Czy samo kliknięcie w link jest niebezpieczne? Kiedy ryzyko jest realne

Zwykle samo kliknięcie w link nie wystarczy, żeby ktoś przejął Twoje konto albo zaszyfrował pliki. Otwarcie adresu najczęściej tylko wyświetla stronę — a prawdziwa szkoda zaczyna się od kolejnego kroku: wpisania hasła na fałszywej stronie, pobrania i uruchomienia pliku albo potwierdzenia przelewu. Dlatego spokojnie: jeśli kliknąłeś i nic poza tym nie zrobiłeś, w większości przypadków nic groźnego się nie wydarzyło.

Są jednak wyjątki, o których trzeba wiedzieć, i sytuacje, w których nawet samo kliknięcie ma skutki. Poniżej wyjaśniam, kiedy ryzyko jest realne, jak rozpoznać groźny link i co zrobić, gdy już w niego kliknąłeś.

Dlaczego samo kliknięcie zwykle nie wystarcza

Nowoczesna przeglądarka otwiera strony w tzw. piaskownicy (sandbox) — izolowanym środowisku, które utrudnia stronie internetowej dostęp do reszty systemu. Kod na stronie nie może sam z siebie zainstalować programu ani odczytać Twoich plików. Żeby doszło do szkody, zwykle musisz wykonać dodatkową czynność:

• wpisać login i hasło na podrobionej stronie,
• pobrać plik, otworzyć go i zignorować ostrzeżenia systemu,
• nadać uprawnienia lub zainstalować aplikację spoza oficjalnego sklepu,
• potwierdzić przelew, kod BLIK albo kod z aplikacji banku.

To dlatego przestępcy wkładają tyle wysiłku w przekonanie Cię do tego „drugiego kroku”. Sama strona to pułapka, ale to Ty musisz w nią wejść do końca.

Wskazówka: Najlepszy nawyk to zasada „nie loguję się i nie płacę z linków”. Nawet jeśli otworzysz podejrzaną stronę, dopóki nie wpiszesz danych i nie pobierzesz pliku, atak zwykle nie ma jak się powieść.

Kiedy samo kliknięcie jednak jest groźne

Istnieją sytuacje, w których otwarcie linku wystarcza do szkody. Są rzadsze, ale realne.

Nieaktualna przeglądarka lub system (atak drive-by)

Jeśli Twoja przeglądarka, system lub wtyczki mają niezałataną lukę, złośliwa strona może ją wykorzystać do uruchomienia kodu bez Twojej dalszej interakcji. To tzw. atak drive-by. Chroni przed nim jedno: aktualne oprogramowanie. Producenci łatają takie dziury na bieżąco, więc nieaktualna przeglądarka to realne ryzyko.

Ataki zero-day na telefony

W ukierunkowanych atakach (na dziennikarzy, aktywistów, osoby publiczne) zdarzają się exploity typu zero-day, które infekują telefon po samym otwarciu linku, a czasem nawet bez kliknięcia. Są jednak bardzo kosztowne i niemal nigdy nie trafiają w masowego użytkownika — to nie scenariusz dla przeciętnego SMS-a od „kuriera”.

Potwierdzenie, że jesteś aktywnym celem

Nawet nieszkodliwe kliknięcie bywa cenne dla przestępcy. Link w spamie często zawiera unikalny identyfikator — klikając, potwierdzasz, że Twój numer lub adres jest aktywny i że czytasz wiadomości. Skutkiem jest więcej prób w przyszłości.

Wyciek danych przez parametry w adresie

Niektóre linki śledzące przekazują dane w samym adresie. To bardziej kwestia prywatności niż przejęcia konta, ale warto o tym pamiętać, zwłaszcza przy linkach z newsletterów i reklam.

Co naprawdę najczęściej prowadzi do szkody: phishing

W praktyce najgroźniejszy nie jest link sam w sobie, lecz to, co się za nim kryje: fałszywa strona udająca bank, operatora płatności, kuriera, portal społecznościowy albo serwis urzędowy. Wpisujesz tam dane logowania lub dane karty — i trafiają prosto do przestępcy. To mechanizm phishingu, który opisujemy szerzej w artykule o sposobach kradzieży haseł.

Typowe polskie scenariusze:

• SMS o „dopłacie do paczki” z linkiem do bramki płatności (tzw. smishing),
• wiadomość od „kupującego” na OLX czy Vinted z linkiem do „odbioru pieniędzy”,
• mail o „blokadzie konta” banku lub skrzynki,
• link od znajomego z przejętego konta na Messengerze z prośbą o głos w konkursie lub kod BLIK.

Osobną, rosnącą pułapką są fałszywe reklamy w wyszukiwarce — promowany wynik prowadzi do podrobionej strony popularnego programu lub sklepu. Mechanizmy psychologiczne, które za tym stoją, opisujemy w tekście o inżynierii społecznej.

Jak rozpoznać podejrzany link, zanim klikniesz

Zanim klikniesz, sprawdź rzeczywisty adres. Na komputerze najedź kursorem na link (bez klikania) — prawdziwy adres pokaże się w dolnym rogu przeglądarki. Na telefonie przytrzymaj link, żeby zobaczyć podgląd.

Sygnały ostrzegawcze:

Pamiętaj: sama kłódka i https:// nie oznaczają, że strona jest uczciwa — certyfikat ma dziś niemal każda strona, także phishingowa. Kłódka mówi tylko, że połączenie jest szyfrowane, a nie kto jest po drugiej stronie.

Jak sprawdzić link, gdy nie masz pewności

• Rozwiń skrócony link narzędziem do podglądu (wiele serwisów pokazuje cel bez otwierania).
• Sprawdź adres w serwisie reputacyjnym, np. VirusTotal, który analizuje go wieloma silnikami.
• W razie wiadomości „od banku” czy „od kuriera” nie klikaj — wejdź na stronę firmy ręcznie lub przez oficjalną aplikację i tam sprawdź, czy coś faktycznie wymaga Twojej uwagi.

Więcej o samych wiadomościach i tym, kiedy warto podejrzewać infekcję urządzenia, znajdziesz w poradniku mój telefon zachowuje się dziwnie – czy zostałem zhackowany.

Co zrobić zaraz po kliknięciu w podejrzany link

Jeśli kliknąłeś, działaj spokojnie i po kolei:

1. Nie wpisuj żadnych danych i nie pobieraj plików. Zamknij kartę. To przerywa większość ataków.
2. Jeśli strona się nie zamyka lub wyświetla komunikat typu „komputer zablokowany, zadzwoń pod numer”, zamknij przeglądarkę siłą (menedżer zadań na Windows, wymuszone zamknięcie aplikacji na telefonie). Nie dzwoń pod podane numery.
3. Jeśli pobrałeś plik — nie uruchamiaj go i usuń. Gdy już go otworzyłeś, przeskanuj urządzenie programem antywirusowym (w Windows wystarczy wbudowany Microsoft Defender: pełne skanowanie).
4. Jeśli podałeś hasło, zmień je natychmiast z innego, zaufanego urządzenia i włącz dwuetapową weryfikację. To samo hasło w innych serwisach zmień wszędzie.
5. Jeśli podałeś dane karty lub zalogowałeś się do banku, zadzwoń na infolinię banku, zastrzeż kartę i obserwuj transakcje. Rozważ zastrzeżenie numeru PESEL w aplikacji mObywatel.
6. Zgłoś incydent. Podejrzane SMS-y przekaż bezpłatnie na numer 8080 (CERT Polska), a strony phishingowe zgłoś na incydent.cert.pl.

Jak zmniejszyć ryzyko na co dzień

Kilka nawyków i ustawień rozbraja większość ataków, zanim staną się groźne:

• Aktualizuj system i przeglądarkę — to najważniejsza ochrona przed atakami, które działają po samym kliknięciu.
• Włącz 2FA na poczcie, w banku i mediach społecznościowych, najlepiej w formie klucza sprzętowego lub passkey w standardzie FIDO2, odpornego na phishing.
• Używaj menedżera haseł — nie podpowie hasła na fałszywej domenie, co jest prostym, a skutecznym sygnałem ostrzegawczym.
• Nie instaluj aplikacji spoza oficjalnych sklepów i nie nadawaj uprawnień na prośbę ze strony internetowej.
• Rób kopie zapasowe ważnych danych — ograniczają skutki ewentualnego ransomware.
• Traktuj linki od znajomych z rezerwą, jeśli wiadomość jest nietypowa; konto mogło zostać przejęte.

Najważniejszy wniosek jest uspokajający: samo kliknięcie rzadko jest katastrofą, a Ty prawie zawsze masz jeszcze moment na reakcję, zanim dojdzie do szkody. Groźne staje się dopiero to, co zrobisz na stronie — dlatego najlepszą obroną jest wstrzymanie się z podawaniem danych i pobieraniem plików, dopóki nie masz pewności, gdzie naprawdę jesteś.

Warto też wiedzieć, przed czym nie ochroni Cię VPN: szyfruje połączenie, ale nie powstrzyma Cię przed wpisaniem hasła na fałszywej stronie. Wyjaśnia to artykuł czy VPN chroni przed zagrożeniami.