Koń trojański (trojan): co to jest, jak działa i jak go usunąć z komputera i telefonu

Koń trojański to według słownika gov.pl program, który wykonuje na zainfekowanym komputerze działania niekontrolowane przez użytkownika: może usuwać informacje z dysków, wykradać prywatne dane albo powodować bezczynność systemu. Nazwa pochodzi od konia trojańskiego z mitu: szkodnik wygląda jak coś pożytecznego, więc to ofiara sama wpuszcza go do środka. Dlatego za trojanem prawie zawsze stoi socjotechnika: przekonujący e-mail, SMS, telefon albo strona.

Rodzaje trojanów

• Dropper: instaluje na urządzeniu inny szkodliwy program albo nową wersję wcześniej zainstalowanego.
• Downloader: znacznie mniejszy, służy do pobierania kolejnych wersji złośliwego kodu.
• Backdoor: pozwala przestępcy zdalnie zarządzać komputerem; w przeciwieństwie do legalnych narzędzi instaluje się i działa w ukryciu, bez wiedzy i zgody użytkownika.
• RAT (Remote Access Trojan), trojan zdalnego dostępu. CERT Polska opisał w 2025 roku e-maile rzekomo z Urzędu Statystycznego w Warszawie, których załącznik pozwalał przejąć kontrolę nad komputerem i wykradał zapisane hasła.
• Trojan bankowy na Androida: udaje aplikację banku albo „moduł bezpieczeństwa” i przejmuje telefon.

Trojan w załączniku e-maila

Na komputerach trojan najczęściej przychodzi w załączniku. CERT Polska opisał e-mail rzekomo z Głównego Urzędu Statystycznego, w którym archiwum zawierało plik „Elektroniczny formularz zgłoszenia.exe” z rodziny GuLoader/CloudEyE. Jego jedynym zadaniem było sprawdzić, czy nie działa w środowisku wirtualnym, a potem pobrać i uruchomić właściwego szkodnika, który kradł hasła z przeglądarki i aplikacji. Przestępcy stosują różne rozszerzenia archiwów, np. .zip, .7z, .cab, .iso i .img, a czasem w wiadomości jest tylko link do pobrania pliku z OneDrive.

Jak działa trojan bankowy: przykład FvncBot

W marcu 2026 roku CERT Polska przeanalizował kampanię FvncBot wymierzoną w polskich użytkowników. Aplikacja „Token U2F Mobilna Ochrona SGB”, korzystająca z wizerunku Spółdzielczej Grupy Bankowej, informowała o konieczności instalacji „Play Component”. Android pokazywał wtedy okno instalacji z nieznanych źródeł, a następnie ofiara była nakłaniana do włączenia ułatwień dostępu pod pretekstem aktualizacji systemu. Z tą zgodą szkodnik przechwytuje wpisywany tekst i zawartość ekranu, a przestępca może wyświetlać nakładki i zdalnie wydawać polecenia. Każda próbka tej kampanii używała wizerunku innego banku.

Podobny mechanizm wykorzystała NGate, którą CERT Polska uznał za najgroźniejszą kampanię mobilnego złośliwego oprogramowania 2025 roku. Ofiara dostawała wiadomość o problemie technicznym, telefon od rzekomego pracownika banku i aplikację, która prosiła o przyłożenie karty płatniczej do telefonu oraz wpisanie PIN-⁠u. Dane NFC karty trafiały do przestępcy stojącego przy bankomacie, który wypłacał gotówkę.

Oficjalny sklep zmniejsza ryzyko, ale go nie wyklucza. W 2025 roku CERT Polska zgłosił Google 119 aplikacji w Sklepie Google Play podszywających się pod znane polskie firmy, najczęściej pod Orlen, oraz 352 próbki szkodnika Joker. Wszystkie zostały usunięte ze sklepu. Dlatego także po instalacji czytaj, o jakie uprawnienia prosi aplikacja.

Sygnały ostrzegawcze

• Aplikacja banku pobierana z linku w SMS-⁠ie, e-mailu lub ze strony, a nie z Google Play czy App Store.
• Prośba o ręczną instalację dodatkowego „komponentu bezpieczeństwa” lub „komponentu uruchomienia” spoza sklepu.
• Zgoda na instalację z nieznanych źródeł, a zaraz potem prośba o ułatwienia dostępu. CERT Polska każe traktować to jako ostateczny sygnał ostrzegawczy.
• Aplikacja, która każe przyłożyć kartę do telefonu i wpisać PIN na ekranie.
• Telefon od „pracownika banku”, który pomaga zainstalować aplikację albo prosi o zdalny dostęp do komputera. Pracownicy banku nigdy nie przejmują kontroli nad komputerem klienta.
• Załącznik z „fakturą” lub „formularzem”, który okazuje się archiwum z plikiem wykonywalnym.

Jak usunąć trojana

1. Odłącz urządzenie od internetu.
2. Jeśli trojan mógł mieć dostęp do bankowości, od razu zadzwoń do banku na numer z jego oficjalnej strony i poproś o zablokowanie dostępu.
3. Na Androidzie usuń podejrzaną aplikację i wyłącz jej ułatwienia dostępu, a w Sklepie Google Play sprawdź, czy opcja Skanuj aplikacje za pomocą Play Protect jest włączona. Play Protect może wyłączyć lub usunąć szkodliwą aplikację.
4. W Windows uruchom w aplikacji Zabezpieczenia Windows pełne skanowanie, a jeśli problem wraca, skanowanie offline programem antywirusowym Microsoft Defender.
5. Z innego, niezainfekowanego urządzenia zmień hasła zapisane w przeglądarce i aplikacjach oraz te, które wpisywałeś po infekcji.
6. Jeśli nie masz pewności, że urządzenie jest czyste, zrób kopię danych i przeinstaluj system lub przywróć ustawienia fabryczne. CERT Polska zaznacza, że skanowanie antywirusem nie daje gwarancji pełnego usunięcia szkodnika.

Jak nie dać się nabrać

• Aplikacje bankowe pobieraj wyłącznie z Google Play lub App Store.
• Gdy dzwoni „bank” z informacją o zagrożeniu, rozłącz się i oddzwoń na numer z oficjalnej strony banku. Wyświetlany numer i nazwę dzwoniącego da się sfałszować.
• Nie pozwalaj osobie, która do Ciebie dzwoni, przejąć kontroli nad komputerem i nie pobieraj programów, które poleca.
• Czytaj, o jakie uprawnienia prosi aplikacja. Aplikacja do śledzenia paczki czy odtwarzania filmów nie potrzebuje sterowania telefonem.
• Aktualizuj system i aplikacje: aktualizacje usuwają luki, które wykorzystuje złośliwe oprogramowanie.

Trojan potrzebuje Twojej zgody. Aplikacje tylko ze sklepu, żadnych „komponentów” z linku i żadnego zdalnego dostępu dla kogoś, kto dzwoni bez zapowiedzi.