Zhakowane konto lub strona na Facebooku: procedura odzyskiwania dla administratorów

Zhakowane konto na Facebooku: najpierw ustal, co zostało przejęte

Zhakowane konto na Facebooku to sytuacja, w której ktoś niepowołany przejął kontrolę nad kontem prywatnym administratora, nad samą stroną firmową albo nad portfolio biznesowym i kontem reklamowym. Procedura zależy od tego, co dokładnie zostało przejęte, dlatego pierwszym krokiem jest szybka diagnoza.

Szkody rosną z każdą godziną: włamywacz może usunąć administratorów, zmienić nazwę strony, uruchomić reklamy na twój koszt albo wysyłać klientom linki do wyłudzeń. Dlatego działaj według kolejności opisanej poniżej, a nie według tego, co wydaje się najpilniejsze. Ten poradnik uzupełnia przewodnik po Facebooku dla firm i ogólne zasady z tekstu o bezpieczeństwie kont firmowych w social mediach.

Pierwsze 15 minut: co zrobić od razu?

W pierwszych 15 minutach zabezpiecz wszystko, do czego masz jeszcze dostęp, i odetnij włamywacza od strony oraz pieniędzy. Kolejność:

1. Zabezpiecz skrzynkę e-mail powiązaną z kontem: zmień hasło i wyloguj inne sesje. Jeśli włamywacz ma dostęp do poczty, każde odzyskane hasło do Facebooka szybko znów straci.
2. Sprawdź pocztę pod kątem wiadomości od Meta o zmianie adresu e-mail lub hasła. Taka wiadomość zawiera opcję cofnięcia zmiany i zabezpieczenia konta – użyj jej, jeśli jest.
3. Jeśli wciąż jesteś zalogowany na którymś urządzeniu: w Centrum kont → Hasło i zabezpieczenia zmień hasło, wyloguj wszystkie nieznane sesje („Gdzie jesteś zalogowany”) i włącz uwierzytelnianie dwuskładnikowe lub klucz dostępu.
4. Poproś drugiego administratora o usunięcie przejętego konta z uprawnień strony i z portfolio biznesowego. To najważniejszy krok – bez niego włamywacz może w każdej chwili usunąć pozostałych administratorów.
5. Zadzwoń do banku i zablokuj kartę podpiętą do konta reklamowego, jeśli istnieje ryzyko, że włamywacz ma dostęp do Menedżera reklam.
6. Zrób zrzuty ekranu: nieznane posty, kampanie, użytkownicy, zmiany nazw, wiadomości od włamywacza. Przydadzą się w zgłoszeniu do Meta, banku i ewentualnie na policję.

Jak odzyskać konto prywatne administratora?

Konto prywatne odzyskujesz wyłącznie oficjalną ścieżką Meta. Jeśli nie możesz się zalogować:

1. Na ekranie logowania wybierz opcję odzyskiwania („Nie pamiętasz hasła?”) i spróbuj zresetować hasło przez e-mail lub telefon, które były przypisane do konta.
2. Jeśli dane kontaktowe zostały zmienione, w Centrum pomocy Facebooka wybierz ścieżkę dla przejętych kont i zaznacz, że konto zostało zhakowane.
3. Postępuj według instrukcji potwierdzenia tożsamości. W zależności od konta i kraju Meta może poprosić o dokument tożsamości albo nagranie krótkiego selfie wideo.
4. Po odzyskaniu dostępu od razu zmień hasło, usuń nieznane adresy e-mail i numery telefonów, wyloguj wszystkie sesje i włącz klucz dostępu lub aplikację uwierzytelniającą.
5. Sprawdź w ustawieniach listę aplikacji i witryn połączonych z kontem i usuń te, których nie znasz.

Odzyskiwanie konta prywatnego może trwać od kilku godzin do kilku dni. Dlatego tak ważny jest drugi administrator – strona i reklamy są wtedy bezpieczne, nawet gdy twoje konto czeka na weryfikację.

Jak odzyskać stronę firmową i portfolio biznesowe?

Stronę firmową odzyskujesz przez osoby, które nadal mają do niej pełny dostęp, a gdy takich nie ma – przez wsparcie dla firm. Dostęp do strony jest przypisany do kont prywatnych, więc zawsze zaczynasz od odzyskania własnego konta lub od drugiego administratora.

Gdy drugi administrator ma dostęp: w ustawieniach strony (Dostęp do strony) i w portfolio biznesowym (Użytkownicy, Partnerzy, Zasoby) usuwa przejęte konto i wszystkie nieznane osoby oraz partnerów. Potem sprawdza, czy nie zmieniono nazwy strony, nazwy użytkownika, zdjęcia ani informacji kontaktowych.

Gdy nikt nie ma już dostępu: zgłoś przejęcie strony przez Centrum pomocy dla firm Meta, dołączając dowody, że strona należy do twojej firmy (np. domena firmowa, dokumenty rejestrowe, historia płatności za reklamy). Jeśli masz subskrypcję Meta Verified lub aktywne kampanie, skorzystaj z kontaktu ze wsparciem – dostęp do rozmowy z człowiekiem to jedna z głównych korzyści płatnej weryfikacji, którą analizujemy w tekście o Meta Verified dla firm.

Strukturę ról i zasady nadawania dostępu, które zapobiegają takim sytuacjom, opisujemy w poradniku o portfolio biznesowym Meta i uprawnieniach.

Reklamy i płatności: jak ograniczyć straty?

Włamywacze często od razu uruchamiają reklamy na koszt firmy – zwykle promujące oszustwa – albo dodają przejęte konto reklamowe do własnego portfolio. Straty ograniczysz, działając równolegle z odzyskiwaniem dostępu:

• zablokuj kartę w banku i złóż reklamację nieautoryzowanych transakcji,
• wstrzymaj nieznane kampanie i usuń nieznane metody płatności w ustawieniach płatności konta reklamowego,
• sprawdź limity wydatków konta i ustaw niski limit na czas wyjaśniania sprawy,
• zgłoś nieautoryzowane obciążenia w ustawieniach płatności, opisując przejęcie,
• wstrzymaj własne zaplanowane posty i kampanie, jeśli nie masz pewności, kto ma dostęp – zasady opisujemy w tekście o tym, kiedy wstrzymać kampanie i zaplanowane posty.

Komunikacja z klientami i obowiązki prawne

Klienci powinni dowiedzieć się o włamaniu od ciebie, a nie od oszustów. Jeśli nie masz dostępu do strony, opublikuj krótki komunikat na Instagramie, stronie internetowej, w newsletterze lub w innych kanałach: „Nasza strona na Facebooku została przejęta. Nie klikaj linków i nie podawaj danych w wiadomościach wysłanych z tego profilu. Informujemy, gdy odzyskamy dostęp”. Po odzyskaniu strony opublikuj tam podobną informację i usuń treści dodane przez włamywacza. Wzory spokojnych, rzeczowych komunikatów znajdziesz w tekście o oświadczeniach i przeprosinach w kryzysie.

Jeśli włamywacz miał dostęp do wiadomości od klientów, mógł zobaczyć ich dane osobowe: imiona, telefony, adresy, szczegóły zamówień. W takiej sytuacji oceń, czy doszło do naruszenia ochrony danych osobowych. RODO wymaga zgłoszenia naruszenia do Prezesa UODO w ciągu 72 godzin od jego stwierdzenia, chyba że jest mało prawdopodobne, by powodowało ryzyko dla osób, których dane dotyczą. Zasady obsługi wiadomości z danymi opisujemy w tekście o wiadomościach prywatnych a RODO. Ten tekst nie zastępuje porady prawnej w konkretnej sprawie.

Incydent możesz też zgłosić do CERT Polska, a przy stratach finansowych – na policję. Zrzuty ekranu i daty, zebrane w pierwszych minutach, będą tu podstawą.

Po odzyskaniu dostępu: przegląd w 10 punktach

Po odzyskaniu dostępu nie wracaj od razu do normalnej pracy. Przejdź przez przegląd, bo włamywacze często zostawiają sobie „tylne drzwi”:

1. Lista osób z dostępem do strony – usuń nieznane i zbędne konta.
2. Użytkownicy, partnerzy i zasoby w portfolio biznesowym.
3. Konta reklamowe, metody płatności i limity wydatków.
4. Nazwa strony, nazwa użytkownika, zdjęcia, informacje kontaktowe, przycisk akcji.
5. Opublikowane i zaplanowane posty, Rolki i relacje – instrukcję przeglądu zaplanowanych treści znajdziesz w tekście o planowaniu postów w Meta Business Suite.
6. Automatyczne odpowiedzi w Messengerze – włamywacze potrafią podmienić w nich linki.
7. Połączone konto na Instagramie i numer WhatsApp.
8. Aplikacje i integracje z dostępem do strony.
9. Hasła, 2FA i klucze dostępu u wszystkich administratorów.
10. Źródło ataku – plik, link, fałszywa wiadomość – i komunikat dla zespołu, jak je rozpoznać.

Jeśli prowadzisz też kanał na YouTube, sprawdź go według procedury z tekstu o odzyskiwaniu zhakowanego kanału – ataki często obejmują kilka platform naraz.

Najczęstsze błędy przy odzyskiwaniu konta

Najczęstszy błąd to jeden administrator strony – wtedy przejęcie jego konta oznacza przejęcie całej firmy na Facebooku. Inne błędy:

• korzystanie z „pomocy” osób z komentarzy i płacenie za odzyskanie konta,
• odzyskiwanie hasła bez zabezpieczenia poczty, do której włamywacz nadal ma dostęp,
• zwlekanie z blokadą karty, bo „może Meta zwróci pieniądze”,
• milczenie wobec klientów, gdy z przejętego profilu idą wiadomości z linkami,
• brak przeglądu po odzyskaniu – nieznany partner w portfolio wraca po tygodniu,
• powrót do kodów SMS zamiast kluczy dostępu lub aplikacji uwierzytelniającej.

W firmie bez działu PR i IT najlepiej sprawdza się krótki plan spisany zawczasu – podpowiadamy go w tekście o kryzysie w małej firmie.

Plan na pierwszy tydzień: zanim cokolwiek się stanie

Najtańsze odzyskiwanie to takie, które trwa 10 minut, bo wszystko było przygotowane. W ciągu tygodnia:

1. Dzień 1: dodaj drugiego administratora z pełną kontrolą, najlepiej osobę spoza codziennej obsługi profilu.
2. Dzień 2: włącz klucze dostępu lub aplikację uwierzytelniającą u wszystkich administratorów; w portfolio biznesowym wymagaj 2FA od wszystkich osób.
3. Dzień 3: przejrzyj użytkowników, partnerów i zasoby portfolio; usuń zbędne dostępy.
4. Dzień 4: ustaw limit wydatków na kontach reklamowych i sprawdź, kto ma dostęp do płatności.
5. Dzień 5: zapisz w bezpiecznym miejscu kody zapasowe, listę administratorów, numery kont reklamowych i kontakt do banku.
6. Dzień 6: przeszkol zespół z rozpoznawania fałszywych wiadomości „od Meta” i plików „z briefem”.
7. Dzień 7: przećwicz scenariusz włamania na sucho – sposób przeprowadzenia takich ćwiczeń opisujemy w tekście o symulacji kryzysu – i dopisz procedurę do planu komunikacji kryzysowej.