Jak przestępcy przejmują konta: pięć najczęstszych ryzyk

Po tej lekcji rozpoznasz pięć najczęstszych sposobów przejmowania kont i ocenisz, które z nich dotyczą Twojej codziennej pracy. To punkt wyjścia do całego kursu: w kolejnych modułach każde z tych ryzyk dostanie konkretne zabezpieczenie.

W całym kursie towarzyszy Ci jeden przykład: Lumen Logistyka, firma spedycyjna z Lublina, która zatrudnia 25 osób. Za sprawy IT odpowiada tam Ewa Kowalska, office managerka, razem z zewnętrznym informatykiem. Firma korzysta z poczty w chmurze, systemu do zleceń transportowych, bankowości internetowej i kilku kont w mediach społecznościowych. To typowy zestaw dla małej polskiej firmy i dobre tło do ćwiczeń.

Dlaczego przestępcy celują w konta, a nie w komputery

Przejęcie konta jest dla przestępcy tańsze niż włamanie do systemu. Zamiast szukać luki w oprogramowaniu, wystarczy zdobyć login i hasło, które ktoś już zna, zgadł albo podał na fałszywej stronie. Z przejętej skrzynki pocztowej można wysłać fałszywą fakturę do klienta, zmienić numer rachunku w korespondencji z kontrahentem albo zresetować hasła do innych usług, bo linki resetujące przychodzą właśnie na pocztę.

Dlatego konto pocztowe jest zwykle najważniejszym kontem w firmie. Kto ma Twoją pocztę, ten po kolei przejmie resztę. W Lumen Logistyce Ewa zaczęła porządki właśnie od skrzynek, a nie od programu antywirusowego.

Pięć najczęstszych dróg do cudzego konta

Opracowanie na podstawie materiałów CERT Polska i NIST SP 800-63B, stan na październik 2026.

1. Słabe i przewidywalne hasła. Hasła typu 123456, qwerty, nazwa firmy z rokiem albo imię dziecka z datą urodzenia trafiają na listy, od których przestępcy zaczynają zgadywanie. Hasło Lumen2026! wygląda na skomplikowane, bo ma wielką literę, cyfrę i znak specjalny, ale jest krótkie i zbudowane według schematu, który każdy atakujący sprawdza w pierwszej kolejności. CERT Polska zaleca, żeby systemy blokowały hasła z przewidywalnymi członami, takimi jak nazwa firmy czy usługi.

2. To samo hasło w wielu miejscach. Gdy serwis, w którym masz konto, padnie ofiarą wycieku, lista loginów i haseł trafia do obiegu. Przestępcy automatycznie sprawdzają te pary w setkach innych serwisów. Ta technika nazywa się credential stuffing. Jedno powtórzone hasło zamienia wyciek ze sklepu internetowego w problem z firmową pocztą.

3. Phishing. Wiadomość podszywa się pod bank, firmę kurierską, dział IT albo dostawcę i prowadzi na stronę, która wygląda jak prawdziwa strona logowania. Wpisane tam hasło od razu trafia do przestępcy. Rozpoznawaniu takich sytuacji poświęcona jest następna lekcja.

4. Brak uwierzytelniania wieloskładnikowego. Jeśli do zalogowania wystarczy hasło, to każdy, kto je zdobędzie, ma pełny dostęp. Drugi składnik (aplikacja, klucz sprzętowy, klucz dostępu) zatrzymuje dużą część ataków nawet wtedy, gdy hasło wyciekło. Szczegóły w module 3.

5. Brak reakcji na wyciek. Hasło, które wyciekło, nadal działa, dopóki ktoś go nie zmieni. Wiele osób dowiaduje się o wycieku dopiero wtedy, gdy konto zostaje przejęte. Jak to sprawdzić, pokazuje lekcja 3 tego modułu.

Gdzie te ryzyka spotykają się w małej firmie

W Lumen Logistyce Ewa spisała konta, z których korzysta zespół, i przypisała im ryzyka. Okazało się, że wspólne konto do portalu z ładunkami ma jedno hasło znane sześciu osobom, a kilku spedytorów loguje się do poczty tym samym hasłem, którego używa prywatnie. Żadne z kont nie miało drugiego składnika.

Przykład fikcyjnej firmy używany w całym kursie.

Zwróć uwagę, że skutki są biznesowe, a nie techniczne: pieniądze wysłane na zły rachunek, utrata zaufania klientów, praca nie do odtworzenia. Dlatego bezpieczeństwo kont to sprawa każdego pracownika, nie tylko informatyka.

Najważniejsze w 3 punktach

1. Przestępcy częściej przejmują konta niż włamują się do systemów, bo zdobycie hasła jest tańsze.
2. Pięć głównych ryzyk to słabe hasło, powtórzone hasło, phishing, brak drugiego składnika i zignorowany wyciek.
3. Najważniejszym kontem jest zwykle poczta, bo przez nią resetuje się hasła do pozostałych usług.

Źródła

• CERT Polska, „Rekomendacje techniczne CERT Polska dla systemów uwierzytelniania”, aktualizacja 2025, https://cert.pl/posts/2022/01/rekomendacje-techniczne-systemow-uwierzytelniania/
• CERT Polska, „Kompleksowo o hasłach”, https://cert.pl/posts/2022/01/kompleksowo-o-haslach/
• NIST, SP 800-63B-4 „Digital Identity Guidelines: Authentication and Authenticator Management”, sierpień 2025, https://pages.nist.gov/800-63-4/sp800-63b.html