"Ktoś zalogował się na Twoje konto". Jak odróżnić prawdziwy alert Google, Microsoftu i Apple od phishingu i co zrobić w pierwsze 10 minut

Na ekranie telefonu wyskakuje: "Nowe logowanie na Twoim koncie Google". Albo mail "Microsoft account unusual sign-in activity". Albo powiadomienie z iPhone'a, że ktoś zalogował się Twoim Apple Account na urządzeniu, o którym pierwszy raz słyszysz.

Możliwości są dwie i prowadzą w zupełnie różne strony. Albo alert jest prawdziwy i ktoś naprawdę wszedł na Twoje konto, albo jest sfałszowany, atakiem jest sama wiadomość, a konto nikogo obcego nie widziało. Na ekranie wyglądają prawie tak samo, bo oszuści kopiują układ prawdziwych powiadomień co do piksela.

Zgadywanie z treści wiadomości nie ma sensu, bo dobrze zrobiona podróbka wygląda lepiej od oryginału. Jest za to sposób sprawdzenia, który działa w obu przypadkach i którego nie da się podrobić.

Zasada, od której zależy cała reszta

Nie klikaj w nic, co jest w tym powiadomieniu. Ani w przycisk "Sprawdź aktywność", ani w "To nie ja", ani w link do zmiany hasła.

Zamiast tego otwórz przeglądarkę i wpisz adres swojego konta z pamięci albo z własnej zakładki. Wtedy patrzysz na prawdziwą stronę dostawcy, a nie na cokolwiek, co przygotował autor wiadomości.

Sami dostawcy tak to formułują. Microsoft w opisie strony aktywności pisze wprost, że jeśli dostajesz mail o nietypowej aktywności i nie masz pewności, czy jest od Microsoftu, możesz bezpiecznie zalogować się na konto bez klikania linków z wiadomości (What is the Recent activity page?). Google idzie dalej i podaje konkretny adres: jeśli podejrzewasz, że mail bezpieczeństwa wyglądający na wiadomość od Google jest fałszywy, wejdź bezpośrednio na myaccount.google.com/notifications i tam sprawdź ostatnie zdarzenia bezpieczeństwa (Avoid & report phishing emails).

Zapisz sobie te adresy w zakładkach albo naucz się ich na pamięć:

Google: myaccount.google.com
Microsoft: account.microsoft.com
Apple: account.apple.com

U Google i Microsoftu ta reguła jest prosta: jeśli logowania z alertu nie ma w historii na stronie konta, alert był niemal na pewno fałszywy. U Apple działa tylko połowicznie, bo w dokumentacji wsparcia Apple nie ma odpowiednika strony z historią logowań - masz wyłącznie listę zalogowanych urządzeń, bez godzin i miejsc. Brak obcego urządzenia na tej liście niczego więc nie zamyka, bo ktoś mógł zalogować się w przeglądarce i nie dopisać żadnego sprzętu. Przy alercie Apple i tak zmień hasło z zaufanego urządzenia i przejrzyj metody odzyskiwania.

Dla kogo jest ten tekst i co trzeba mieć pod ręką

Piszę dla osoby prywatnej z kontem Google, Microsoft albo Apple. Konto służbowe albo szkolne to inna sprawa: tam administrator ma własne narzędzia i własne procedury, więc zacznij od zgłoszenia do działu IT.

Potrzebujesz dziesięciu minut bez pośpiechu i urządzenia, któremu ufasz, czyli takiego, na którym nie instalowałeś ostatnio niczego dziwnego i nie klikałeś w podejrzane linki. Przyda się też dostęp do skrzynki pocztowej, która jest adresem odzyskiwania Twojego konta, bo bez niej wiele kroków się zatrzyma.

Jeśli alert dotyczy konta bankowego albo aplikacji bankowej, ten poradnik to za mało. Tam liczą się minuty i pierwszy telefon idzie do banku.

Dwa słowa będą się w tym tekście powtarzać, więc od razu je ustalmy. Sesja to okres, przez który jesteś zalogowany z konkretnej przeglądarki lub aplikacji; wylogowanie sesji odcina każdego, kto z niej korzystał. Weryfikacja dwuetapowa (2FA, u Google "weryfikacja dwuetapowa", u Apple "uwierzytelnianie dwuskładnikowe") to drugi składnik logowania obok hasła: kod, powiadomienie w telefonie albo klucz sprzętowy.

Pierwsze dziesięć minut

Kolejność ma znaczenie, bo niektóre kroki bez sensu wykonywać wcześniej niż inne.

Nie klikaj w powiadomienie. Zostaw je otwarte albo zrób zrzut ekranu, przyda się później.
Wejdź na stronę konta z ręcznie wpisanego adresu i sprawdź, czy logowanie z alertu tam jest.
Jeśli u Google albo Microsoftu nie ma go w historii, skończyłeś. To niemal na pewno phishing, więc przejdź do sekcji o zgłaszaniu. Dwa zastrzeżenia: strona Microsoftu sięga 30 dni wstecz, a alert mógł dotyczyć innego Twojego konta niż to, na które właśnie patrzysz - sprawdź adres, do którego wiadomość się odwołuje. U Apple nie masz historii logowań, tylko listę urządzeń, więc brak obcego urządzenia nie kończy sprawy: przejdź do kroku 4 tak czy inaczej.
Jeśli logowanie jest i to na pewno nie Ty (albo dostałeś alert Apple), zmień hasło z zaufanego urządzenia. Gdy podejrzewasz złośliwe oprogramowanie na tym komputerze, najpierw przeskanuj go antywirusem albo weź inny sprzęt - hasło wpisane na zainfekowanej maszynie wycieknie od razu. Szczegóły w sekcji o zmianie hasła.
Wyloguj sesje i usuń nieznane urządzenia. U Google nie ma na to jednego przycisku - każdą pozycję wylogowujesz osobno.
Sprawdź metody odzyskiwania: numer telefonu, adres zapasowy, klucze dostępu, zaufane urządzenia. Jeśli ktoś dopisał tam swoje, zmiana hasła nic nie da.
Sprawdź przekierowania i filtry w poczcie. Ten krok wypada z pola widzenia najłatwiej, a to on decyduje, czy napastnik zostanie na koncie mimo zmiany hasła.
Włącz weryfikację dwuetapową, jeśli jej nie masz.

Od tej kolejności odstąp w jednym przypadku: jeśli konto z alertu nie jest Twoim głównym e-mailem, a hasło do niego jest takie samo albo podobne jak do poczty, najpierw zabezpiecz pocztę. Przez skrzynkę resetuje się hasła do wszystkiego innego, więc ona jest kluczem do reszty.

Jak wygląda prawdziwe powiadomienie Google

Dokumentacja Google wymienia powiadomienie o nietypowym logowaniu lub nowym urządzeniu, powiadomienie o zmianie nazwy użytkownika, hasła albo innych ustawień bezpieczeństwa, powiadomienie o innej nierozpoznanej aktywności, pasek z komunikatem o wykrytej podejrzanej aktywności oraz wpis na stronie "Ostatnia aktywność związana z bezpieczeństwem" (Recent security activity) (Secure a hacked or compromised Google Account). Alerty docierają mailem na adres odzyskiwania i na numer odzyskiwania - Google wprost pisze, że tymi kanałami informuje o podejrzanej aktywności, choć nie precyzuje, czy kontakt telefoniczny to SMS. W praktyce alert potrafi też wyskoczyć jako powiadomienie na zalogowanym telefonie, ale tego kanału Google w tym dokumencie nie opisuje.

Najważniejsza jest ostatnia pozycja z tej listy, bo tylko tego kanału nie da się podrobić. Wchodzisz na myaccount.google.com/notifications i widzisz listę zdarzeń. Przy podejrzanym wybierasz "Nie, to nie ja" i Google prowadzi cię przez zabezpieczanie konta.

Alert o nowym logowaniu nie oznacza sam z siebie włamania. Google wysyła go także wtedy, gdy sam zalogujesz się na nowym telefonie, w nowej przeglądarce, po wyczyszczeniu ciasteczek albo po przywróceniu urządzenia do ustawień fabrycznych. Reguła jest prosta: jeśli w chwili opisanej w alercie robiłeś dokładnie to, co alert opisuje, to byłeś Ty.

Nie opieraj się na samym nadawcy. Google w instrukcji o phishingu wymienia sprawdzenie adresu i nazwy nadawcy oraz nagłówków wiadomości wśród rzeczy do obejrzenia przy podejrzanym mailu, ale przy podejrzeniu fałszywego alertu bezpieczeństwa odsyła do czegoś innego: do wejścia na stronę konta. Powód jest prosty: pole nadawcy da się podszyć, a nazwa wyświetlana to w ogóle dowolny tekst, który autor wiadomości wpisuje sobie sam. Adres nadawcy bywa przesłanką, ale dowodem nie będzie nigdy.

Jak wygląda prawdziwe powiadomienie Microsoftu

Microsoft podaje tu jeden twardy punkt zaczepienia, którego u pozostałych dostawców nie ma. Jeśli mail od zespołu konta Microsoft przychodzi z domeny @accountprotection.microsoft.com, wiadomości można ufać; Microsoft używa tej domeny do powiadomień o koncie, w tym kodów weryfikacji dwuetapowej i informacji o zmianach, na przykład o zmianie hasła (Can I trust email from the Microsoft account team?). Ta sama strona każe sprawdzić dwie rzeczy: czy adres faktycznie zawiera tę domenę oraz czy konto, do którego mail nawiązuje, w ogóle należy do Ciebie. Reguła z sekcji o Google nadal obowiązuje: zgodna domena jest mocną przesłanką, a nie dowodem, i pewność daje dopiero historia konta obejrzana po samodzielnym wejściu na account.microsoft.com.

Tu łatwo dać się nabrać, bo nazwy domen czyta się nieintuicyjnie. Domena accountprotection.microsoft.com jest poddomeną microsoft.com i jest prawdziwa. Adresy w rodzaju microsoft-account-alert.com czy outlook-verify.net to zupełnie inne domeny, które po prostu zawierają w nazwie słowo "microsoft". Liczy się to, co stoi tuż przed pierwszym ukośnikiem, a nie to, co jest gdziekolwiek w tekście. W aplikacjach pocztowych na telefonie widać zwykle tylko nazwę wyświetlaną, więc trzeba ją dotknąć, żeby zobaczyć prawdziwy adres.

Na stronie ostatniej aktywności każde zdarzenie pokazuje adres IP, przybliżoną lokalizację na mapie, datę i godzinę oraz typ urządzenia lub systemu i przeglądarkę albo aplikację. Fałszywy mail te same pola potrafi podać, więc porównuj je z tym, co widzisz po samodzielnym wejściu na account.microsoft.com, a nie z tym, co brzmi wiarygodnie w wiadomości. Strona pokazuje 30 dni historii konta. Jeśli widzisz tylko "Recent activity", nic nie musisz potwierdzać. Jeśli pojawia się "Unusual activity", Microsoft czeka na Twoją odpowiedź: rozwijasz zdarzenie i wybierasz "This was me" albo "This wasn't me". Przyciski są wyłącznie w tej drugiej sekcji, więc ich brak nie znaczy, że coś jest nie tak.

Wybierz "This wasn't me" także wtedy, gdy po prostu nie masz pewności. Microsoft napisał to wprost: ta opcja jest również dla przypadku "nie wiem", a wtedy poprowadzi cię przez zmianę hasła i aktualizację informacji zabezpieczających.

Kilka opisów zdarzeń z tej strony brzmi groźniej, niż są. "Incorrect password entered" znaczy tylko tyle, że ktoś wpisał złe hasło i logowanie nie doszło do skutku; mogłeś to być Ty. "Successful sign-in" to logowanie poprawnym hasłem. "Unusual activity detected" oznacza logowanie poprawnym hasłem, ale z lokalizacji lub urządzenia, których Microsoft nie rozpoznał, więc dołożył dodatkowe pytanie weryfikacyjne. Za to "Sign-in blocked (Account compromised)" to komunikat, przy którym trzeba się zatrzymać: Microsoft uznał, że ktoś obcy dostał się do konta.

Podczas wyjazdów lokalizacja w alercie bywa myląca. Częste zmiany miejsca same z siebie potrafią generować alerty o nietypowej aktywności, a operatorzy komórkowi routują ruch przez różne węzły, więc pokazane miasto nie musi mieć nic wspólnego z tym, w którym siedzisz.

Jak wygląda prawdziwe powiadomienie Apple

Apple powiadamia mailem, SMS-em albo powiadomieniem na urządzeniu, gdy w koncie coś się zmienia: pierwsze logowanie na nowym urządzeniu, zmiana hasła i tym podobne (Security and your Apple Account). Te trzy kanały nie są równie wiarygodne. Maila i SMS-a podrobi każdy, kto zna Twój adres albo numer; powiadomienie wyświetlone przez sam system na zaufanym iPhonie czy Macu pochodzi z urządzenia, które już jest zalogowane na Twoje konto, więc tego kanału nie da się podszyć z zewnątrz.

I tu zaczyna się problem, o którym trzeba powiedzieć uczciwie: Apple nie daje strony z historią logowań. Google ma zdarzenia bezpieczeństwa, Microsoft ma 30 dni aktywności, a w dokumentacji wsparcia Apple nie znalazłem odpowiednika. To, czym dysponujesz, to lista urządzeń zalogowanych na koncie, dostępna w Ustawieniach po dotknięciu swojego imienia, w Ustawieniach systemowych na Macu oraz w sekcji Devices na account.apple.com (Check your Apple Account device list). Pozycja urządzenia pokazuje model, numer seryjny, wersję oprogramowania i to, czy urządzenie jest zaufane. Nie ma tam ani godziny, ani miejsca logowania.

Praktyczny wniosek, i to jest różnica, przez którą Apple wymaga innej ścieżki niż pozostali dwaj: przy alercie Apple weryfikujesz nie "czy było takie logowanie", tylko "czy na liście urządzeń jest coś, czego nie znam". To słabsze narzędzie. Brak obcego urządzenia nie dowodzi, że alert był fałszywy, bo ktoś mógł zalogować się w przeglądarce na account.apple.com i nie dopisać przy tym żadnego sprzętu. Dlatego przy alercie Apple, którego nie potrafisz sobie wytłumaczyć własnym logowaniem, zmień hasło z zaufanego urządzenia i przejrzyj metody odzyskiwania, nawet jeśli lista urządzeń wygląda normalnie. U Google i Microsoftu wystarczyłoby, że zdarzenia nie ma w historii.

Apple podaje za to konkretną listę sygnałów przejęcia konta (If you think your Apple Account has been compromised): powiadomienie o aktywności, której nie rozpoznajesz; kod weryfikacji dwuskładnikowej, o który nie prosiłeś; wiadomości, których nie wysyłałeś; usunięte rzeczy, których nie usuwałeś; zmienione dane konta; zaufane urządzenia, których nie dodawałeś; zakupy, których nie robiłeś; hasło, które przestało działać; urządzenie zablokowane albo wprowadzone w tryb utraty nie przez Ciebie.

Ten drugi punkt zasługuje na osobne zdanie, bo dotyczy wszystkich trzech dostawców. Niezamówiony kod 2FA albo powiadomienie z pytaniem "czy to Ty?" oznacza, że ktoś zna Twoje hasło i próbuje przejść drugi etap. Konto jeszcze nie jest przejęte, ale hasło już nie jest tajemnicą. Nie podawaj kodu nikomu i zmień hasło. Microsoft dodaje możliwość mniej dramatyczną: ktoś mógł zwyczajnie pomylić się przy wpisywaniu swojego adresu i wpisać Twój.

Apple ma też jedną regułę do zapamiętania, bo rozbraja najpopularniejszy scenariusz telefonicznego oszustwa: Apple nigdy nie prosi o zalogowanie się na wskazanej stronie, o naciśnięcie przycisku akceptacji ("Accept") w oknie uwierzytelniania dwuskładnikowego, o podanie hasła, kodu urządzenia ani kodu 2FA. Nigdy też nie prosi o wyłączenie zabezpieczeń, w tym uwierzytelniania dwuskładnikowego czy ochrony skradzionego urządzenia (Recognize and avoid social engineering schemes).

Po czym poznać fałszywkę

Po samej treści wiadomości nie da się orzec z pewnością, że jest prawdziwa. Da się natomiast dość pewnie orzec, że jest fałszywa. Kilka sygnałów, przy których nie ma o czym dyskutować:

Wiadomość straszy terminem: konto zostanie zablokowane albo usunięte w 24 godziny, jeśli czegoś nie potwierdzisz. Prawdziwe powiadomienie o logowaniu to informacja, nie ultimatum. Nikt nie kasuje konta za to, że nie kliknąłeś w mail.

Wiadomość prosi o hasło, kod z SMS-a, kod z aplikacji uwierzytelniającej albo dane karty. Google pisze wprost, że gdy jesteś zalogowany, maile od Google nie proszą o hasło do tego konta. Microsoft: nigdy nie prosi o hasło w mailu. Apple: nigdy nie prosi o hasło ani kod weryfikacyjny.

Link prowadzi gdzie indziej, niż wygląda. Na komputerze najedź kursorem na przycisk i zobacz adres w pasku stanu; na telefonie przytrzymaj link. Interesuje cię domena tuż przed pierwszym ukośnikiem.

Do alertu o logowaniu doczepiony jest załącznik. Powiadomienia bezpieczeństwa nie mają załączników.

Wiadomość jest ogólnikowa: "wykryliśmy nietypową aktywność" i tyle, bez daty, urządzenia i miejsca.

Zwróć uwagę, czego na tej liście nie ma. Nie ma "błędów językowych" ani "brzydkiej grafiki". Fałszywki od dawna wyglądają dobrze, bywają lepiej złożone niż oryginały, a tłumaczenie maszynowe pisze poprawną polszczyzną, więc z ładnego wyglądu nie wynika nic.

Jeśli już kliknąłeś i coś wpisałeś, ten poradnik ci nie wystarczy. Mamy osobny tekst o tym, co robić zależnie od tego, jak daleko zaszedłeś: Kliknąłem w podejrzany link. Jeśli strona kazała ci nacisnąć jakieś klawisze "dla weryfikacji, że jesteś człowiekiem", to jeszcze inny atak, opisany w poradniku o fałszywych CAPTCHA.

Gdzie sprawdzić sesje i urządzenia, i jak je wylogować

Google

W koncie Google wybierz "Bezpieczeństwo i logowanie" (Security & sign-in), a w panelu "Twoje urządzenia" (Your devices) opcję zarządzania wszystkimi urządzeniami (Manage all devices). Zobaczysz urządzenia, na których jesteś zalogowany teraz albo byłeś w ostatnich tygodniach; wylogowane mają adnotację "Wylogowano". Żeby odciąć urządzenie, wybierz je i kliknij wylogowanie (See devices with account access).

Google tłumaczy osobno dwa elementy tej strony, bo regularnie wprawiają ludzi w zakłopotanie.

Po pierwsze, ta sama nazwa urządzenia potrafi pojawić się kilka razy. To sesje, nie duplikaty. Nowa sesja powstaje przy logowaniu na nowym urządzeniu, przy ponownym wpisaniu hasła dla potwierdzenia tożsamości, przy logowaniu w nowej przeglądarce lub aplikacji, przy nadaniu aplikacji dostępu do danych konta i przy logowaniu w oknie incognito. Kilka sesji z jednego urządzenia to norma. Ale Google dodaje jasno: pozycje o tej samej nazwie mogą pochodzić z jednego urządzenia albo z kilku, więc jeśli nie masz pewności, wyloguj wszystkie z tą nazwą.

Po drugie, godziny na tej stronie to nie są godziny Twojego ostatniego użycia. To ostatni moment łączności między urządzeniem a systemami Google w danej lokalizacji, wliczając automatyczną synchronizację w tle. Dlatego bywają nowsze, niż pamiętasz. Podobnie z lokalizacją: bywa przybliżona i pokazuje pobliskie miejsce zamiast dokładnego.

Google wymienia jeszcze jedną rzecz, o której łatwo zapomnieć. Urządzenie przywrócone niedawno do ustawień fabrycznych może nadal figurować na liście.

Osobno przejrzyj aplikacje zewnętrzne, które mają dostęp do konta. Wylogowanie sesji nie odbiera uprawnień nadanych kiedyś jakiejś aplikacji, więc to trzeba zrobić ręcznie.

Microsoft

Historia jest na stronie ostatniej aktywności, a zabezpieczanie konta w ustawieniach zabezpieczeń, gdzie zmienisz hasło, zaktualizujesz informacje zabezpieczające i usuniesz wszystkie zaufane urządzenia. Microsoft zaleca ten ostatni krok wprost, jeśli podejrzewasz, że ktoś ma dostęp do konta.

Usunięcie zaufanych urządzeń ma konsekwencję, o której lepiej wiedzieć wcześniej: przy kolejnym logowaniu na każdym z nich znowu dostaniesz pytanie o drugi składnik, i tak przez kilka dni, aż wszystkie przejdą weryfikację. Jest to upierdliwe i całkowicie zamierzone.

Apple

Lista urządzeń jest w czterech miejscach. Na iPhonie i iPadzie: Ustawienia, dotknij swojego imienia, przewiń w dół. Na Macu: Ustawienia systemowe, kliknij swoje imię, przewiń w dół. W aplikacji iCloud dla Windows: na górze kliknij "Account Details". W przeglądarce, także na Windowsie i Androidzie: account.apple.com, sekcja Devices; jeśli urządzenia nie pokazują się od razu, kliknij "View Details" i uwierzytelnij się. Dotknięcie urządzenia pokazuje model, numer seryjny, wersję oprogramowania i to, czy jest zaufane, czyli czy może wyświetlać kody weryfikacyjne. Żeby odciąć urządzenie, wybierz "Remove from Account" i potwierdź (Check your Apple Account device list).

Usunięte urządzenie traci dostęp do iCloud, Findu i innych usług Apple oraz przestaje pokazywać kody dwuskładnikowe. Ma to jednak haczyk. Jeśli na tym urządzeniu ktoś nadal jest zalogowany na Twoje konto, urządzenie wróci na listę przy następnym połączeniu z internetem. Trwałe usunięcie wymaga wylogowania się na samym urządzeniu z iCloud, Media i zakupów, iMessage, FaceTime i Game Center albo wymazania go. Skoro nie masz do niego fizycznego dostępu, zostaje jedno realne rozwiązanie: zmień hasło do konta, bo bez hasła nikt się na nowo nie zaloguje.

To zresztą ogólna zasada, która dotyczy wszystkich trzech dostawców: wylogowanie sesji bez zmiany hasła wyprasza gościa drzwiami, których potem nie zamykasz.

Zmiana hasła: co, kiedy i w jakiej kolejności

Zmieniaj hasło z zaufanego urządzenia. Jeśli podejrzewasz, że na komputerze siedzi złośliwe oprogramowanie, nie zmieniaj z niego niczego. Microsoft w instrukcji odzyskiwania konta stawia sprawę jasno: najpierw pełny skan antywirusowy, dopiero potem zmiana hasła, bo hasło wpisane na zainfekowanym sprzęcie wycieknie równie szybko jak poprzednie (How to recover a hacked or compromised Microsoft account).

Kolejność:

Główna skrzynka pocztowa, nawet jeśli alert dotyczył innego konta. Przez pocztę resetuje się wszystko inne, więc dopóki napastnik ma do niej dostęp, zmiany haseł gdzie indziej niewiele dają.
Konto z alertu, jeśli to nie jest ta sama skrzynka.
Wszystkie miejsca, gdzie było to samo albo podobne hasło. Google wymienia cztery kategorie: serwisy z tym samym hasłem, serwisy, które kontaktują się z Tobą przez adres e-mail Twojego konta Google, serwisy, do których logujesz się kontem Google, oraz hasła zapisane w menedżerze konta Google. Ta druga kategoria wygląda niepozornie, a to przez nią napastnik resetuje hasła mailem. Podobne hasło to też problem: "Lato2023!" i "Lato2024!" to dla atakującego praktycznie jedno hasło.

Zmianę hasła u każdego z dostawców zrobisz w ustawieniach konta. U Apple najprościej z zaufanego urządzenia: Ustawienia, Twoje imię, "Logowanie i zabezpieczenia", "Zmień hasło" (Change your Apple Account password). Przy włączonej ochronie skradzionego urządzenia Apple może wymagać godziny opóźnienia przed zmianą hasła, jeśli jesteś poza znanymi lokalizacjami. To zabezpieczenie działa na Twoją korzyść, choć w kryzysie potrafi zaskoczyć.

Co zostaje po napastniku, gdy zmienisz już hasło

Zmiana hasła i wylogowanie sesji to dopiero połowa roboty. Napastnik, który wiedział, co robi, zdążył zostawić sobie drogę powrotną, zanim w ogóle dowiedziałeś się o alercie. Przejdź poniższą listę po kolei, nawet jeśli wydaje ci się przesadna.

Przekierowania poczty. W Gmailu: ustawienia, "Zobacz wszystkie ustawienia", zakładka "Przekazywanie i POP/IMAP". Jeśli jest tam przekierowanie, którego nie zakładałeś, wyłącz je. Gmail sam przypomina o włączonym przekierowaniu przez pierwszy tydzień, a jego dokumentacja mówi jasno, co robić, gdy widzisz taką informację, a niczego nie ustawiałeś: natychmiast zmień hasło, bo ktoś ma dostęp do konta, i wyłącz przekazywanie (Automatically forward Gmail messages). W koncie Microsoft odpowiednikiem są konta połączone, przekazywanie i automatyczne odpowiedzi; Microsoft każe sprawdzić wszystkie trzy po odzyskaniu konta. W iCloud Mail Apple opisuje to w przewodniku bezpieczeństwa osobistego: wchodzisz na icloud.com/mail, w bocznym panelu wybierasz Forwarding i sprawdzasz, czy zaznaczone jest "Forward my email to" oraz na jaki adres; obcy adres usuwasz i wyłączasz przekazywanie (Review forwarding settings).

Filtry i etykiety w poczcie. Filtr, który po cichu archiwizuje albo kasuje maile z banku, sprawia, że nie zobaczysz powiadomień o tym, co się dzieje. Google każe usunąć etykiety, filtry i reguły przekazywania, których nie tworzyłeś. W iCloud Mail odpowiednikiem jest sekcja Rules w tym samym bocznym panelu; Apple każe przejrzeć reguły przenoszące albo przekazujące pocztę i zmienić te, których nie ustawiałeś.

Metody odzyskiwania, czyli numer telefonu i adres zapasowy. Jeśli napastnik wpisał tam swoje, przejmie konto ponownie w każdej chwili, niezależnie od tego, ile razy zmienisz hasło.

Przekierowanie SMS-ów u operatora. Sprawdź u swojego operatora, czy dla numeru powiązanego z kontem nie zostało włączone przekazywanie SMS-ów; Apple wymienia to wprost na swojej liście kontrolnej. Kody weryfikacyjne lecą wtedy do kogoś innego, a Ty nie widzisz nic. Apple każe też potwierdzić, że kontrolujesz każdy adres e-mail i każdy numer telefonu powiązany z kontem.

Zaufane urządzenia i klucze dostępu. Urządzenie oznaczone jako zaufane może wyświetlać kody 2FA. Passkey dopisany przez kogoś obcego pozwala logować się bez hasła, więc jego zmiana niczego nie załatwia. Usuń wszystko, czego nie rozpoznajesz.

Na koniec aplikacje zewnętrzne z dostępem do konta. To osobne uprawnienia i osobna lista, więc trzeba je odebrać ręcznie.

Kiedy spokojnie zignorować

Nie każdy alert to sprawa do rozpracowywania. Sytuacje, w których nie ma czego szukać:

Zalogowałeś się właśnie na nowym telefonie, w nowej przeglądarce albo po wyczyszczeniu ciasteczek. Alert opisuje Ciebie.

Jesteś w podróży i logowanie pochodzi z miejsca, w którym faktycznie jesteś. Microsoft wprost radzi, żeby przy częstych wyjazdach używać aplikacji Microsoft Authenticator do logowania, właśnie po to, żeby nowe lokalizacje nie generowały ciągłych alertów.

Lokalizacja jest "prawie": sąsiednie miasto, inna dzielnica. Google tłumaczy to przybliżonym ustalaniem położenia, Microsoft routowaniem ruchu przez sieci operatorów. Sam adres IP nie mówi, gdzie ktoś siedzi.

Godzina w historii jest nowsza, niż pamiętasz. Jeśli masz na telefonie Gmaila albo Kalendarz, synchronizacja w tle sama generuje ruch.

Widzisz na stronie Microsoftu tylko sekcję "Recent activity", bez sekcji "Unusual activity". Wtedy nie musisz niczego potwierdzać.

Jest też sytuacja odwrotna, przy której nie wolno wzruszyć ramionami: wielokrotne próby logowania z różnych miejsc w krótkim czasie albo seria kodów 2FA, o które nie prosiłeś. Przypadki tak nie wyglądają - ktoś ma Twoje hasło i próbuje przejść drugi etap.

Gdy nie możesz się już zalogować

Jeśli napastnik zdążył zmienić hasło, zwykła zmiana odpada i trzeba uruchomić odzyskiwanie konta.

Google prowadzi to przez stronę odzyskiwania. Wypełniaj formularz z komputera albo telefonu, z którego zwykle się logujesz, w tej samej przeglądarce i z miejsca, w którym zwykle to robisz. I rzecz, która wielu odruchowo robi odwrotnie: nie pomijaj pytań. Google radzi wprost, żeby przy niepewnej odpowiedzi podać najlepszy możliwy strzał zamiast przechodzić dalej, bo błędna próba nie wyrzuca z procesu (Tips to complete account recovery steps). Przy haśle wpisz ostatnie, jakie pamiętasz. Jeśli nie masz pewności co do ostatniego, podaj wcześniejsze, które pamiętasz na pewno - im nowsze, tym lepiej. Zwracaj uwagę na wielkie i małe litery.

Microsoft ma narzędzie pomocnika logowania, do którego podajesz adres albo numer telefonu, a ono kieruje do właściwej ścieżki.

Apple prowadzi resetowanie hasła z zaufanego urządzenia, a gdy to się nie uda, zostaje iforgot.apple.com i procedura odzyskiwania konta. Ta droga zawiera okres oczekiwania, który Apple wprowadził celowo i którego nie da się pominąć. Dlatego przy Apple tak bardzo opłaca się zareagować, zanim ktoś zmieni hasło.

Formularze odzyskiwania wypełniaj z zaufanego urządzenia i tylko na oficjalnej stronie. Wyszukiwarka to złe miejsce na szukanie formularza odzyskiwania, bo reklamy podszywające się pod wsparcie techniczne to znany schemat.

Jak bezpiecznie przerwać i co można cofnąć

Nic z powyższego nie jest nieodwracalne w sposób, który zabierze ci dostęp do konta.

Wylogowanie sesji i usunięcie urządzeń niczego nie kasuje. Musisz się tylko zalogować ponownie na swoich urządzeniach, a przy weryfikacji dwuetapowej podać drugi składnik. To bywa męczące na telewizorze albo konsoli, gdzie wpisywanie hasła pilotem to udręka, ale nie jest groźne.

Usunięcie urządzenia w Apple ma jeden efekt uboczny: to urządzenie przestaje wyświetlać kody dwuskładnikowe. Jeśli był to jedyny sprzęt, na którym te kody dostajesz, wcześniej upewnij się, że masz inny sposób logowania: drugie urządzenie albo zaufany numer telefonu.

Zanim wyłączysz przekierowanie poczty, spójrz, dokąd prowadziło. Bywa, że to Twoje własne, dawno zapomniane przekierowanie na inną skrzynkę.

Jedyna rzecz, przy której naprawdę można zrobić sobie krzywdę, to wyłączenie weryfikacji dwuetapowej albo usunięcie własnej metody odzyskiwania w panice. Nie rób tego. Jeśli ktoś dzwoni i o to prosi, to sam atak: Apple zaznacza, że nigdy nie prosi o wyłączanie zabezpieczeń, i to samo dotyczy pozostałych dostawców.

Zabezpiecz konto na przyszłość

Skoro już siedzisz w ustawieniach konta, zostały dwie rzeczy, które najlepiej zrobić od razu.

Weryfikacja dwuetapowa. Google zaleca powiadomienia w telefonie zamiast kodów SMS, wskazując wprost, że kody wysyłane SMS-em albo przez połączenie są podatne na ataki oparte na numerze telefonu, na przykład na przejęcie karty SIM. Jeszcze mocniejsze są klucze dostępu i klucze sprzętowe, które Google opisuje jako ochronę przed phishingiem, bo nie da się ich wyłudzić rozmową ani fałszywą stroną. Mamy osobny poradnik o passkeys w koncie Google, razem z planem awaryjnym na wypadek utraty telefonu.

Aktualne dane odzyskiwania. Google przypomina, że o podejrzanej aktywności informuje właśnie przez numer i adres odzyskiwania. Jeśli numer sprzed dwóch operatorów już do Ciebie nie należy, alerty trafią w próżnię. Microsoft dokłada praktyczne ostrzeżenie: jeśli jako sposób weryfikacji masz podany służbowy albo szkolny adres, po zmianie pracy stracisz do niego dostęp, a razem z nim możliwość odzyskania konta.

Zgłoś, nawet jeśli nic się nie stało

Fałszywy alert zgłoś do CERT Polska. Podejrzanego SMS-a przekazujesz na numer 8080: użyj polecenia "Przekaż" i prześlij całą wiadomość w oryginale, bez wycinania linku i treści. W kraju jest to bezpłatne, a z jednego numeru można zgłosić najwyżej trzy wiadomości w ciągu czterech godzin. Podejrzanego maila albo stronę zgłaszasz mailem na cert@cert.pl albo formularzem na incydent.cert.pl (gov.pl, Baza wiedzy).

Maile podszywające się pod Apple można dodatkowo przesłać na adres reportphishing@apple.com; przy SMS-ie Apple prosi o zrzut ekranu wysłany na ten sam adres.

Ma to sens także wtedy, gdy nie dałeś się nabrać. Zgłoszona domena trafia na listę, z której korzystają operatorzy, i kolejna osoba może już na tę stronę nie wejść.

Lista kontrolna

Nie kliknąłem w żaden link ani przycisk z powiadomienia.
Sprawdziłem konto, wpisując adres samodzielnie: myaccount.google.com, account.microsoft.com albo account.apple.com.
Ustaliłem, czy logowanie z alertu naprawdę istnieje w historii (Google, Microsoft) albo czy na liście urządzeń jest coś obcego (Apple).
Przy alercie Apple pamiętam, że pusta lista urządzeń niczego nie dowodzi, i mimo to zmieniam hasło oraz sprawdzam metody odzyskiwania.
Jeśli to byłem ja (nowe urządzenie, podróż, nowa przeglądarka), zamykam temat.
Jeśli to nie byłem ja: zmieniłem hasło z zaufanego urządzenia, zaczynając od głównej skrzynki pocztowej.
Wylogowałem wszystkie sesje i usunąłem nieznane urządzenia, pamiętając, że kilka pozycji o tej samej nazwie może być z różnych urządzeń.
Sprawdziłem przekierowania poczty, filtry i etykiety, których nie tworzyłem.
Sprawdziłem numer i adres odzyskiwania, zaufane urządzenia, klucze dostępu i aplikacje z dostępem do konta.
Sprawdziłem u operatora, czy nie ma przekierowania SMS-ów z mojego numeru.
Zmieniłem hasło wszędzie tam, gdzie było takie samo albo podobne.
Włączyłem weryfikację dwuetapową, najlepiej powiadomieniami lub kluczem, nie SMS-em.
Zgłosiłem fałszywą wiadomość: SMS na 8080, mail lub stronę na incydent.cert.pl.

Ostatnia uwaga o nazwach. Dokumentację czytałem po angielsku, a polskie etykiety w interfejsach bywają inne i zmieniają się między wersjami aplikacji. Jeśli nie widzisz dokładnie takiego przycisku, szukaj pozycji o zbliżonym znaczeniu w sekcji bezpieczeństwa konta. Kolejność kroków zostaje ta sama.

Źródła

Google, Secure a hacked or compromised Google Account - kanały powiadomień o nietypowej aktywności, przegląd zdarzeń bezpieczeństwa i urządzeń, zakres wymaganej zmiany haseł, filtry i przekierowania w Gmailu, odzyskiwanie konta.
Google, See devices with account access - czym jest sesja, dlaczego jedna nazwa urządzenia pojawia się wielokrotnie, co oznaczają wyświetlane godziny i lokalizacje, wylogowywanie.
Google, Avoid & report phishing emails - maile od Google nie proszą o hasło do zalogowanego konta, weryfikacja podejrzanego alertu przez myaccount.google.com/notifications.
Google, Automatically forward Gmail messages to another account - ścieżka do ustawień przekazywania, informacja o przekierowaniu i co robić, gdy jej nie zakładałeś.
Google, Tips to complete account recovery steps - nie pomijać pytań i zgadywać przy niepewności zamiast przechodzić dalej, wypełnianie formularza ze znanego urządzenia, przeglądarki i lokalizacji, dokładność przy hasłach.
Google, Turn on 2-Step Verification - powiadomienia zamiast kodów SMS, podatność kodów SMS na ataki na numer telefonu, klucze dostępu i klucze sprzętowe.
Microsoft, What is the Recent activity page? - 30 dni historii, sekcje Recent i Unusual activity, opisy zdarzeń, logowanie bez klikania linków z maila, lokalizacje przy podróżach.
Microsoft, Can I trust email from the Microsoft account team? - domena @accountprotection.microsoft.com, sposób weryfikacji wiadomości, niezamówione kody weryfikacyjne.
Microsoft, How to recover a hacked or compromised Microsoft account - skan przed zmianą hasła, pomocnik logowania, konta połączone, przekazywanie i automatyczne odpowiedzi.
Microsoft, How to help keep your Microsoft account secure - dodatkowe sposoby logowania, aktualność numerów i adresów weryfikacyjnych, Microsoft nie prosi o hasło w mailu.
Apple, If you think your Apple Account has been compromised - lista sygnałów przejęcia konta, kolejność odzyskiwania, usuwanie nieznanych urządzeń, sprawdzenie przekierowania SMS u operatora.
Apple, Check your Apple Account device list to find where you're signed in - gdzie znaleźć listę urządzeń, co pokazuje, usuwanie zdalne i dlaczego urządzenie potrafi wrócić na listę.
Apple, Security and your Apple Account - powiadomienia o zmianach w koncie, zasada nieudostępniania kodów, ochrona skradzionego urządzenia.
Apple, Recognize and avoid social engineering schemes - Apple nie prosi o hasło, kod ani zatwierdzenie 2FA i nie każe wyłączać zabezpieczeń; jak rozpoznać fałszywe wiadomości; adresy do zgłaszania.
Apple, Review forwarding settings (Personal Safety User Guide) - sprawdzenie przekazywania poczty w iCloud Mail (sekcja Forwarding, opcja "Forward my email to") oraz reguł w sekcji Rules.
Apple, Change your Apple Account password - ścieżka zmiany hasła i godzinne opóźnienie przy ochronie skradzionego urządzenia.
Apple, Two-factor authentication for Apple Account - jak działa drugi składnik i kiedy urządzenie znów pyta o kod.
gov.pl, Dostałeś niepokojący sms albo email? Zgłoś go do CERT Polska - numer 8080, przekazywanie całej wiadomości, limit trzech zgłoszeń na cztery godziny, adres cert@cert.pl i formularz incydent.cert.pl.