Jak odróżnić prawdziwy mail od Instagrama od fałszywego

Poniżej masz kolejne kroki, od najszybszego sprawdzenia po plan na wypadek, gdy już kliknąłeś. Zajmują one kilka minut, a pierwsze z nich możesz zrobić bez otwierania linków.

Krok 1. Nie klikaj, najpierw spójrz na nadawcę

Zacznij od adresu, nie od treści. Sama nazwa wyświetlana w skrzynce, np. "Instagram" albo "Meta Support", nic nie znaczy, bo każdy może ją wpisać w swoim programie pocztowym. Rozwiń pełny adres nadawcy.

Instagram wysyła maile między innymi z domen takich jak mail.instagram.com oraz facebookmail.com. Jeśli adres kończy się na coś podobnego, ale innego (np. dodatkowy wyraz, inna końcówka, zamienione litery), to nie jest to oficjalna wiadomość. Częsty błąd: ocena po pierwszych znakach adresu. Liczy się to, co jest po znaku @.

Krok 2. Zerknij w nagłówki wiadomości

Jeśli adres wygląda poprawnie, a mimo to masz wątpliwości, otwórz szczegóły wiadomości (w większości programów pocztowych opcja typu Pokaż oryginał albo Pokaż nagłówki). Szukaj pól "From", "Reply-To" i informacji o uwierzytelnieniu nadawcy. Jeśli adres do odpowiedzi prowadzi na zupełnie inną domenę, to sygnał ostrzegawczy.

Nie musisz rozumieć każdej linijki. Wystarczy, że domeny się zgadzają i program pocztowy nie oznacza wiadomości jako podejrzanej.

Krok 3. Oceń treść w 60 sekund

Przejdź przez tę krótką listę. Jedno "tak" to powód, żeby się zatrzymać.

Typowe oznaki phishingu są powtarzalne:

• Pilność: "masz 24 godziny", "konto zostanie usunięte dziś".
• Groźby: blokada, trwałe usunięcie, utrata obserwujących.
• Błędy językowe: dziwne odmiany, kalki z angielskiego, niespójne formatowanie.
• Ogólnikowe powitanie zamiast nazwy Twojego konta.
• Przycisk lub formularz, który każe wpisać dane logowania.

Spokojny, rzeczowy mail bez presji czasu jest mniej podejrzany, ale to jeszcze nie dowód. Dlatego przejdź dalej.

Krok 4. Sprawdź link bez klikania

Na komputerze najedź kursorem na przycisk lub link i odczytaj adres w rogu okna przeglądarki. Na telefonie przytrzymaj link dłużej, aby zobaczyć adres docelowy, ale nie wybieraj otwarcia. Adres powinien prowadzić do domeny instagram.com.

Uwaga na skracacze linków i adresy, w których "instagram" jest tylko częścią dłuższej nazwy, np. przed inną domeną. Jeśli adres docelowy nie pasuje do nadawcy, kończysz sprawdzanie. Częsty błąd: sugerowanie się tym, co jest napisane na przycisku, a nie tym, dokąd on prowadzi.

Krok 5. Zweryfikuj mail w aplikacji

To najpewniejsza metoda, bo nie opiera się na wyglądzie wiadomości. Instagram pokazuje listę maili, które naprawdę wysłał do Twojego konta.

1. Otwórz aplikację Instagram i wejdź w swój profil.
2. Przejdź do ustawień i wybierz Bezpieczeństwo (nazwa i położenie opcji mogą się różnić w zależności od wersji aplikacji).
3. Znajdź pozycję Maile od Instagrama i sprawdź listę ostatnich wiadomości.
4. Porównaj temat i datę z mailem, który dostałeś.

Jeśli wiadomości na liście nie ma, potraktuj mail jako fałszywy. Logując się, wpisuj adres instagram.com ręcznie lub korzystaj z aplikacji, nigdy z linku z maila.

Krok 6. Rozpoznaj najczęstsze scenariusze

Fałszywe maile zmieniają wygląd, ale schemat jest podobny. Oto typowe tematy i ich budowa:

Naruszenie praw autorskich

Wiadomość twierdzi, że Twoje konto naruszyło czyjeś prawa, i podaje krótki termin na "odwołanie". Odwołanie ma się odbyć przez link i formularz, w którym trzeba podać login i hasło. To jest właśnie pułapka.

Przykład: temat brzmi "Ostatnie ostrzeżenie: naruszenie praw autorskich", a w treści stoi "Masz 24 godziny na odwołanie, inaczej konto zostanie trwale usunięte. Kliknij przycisk poniżej i zaloguj się". Nadawca to np. support@instagram-appeal.example. Domena nie pasuje, jest presja czasu i prośba o logowanie przez link, więc to trzy sygnały naraz.

Weryfikacja konta

Mail informuje, że konto wymaga "pilnej weryfikacji tożsamości", inaczej zostanie ograniczone. Często dołączony jest formularz z prośbą o zdjęcie dokumentu lub dane logowania. Typowa treść brzmi: "Wykryliśmy nietypową aktywność. Potwierdź, że to Ty, w ciągu 12 godzin". Brak w niej Twojej nazwy użytkownika, a przycisk prowadzi poza instagram.com.

Niebieska odznaka

Otrzymujesz "gratulacje", bo Twój profil został wybrany do weryfikacji. Wystarczy kliknąć i uzupełnić dane. Pochlebstwo ma uśpić czujność.

Wspólny wzór: presja lub nagroda, link, a na końcu strona z polami na hasło. Gdy rozpoznasz taki układ, wygląd grafiki przestaje mieć znaczenie.

Krok 7. Pamiętaj, czego Instagram nie robi w mailach

Prawdziwa wiadomość nie powinna prosić Cię o hasło, kod z SMS-a ani kod z aplikacji uwierzytelniającej. Nie żąda też przelewu za weryfikację konta ani opłaty za odblokowanie. Nie każe odpowiadać na mail danymi osobistymi.

Jeśli ktoś podaje się za Instagram i prosi o którąkolwiek z tych rzeczy, to nie jest Instagram. Hasło i kody zna i wpisuje wyłącznie właściciel konta, i nikt inny nie powinien ich od Ciebie wymagać.

Krok 8. Pamiętaj o wiadomościach w DM

Ta sama zasada dotyczy czatu. Wiadomość prywatna od konta, które "reprezentuje Instagram", z linkiem do formularza, jest tak samo podejrzana jak mail. Zwykle ma przypadkową nazwę, świeży profil i błędy w tekście. Sprawdzenie w aplikacji (krok 5) dotyczy maili, więc przy DM po prostu nie klikaj, zgłoś konto i zablokuj je.

Dobrym sprawdzianem jest też pytanie: czy mail i wiadomość mówią to samo? Oszuści często łączą oba kanały, aby wiarygodność się zgadzała. Dwa podejrzane sygnały nie dają jednego pewnego.

Krok 9. Jeśli kliknąłeś, działaj od razu

Sam klik w link nie zawsze oznacza utratę konta. Problem zaczyna się, gdy wpisałeś dane na stronie. Zrób po kolei:

1. Jeśli nic nie wpisałeś, zamknij kartę, nie pobieraj plików i wyloguj się z przeglądarki.
2. Jeśli wpisałeś hasło, zmień je natychmiast w aplikacji, a tam, gdzie używałeś tego samego hasła, również w innych serwisach.
3. W ustawieniach bezpieczeństwa sprawdź aktywność logowania i wyloguj nieznane urządzenia.
4. Sprawdź, czy adres mailowy i numer telefonu przypisane do konta nadal są Twoje.
5. Włącz uwierzytelnianie dwuskładnikowe, najlepiej przez aplikację uwierzytelniającą, a nie przez SMS.

Jeśli nie możesz się zalogować albo ktoś zmienił dane konta, przejdź do kolejnej sekcji.

Krok 10. Zgłoś phishing i zabezpiecz konto

Nie usuwaj maila od razu. Zgłoś go w programie pocztowym jako phishing, a podejrzane konta lub wiadomości w DM zgłoś w aplikacji przez opcję zgłaszania. Dzięki temu pomagasz innym i masz ślad zdarzenia.

Dwuskładnikowe logowanie nie zatrzyma każdego ataku, ale znacząco utrudnia przejęcie konta, nawet gdy ktoś pozna hasło. Włącz je w ustawieniach bezpieczeństwa i nie podawaj kodów nikomu, także osobie, która się "podaje za pomoc techniczną".

Krok 11. Gdy nie masz pewności lub konto zostało przejęte

Jeśli nie wiesz, czy mail jest prawdziwy, możesz skorzystać z bezpłatnego narzędzia Scam Check od RESCUNO. Wysyłasz podejrzaną wiadomość lub zrzut ekranu (bez haseł i kodów), a my oceniamy nadawcę, link i schemat typowy dla oszustw. To ocena pomocnicza, a nie wyrocznia, więc nadal warto sprawdzić mail w aplikacji (krok 5). RESCUNO nigdy nie prosi o hasło ani kody logowania, więc nie podawaj ich nikomu, kto o nie pyta.

Jeśli konto zostało przejęte, RESCUNO oferuje bezpłatną ocenę sprawy. Gdy uznasz, że chcesz pomocy, odzyskiwanie konta odbywa się na podstawie pisemnej umowy, a RESCUNO jest zarejestrowaną firmą. Nikt uczciwy nie obieca Ci pewnego wyniku ani terminu, bo decyzje o koncie zależą od platformy. Możemy natomiast ocenić, co da się zrobić w Twojej sytuacji.

Jeśli chcesz, żebyśmy spojrzeli na Twoją sprawę, Napisz na WhatsApp - bezpłatna ocena sprawy. Załącz zrzut ekranu maila, ale bez haseł i kodów.