia:

1. Presja czasu. „Masz 24 godziny”, „konto zostanie usunięte dziś”.
2. Błędy językowe. Dziwna odmiana, tłumaczenie z automatu, przypadkowe wielkie litery.
3. Podejrzany link. Skrócony adres albo domena, która tylko przypomina instagram.com.

Jeśli widzisz choć jedno z nich, nie odpowiadaj. Zapytanie „czy to prawda?” w odpowiedzi tylko potwierdza oszustowi, że konto jest aktywne.

Jak sprawdzić link bez klikania w niego?

Na telefonie przytrzymaj link, żeby zobaczyć podgląd adresu, bez otwierania strony. Potem przeczytaj domenę od końca, czyli część tuż przed pierwszym pojedynczym ukośnikiem. To ona decyduje, gdzie naprawdę trafisz.

Przykład: adres „instagram.com.weryfikacja-konta.xyz” wygląda jak Instagram, ale prawdziwą domeną jest „weryfikacja-konta.xyz”. Instagram stoi tam tylko jako ozdobnik na początku. Podobnie „instagrarn.com” (litery „r” i „n” zamiast „m”) to inna strona.

Dodatkowa zasada: nie loguj się przez link z wiadomości. Nawet jeśli strona wygląda identycznie, otwórz aplikację lub wpisz adres ręcznie.

Jak sprawdzić, czy Instagram naprawdę coś do mnie wysłał?

W aplikacji wejdź w ustawienia i poszukaj sekcji dotyczącej bezpieczeństwa konta, gdzie są wiadomości e-mail wysłane z Instagrama w ostatnim czasie. Jeśli powiadomienia, które dostałeś w DM lub na e-mail, tam się nie pojawiają, to nie pochodzą z Instagrama. Dokładne nazwy menu mogą się różnić w zależności od wersji aplikacji i systemu (iPhone lub Android), więc jeśli nie widzisz opcji, poszukaj jej przez wyszukiwarkę w ustawieniach.

Prawdziwe informacje o koncie ukazują się też w aplikacji, w sekcji statusu konta. Wiadomość od obcego konta tam nie trafi.

Co zrobić, gdy nie podałem hasła?

Dobrze, że się zatrzymałeś. Teraz zamknij temat, zamiast go ciągnąć.

1. Nie klikaj w żadne linki i nie odpowiadaj.
2. Zgłoś wiadomość lub konto w aplikacji: przytrzymaj wiadomość albo wejdź w profil nadawcy, wybierz Zgłoś i wskaż odpowiedni powód, na przykład oszustwo lub podszywanie się.
3. Zablokuj nadawcę.
4. Dla porządku sprawdź, czy ostatnie logowania na Twoim koncie wyglądają znajomo.

To zajmuje dwie minuty i zwykle kończy sprawę.

Co zrobić, gdy kliknąłem w link, ale nic nie wpisałem?

Samo otwarcie strony zwykle nie oddaje oszustowi dostępu do konta. Groźne jest wpisanie danych. Mimo to zamknij kartę, nie wracaj na tę stronę i nie instaluj niczego, co strona proponuje. Dla spokoju zmień hasło i sprawdź listę urządzeń, na których jesteś zalogowany.

Co zrobić, gdy hasło zostało podane?

Działaj w tej kolejności, bo ma to znaczenie.

1. Zmień hasło na nowe, którego nie używasz nigdzie indziej. Jeśli już nie możesz się zalogować, użyj opcji „Nie pamiętasz hasła?” na ekranie logowania.
2. Wyloguj inne urządzenia w ustawieniach aktywności logowania.
3. Włącz uwierzytelnianie dwuskładnikowe (2FA), najlepiej przez aplikację uwierzytelniającą.
4. Zmień hasło do poczty powiązanej z kontem, jeśli było podobne lub podane razem.
5. Sprawdź, czy nie zmieniono adresu e-mail i numeru telefonu przypisanych do konta.
6. Uprzedź znajomych i obserwujących, że ktoś mógł pisać z Twojego profilu.

Nigdy nie podawaj nikomu nowego hasła ani kodów, także osobom, które oferują pomoc w DM.

Co jeśli konto zostało już przejęte i nie mogę się zalogować?

Przejdź przez oficjalne ścieżki odzyskiwania z ekranu logowania, korzystając z adresu e-mail lub numeru telefonu, które były przypisane do konta. Rób to z urządzenia, na którym zwykle się logowałeś. Nie dawaj się namówić na „szybkie odzyskanie za opłatą” komuś, kto prosi o hasło.

Jeśli oficjalne kroki nie przynoszą rezultatu, możesz skorzystać z pomocy. RESCUNO to zarejestrowana firma, która zajmuje się odzyskiwaniem kont na podstawie pisemnej umowy. Nie prosimy o hasło, bo loguje się wyłącznie właściciel konta. Uczciwie: nie możemy obiecać wyniku ani terminu, ale na początek bezpłatnie oceniamy sprawę, żebyś wiedział, na czym stoisz.

Znajomy prosi mnie o pomoc z przejętego konta. Jak to zweryfikować?

Zakładaj, że to może nie być on. Typowa prośba brzmi: „Wyślij mi kod, który przyszedł do Ciebie SMS-em” albo „Zagłosuj na mnie w konkursie, kliknij tu”. Kod, który dostajesz na swój telefon, służy do logowania na Twoje konto, więc oddanie go oznacza oddanie dostępu.

Skontaktuj się ze znajomym innym kanałem: zadzwoń, napisz SMS albo użyj komunikatora. Jeśli potwierdzi, że nic nie wysyłał, zgłoś jego profil i poinformuj go, żeby zabezpieczył konto.

Jak szybko ocenić wiadomość? Checklista

Zanim odpowiesz, przejdź przez cztery pytania. Jedno „tak” wystarcza, żeby nie klikać.

Jeśli nadal masz wątpliwości, możesz skorzystać z bezpłatnego Scam Check od RESCUNO: wysyłasz opis lub zrzut podejrzanej wiadomości, a my mówimy, czy to wygląda na oszustwo. Nie potrzebujemy do tego hasła ani kodów.

Jak chronić konto firmowe lub twórcy?

Konta firmowe są częstym celem fałszywych powiadomień o naruszeniach, bo właściciel boi się utraty zasięgów i klientów. Zasady są te same, ale stawka wyższa.

• Ustal jedną osobę, która reaguje na powiadomienia o koncie, i niech sprawdza je w aplikacji, nie w DM.
• Włącz 2FA na każdym koncie powiązanym z profilem, także na poczcie.
• Nie udostępniaj hasła agencji ani freelancerowi, zamiast tego dawaj dostęp przez oficjalne role i uprawnienia w narzędziach Meta.
• Zapisz sobie adres e-mail i numer telefonu przypisane do konta, bo przydadzą się przy odzyskiwaniu.

Jak zabezpieczyć konto na przyszłość?

Dwie rzeczy robią największą różnicę. Pierwsza to unikalne hasło, którego nie używasz w innych serwisach, najlepiej zapisane w menedżerze haseł. Druga to uwierzytelnianie dwuskładnikowe włączone w ustawieniach konta, w sekcji dotyczącej bezpieczeństwa. Kody z aplikacji uwierzytelniającej są bezpieczniejsze niż SMS.

Jeśli wątpisz w wiadomość albo konto już nie jest Twoje, napisz do nas. Napisz na WhatsApp - bezpłatna ocena sprawy i opisz, co się stało. Przejrzymy sytuację razem z Tobą.