Keylogger: co to jest, jak kradnie hasła i jak się przed nim chronić

Keylogger (z angielskiego: rejestrator klawiszy) zapisuje naciśnięcia klawiszy i przekazuje je przestępcy. Rzadko działa sam: zwykle to jedna z funkcji szerszego szkodnika. CERT Polska pisze, że niektóre rodziny infostealerów, czyli programów kradnących hasła i ciasteczka z przeglądarki, przechwytują też klawisze naciskane przez użytkownika. Słownik gov.pl opisuje z kolei trojany, które śledzą aktywność użytkownika i rejestrują uderzenia klawiszy oraz zrzuty ekranu, żeby wykraść dane bankowe.

Gdzie keyloggery pojawiały się w Polsce

• Infostealer w e-mailu: w kampanii opisanej przez CERT Polska wiadomość rzekomo z Głównego Urzędu Statystycznego zawierała archiwum z plikiem „Elektroniczny formularz zgłoszenia.exe”, który pobierał szkodnika z rodziny Agent Tesla/OriginLogger, kradnącego hasła z przeglądarki i popularnych aplikacji. Według CERT Polska część rodzin infostealerów przechwytuje też naciskane klawisze.
• SpyMax: w 2025 roku rozpowszechniany przez stronę podszywającą się pod Google Play i instalowany jako rzekoma aplikacja Telegram. Ma typowe funkcje trojana zdalnego dostępu, w tym keylogger.
• FvncBot: trojan na Androida analizowany przez CERT Polska w marcu 2026 roku, udający aplikację „Token U2F Mobilna Ochrona SGB”. Po uzyskaniu ułatwień dostępu przechwytuje tekst wpisywany w pola edycji.

Nie ma oficjalnych polskich statystyk dotyczących samych keyloggerów. CERT Polska liczy je razem z innym szkodliwym oprogramowaniem: w 2025 roku było to 3438 incydentów.

Co może ukraść

Wszystko, co wpisujesz: loginy i hasła do poczty, banku i mediów społecznościowych, numery kart z kodem CVV, treść wiadomości. Po zdobyciu takich danych przestępcy kradną pieniądze z konta albo przejmują konta pocztowe i społecznościowe, które służą potem do rozsyłania kolejnego szkodliwego oprogramowania, ostrzega CERT Polska.

Jak keylogger trafia na urządzenie

• Archiwum w załączniku (.zip, .7z, .cab, .iso, .img) z plikiem wykonywalnym udającym dokument, np. „Document.PDF.SCR”.
• E-mail bez załącznika, ale z linkiem do pobrania archiwum z chmury, np. z OneDrive.
• Aplikacja na Androida spoza sklepu, która prosi o ułatwienia dostępu.
• Polecenie wklejone do okna Uruchom, PowerShella lub Terminala na prośbę fałszywej CAPTCHA.
• Ktoś z dostępem do Twojego komputera. Kodeks karny (art. 267 § 3) karze zakładanie lub posługiwanie się urządzeniem albo oprogramowaniem w celu uzyskania cudzych informacji.

Keylogger na telefonie

• Na Androidzie rolę keyloggera pełnią zwykle aplikacje z uprawnieniem „Dostępność” (ułatwienia dostępu). CERT Polska ostrzega, że taka zgoda pozwala odczytywać treści z ekranu i wykonywać czynności w Twoim imieniu.
• Aplikacja z dostępem do SMS-⁠ów może odczytać kody do logowania i zatwierdzania operacji i przekazać je oszustom, a „Dostęp do powiadomień” pozwala czytać fragmenty wiadomości z powiadomień innych aplikacji.
• Sprawdź Google Play Protect: Sklep Google Play > ikona profilu > Play Protect > Ustawienia > Skanuj aplikacje za pomocą Play Protect.
• Na iPhonie każda aplikacja działa w piaskownicy i nie widzi danych innych aplikacji, wyjaśnia CERT Polska. Największym ryzykiem pozostaje tam phishing, czyli hasło wpisane na fałszywej stronie.

Czy da się go wykryć?

Rzadko gołym okiem: szkodnik może działać w tle, bez okna i powiadomienia. Zwracaj uwagę na skutki: logowania z nieznanych urządzeń, zmienione hasła, wiadomości wysłane w Twoim imieniu. W Windows uruchom w aplikacji Zabezpieczenia Windows Pełne skanowanie, a jeśli podejrzenie nie mija, Program antywirusowy Microsoft Defender (skanowanie offline). Działa ono po ponownym uruchomieniu, bez ładowania systemu Windows, więc uporczywemu szkodnikowi trudniej się ukryć.

Co zrobić, gdy podejrzewasz keylogger

1. Odłącz urządzenie od sieci, przewodowej i bezprzewodowej.
2. Z innego, niezainfekowanego urządzenia zmień hasła: najpierw do poczty, potem pozostałe, w tym wpisywane po infekcji. Wyloguj wszystkie aktywne sesje.
3. Jeśli wpisywałeś dane karty lub logowania do banku, zadzwoń do banku i zablokuj kartę.
4. Wykonaj pełne skanowanie albo, pewniej, zrób kopię ważnych plików i przeinstaluj system. CERT Polska zaznacza, że antywirus nie gwarantuje pełnego usunięcia szkodnika.
5. Zgłoś incydent na incydent.cert.pl, a jeśli straciłeś pieniądze, złóż zawiadomienie na policji.

Jak sprawić, by keylogger był bezużyteczny

• Włącz weryfikację dwuetapową w poczcie, banku i mediach społecznościowych: samo hasło nie wystarczy do zalogowania.
• Korzystaj z kluczy dostępu (passkeys) tam, gdzie serwis je oferuje. Nie wpisujesz wtedy hasła, tylko potwierdzasz logowanie odciskiem palca, twarzą lub PIN-⁠em, a klucz jest przypisany do konkretnej witryny.
• Ustaw osobne hasło do każdego konta i przechowuj je w menedżerze haseł: wykradzione hasło otworzy wtedy najwyżej jedno konto.
• Przed zatwierdzeniem płatności przeczytaj w aplikacji banku lub w SMS-⁠ie typ operacji, kwotę i odbiorcę. Jeśli coś się nie zgadza, nie potwierdzaj.
• Aktualizuj system i aplikacje, a programy instaluj tylko z oficjalnych źródeł.

Keyloggera nie widać, ale można odebrać mu łup: osobne hasła, drugi składnik i klucze dostępu, których nie da się przepisać.