Fałszywa „Meta” grozi blokadą fanpage’a. Kto w firmie ma klucze i co zrobić po przejęciu

Groźba, termin i link: tak wygląda przynęta

W sierpniu CERT Polska ostrzegał właścicieli stron na Facebooku przed wiadomościami od rzekomej administracji serwisu. Tym razem wabikiem była obietnica niebieskiej odznaki Meta Verified. Link prowadził na podróbkę strony logowania. CERT zwraca uwagę, że przy administratorach stron stawka jest wyższa: przestępca dostaje nie tylko prywatny profil, ale też panel, z którego zarządza się stronami firmy. Może z nich rozsyłać spam, dezinformację albo kolejne oszustwa.

Inna przynęta ma ton urzędowy. CSIRT KNF, zespół bezpieczeństwa przy Komisji Nadzoru Finansowego, opisał kampanię na reklamodawców z Facebooka i Instagrama. Mail informuje o kłopotach z kontem reklamowym, potrzebie weryfikacji albo zaległej płatności. Fałszywa strona prosi najpierw o dane, potem o hasło, a na końcu o kod jednorazowy. W części wariantów chce też zdjęcia dowodu osobistego. Kto nie zareaguje, następnego dnia dostaje ponaglenie. Wśród adresów zebranych przez analityków KNF są takie, które w nazwie mają „odwołanie”, „naruszenie” albo „prawa autorskie” po angielsku.

Według CSIRT KNF przejęte w ten sposób konta służą potem do publikowania fałszywych reklam. Dla firmy to podwójna strata: pieniądze i zaufanie klientów, którzy widzą oszustwo pod Twoim logo.

Skala nie jest niszowa. W raporcie za 2025 r. CERT Polska pisze, że wśród utrwalonych schematów dominuje phishing nastawiony na hasła do poczty i serwisów społecznościowych. Takich wyłudzeń danych logowania zespół zarejestrował 78 391, czyli 30 proc. wszystkich incydentów. W tym samym raporcie opisano grupę rozbitą przez CBZC w Białymstoku. Od maja 2022 r. do maja 2024 r. zgromadziła ponad 100 tys. loginów i haseł do Facebooka, a z przejętych kont wyłudzała kody BLIK od znajomych ofiar.

Ten mechanizm działa nadal. 26 października policja z Zabrza opisała kobietę, która straciła 1725 zł, bo przekazała kody do płatności „koleżance”. Konto koleżanki było już w rękach oszustów. Zamień koleżankę na ulubioną kawiarnię albo warsztat z osiedla, a zobaczysz, czym grozi przejęty fanpage firmy.

Kto ma klucze do Twojego fanpage’a

Zanim zaczniesz myśleć o hasłach, otwórz Meta Business Suite i zobacz, kto ma dostęp. W małych firmach ta lista rośnie latami. Jest tam właściciel, ktoś z marketingu, była pracownica, która prowadziła profil dwa lata temu, freelancer od kampanii świątecznej i agencja, z którą umowa dawno wygasła. Każde z tych kont to osobne drzwi. Wystarczy, że jedna osoba da się złapać na fałszywe „odwołanie”.

Meta ma dwa poziomy uprawnień. Pełny dostęp pozwala zarządzać wszystkim: ustawieniami, ludźmi, zasobami, a nawet usunąć całe portfolio firmowe. Częściowy dostęp ogranicza pracę do przydzielonych zadań, na przykład tworzenia treści, prowadzenia reklam albo odpisywania na wiadomości. Nowa osoba w portfolio domyślnie dostaje dostęp podstawowy. Wgląd w finanse, czyli transakcje, faktury i metody płatności, to osobny dodatek, który trzeba przyznać świadomie.

Z tego wynika prosty podział ról. Pełny dostęp mają dwie osoby, które za firmę odpowiadają, na przykład właściciel i wspólnik albo zaufany kierownik. Meta sama radzi, żeby taka osoba nie była jedna. Gdy jedyny administrator odchodzi, nikt nie może przejąć jego obowiązków. Osoba prowadząca profil dostaje częściowy dostęp do strony i, jeśli trzeba, do reklam. Finanse widzi tylko ten, kto płaci rachunki.

Agencję lepiej dodać jako firmę, a nie jako prywatne konto jej pracownika. Meta przewiduje dla niej rolę partnera: Ty udostępniasz zasób, a agencja nie może przekazać go dalej innej firmie. Dla freelancera lub praktykanta jest dostęp tymczasowy, od 3 do 75 dni. Po tym czasie wygasa sam, bez pamiętania o tym w styczniu.

Weryfikacja dwuetapowa dla wszystkich, nie tylko dla szefa

W Centrum zabezpieczeń Meta Business Suite osoba z pełnym dostępem ustawia, kogo obowiązuje weryfikacja dwuetapowa: tylko administratorów, wszystkich albo nikogo. Wybierz „wszystkich”. Każdy, kto loguje się do portfolio z nowego urządzenia, będzie musiał podać kod. Dla części portfolio starszych niż 90 dni Meta sama wymaga tego zabezpieczenia i nie da się go wyłączyć.

Jedno zastrzeżenie, o którym rzadko się mówi. Opisana przez KNF kampania prosi o kod jednorazowy zaraz po haśle. Weryfikacja dwuetapowa chroni Cię przed kimś, kto zna tylko Twoje hasło. Nie chroni, gdy sam przepiszesz kod na fałszywą stronę. Dlatego zasada dla zespołu brzmi: kod wpisujesz wyłącznie tam, gdzie zalogowałeś się sam, wpisując adres albo otwierając aplikację. Nigdy po kliknięciu w link z maila lub wiadomości.

Czego nie klikać, nawet gdy wygląda groźnie

Meta podaje, że jej korespondencja przychodzi z kilku domen, takich jak facebook.com, facebookmail.com, meta.com czy instagram.com, oraz ich subdomen. Każda wiadomość grożąca usunięciem lub zablokowaniem konta i każda prośba o hasło to sygnał ostrzegawczy. Nadawca to jednak za mało, bo adres da się podrobić. Bezpieczniej przyjąć regułę CERT Polska: stan konta sprawdzasz w aplikacji albo w Business Suite, a nie przez link z wiadomości.

Prawdziwe zgłoszenie praw autorskich wygląda inaczej niż straszak z linkiem. Gdy Meta usuwa treść po takim zgłoszeniu, powiadomienie może zawierać imię, nazwisko i adres e-mail właściciela praw. Od decyzji można się odwołać w oficjalnej ścieżce. Nie ma tam formularza, w którym wpisujesz hasło, żeby „uratować stronę”.

Przekaż to zespołowi w jednym zdaniu: żadna prawdziwa sprawa na Facebooku nie wymaga logowania z linku w mailu ani podawania kodu w czacie.

Strona przejęta: pierwsza godzina

Odzyskanie konta. Zacznij od facebook.com/hacked, a przy Instagramie od instagram.com/hacked. Meta poprosi o zmianę hasła i przejrzenie ostatnich logowań. Jeśli włamywacz zmienił adres e-mail, na poprzedni adres przychodzi wiadomość z linkiem do cofnięcia tej zmiany, więc przejrzyj także spam. Gdy nie możesz wejść na stronę, sprawdź najpierw, czy nie usunął Cię inny administrator. Według Meta przejęta strona może oznaczać włamanie na Twój profil albo na profil innego administratora, więc sprawdźcie wszystkie konta z dostępem.

Pieniądze. Otwórz w koncie reklamowym historię płatności. Potwierdzenia pokazują kwotę, termin, metodę płatności i reklamy, za które pobrano opłatę. W sekcji ról sprawdź, kto ma dostęp. Meta zastrzega, że przy podejrzanej aktywności sama może usunąć administratorów, wstrzymać reklamy albo zmienić metodę płatności. Jeśli widzisz wydatki, których nie zlecałeś, zgłoś włamanie do Meta i zadzwoń do banku w sprawie karty podpiętej do reklam.

Zgłoszenia. Fałszywą wiadomość i stronę zgłoś do CERT Polska przez incydent.cert.pl albo usługę „Bezpiecznie w sieci” w mObywatelu. Włamanie na konto zgłoś na policji. CERT przypomina, że takie przestępstwa są zwykle ścigane na wniosek pokrzywdzonego, więc bez Twojego zgłoszenia postępowanie się nie zacznie. Zabierz zrzuty ekranu, wiadomość z nagłówkami, potwierdzenia płatności i opis szkody.

Klienci. To część, o której firmy zapominają najczęściej, a od niej zależy, ile osób da się oszukać pod Twoim szyldem. Napisz krótko na stronie internetowej, w newsletterze i w wizytówce Google: „Nasz profil na Facebooku został przejęty. Nie prosimy o przelewy, kody BLIK ani dane kart. Nie klikajcie linków z naszego profilu, dopóki nie damy znać, że odzyskaliśmy dostęp”. Po odzyskaniu konta opublikuj drugi wpis: co się stało i co zmieniliście. Spokojny, rzeczowy komunikat buduje zaufanie lepiej niż milczenie.

Co z tego dla Ciebie

1. Zrób dziś przegląd dostępu w Meta Business Suite: usuń byłych pracowników i stare agencje, freelancerom ustaw dostęp tymczasowy.
2. Daj pełny dostęp dwóm osobom, a pozostałym tylko częściowy. Wgląd w płatności zostaw temu, kto płaci faktury.
3. Włącz weryfikację dwuetapową dla wszystkich w Centrum zabezpieczeń i powiedz zespołowi, że kodu nie wpisuje się po kliknięciu w link.
4. Spisz na jednej kartce plan na przejęcie: facebook.com/hacked, historia płatności, bank, incydent.cert.pl, policja i gotowy tekst komunikatu dla klientów.
5. Przed Black Friday 27 listopada sprawdź kartę podpiętą do reklam i ustaw limity budżetu, bo w szczycie kampanii trudniej zauważyć cudzą reklamę.

Stan na: 27.10.2026. Tekst nie jest poradą prawną.