Jak rozpoznać phishing na Instagramie: poradnik

Czym jest phishing na Instagramie

Phishing to podszycie się pod zaufany podmiot, żeby skłonić Cię do ujawnienia danych. Na Instagramie najczęściej chodzi o login, hasło i kod weryfikacyjny. Oszust nie włamuje się siłą. Ty sam wpisujesz dane na stronie, która tylko wygląda jak prawdziwa.

To ważne rozróżnienie. Jeśli hasło ujawniłeś na fałszywej stronie, to phishing. Jeśli ktoś zgadł słabe hasło albo użył hasła wykradzionego z innego serwisu, to inna metoda przejęcia. Kroki ratunkowe są podobne, ale łatwiej ocenić sytuację, gdy wiesz, co się stało.

Zasada, która porządkuje resztę: loguje się tylko właściciel konta. Żadna prawdziwa wiadomość nie wymaga, żebyś podał hasło komuś w czacie, mailu czy formularzu poza aplikacją.

Najczęstsze scenariusze ataku

Oszuści używają trzech kanałów: wiadomości prywatnych (DM), maili i SMS-ów. Każdy ma swoje typowe wzorce.

Wiadomości DM

Najgroźniejsza jest wiadomość od znajomego, którego konto już przejęto. Pisze krótko, że prosi o szybką przysługę, na przykład o oddanie głosu w konkursie, i wysyła link. Zaufanie do osoby usypia czujność. Druga odmiana to konto udające pomoc techniczną, z nazwą typu "support" i niebieskim, skopiowanym obrazkiem zamiast prawdziwej weryfikacji.

Maile i SMS-y

Mail może wyglądać jak powiadomienie o logowaniu z nowego urządzenia: "Ktoś próbował się zalogować, kliknij, jeśli to nie Ty". Przycisk prowadzi na fałszywą stronę. SMS działa podobnie, tylko ma krótszą treść i skrócony link, który ukrywa prawdziwy adres.

Podejrzane linki i fałszywe strony logowania

Fałszywa strona logowania kopiuje wygląd Instagrama co do piksela. Różni się adresem. Dlatego adres w pasku przeglądarki jest ważniejszy niż wygląd strony.

Przykład: prawdziwa domena to instagram.com. Oszuści używają adresów takich jak instagram-support.com, instagrarn.com ("rn" zamiast "m"), instagram.com.weryfikacja-konta.xyz albo skróconych linków. W ostatnim przypadku prawdziwą domeną jest to, co stoi tuż przed pierwszym ukośnikiem po kropce, czyli weryfikacja-konta.xyz.

Co sprawdzić, zanim cokolwiek wpiszesz:

• czy domena kończy się dokładnie na instagram.com (lub oficjalnej domenie Meta),
• czy przed nazwą nie ma dodatkowych członów po myślniku,
• czy link nie jest skrócony,
• czy strona otworzyła się po kliknięciu w wiadomość, a nie po wpisaniu adresu samodzielnie.

Na telefonie przytrzymaj link zamiast go klikać. Zobaczysz pełny adres w podglądzie.

Fałszywe powiadomienia o prawach autorskich i weryfikacji konta

To bardzo częsty wzorzec wymierzony w twórców. Wiadomość brzmi mniej więcej tak: "Twoje konto narusza prawa autorskie. Masz 24 godziny, aby złożyć odwołanie, inaczej zostanie usunięte". Dalej jest link do "formularza odwołania".

Analiza takiego komunikatu:

• Presja czasu: ma odebrać Ci chwilę na sprawdzenie.
• Groźba usunięcia konta: wywołuje strach i szybkie kliknięcie.
• Zewnętrzny formularz: prawdziwe informacje o naruszeniach znajdziesz w aplikacji, w ustawieniach konta, a nie tylko w mailu.
• Ogólnik: brak konkretnego posta, którego rzekomo dotyczy zarzut.

Podobnie działa "weryfikacja konta" i "niebieska odznaka za darmo". Jeśli ktoś oferuje odznakę przez link w DM, to prawie na pewno pułapka.

Fałszywe oferty współpracy i nagród

Twórcy i sklepy dostają wiadomości od "marek", które chcą barteru lub płatnej kampanii. Oszust prosi o zalogowanie się na "platformie współpracy", pobranie "briefu" z linku albo o kliknięcie w pliku z umową. Brief okazuje się stroną logowania.

Nagrody działają odwrotnie: "Wygrałeś iPhone'a, wpisz dane, żeby odebrać". Zasada jest prosta: prawdziwa marka nie wymaga logowania przez Instagram na obcej stronie, żeby przesłać ofertę. Poproś o ofertę mailem z firmowej domeny i sprawdź, czy ta domena istnieje i ma realną stronę.

W kontach firmowych ryzyko jest większe, bo dostęp ma często kilka osób, a przejęcie oznacza utratę zasięgu, reklam i kontaktu z klientami.

Jak sprawdzić adres nadawcy i domenę linku

W mailu nie ufaj wyświetlanej nazwie. Rozwiń adres nadawcy i przeczytaj część po znaku @. Prawdziwe wiadomości z Instagrama przychodzą z domen należących do Meta, nie z darmowych skrzynek ani z adresów z literówką.

W DM sprawdź nazwę użytkownika, datę założenia konta i historię postów. Konto "supportu" bez zdjęć i z kilkoma obserwującymi to sygnał alarmowy. Przy linkach porównaj domenę z listą z poprzedniej sekcji. Jeśli masz wątpliwości, nie wklejaj linku nigdzie, gdzie trzeba się logować.

Typowe sygnały ostrzegawcze

Pojedynczy sygnał może być przypadkiem. Kilka naraz to już wzorzec.

Pośpiech. "W ciągu godziny", "ostatnia szansa", "natychmiast". Prawdziwe procesy dają czas.

Groźby. Usunięcie konta, blokada, kara. Oszust chce, żebyś działał ze strachu.

Błędy językowe. Dziwne odmiany, tłumaczenie maszynowe, mieszanie polskiego z angielskim. Ten sygnał słabnie, bo narzędzia językowe poprawiają teksty, więc brak błędów niczego nie dowodzi.

Prośba o dane. Hasło, kod z SMS-a, kod z aplikacji uwierzytelniającej, zdjęcie dokumentu. Tego nie podajesz nikomu.

Jak sprawdzić maile wysłane przez Instagram w ustawieniach

Jeśli dostałeś mail rzekomo od Instagrama, nie sprawdzaj go przez link. Wejdź w aplikacji w ustawienia konta i poszukaj sekcji z listą ostatnich wiadomości e-mail wysłanych z Instagrama (zwykle w obszarze bezpieczeństwa). Jeśli Twojego maila tam nie ma, to prawdopodobnie nie pochodzi od Instagrama.

Nazwy menu mogą się zmieniać między wersjami aplikacji na Androida i iPhone'a. Jeśli nie możesz znaleźć tej sekcji, szukaj słów "bezpieczeństwo" i "e-maile od Instagrama".

Jeśli lista nie rozstrzyga sprawy albo wiadomość jest nietypowa, użyj bezpłatnego Scam Check od RESCUNO. Wysyłasz treść lub zrzut ekranu wątpliwej wiadomości i dostajesz ocenę, czy to wygląda na oszustwo. Nigdy nie podajesz tam hasła, a RESCUNO nigdy go nie prosi.

Co zrobić po kliknięciu w podejrzany link

Samo kliknięcie nie zawsze oznacza przejęcie. Groźniejsze jest wpisanie danych. Działaj w tej kolejności, w pierwszej godzinie:

1. Nie wpisuj niczego na otwartej stronie i zamknij ją.
2. Jeśli dane wpisałeś, od razu zmień hasło w aplikacji, wchodząc samodzielnie, nie przez link.
3. Zmień hasło także w poczcie powiązanej z kontem i wszędzie, gdzie używałeś tego samego hasła.
4. Wyloguj inne urządzenia w ustawieniach aktywności logowania.
5. Włącz uwierzytelnianie dwuskładnikowe, jeśli go nie masz.
6. Sprawdź, czy nie doszły nowe adresy e-mail lub numery telefonu w danych konta.
7. Zrób zrzut ekranu wiadomości i linku, przyda się do zgłoszenia.

Jak zabezpieczyć konto

Najlepsze zabezpieczenie to uwierzytelnianie dwuskładnikowe przez aplikację uwierzytelniającą. Kody SMS są lepsze niż nic, ale słabsze, bo da się je wyłudzić lub przechwycić.

Ważne ograniczenie: dwuskładnikowość nie chroni, jeśli sam podasz kod oszustowi na fałszywej stronie. Pomaga przy wykradzionym haśle, nie przy oddaniu kodu. Dlatego łącz ją z czujnością wobec linków.

Druga rzecz to aktywność logowania. Zaglądaj tam co jakiś czas i po każdym podejrzanym zdarzeniu. Jeśli widzisz urządzenie lub lokalizację, której nie znasz, wyloguj je i zmień hasło. Dodatkowo używaj unikalnego hasła z menedżera haseł i nie loguj się przez linki z wiadomości.

Jak zgłosić phishing do Instagrama

Zgłoś konto, które wysłało wiadomość. W DM otwórz rozmowę, wejdź w profil nadawcy i wybierz opcję zgłoszenia, a jako powód wskaż oszustwo lub podszywanie się. Zgłoszenie pomaga ograniczyć dalsze ataki, choć nie masz gwarancji szybkiej reakcji.

Mail z phishingiem możesz przekazać dalej do Instagrama przez formularz zgłoszeń w centrum pomocy. Nie odpowiadaj na wiadomość oszusta, nie pisz do niego i nie klikaj w "wypisz się". Potem usuń wiadomość lub zostaw ją tylko do czasu zrobienia zrzutów ekranu.

Niezależną wersję możesz też zgłosić w polskich instytucjach zajmujących się cyberbezpieczeństwem, jeśli doszło do straty finansowej. To nie jest porada prawna, a w razie szkód warto skonsultować się ze specjalistą.

Co robić, gdy konto zostało przejęte

Jeśli nie możesz się zalogować, hasło lub e-mail zostały zmienione albo widzisz posty, których nie dodałeś, to znaczy, że konto przejęto. Spróbuj najpierw dostępnych opcji w aplikacji: reset hasła na stary adres e-mail, link z maila o zmianie danych (ten prawdziwy, z poczty, nie z DM) i odzyskiwanie przez formularz.

Kiedy to nie działa, bo oszust zmienił e-mail i numer telefonu, a formularze wracają bez skutku, rozsądnie jest poprosić o pomoc. RESCUNO to zarejestrowana firma. Zaczyna od bezpłatnej oceny sprawy, a odzyskiwanie konta prowadzi na podstawie pisemnej umowy. Nie da się obiecać wyniku ani terminu, ale ocena pokazuje, czy sprawa ma sensowne szanse i co zrobić dalej. Szczegóły znajdziesz na stronie o odzyskiwaniu konta Instagram.

Ostrzeż znajomych i obserwujących

Przejęte konta służą do dalszych ataków, bo oszuści piszą do Twoich znajomych Twoim imieniem. Gdy tylko możesz, opublikuj ostrzeżenie na innym koncie lub napisz do najbliższych innym kanałem: "Jeśli dostałeś ode mnie dziwny link, nie klikaj". To krótko i skutecznie. Jeśli prowadzisz firmę, poinformuj też klientów i współpracowników.

Twórcy i sklepy: osobne ryzyka

Konta firmowe są atrakcyjne, bo mają zasięg, reklamy i klientów. Dlatego:

• ogranicz liczbę osób z dostępem i zdejmuj dostęp po zakończeniu współpracy,
• uzgodnij, kto odpowiada na wiadomości o współpracy i jak je weryfikuje,
• nie otwieraj "briefów" i "umów" z nieznanych linków,
• trzymaj dane odzyskiwania (e-mail, telefon) pod kontrolą firmy, nie jednej osoby.

Następny krok

Masz wiadomość, która budzi wątpliwości, albo konto już przestało Cię słuchać? Nie podawaj nikomu haseł ani kodów, tylko opisz sprawę. Napisz na WhatsApp - bezpłatna ocena sprawy, a przy podejrzanych wiadomościach skorzystaj ze Scam Check.