Jak zabezpieczyć konta po przejęciu: MFA, passkey i ochrona numeru przed SIM swap

Ten poradnik jest częścią planu dla osób, którym ktoś przejął konto: co zrobić w pierwszej godzinie i jak odzyskać konto na konkretnej platformie. Tu opisujemy, jak zabezpieczyć konta i numer telefonu, żeby sytuacja się nie powtórzyła.

Hasła, menedżer haseł, passkey i MFA

Jak bezpiecznie zmienić hasło

Z czystego urządzenia i wchodząc na stronę usługi ręcznie, nigdy z linku w mailu. Zmiana hasła z zainfekowanego komputera to strata czasu, bo nowe wycieknie tak samo jak stare.

Jak zrobić dobre hasło

• Długie jest ważniejsze niż skomplikowane. FTC radzi co najmniej 15 znaków, CERT Polska minimum 14.
• Najprościej: passfraza, czyli kilka losowych słów, np. zielony wtorek beczka lampa. Łatwo zapamiętać, trudno złamać.
• Każde konto ma własne hasło. Jedno hasło do wszystkiego oznacza, że jeden wyciek to utrata wszystkiego.
• Nie zmieniaj haseł co miesiąc na siłę. CERT Polska ujmuje to tak: hasło zmieniamy wtedy, gdy mamy podejrzenie, że ktoś je poznał.

Menedżer haseł

Aplikacja, która pamięta wszystkie hasła za Ciebie; Ty zapamiętujesz jedno, główne. Nie musisz kupować drogiego; menedżery wbudowane w przeglądarki i systemy są dziś w porządku. Dla osób nietechnicznych to największy skok bezpieczeństwa przy najmniejszym wysiłku.

Czym jest passkey

Passkey to logowanie bez hasła: zamiast je wpisywać, potwierdzasz tożsamość odciskiem palca, twarzą albo PIN-em urządzenia. Nie da się go wyłudzić przez phishing, bo nie ma czego wpisać na fałszywej stronie. Google i Microsoft aktywnie do niego zachęcają.

Aplikacja uwierzytelniająca kontra SMS

SMS jest lepszy niż nic, ale to najsłabszy z drugich składników, bo można go przechwycić przez SIM swap albo wyłudzić. FTC pisze wprost, że weryfikacja SMS-em może nie zatrzymać podmiany karty SIM i przy takim ryzyku lepiej użyć aplikacji uwierzytelniającej lub klucza bezpieczeństwa. Od najsłabszego do najmocniejszego: SMS → aplikacja uwierzytelniająca → passkey → sprzętowy klucz bezpieczeństwa.

Nigdy nikomu nie podawaj kodu z SMS-a ani z aplikacji. Żadna pomoc techniczna, żaden bank i żaden znajomy nie ma prawa o niego prosić. „Wyślę ci kod, przeczytaj mi go” to zawsze oszustwo.

Więcej o hasłach, menedżerach haseł i logowaniu dwuetapowym: 2FA i menedżer haseł: jak zabezpieczyć pocztę, bank i media społecznościowe oraz Hasła, menedżer haseł i passkeys: jak zabezpieczyć konta bez zapamiętywania wszystkiego.

Ochrona numeru przed SIM swap

SIM swap to przejęcie Twojego numeru: oszust wyrabia duplikat karty SIM albo przenosi numer do innego operatora, a potem odbiera Twoje kody SMS i resetuje hasła.

Tylko Polska. Głównym narzędziem obrony jest zastrzeżenie numeru PESEL w serwisie gov.pl lub w aplikacji mObywatel, bezpłatnie i ze skutkiem natychmiastowym. Zgodnie z Prawem komunikacji elektronicznej operator ma obowiązek sprawdzić rejestr zastrzeżeń przed wydaniem duplikatu karty SIM lub eSIM i odmówić, jeśli PESEL jest zastrzeżony; potwierdza to również UKE. Uwaga: obowiązek dotyczy duplikatu SIM i eSIM, nie obejmuje przeniesienia numeru do innego operatora.

Polscy operatorzy nie oferują dziś osobnej blokady „zablokuj mój numer”, którą klient sam włącza. Play informuje, że wymiana karty SIM jest u nich celowo opóźniona, a klient dostaje w trakcie SMS i e-mail, więc może procedurę przerwać. Plus podaje, że przed aktywacją nowej karty SIM lub profilu eSIM sprawdza rejestr zastrzeżeń PESEL. Procedury Orange nie udało się potwierdzić na oficjalnych stronach.

Tylko USA. Tu masz realne, samodzielne blokady i warto je włączyć od razu. Przepisy FCC wymagają od operatorów bezpłatnej możliwości zablokowania konta przed zmianą karty SIM i przed przeniesieniem numeru. Nazwy różnią się między operatorami:

Cztery uwagi praktyczne:

• W Verizonie włącz obie funkcje. Number Lock nie chroni przed podmianą karty SIM, a SIM Protection nie chroni przed przeniesieniem numeru.
• T-Mobile podaje, że SIM Protection nie blokuje transferu eSIM na urządzeniach Apple. Blokada nie zamyka wszystkich drzwi.
• Google Fi ostrzega, że po włączeniu Number Lock i utracie dostępu do konta Google nie przekaże Ci danych do przeniesienia numeru. Zadbaj wcześniej o kontakt odzyskiwania konta Google.
• PIN do konta to nie to samo, co blokada. FCC wprost odrzuciła argument, że PIN wystarcza.

Najczęstsze błędy

• Zmiana hasła z zainfekowanego komputera. Nowe hasło wycieka natychmiast.
• Ratowanie najpierw Facebooka, a nie poczty. Poczta jest kluczem do wszystkiego.
• Zmiana hasła bez wylogowania sesji. Napastnik z ukradzionym cookie zostaje w środku.
• Usunięcie dowodów. I nagle nie masz czym udokumentować sprawy w banku.
• Podanie komuś kodu z SMS-a. Najczęstsza pojedyncza przyczyna utraty WhatsAppa.
• Kliknięcie w link z maila „wykryliśmy podejrzane logowanie”. Wchodź na stronę ręcznie.
• Zostawienie tego samego hasła w innych serwisach. Jeden wyciek uruchamia lawinę.
• Zapominanie o aplikacjach z dostępem. Zmienisz hasło, a złośliwa aplikacja OAuth dalej wchodzi.
• Płacenie za „odzyskanie konta” i zakładanie nowego konta zamiast przejścia procedury.

Mity i fakty

Mit: „Nie mam nic ciekawego, nikt się na mnie nie włamie.” Fakt: Twoje konto samo w sobie jest towarem: daje dostęp do listy znajomych, którym można wysłać wiarygodną prośbę o pieniądze.

Mit: „Mam antywirusa, więc jestem bezpieczny.” Fakt: Większość przejęć zaczyna się nie od wirusa, tylko od wyciekłego hasła albo fałszywej strony logowania.

Mit: „Zmiana hasła zawsze wystarczy.” Fakt: Nie wystarczy, jeśli napastnik ma aktywną sesję, dodał własne MFA, passkey albo aplikację z dostępem.

Mit: „SMS-owe kody są bezpieczne.” Fakt: Lepsze niż nic, ale podatne na SIM swap i wyłudzenie. Microsoft zapowiedział zresztą wycofywanie SMS-ów dla kont prywatnych.

Mit: „Facebook mi pomoże, wystarczy napisać. A z Meta Verified pójdzie szybciej.” Fakt: Kontakt z żywym człowiekiem w Meta jest bardzo ograniczony, podstawą są formularze. Meta wprost pisze, że przy odzyskiwaniu strony formularz jest najszybszą drogą także dla użytkowników Meta Verified.

Mit: „Muszę zgłosić włamanie do UODO.” Fakt (tylko Polska): Obowiązek zgłoszenia w 72 godziny ciąży na administratorze danych, czyli firmie lub instytucji. Osoby prywatnej nie dotyczy.

Mit: „Zastrzeżenie PESEL zablokuje mi życie.” Fakt: Nadal zapiszesz się do lekarza, wypłacisz gotówkę, zrobisz przelew i wyjedziesz za granicę. Zastrzeżenie możesz zdjąć na chwilę, gdy jest potrzebne.

Najczęściej zadawane pytania

Czy zastrzeżenie PESEL uchroni mnie przed SIM swap?

Tylko Polska: zabezpiecza przed wydaniem duplikatu karty SIM i eSIM, bo operator ma obowiązek sprawdzić rejestr. Nie obejmuje jednak przeniesienia numeru do innego operatora.

Czy blokada numeru w USA jest płatna?

Nie. Przepisy FCC wymagają, żeby operatorzy oferowali taką blokadę bezpłatnie, także klientom prepaid.

Czy kod SMS wystarczy jako drugie zabezpieczenie?

Jest lepszy niż nic, ale to najsłabszy drugi składnik, bo SMS można przechwycić przez SIM swap albo wyłudzić. FTC radzi przy takim ryzyku użyć aplikacji uwierzytelniającej lub klucza bezpieczeństwa.

Czy PIN do konta u operatora wystarczy zamiast blokady?

Tylko USA: nie. FCC wprost odrzuciła argument, że PIN wystarcza. Włącz blokadę numeru i karty SIM u swojego operatora.

Źródła

Stan na 24 października 2026 r. Poradnik ma charakter informacyjny i nie stanowi porady prawnej ani finansowej. Procedury odzyskiwania kont, nazwy ustawień i adresy stron pomocy zmieniają się często, zwłaszcza w usługach Meta, Google i Microsoft, więc przed działaniem sprawdź aktualną stronę pomocy dostawcy. Żadna platforma nie gwarantuje odzyskania konta ani zwrotu pieniędzy. W sprawach obowiązków prawnych (np. zgłoszeń do UODO) i strat finansowych skonsultuj się z prawnikiem, bankiem lub właściwym organem.