Ktoś przejął mój e-mail, Facebook lub Instagram: co zrobić w pierwszej godzinie

Przejęcie konta rzadko wygląda dramatycznie. Zwykle wygląda tak: telefon wibruje o drugiej w nocy, przychodzi kod, którego nie zamawiałeś. Albo znajomy pisze: „Coś ci się włamali, wysyłasz dziwne linki”. Albo po prostu hasło przestaje działać.

Pierwsza godzina jest najważniejsza. W tym czasie napastnik zwykle dopiero się rozgaszcza: zmienia adres odzyskiwania, dopisuje swój numer telefonu, ustawia własne logowanie dwuskładnikowe. Jeśli zdążysz wcześniej, odzyskanie konta jest realne. Jeśli nie zdążysz, robi się znacznie trudniej.

Ten plan jest ułożony według czasu, nie według platformy. Zaczynasz od góry i idziesz w dół. Osobne instrukcje dla Google, Microsoftu, Facebooka, Instagrama, WhatsAppa i konta Apple są w poradniku Odzyskiwanie przejętego konta krok po kroku, a zabezpieczenia na przyszłość (hasła, passkey, ochrona numeru przed SIM swap) w poradniku Jak zabezpieczyć konta po przejęciu.

Jak sprawdzić, czy konto naprawdę zostało przejęte

Nie każde dziwne zdarzenie to włamanie. Zanim zaczniesz gasić pożar, sprawdź, czy się pali.

Oznaki, które zwykle oznaczają przejęcie

• Hasło przestało działać, choć na pewno go nie zmieniałeś.
• Zmienił się adres e-mail odzyskiwania albo numer telefonu przypisany do konta.
• Znajomi dostają od Ciebie wiadomości, których nie wysyłałeś, albo w folderze „Wysłane” są maile, których nie pamiętasz.
• Skrzynka nagle jest pusta albo znikają z niej maile z banku.
• Pojawiło się uwierzytelnianie dwuskładnikowe, którego nie włączałeś.
• Zniknąłeś jako administrator własnej strony na Facebooku albo na koncie reklamowym są kampanie, których nie uruchamiałeś.

Oznaki, które mogą, ale nie muszą oznaczać przejęcia

• Powiadomienie „nowe logowanie”: czasem to Twój własny telefon po aktualizacji.
• Prośba o kod, którego nie zamawiałeś. To zwykle znaczy, że ktoś zna Twoje hasło i próbuje przejść dalej. Konto jeszcze nie jest przejęte, ale hasło już nie jest bezpieczne. Zmień je natychmiast i nigdy nikomu nie podawaj tego kodu.
• Mail „wykryliśmy podejrzane logowanie” z linkiem. Bardzo często to sam phishing. Nie klikaj, tylko wejdź na stronę usługi, wpisując adres ręcznie.

Jak rozpoznać nieznane logowanie

Każda duża platforma ma listę ostatnich logowań lub aktywnych sesji. Szukaj trzech rzeczy naraz: nieznanego kraju lub miasta, nieznanego modelu urządzenia i godziny, o której na pewno spałeś. Sama lokalizacja to za mało, bo bywa niedokładna przez VPN czy sieć operatora.

Co zrobić natychmiast

Trzy decyzje, zanim zaczniesz klikać:

1. Z jakiego urządzenia działam? Przy podejrzeniu złośliwego oprogramowania zmiana hasła z zainfekowanego sprzętu nic nie da, bo nowe hasło też wycieknie.
2. Czy grożą mi straty finansowe? Jeśli do skrzynki podpięty jest bank, PayPal, Zelle czy BLIK, dzwoń do banku równolegle, nie po wszystkim.
3. Czy mam czym się zalogować? Jeśli hasło jeszcze działa, jesteś w dużo lepszej sytuacji. Przejdź do sekcji dla osoby, która nadal ma dostęp do konta.

Pierwsze 5 minut

1. Odłącz podejrzane urządzenie od internetu, jeśli podejrzewasz na nim wirusa: wyłącz Wi-Fi i dane komórkowe. Nie formatuj i nie kasuj, to może być dowód.
2. Przesiądź się na bezpieczne urządzenie: telefon partnera, komputer w pracy, tablet.
3. Zmień hasło do poczty głównej. Nie do Facebooka. Do poczty. To ona resetuje wszystko inne.
4. Zabezpiecz główny adres e-mail: sprawdź od razu, czy nie zmieniono adresu odzyskiwania i numeru telefonu.
5. Zadzwoń do banku, jeśli jest jakiekolwiek ryzyko finansowe. Nie pisz maila, dzwoń. Poproś o zablokowanie kart i wstrzymanie przelewów.

Tylko Polska: dzwoń na numer z odwrotu karty płatniczej lub z oficjalnej aplikacji banku. Nie oddzwaniaj na numer z SMS-a. Tylko USA: numer znajdziesz na odwrocie karty lub w aplikacji banku. Poproś o „fraud alert on the account”.

Pierwsze 15 minut

1. Wyloguj wszystkie sesje. Na Facebooku i Instagramie sekcja nazywa się „Where you’re logged in” („Gdzie jesteś zalogowany”), w Google to lista urządzeń w ustawieniach bezpieczeństwa. Wylogowanie unieważnia skradzione pliki cookie. Często to jedyny sposób, żeby wyrzucić napastnika, który nie zna Twojego hasła, tylko ukradł aktywną sesję.
2. Usuń nieznane urządzenia z listy urządzeń konta.
3. Sprawdź numery telefonu przypisane do konta. Usuń każdy, którego nie rozpoznajesz.
4. Sprawdź adresy odzyskiwania i zapasowe. Napastnicy najczęściej dopisują tu swój adres, żeby móc wrócić po Twojej zmianie hasła. Usuń obce wpisy.
5. Zmień hasła: najpierw poczta, potem konta finansowe, potem media społecznościowe. Każde inne. Zapisz je w menedżerze haseł.
6. Włącz lub popraw uwierzytelnianie dwuskładnikowe. Jeśli napastnik zdążył włączyć własne, usuń jego metodę i dodaj swoją. Najlepiej aplikację uwierzytelniającą albo klucz sprzętowy, nie SMS.

Ważna kolejność: najpierw wyloguj wszystkie sesje, potem zmień hasło. Odwrotna kolejność czasem zostawia napastnikowi żywą sesję.

Pierwsza godzina

1. Filtry poczty. Ulubiona sztuczka napastnika: filtr, który każdy mail ze słowem „bank” oznacza jako przeczytany i wrzuca do kosza, żebyś nie widział alertów o przelewach. Usuń filtry, których nie tworzyłeś.
2. Przekierowania. Sprawdź, czy poczta nie jest po cichu kopiowana na obcy adres. W Gmailu zakładka „Forwarding and POP/IMAP”, w Outlook.com Settings → Mail → Forwarding.
3. Reguły skrzynki. W Outlook.com: Settings → Mail → Rules. Usuń reguły, których nie znasz.
4. Delegacja i dostęp zdalny. W Gmailu sprawdź osoby z dostępem do skrzynki (mail delegation), włączone IMAP i POP oraz automatyczną odpowiedź, bo bywa używana do rozsyłania oszustw.
5. Aplikacje z dostępem do konta. Napastnik mógł podpiąć własną, a Ty pewnie masz stare, o których zapomniałeś. W koncie Google: myaccount.google.com/connections (starszy adres myaccount.google.com/permissions nadal działa). Odbierz dostęp wszystkiemu, czego nie rozpoznajesz.
6. Passkeys i klucze bezpieczeństwa. Jeśli napastnik dodał swój passkey, wpuści go on z powrotem mimo zmiany hasła. Usuń obce wpisy, dodaj własny.
7. Historia logowania. Przejrzyj ją i zapisz zrzuty ekranu. To materiał dla banku i policji.
8. Wysłane i usunięte wiadomości. Zobacz, co i do kogo rozesłano w Twoim imieniu. Zrób zrzuty ekranu. Nie kasuj tych wiadomości, najpierw dowody.
9. Ostrzeż znajomych. Wzór wiadomości znajdziesz niżej.
10. Sprawdź konta bankowe i platformy zakupowe podpięte do tego adresu: bank, Allegro, Amazon, eBay, PayPal, Apple, Google Play. Szukaj nowych adresów dostawy i nieznanych zamówień.

Pierwsze 24 godziny

1. Przeskanuj urządzenia antywirusem, zaktualizuj system i przeglądarkę. Przy podejrzeniu infostealera rozważ przywrócenie systemu do stanu fabrycznego. Dopóki komputer jest zainfekowany, każda zmiana hasła jest bezużyteczna.
2. Zmień hasła do najważniejszych kont: bank, konto rządowe, praca, druga skrzynka, sklepy z zapisaną kartą.
3. Skontaktuj się z operatorem telefonu i zabezpiecz numer przed przeniesieniem lub wydaniem duplikatu karty SIM. Szczegóły w poradniku Jak zabezpieczyć konta po przejęciu.
4. Sprawdź karty i transakcje za ostatnie 30 dni. Zgłoś każdą nieznaną, nawet drobną: testowe płatności po kilka złotych czy dolarów to zapowiedź większej.
5. Zabezpiecz strony firmowe i konta reklamowe: sprawdź listę administratorów, ustaw limit wydatków, usuń nieznane metody płatności.
6. Zapisz dowody poza przejętym kontem: zrzuty z historii logowania, nagłówki podejrzanych maili, numery transakcji, daty i godziny.
7. Zgłoś incydent. Gdzie dokładnie, opisujemy niżej.

Kolejne dni

• Monitoruj konta. Przez 2–4 tygodnie codziennie zaglądaj do historii logowania i skrzynki. Mail „ktoś prosił o reset hasła” oznacza, że napastnik nadal próbuje.
• Przejrzyj wyciągi bankowe za ostatnie trzy miesiące, a nie za ostatni tydzień.
• Sprawdź raport kredytowy, jeśli wyciekły Twoje dane osobowe. Tylko USA: możesz zamrozić raport w Experian, Equifax i TransUnion. To darmowe i skuteczne. Mamy o tym osobny poradnik o zamrażaniu raportu kredytowego. Tylko Polska: rozważ zastrzeżenie numeru PESEL w serwisie gov.pl lub w aplikacji mObywatel, usługa jest bezpłatna. Szczegóły w poradniku Jak zastrzec numer PESEL krok po kroku.
• Poinformuj klientów lub pracodawcę, jeśli konto było służbowe albo firmowe. Wzór wiadomości znajdziesz niżej.
• Oceń obowiązki prawne. Tylko Polska: obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin dotyczy administratora danych osobowych, czyli przedsiębiorcy lub instytucji przetwarzającej dane innych osób. Osoba prywatna, której włamano się na prywatną pocztę czy Instagrama, nie jest administratorem i nie ma takiego obowiązku. Jeśli jednak prowadzisz firmę i wyciekły dane Twoich klientów, obowiązek może Cię dotyczyć. Zgłoszenie wyłącznie elektronicznie, przez formularz na biznes.gov.pl.

Instrukcja dla osoby, która nadal ma dostęp do konta

Masz przewagę. Działaj w tej kolejności i nie przeskakuj punktów.

1. Wyloguj wszystkie sesje i urządzenia.
2. Zmień hasło na długie i unikalne.
3. Sprawdź i wyczyść: adres odzyskiwania, numer telefonu, metody logowania dwuskładnikowego, passkeys.
4. Sprawdź i wyczyść: filtry, przekierowania, reguły, delegacje, IMAP/POP, automatyczne odpowiedzi.
5. Odbierz dostęp nieznanym aplikacjom.
6. Włącz mocne MFA (aplikacja lub klucz), zapisz kody zapasowe na papierze.
7. Pobierz kopię ważnych danych: zdjęcia, kontakty, faktury. Jeśli jednak stracisz konto później, będziesz je mieć.
8. Zrób zrzuty ekranu historii logowania, zanim znikną.

Instrukcja dla osoby, która całkowicie utraciła dostęp

Nie panikuj i nie zakładaj nowego konta w pierwszym odruchu. Nowe konto o tej samej nazwie nie odzyska starego, a bywa, że utrudnia weryfikację.

1. Użyj urządzenia i sieci, z których zwykle się logowałeś. Platformy rozpoznają znany sprzęt i przeglądarkę, co podnosi szanse. Facebook radzi to wprost.
2. Przejdź oficjalną procedurą odzyskiwania danej platformy (instrukcje w poradniku Odzyskiwanie przejętego konta krok po kroku). Nie korzystaj z „pomocy” z ogłoszeń, grup na Facebooku ani z płatnych „hakerów odzyskujących konta”. To niemal zawsze kolejne oszustwo.
3. Podawaj prawdziwe dane. Formularze porównują to, co wpisujesz, z tym, co system wie o koncie. Zgadywanie obniża szanse.
4. Ostrzeż otoczenie od razu, nie czekając na odzyskanie.
5. Odetnij konto od reszty życia: zmień adres e-mail w banku, w sklepach, w pracy, u operatora. Wyrejestruj przejęte konto jako metodę logowania tam, gdzie się da.
6. Zgłoś podszywanie się, jeśli oszust używa Twoich zdjęć i nazwiska.
7. Uzbrój się w cierpliwość. Część procedur trwa dni, część tygodnie. Żadna platforma nie gwarantuje odzyskania konta.

Odzyskiwanie konta na konkretnej platformie

Instrukcje dla Google i Gmaila, Microsoftu i Outlooka, Facebooka, Instagrama, WhatsAppa i konta Apple, z adresami oficjalnych stron odzyskiwania i tabelą ustawień do sprawdzenia, są w osobnym poradniku: Odzyskiwanie przejętego konta krok po kroku.

Tabela: objaw, możliwa przyczyna, działanie

Kiedy szkoda już się stała

Oszust prosił znajomych o pieniądze

Ostrzeż wszystkich natychmiast, innym kanałem niż przejęte konto. Jeśli ktoś już przelał, niech dzwoni do swojego banku od razu; im szybciej, tym większa szansa na zatrzymanie przelewu. Niech zachowa zrzuty ekranu rozmowy i potwierdzenie przelewu. To poszkodowani składają zawiadomienie o swojej stracie; Ty zgłaszasz przejęcie konta i podszywanie się.

Oszust kupił reklamy na Twój koszt

Usuń metody płatności z konta reklamowego i ustaw limit wydatków. Zgłoś sprawę w pomocy Meta i równolegle w banku lub u wystawcy karty, bo transakcje nieautoryzowane można reklamować. Zrzuty ekranu kampanii, dat i kwot rób, zanim cokolwiek skasujesz.

Oszust usunął Cię jako administratora strony

Meta radzi najpierw sprawdzić, czy nie usunął Cię inny prawdziwy administrator; wtedy wystarczy prośba o ponowne dodanie. Jeśli to przejęcie, złóż formularz odzyskania strony z artykułu pomocy. Meta zastrzega, że podejmie działanie tylko po potwierdzeniu przejęcia, i że Meta Verified nie jest szybszą drogą.

Wzory wiadomości

Wzór wiadomości do znajomych

Cześć, ktoś przejął moje konto [Facebook / e-mail / Instagram]. Jeśli dostaniesz ode mnie wiadomość z prośbą o pieniądze, kod SMS, BLIK albo link – to nie ja. Nie klikaj i nie odpowiadaj. Piszę z innego numeru/konta. Odezwę się, jak odzyskam dostęp. Jeśli już zdążyłeś kliknąć w link albo przelać pieniądze, zadzwoń od razu do swojego banku.

Wzór wiadomości do klientów

Szanowni Państwo,

informujemy, że [data] doszło do nieuprawnionego dostępu do naszego konta [e-mail / Facebook / Instagram]. Podjęliśmy działania zabezpieczające i odzyskujemy pełną kontrolę nad kontem.

Prosimy o ostrożność wobec wiadomości otrzymanych z tego konta między [data] a [data]. W szczególności prosimy nie realizować przelewów na numery rachunków podane w tych wiadomościach bez wcześniejszego potwierdzenia telefonicznego pod naszym stałym numerem: [numer].

Nasze dane rozliczeniowe nie uległy zmianie. Jeżeli otrzymali Państwo wiadomość o zmianie numeru konta, prosimy o niezwłoczny kontakt.

Przepraszamy za utrudnienia. [Imię i nazwisko, firma, telefon]

Wzór krótkiego ogłoszenia na Facebooku

Uwaga: ktoś przejął moje konto. Wiadomości z prośbą o pieniądze, kody lub BLIK, wysłane od [data], nie pochodzą ode mnie. Nie klikajcie w linki, nie przelewajcie pieniędzy. Zgłoście fałszywe wiadomości i przekażcie dalej. Dziękuję.

Gdy konta nie da się odzyskać

Trzeba to powiedzieć uczciwie: część kont nie wraca, zwłaszcza takie, które nie miały aktualnego numeru telefonu ani drugiego adresu e-mail. Co wtedy:

1. Odetnij stare konto od życia. Zmień adres e-mail w banku, u operatora, w urzędach, w pracy, w sklepach.
2. Załóż nowe konto i od pierwszego dnia ustaw MFA oraz aktualne dane odzyskiwania.
3. Zgłoś podszywanie się, jeśli oszust dalej używa Twojej tożsamości. Formularze Meta działają też bez zalogowania.
4. Ostrzeż otoczenie publicznie w grupach, w których byłeś aktywny.
5. Uważaj na „odzyskiwaczy kont”. Oferty odpłatnego odzyskania konta w komentarzach to praktycznie zawsze druga fala oszustwa.

Zabezpieczenie kont na przyszłość

Jak zmienić hasło, czym jest passkey, dlaczego SMS to najsłabszy drugi składnik i jak zablokować numer przed SIM swap w Polsce i w USA, opisujemy w poradniku Jak zabezpieczyć konta po przejęciu: MFA, passkey i ochrona numeru przed SIM swap. Tam są też najczęstsze błędy i mity.

Gdzie zgłosić oszustwo lub incydent

Zawsze, niezależnie od kraju

• Do platformy: oficjalnym formularzem odzyskiwania i, jeśli trzeba, zgłoszenia podszywania się.
• Do banku: jeśli była lub mogła być strata finansowa. Bank pierwszy, potem reszta.

Tylko Polska

• CERT Polska: zgłoszenie incydentu przez formularz incydent.cert.pl albo mailem na cert@cert.pl. CERT prowadzi też Listę Ostrzeżeń przed niebezpiecznymi domenami.
• Numer 8080: podejrzany SMS „przekaż” lub „udostępnij” na numer 8080. To kanał wyłącznie dla SMS-ów; maile i strony zgłaszasz formularzem albo mailem. Limit: 3 wiadomości na 4 godziny z jednego numeru.
• Policja: zawiadomienie złożysz osobiście w dowolnej jednostce Policji albo prokuratury; pisemne zawiadomienie możesz też wysłać mailem, faksem lub pocztą do właściwej jednostki. Ogólnopolskiego formularza online do zawiadomień nie ma: gov.pl udostępnia wzór zawiadomienia, a CBZC przypomina, że zawiadomienie przyjmie każda jednostka Policji.
• UODO: tylko jeśli jesteś administratorem danych (firma, instytucja) i wyciekły dane innych osób. Wyłącznie elektronicznie, przez formularz na biznes.gov.pl, w ciągu 72 godzin od stwierdzenia naruszenia.
• Zastrzeżenie PESEL: jeśli wyciekły Twoje dane osobowe.

Tylko USA

• FTC: ogólne zgłoszenie oszustwa: reportfraud.ftc.gov. Jeśli ktoś użył Twojej tożsamości: identitytheft.gov, gdzie według FTC dostaniesz spersonalizowany plan naprawczy.
• FBI IC3: ic3.gov, zgłoszenie przez complaint.ic3.gov. To główny punkt przyjmowania zgłoszeń o cyberprzestępstwach; formularz przyjmuje adresy spoza USA, w tym Polskę. IC3 zastrzega, że nie odpowiada indywidualnie na każde zgłoszenie, i ostrzega, że nigdy nie kontaktuje się z poszkodowanymi z własnej inicjatywy w sprawie pieniędzy ani danych.
• Lokalna policja: warto złożyć zawiadomienie przy stracie finansowej; numer sprawy bywa potrzebny w banku.
• Operator komórkowy: włącz blokady opisane w poradniku Jak zabezpieczyć konta po przejęciu.
• Biura kredytowe: rozważ zamrożenie raportu kredytowego.

Jak sprawdzić, czy Twój e-mail wyciekł

• haveibeenpwned.com: niezależny, powszechnie używany serwis sprawdzający, czy Twój adres pojawił się w znanych wyciekach. Uczciwie: to narzędzie prywatne, nie państwowe, i pokazuje tylko wycieki, które są mu znane, więc brak wyniku nie znaczy, że nic nie wyciekło. Wpisujesz sam adres e-mail, nigdy hasło.
• moje.cert.pl: usługa NASK i CERT Polska, m.in. do sprawdzania wycieków. Tylko Polska.
• Wbudowane sprawdzanie haseł w menedżerze Google, Apple lub przeglądarki ostrzeże, jeśli któreś z zapisanych haseł pojawiło się w wycieku.

Najważniejsze zasady

1. Poczta pierwsza. Zawsze ratuj skrzynkę e-mail przed mediami społecznościowymi.
2. Bezpieczne urządzenie. Zmiana hasła z zainfekowanego sprzętu jest bezwartościowa.
3. Wyloguj sesje, potem zmień hasło. W tej kolejności.
4. Sprawdź, co napastnik dodał, a nie wyłącznie, co zmienił: adres odzyskiwania, numer, MFA, passkey, filtry, aplikacje.
5. Nie kasuj dowodów. Najpierw zrzuty ekranu, potem sprzątanie.
6. Nigdy nie podawaj kodu. Nikomu, nigdy, pod żadnym pretekstem.
7. Każde konto ma własne, długie hasło w menedżerze haseł.
8. MFA mocniejsze niż SMS, gdzie tylko się da.
9. Ostrzeż ludzi natychmiast, nie czekaj na odzyskanie konta.
10. Nie płać nikomu za odzyskanie konta.

Checklista pierwszej godziny

• Odłączyłem podejrzane urządzenie od internetu
• Działam z bezpiecznego urządzenia
• Zmieniłem hasło do głównej skrzynki e-mail
• Zadzwoniłem do banku, jeśli było ryzyko finansowe
• Wylogowałem wszystkie sesje i urządzenia
• Usunąłem nieznane urządzenia z listy
• Sprawdziłem numery telefonu przypisane do konta
• Sprawdziłem adresy odzyskiwania i zapasowe
• Zmieniłem hasła do najważniejszych kont
• Włączyłem lub poprawiłem MFA
• Sprawdziłem filtry poczty
• Sprawdziłem przekierowania poczty
• Sprawdziłem reguły skrzynki i delegacje
• Odebrałem dostęp nieznanym aplikacjom
• Sprawdziłem listę passkeys i kluczy bezpieczeństwa
• Przejrzałem historię logowania i zrobiłem zrzuty ekranu
• Przejrzałem folder Wysłane i Kosz
• Ostrzegłem znajomych
• Sprawdziłem konta bankowe i platformy zakupowe

Checklista pierwszych 24 godzin

• Przeskanowałem wszystkie urządzenia antywirusem
• Zaktualizowałem system i przeglądarkę
• Zmieniłem hasła do pozostałych ważnych kont
• Skontaktowałem się z operatorem telefonu
• Włączyłem blokadę numeru (USA) lub zastrzegłem PESEL (Polska)
• Sprawdziłem transakcje kartowe z ostatnich 30 dni
• Sprawdziłem strony firmowe i role administratorów
• Sprawdziłem konto reklamowe i metody płatności
• Zapisałem dowody poza przejętym kontem
• Zgłosiłem incydent (CERT / FTC / IC3 / policja)
• Zapisałem nowe hasła w menedżerze haseł
• Zapisałem kody zapasowe MFA na papierze

Najczęściej zadawane pytania

Czy odzyskam konto na pewno?

Nie ma takiej gwarancji i nikt uczciwy Ci jej nie da. Szanse rosną, gdy działasz szybko, z urządzenia i sieci, których zwykle używasz, i gdy konto miało aktualny numer telefonu oraz adres odzyskiwania.

Zmieniłem hasło, a oszust dalej pisze z mojego konta. Jak to możliwe?

Prawdopodobnie ma żywą sesję (skradzione cookies) albo aplikację z dostępem. Wyloguj wszystkie sesje i odbierz dostęp aplikacjom.

Dostałem kod SMS, którego nie prosiłem. Czy jestem zhakowany?

Jeszcze niekoniecznie, ale ktoś zna Twoje hasło. Zmień je natychmiast i nie podawaj nikomu kodu.

Czy zakładać nowe konto?

Najpierw wyczerp procedurę odzyskiwania. Nowe konto o tej samej nazwie nie odzyska starego.

Czy zgłaszać na policję, skoro nic nie straciłem finansowo?

Możesz. Zawiadomienie porządkuje sprawę, a numer sprawy przydaje się, gdy oszust w Twoim imieniu wyłudzi coś później. Tylko Polska: zawiadomienie składasz w dowolnej jednostce Policji. Tylko USA: zgłoszenie do IC3 i, przy kradzieży tożsamości, do IdentityTheft.gov.

Czy warto płacić za odzyskanie konta?

Nie. Osoby oferujące to w komentarzach czy wiadomościach prywatnych to niemal zawsze kolejni oszuści.

Mam firmę i przejęto firmowego maila. Muszę zgłosić do UODO?

Tylko Polska: jeśli jesteś administratorem danych osobowych i wyciekły dane innych osób, prawdopodobnie tak, w ciągu 72 godzin od stwierdzenia naruszenia, przez formularz elektroniczny. Jeśli sprawa jest poważna, skonsultuj to z prawnikiem lub inspektorem ochrony danych. Osoby prywatnej ten obowiązek nie dotyczy.

Źródła

Stan na 24 października 2026 r. Poradnik ma charakter informacyjny i nie stanowi porady prawnej ani finansowej. Procedury odzyskiwania kont, nazwy ustawień i adresy stron pomocy zmieniają się często, zwłaszcza w usługach Meta, Google i Microsoft, więc przed działaniem sprawdź aktualną stronę pomocy dostawcy. Żadna platforma nie gwarantuje odzyskania konta ani zwrotu pieniędzy. W sprawach obowiązków prawnych (np. zgłoszeń do UODO) i strat finansowych skonsultuj się z prawnikiem, bankiem lub właściwym organem.