Witajcie. Od 25 lat siedzę w branży IT. I powiem Wam coś, co mnie wkurza: 90% ataków, które widziałem, można było powstrzymać. Dlatego chcę wam podać 7 prostych nawyków online, które pomogą uratować Ci konto, pieniądze i nerwy i nie będzie to drogi antywirusem, i nie „magiczna” aplikacja ale nawykiem.
Ten artykuł jest po to, żebyś po jego przeczytaniu zamknął kartę i zmienił dwie, może trzy rzeczy w swoim cyfrowym życiu. To wszystko. Dlatego zaczynamy.
Najpierw spójrz, z czym mamy do czynienia
Zanim powiesz „mnie to nie dotyczy” – popatrz na te liczby. To nie są dane sprzed pięciu lat z amerykańskich raportów. To Polska, rok 2025, oficjalne statystyki CERT Polska.
Cztery liczby, które warto zapamiętać z raportu CERT Polska 2025:
- 260 783 – wszystkie zarejestrowane incydenty bezpieczeństwa
- 253 238 – oszustwa komputerowe (97% wszystkich zdarzeń)
- 78 391 – ataki phishingowe
- 295 169 – zgłoszenia podejrzanych SMS-ów
W rezultacie mamy wzrost o 158% rok do roku to nie jest jakieś tam „lekkie pogorszenie”. To eksplozja. A teraz konkrety, co w końcu możesz dzisiaj zrobić.
1. Hasło, którego nie pamiętasz, jest dobrym hasłem
Najczęstsze pytanie moich klientów: „Marek, ile haseł mam tak naprawdę zapamiętać?”
Odpowiedź: jedno – Hasło do menedżera haseł. Reszta ma być losowa, długa i taka, której nie pamiętasz to pierwsze z 7 prostych nawyków online.
Co konkretnie masz zrobić w najbliższe 20 minut:
- Zainstaluj menedżer haseł:
- Hasło główne: długa fraza, minimum 4 niepowiązane słowa + cyfra + znak. Np. „RowerKalendarzPstrąg-7zima!”. Łatwa do zapamiętania, kompletnie nieodgadywalna.
- Przy każdym logowaniu w nowym serwisie pozwól menedżerowi wygenerować hasło 20+ znaków. Tak, dwadzieścia.
- Nigdy nie używaj tego samego hasła w dwóch miejscach. Nigdy.
Dlaczego to takie ważne? Bo gdy któryś sklep internetowy „wycieknie” (a wycieka średnio jeden poważny serwis tygodniowo), Twój login + hasło lądują w bazie, którą hakerzy testują na 200 innych serwisach. To się nazywa credential stuffing i odpowiada za większość przejęć kont, jakie widziałem w karierze.
2. Włącz 2FA dzisiaj żeby jutro nie było za późno
Drugie z 7 prostych nawyków online to dwuskładnikowe uwierzytelnianie (2FA). Dla mnie to jak pasy bezpieczeństwa. Możesz jeździć bez nich. Zwykle nic się nie stanie. A gdy się stanie – ratuje życie.
Co masz zrobić: wejdź na konta, na których trzymasz „swoje życie” – e-mail, bank, Facebook, Instagram, ePUAP, mObywatel – i włącz 2FA. Najlepiej przez aplikację typu Google Authenticator, Aegis lub Microsoft Authenticator. SMS jest lepszy niż nic, ale zostaw go w tyle za aplikacją. Jeśli prowadzisz firmę albo masz dużo do stracenia – kup klucz sprzętowy YubiKey. 200 zł raz w życiu.
Pamiętaj o kodach zapasowych. Wydrukuj je, schowaj w szufladzie. Dzień, w którym zgubisz telefon, to nie jest dzień, w którym chcesz odkryć, że ich nie masz.
3. Naucz się rozpoznawać phishing… dziś nie ma on literówek
Mit, który muszę zabić: „Phishing rozpoznasz po błędach ortograficznych”. Zapomnij. W 2025 roku przestępcy używają AI do pisania wiadomości lepszą polszczyzną niż większość urzędników. Według raportu CERT Polska w 2025 roku odnotowano 78 391 incydentów phishingowych, co stanowiło 30% wszystkich zarejestrowanych zdarzeń.
Najczęstsze schematy w Polsce, które widzę co tydzień na szkoleniach:
- „Twoja paczka czeka, dopłać 2,99 zł” (InPost, DHL, Poczta Polska)
- „Zwrot podatku z urzędu skarbowego” (fałszywe domeny gov.pl)
- „Niezapłacona opłata e-TOLL”
- „Twój wniosek 800+ wymaga potwierdzenia”
- Podszywanie się pod OLX (28 462 zdarzenia w 2025) i Allegro (22 513 zdarzeń)
kolejny z 7 prostych nawyków online: mój test 5 sekund: zanim klikniesz w jakikolwiek link z e-maila lub SMS sprawdź:
- Pilność. Czy próbują wymusić szybką decyzję? („masz 24 godziny”, „konto zostanie zablokowane”)? Przestępcy uwielbiają presję czasu.
- Adres nadawcy. Najedź myszką (nie klikaj!) i przeczytaj rzeczywistą domenę. „inpost-paczka.info” to nie InPost.
- Najedź na niego. Czy zaczyna się od oficjalnej domeny, czy od czegoś dziwnego z myślnikami?
- Załącznik. Niespodziewany .zip, .exe, .iso albo dokument Office proszący o włączenie makr.
- Niezgodność. Niby z banku, ale wita Cię „Drogi Kliencie”? Bank zna Twoje imię.
I złota zasada: nie klikaj, lecz zadzwoń. W dodatku numer banku/firmy weź z oficjalnej strony, nie z wiadomości.
4. Publiczne Wi-Fi to dziurawy płot
Lotniska, kawiarnie, hotele, McDonald’s – uwielbiam wszystkie te miejsca, mimo to ich Wi-Fi traktuję jak rozmowę w autobusie: każdy może podsłuchać.
W rezultacie od lat trzymam się trzech reguł:
- Bez VPN-a nie loguję się nigdzie, gdzie ma znaczenie hasło, dlatego ProtonVPN, Mullvad albo NordVPN. Jeśli musisz oszczędzić – Proton ma darmowy plan.
- Nigdy nie robię przelewów ani zakupów na publicznym Wi-Fi. Nawet z VPN-em używam danych komórkowych.
- Wyłączam automatyczne łączenie z otwartymi sieciami w telefonie. Dlatego, że istnieje atak zwany „evil twin” – fałszywy hotspot, który podszywa się pod „Hotel_Free_WiFi”.
Reasumując dane komórkowe są szyfrowane operatorsko zaś publiczny hotspot – z reguły nie. Dlatego wybór jest się prosty.
5. Aktualizacje. Ten przeklęty krzyżyk Cię kiedyś pogrąży
Wiem, wiem. „Jutro zaktualizuję.” Jestem w IT od 25 lat i wiem, czego nie robi 80% ludzi. Otwórz dziś wieczorem:
- System operacyjny (Windows Update / macOS / iOS / Android)
- Przeglądarkę – Chrome, Firefox, Edge
- Aplikacje banku
- Tak, swój domowy router. Większość ludzi nigdy nie zaktualizowała oprogramowania routera. To samo co zostawiać klucz pod wycieraczką.
Wykorzystanie znanych luk było najczęstszym wektorem ataków, jednakże większość użytkowników nie instaluje systemowych poprawek. W 2025 roku – 33% przypadków włamań stanowiły luki w systemie operacyjnym. Instaluj łaty, które już istnieją.
6. Mniej dzielenia się = mniej amunicji dla przestępców
Pokażę Ci, jak wygląda przygotowanie ataku ukierunkowanego (tzw. spear phishing). Zaczyna się tak: ktoś przegląda Twojego Facebooka. Widzi imię psa. Datę ślubu. Imię matki. Miejsce pracy. Zdjęcie z wakacji „Dominikana 2024″. Po 15 minutach ma profil, którym może otworzyć większość Twoich „pytań bezpieczeństwa” w bankach i serwisach.
Zatem oto, co możesz zrobić w 10 minut:
- W ustawieniach prywatności FB ustaw posty „tylko znajomi”. Listę znajomych ukryj.
- W Instagramie – konto prywatne, jeśli nie zarabiasz nim na życie.
- Wyłącz geolokalizację w postach.
- Nie odpowiadaj na te „śmieszne” łańcuszki typu „pierwszy samochód, ulubiony nauczyciel, imię babci”. To są dosłownie pytania, których banki używają do potwierdzania tożsamości.
- Zdjęć biletów lotniczych, dokumentów, kart pokładowych – nigdy nie publikuj. Dlaczego? Ponieważ numer rezerwacji wystarczy, żeby przejąć Twój lot.
7. Załóż sobie scenariusz „co jeśli”
Ostatni nawyk, ten, którego uczę na końcu każdego szkolenia, dlatego, że działa najlepiej – plan na dzień, w którym coś się stanie. Ponieważ stanie się na pewno. Wcześniej czy później.
Zrób sobie dziś listę:
- Kopia zapasowa. Zdjęcia, dokumenty, dane firmowe – kopie w dwóch miejscach. Lokalnie (dysk USB) + chmura. Sprawdź, czy umiesz odtworzyć kopię, nie tylko ją zrobić.
- Lista kont krytycznych (e-mail, bank, ePUAP) z zapisanymi telefonami pomocy.
- Numer infolinii banku w portfelu – nie tylko w telefonie. Telefon Ci ukradną.
- Numer 8080 – krajowy numer zgłaszania oszustw cyfrowych. Zapamiętaj go. Po polsku, bezpłatnie, działa też dla SMS-ów.
- Po włamaniu: zmień hasło, wyloguj wszystkie sesje, sprawdź transakcje, zgłoś na policji (formularz online), powiadom CERT Polska.
Co zrobisz dziś?
Nie musisz robić wszystkiego. Najpierw wybierz trzy rzeczy z tej listy i wprowadź je do końca tygodnia:
- Zainstaluj menedżer haseł i ustaw nowe hasło do skrzynki głównej
- Włącz 2FA (najlepiej przez aplikację) dla maila, banku, Facebooka
- Zaktualizuj system, przeglądarkę i router,
ponadto
- Sprawdź ustawienia prywatności w mediach społecznościowych
- Zrób kopię zapasową ważnych zdjęć i dokumentów
- Naucz domowników rozpoznawać podejrzane SMS-y (rodzice, dzieci, dziadkowie!)
Zapamiętaj: cyberbezpieczeństwo nie polega na byciu niewidocznym dla hakerów, raczej polega na byciu trudniejszym celem niż sąsiad. Ponieważ atak idzie po linii najmniejszego oporu zrób z siebie krzak ciernisty, a wtedy 99% przestępców pójdzie szukać kogoś łatwiejszego.
Na zakończenie… Jeśli ten artykuł oszczędzi choć jednej osobie zhakowanego konta na Allegro albo wyzerowanego konta bankowego – wart był napisania. Z tego powodu podziel się z kimś, na kim Ci zależy. Najlepiej z rodzicami albo dziećmi, ponieważ to oni są najczęstszymi celami.
Macie pytania? Walcie w komentarzach. mam sporo roboty niemniej jednak postaram się odpowiedzieć każdemu.
Marek – 15 lat w cyberbezpieczeństwie, bez jednego dnia nudy…