Mapa artykułu
Spis treści
Co dokładnie mówi ostrzeżenie ABW
Na początku września 2026 roku Agencja Bezpieczeństwa Wewnętrznego, opierając się na raporcie CSIRT GOV, ostrzegła przed nasilającymi się kampaniami phishingowymi i socjotechnicznymi wymierzonymi w użytkowników komunikatorów WhatsApp i Signal. Atakujący podszywają się pod wsparcie techniczne tych aplikacji, kontaktują się z ofiarą i pod różnymi pretekstami nakłaniają ją do ujawnienia kodu weryfikacyjnego lub PIN-u rejestracyjnego.
Kluczowe zdanie z ostrzeżenia brzmi wprost: szyfrowanie end-to-end nie oznacza, że użytkownik jest odporny na przejęcie konta. Atak nie łamie żadnego algorytmu kryptograficznego — omija go, manipulując człowiekiem, który sam, z własnej woli, przekazuje dane potrzebne do przejęcia konta.
Dlaczego silne szyfrowanie tu nie wystarcza
Szyfrowanie end-to-end chroni treść wiadomości w trakcie przesyłania — nikt postronny nie odczyta jej po drodze. Nie chroni jednak przed przejęciem samego konta, jeśli ktoś zaloguje się na nie z użyciem prawidłowego kodu weryfikacyjnego. Z punktu widzenia aplikacji to po prostu kolejne, uprawnione logowanie, nie włamanie.
To rozróżnienie bywa mylące, bo komunikatory reklamują się właśnie bezpieczeństwem szyfrowania, a pracownicy przenoszą to poczucie bezpieczeństwa na całość korzystania z aplikacji — łącznie z momentem, w którym ktoś dzwoni i prosi o podanie kodu.
Czym to grozi firmie, nie tylko osobie prywatnej
CSIRT GOV zwraca uwagę szczególnie na firmy, w których komunikacja służbowa odbywa się na prywatnych urządzeniach i przez niekontrolowane kanały — a więc dokładnie tam, gdzie WhatsApp czy Signal bywają używane do ustaleń z klientami, dostawcami czy zespołem. Przejęte konto pracownika to nie tylko utrata prywatnej korespondencji: to dostęp do historii rozmów służbowych, kontaktów biznesowych i grup, w których mogą pojawiać się informacje o projektach, fakturach czy dostępach do systemów.
Przejęte konto bywa też wykorzystywane jako punkt wyjścia do kolejnego ataku — wiadomość z prośbą o pilny przelew czy dane dostępowe, wysłana z konta zaufanego współpracownika, jest znacznie skuteczniejsza niż ta sama wiadomość od nieznajomego numeru.
Jak się zabezpieczyć — zalecenia ABW i CSIRT GOV
Rekomendacje służb są konkretne i możliwe do wdrożenia od razu, bez inwestycji w nowe narzędzia:
- Nigdy nie przekazuj nikomu kodu weryfikacyjnego ani PIN-u aktywacyjnego — żadna prawdziwa obsługa techniczna o to nie prosi.
- Włącz blokadę rejestracji wymagającą dodatkowego PIN-u przy każdej próbie ponownej rejestracji numeru.
- Ukryj swój numer telefonu przed innymi użytkownikami w ustawieniach prywatności.
- Regularnie sprawdzaj listę urządzeń połączonych z kontem i usuwaj te, których nie rozpoznajesz.
- Zmianę numeru kontaktu weryfikuj innym kanałem komunikacji niż ten, w którym ją otrzymałeś.
- Ogranicz dodawanie do grup wyłącznie do administratorów i regularnie sprawdzaj listę członków pod kątem nieznanych kont.
Co może zrobić firma poza samą świadomością pracowników
Świadomość zagrożenia to dopiero pierwszy krok. W praktyce warto rozdzielić komunikację służbową od prywatnych komunikatorów tam, gdzie to możliwe, wprowadzić jasną politykę bezpieczeństwa dotyczącą urządzeń i kanałów kontaktu z klientami, a także przeszkolić zespół z rozpoznawania prób socjotechnicznych — nie tylko phishingu mailowego, ale też telefonicznego i przez komunikatory.
Regularny audyt bezpieczeństwa infrastruktury IT pozwala sprawdzić, czy polityki dotyczące urządzeń mobilnych i komunikacji są w firmie w ogóle wdrożone, a nie tylko spisane w dokumencie, do którego nikt nie zagląda.
FAQ — phishing na WhatsApp i Signal
Czy sam fakt korzystania z szyfrowanego komunikatora chroni firmę przed wyciekiem danych?
Nie w pełni. Szyfrowanie chroni treść wiadomości w transmisji, ale nie chroni przed przejęciem konta metodami socjotechnicznymi ani przed tym, co użytkownik sam ujawni rozmówcy. Bezpieczeństwo komunikatora zależy równie mocno od zachowań ludzi, co od technologii.
Jak rozpoznać, że ktoś próbuje przejąć konto na komunikatorze?
Najbardziej charakterystyczny sygnał to nieoczekiwany SMS lub wiadomość z kodem weryfikacyjnym, którego sam nie zażądałeś, po którym ktoś kontaktuje się z prośbą o przesłanie tego kodu — podszywając się np. pod wsparcie techniczne, znajomego lub firmę kurierską.
Czy blokada rejestracji (PIN dwuetapowy) w pełni zabezpiecza konto?
Znacząco podnosi poziom bezpieczeństwa, bo utrudnia ponowną rejestrację numeru na innym urządzeniu bez znajomości dodatkowego PIN-u. Nie zastępuje jednak czujności — jeśli ktoś zdradzi zarówno kod SMS, jak i PIN blokady, zabezpieczenie traci sens.
Czy firma powinna zakazać pracownikom używania prywatnych komunikatorów do kontaktu z klientami?
Całkowity zakaz bywa trudny do wyegzekwowania w praktyce, zwłaszcza gdy klienci sami preferują ten kanał. Skuteczniejsze jest ustalenie jasnych zasad — jakie informacje wolno przekazywać tym kanałem, jak weryfikować tożsamość rozmówcy przy nietypowych prośbach i kto odpowiada za bezpieczeństwo urządzeń, na których te aplikacje działają.
Co zrobić, jeśli podejrzewam, że konto pracownika zostało już przejęte?
Trzeba jak najszybciej ostrzec kontakty i grupy, do których dana osoba należała, że wiadomości z jej konta mogą pochodzić od atakującego, zresetować dostęp zgodnie z procedurą danej aplikacji i sprawdzić, czy w rozmowach nie znajdowały się dane, które wymagają dodatkowych działań zabezpieczających — np. zmiany haseł czy powiadomienia klientów.
Chcesz sprawdzić, czy polityka bezpieczeństwa komunikacji w Twojej firmie faktycznie działa, a nie tylko istnieje na papierze? Umów bezpłatną konsultację lub zobacz, jak wygląda nasza oferta cyberbezpieczeństwa dla firm.
