To jedno z pilniejszych wezwań domowych — i takie, przy którym klient bywa przestraszony i wstydzi się przyznać, że dał się oszukać. Warto wiedzieć, że to zdarza się często i dotyczy osób w każdym wieku.

Objaw

Typowy przebieg sytuacji: ktoś zadzwonił, podając się za pomoc techniczną, bank albo dostawcę internetu, i namówił na zainstalowanie programu do zdalnego pulpitu, przejmując w ten sposób kontrolę nad komputerem. Klient może zauważyć nietypowe działania na ekranie, zmienione ustawienia, albo obawiać się, że ktoś uzyskał dostęp do bankowości internetowej lub poczty.

Możliwe przyczyny

Mechanizm jest zawsze podobny: telefon od nieznanej osoby budzącej pozorne zaufanie (podszywającej się pod znaną instytucję), presja czasu i strachu skłaniająca do szybkiego działania bez zastanowienia, oraz instalacja programu do zdalnego dostępu, który daje oszustowi pełną kontrolę nad komputerem ofiary.

Co robimy

Pierwszym krokiem jest odcięcie zdalnego dostępu i usunięcie narzędzi, które zostały zainstalowane podczas ataku. Sprawdzane jest, co zostało zmienione na komputerze i do jakich danych mogło dojść do dostępu. Zmieniane są hasła i zabezpieczane konta, w tym poczta i bankowość internetowa. Klient dostaje uczciwą informację, gdzie zgłosić sprawę — bank, policja — bez udawania, że serwis sam załatwi wszystkie formalności. Cały czas rozmowy prowadzone są w spokojnym, rzeczowym tonie, bez oceniania.

Ile to trwa

Ze względu na pilność tego typu sprawy, dojazd realizowany jest w ciągu godziny od zgłoszenia, tak jak każda inna interwencja.

Co można zrobić samemu, zanim przyjedzie serwisant

Warto jak najszybciej odłączyć komputer od internetu — fizycznie wyciągając kabel albo wyłączając Wi-Fi — bez wyłączania samego komputera. Jeśli to możliwe z innego urządzenia, warto od razu zmienić hasło do bankowości internetowej.

Czego nie robić: nie warto wstydzić się zgłoszenia sprawy ani zwlekać z reakcją z obawy przed oceną — to zdarza się bardzo często, a szybka reakcja realnie ogranicza szkody.

Warunki

Dojazd na terenie Warszawy i okolic jest bezpłatny, realizowany w ciągu godziny od zgłoszenia, całą dobę.

Warianty manipulacji i metody stosowane przez oszustów

Przejęcie kontroli nad komputerem rzadko jest wynikiem skomplikowanego ataku hakerskiego bez udziału użytkownika. W przeważającej liczbie przypadków sprawcy stosują socjotechnikę (metody manipulacji psychologicznej mające na celu nakłonienie człowieka do wykonania określonych czynności). Doświadczenie serwisowe, obejmujące ponad 20 lat pracy ze sprzętem komputerowym i ponad 10 000 naprawionych urządzeń, pozwala wyróżnić kilka powtarzających się scenariuszy:

Podszywanie się pod pracowników banku (tzw. spoofing telefoniczny, czyli fałszowanie numeru dzwoniącego): Oszust dzwoni z numeru telefonu, który na wyświetlaczu ofiary wygląda identycznie jak oficjalna infolinia banku. Informuje o rzekomej próbie zaciągnięcia kredytu lub podejrzanym przelewie z konta. Pod pozorem zabezpieczenia środków lub weryfikacji tożsamości nakłania do zainstalowania oprogramowania do zdalnego pulpitu.
Fałszywa pomoc techniczna dostawców systemów i oprogramowania (tzw. tech support scam): Użytkownik widzi w przeglądarce pełnoekranowy komunikat informujący o zablokowaniu komputera z powodu rzekomego wirusa. Na ekranie widnieje numer telefonu, pod który należy zadzwonić. Podczas rozmowy rzekomy konsultant techniczny przekonuje do udostępnienia ekranu w celu rzekomego usunięcia awarii.
Rzekome inwestycje na rynkach finansowych i kryptowalutach: Oszuści oferują pomoc w obsłudze platform inwestycyjnych. Pod pretekstem konfiguracji konta brokerskiego lub wypłaty zysku uzyskują dostęp do komputera, a następnie dokonują nieautoryzowanych operacji na kontach bankowych.
Fałszywe procedury rekrutacyjne i oferty pracy zdalnej: Kandydat do pracy proszony jest o zainstalowanie oprogramowania mającego rzekomo służyć do testów kompetencji lub konfiguracji zdalnego stanowiska pracy. W rzeczywistości program daje oszustom pełny wgląd w prywatne dane i pliki systemowe.

Oprogramowanie wykorzystywane podczas nieautoryzowanego dostępu

W trakcie nieuprawnionego połączenia sprawcy posługują się różnymi narzędziami informatycznymi. Zrozumienie sposobu ich działania pozwala właściwie ocenić poziom zagrożenia danych:

Legalne programy do zdalnego zarządzania: Aplikacje takie jak AnyDesk, TeamViewer, RustDesk, UltraViewer czy Supremo to w pełni legalne oprogramowanie administracyjne. Oszuści wykorzystują je dlatego, że programy te z reguły nie są blokowane przez standardowe oprogramowanie antywirusowe. Po podaniu jednorazowego identyfikatora i kodu przez użytkownika dają one pełną kontrolę nad myszą, klawiaturą i systemem plików.
Trojany zdalnego dostępu (tzw. RAT – Remote Access Trojan): Złośliwe oprogramowanie instalowane w tle bez wiedzy użytkownika, które pozwala sprawcy na ponowne, ukryte połączenie z komputerem nawet po wyłączeniu oficjalnego programu do zdalnego pulpitu i ponownym uruchomieniu systemu.
Oprogramowanie rejestrujące klawisze (tzw. keylogger): Ukryty program zapisujący każde naciśnięcie klawisza na klawiaturze. Służy do przechwytywania loginów, haseł, numerów kart płatniczych oraz prywatnej korespondencji.
Złośliwe rozszerzenia przeglądarek internetowych: Skrypty dodawane do przeglądarki, które mogą podmieniać numery rachunków bankowych kopiowane do schowka systemowego (tzw. clipper) lub przekierowywać na fałszywe strony logowania (tzw. phishing, czyli wyłudzanie poufnych informacji).

Procedura techniczna realizowana podczas wizyty na miejscu

W przypadku incydentu związanego ze zdalnym przejęciem systemu kluczowe jest metodyczne działanie. Serwisant wykonuje pełną procedurę diagnostyczno-naprawczą bezpośrednio w lokalu klienta:

Weryfikacja stanu sieciowego i izolacja środowiska: Całkowite odcięcie interfejsów sieciowych (karty przewodowej Ethernet i modułu bezprzewodowego Wi-Fi), aby uniemożliwić sprawcom dalszą komunikację z maszyną i zacieranie śladów aktywności.
Analiza uruchomionych procesów i usług: Dokładne sprawdzenie aktywnych zadań w menedżerze zadań oraz usług systemowych działających w tle, ze szczególnym uwzględnieniem procesów o nietypowych nazwach lub uruchamianych z katalogów tymczasowych (katalogi Temp i AppData).
Przegląd systemowego dziennika zdarzeń (tzw. Event Viewer): Analiza logów systemowych pozwala ustalić dokładny czas nawiązania połączenia, listę pobranych i uruchomionych plików oraz modyfikacje kont użytkowników wykonane przez osobę nieuprawnioną.
Usunięcie mechanizmów trwałości (tzw. persistence mechanisms): Weryfikacja harmonogramu zadań systemu Windows, kluczy rejestru odpowiedzialnych za automatyczny start aplikacji (wpisy Run i RunOnce), folderu Autostart oraz ukrytych kont z uprawnieniami administratora utworzonych w systemie.
Weryfikacja konfiguracji sieciowej i pliku hosts: Sprawdzenie, czy sprawcy nie zmienili adresów serwerów DNS (Domain Name System – system tłumaczący nazwy domen internetowych na adresy IP) na własne serwery pośredniczące, oraz analiza pliku hosts pod kątem niepożądanych przekierowań domen bankowych.
Skanowanie niezależnym systemem ratunkowym: Uruchomienie komputera z zewnętrznego nośnika pamięci z niezależnym systemem operacyjnym (tzw. Live USB, czyli środowisko uruchamiane bez pośrednictwa zainstalowanego systemu) i przeprowadzenie skanowania antywirusowego bez aktywacji zainfekowanego środowiska macierzystego.
Zabezpieczenie kont i wdrożenie uwierzytelniania dwuskładnikowego (tzw. 2FA): Pomoc we wdrożeniu dwuetapowej weryfikacji logowania (ang. Two-Factor Authentication) opartej na aplikacji generującej kody jednorazowe, co zabezpiecza konta nawet w sytuacji, gdy sprawcy poznali dotychczasowe hasło.

Błędy popełniane samodzielnie po przejęciu komputera

W stresie wywołanym kontaktem z oszustami łatwo o odruchowe decyzje, które mogą pogorszyć stan bezpieczeństwa danych. Do najczęstszych błędów należą:

Pozostawienie aktywnego połączenia z internetem: Próba obserwowania, co sprawca robi na ekranie, daje mu dodatkowy czas na skopiowanie prywatnych dokumentów, eksport haseł zapisanych w przeglądarce lub wgranie dodatkowego złośliwego oprogramowania.
Logowanie do bankowości elektronicznej z tego samego urządzenia: Próba sprawdzenia salda na komputerze, na którym wciąż działają złośliwe skrypty lub oprogramowanie przechwytujące, grozi natychmiastowym ujawnieniem nowych haseł oraz kodów autoryzacyjnych.
Samodzielne, chaotyczne usuwanie plików i czyszczenie historii: Kasowanie plików bez wcześniejszej analizy może bezpowrotnie usunąć logi połączeń i historię zdarzeń, które stanowią kluczowy materiał dowodowy dla organów ścigania lub banku rozpatrującego wniosek reklamacyjny.
Uleganie kolejnym próbom kontaktu (tzw. recovery scam): Po udanym ataku oszuści często dzwonią ponownie po kilku dniach, podając się za policję, prokuraturę lub kancelarię prawną, oferując odpłatną pomoc w odzyskaniu utraconych środków.
Założenie, że zamknięcie programu rozwiązało problem: Przekonanie, że samo wyłączenie okna programu do zdalnego pulpitu zamyka dostęp z zewnątrz. Bez specjalistycznej weryfikacji nie ma pewności, czy w systemie nie uruchomiono ukrytej usługi sieciowej działającej w tle.

Kiedy nietypowe zachowanie sprzętu to NIE jest przejęcie zdalne

Nie każde nietypowe zachowanie komputera oznacza, że doszło do ataku osób trzecich. Warto odróżnić incydenty bezpieczeństwa od powszechnych problemów technicznych:

Samoczynne poruszanie się kursora myszy: Przeskakujący kursor najczęściej wynika z mechanicznego uszkodzenia płytki dotykowej (tzw. touchpada), zabrudzenia sensora myszy optycznej, zakłóceń zasilacza sieciowego lub uszkodzenia digitizera (warstwy dotykowej ekranu), a nie z obecności zdalnego operatora.
Natrętne powiadomienia w rogu ekranu (tzw. web push): Komunikaty informujące o rzekomych wirusach lub uszkodzeniu dysku to z reguły powiadomienia stron internetowych zaakceptowane przypadkowo w przeglądarce. Nie świadczą one o przejęciu systemu i wymagają jedynie cofnięcia zgód w opcjach przeglądarki.
Spowolnienie działania i głośna praca wentylatorów: Spadek wydajności bywa spowodowany automatycznymi aktualizacjami systemu Windows w tle, uszkodzeniem sektorów na dysku twardym (tzw. bad sectory) lub zanieczyszczeniem układu chłodzenia kurzem, co prowadzi do dławienia termicznego procesora (tzw. thermal throttling).
Automatyczne wpisywanie znaków: Ciągłe wpisywanie tych samych liter w polach tekstowych jest przeważnie efektem zwarcia na ścieżkach klawiatury po wcześniejszym zalaniu lub zużycia gumek pod klawiszami, a nie działania oprogramowania szpiegującego.

Dodatkowe pytania i odpowiedzi (FAQ)

Czy po przejęciu komputera zawsze konieczna jest reinstalacja systemu operacyjnego?

Nie w każdej sytuacji. Jeśli incydent trwał krótko, a analiza logów wykaże, że sprawca korzystał wyłącznie ze standardowego programu do zdalnego pulpitu i nie modyfikował plików systemowych ani rejestru, wystarczy dokładne oczyszczenie systemu i usunięcie narzędzi dostępowych. Jeżeli jednak stwierdzono instalację ukrytych trojanów, modyfikację kont użytkowników lub uszkodzenie integralności systemu, zalecana jest pełna reinstalacja systemu operacyjnego po wcześniejszym zabezpieczeniu plików użytkownika.

W jaki sposób oszust znał moje nazwisko i numer telefonu przed wykonaniem połączenia?

Dane kontaktowe pochodzą najczęściej z publicznych wycieków baz danych ze sklepów internetowych, portali ogłoszeniowych lub forów dyskusyjnych. Sprawcy kupują pakiety takich danych i wykonują masowe połączenia, typując instytucje finansowe na podstawie popularności banków w Polsce. Nie oznacza to, że sprawca wcześniej włamał się na komputer ofiary.

Co należy zrobić w pierwszej kolejności z kartami płatniczymi i kontem bankowym?

Należy natychmiast skontaktować się z infolinią banku — dzwoniąc wyłącznie z telefonu komórkowego, a nie korzystając z komputera — i zgłosić podejrzenie nieautoryzowanego dostępu. Konsultant banku zablokuje dostęp do bankowości elektronicznej, unieważni aktywne sesje logowania i w razie potrzeby zastrzeże karty płatnicze powiązane z rachunkiem.

Czy usunięcie programu do zdalnego pulpitu przez Panel sterowania w pełni zabezpiecza komputer?

Standardowe odinstalowanie aplikacji może być niewystarczające. Sprawcy często pozostawiają w systemie ukryte usługi, dodatkowe skrypty w harmonogramie zadań lub pliki konfiguracyjne w folderach ukrytych użytkownika. Niezbędna jest weryfikacja wszystkich punktów autostartu oraz głęboka analiza rejestru systemowego.

Czy serwisant zabezpiecza dowody na potrzeby zgłoszenia na policję?

Tak. Podczas wizyty serwisant może wyeksportować logi połączeń, zapisać historię pobieranych plików oraz sporządzić raport techniczny z wykonanych czynności. Materiały te ułatwiają złożenie zawiadomienia o popełnieniu przestępstwa w jednostce policji oraz stanowią potwierdzenie przebiegu incydentu dla departamentu bezpieczeństwa banku.

Bezpieczeństwo i profesjonalna pomoc techniczna

Incydent związany z nieautoryzowanym dostępem zdalnym wymaga spokoju, metodycznego podejścia i rzetelnej wiedzy technicznej. Prawidłowo przeprowadzona inspekcja systemu pozwala usunąć wszelkie zagrożenia, zabezpieczyć tożsamość cyfrową i przywrócić stabilne środowisko pracy komputera. Dojazd do klienta realizowany jest na terenie całej Warszawy oraz okolicznych miejscowości w ciągu godziny od przyjęcia zgłoszenia, przez całą dobę, 7 dni w tygodniu pod numerem 22 378 48 09. Większość usterek i problemów z oprogramowaniem rozwiązywana jest bezpośrednio podczas pierwszej wizyty serwisowej.

22 378 48 09

Pomoc po oszustwie i przejęciu zdalnym komputera