Przejęte konto firmowe na Facebooku: jak odzyskać i zabezpieczyć

Budzisz się rano, a na Twojej stronie firmowej na Facebooku są obce posty, reklamy za Twoje pieniądze albo nie możesz się już zalogować. Tak wygląda typowe przejęcie konta firmowego. Im szybciej zareagujesz, tym większa szansa na odzyskanie strony i tym mniejsze straty.

W tej poradzie masz plan na pierwszą godzinę po ataku, opis najczęstszego oszustwa i listę zabezpieczeń, którą wdrożysz w 10 minut. Piszę ją dla osób prowadzących firmę, które nie muszą znać się na informatyce. Nazwy opcji podaję według Centrum pomocy Meta, stan na 22 października 2026 r. Meta często zmienia wygląd ustawień, więc u Ciebie mogą się nieco różnić.

Jak wygląda typowy atak: fałszywy „Meta Support”

Najczęstszy scenariusz zaczyna się od wiadomości albo komentarza pod postem. Autor podaje się za „Meta Support” albo „zespół ds. praw autorskich” i pisze, że Twoja strona naruszyła prawa autorskie albo zostanie zablokowana w ciągu 24 godzin. Dołącza link do „formularza odwołania”.

Link prowadzi do strony, która wygląda jak logowanie do Facebooka. Gdy wpiszesz tam hasło i kod z aplikacji, atakujący dostaje dostęp. Następnie dodaje siebie jako administratora, usuwa Ciebie i zmienia dane konta.

Takie wiadomości mają wspólne cechy:

• presja czasu: „masz 24 godziny”, „strona zostanie usunięta”,
• link do formularza zamiast prośby o wejście na Facebooka w zwykły sposób,
• dziwny nadawca: prywatny profil, nowe konto albo adres e-mail spoza domen Meta (według Centrum pomocy korespondencja od Meta przychodzi tylko z domen fb.com, facebook.com, facebookmail.com, instagram.com, meta.com i metamail.com),
• prośba o hasło lub kod z SMS-a albo aplikacji uwierzytelniającej.

Nigdy nie klikaj linków z takich wiadomości, nawet gdy przyszły z prawdziwego adresu Meta. Meta ostrzega, że oszuści wysyłają w Menedżerze firmy zaproszenia do współpracy z linkami wyłudzającymi dane, a powiadomienia o nich przychodzą z autentycznej domeny facebookmail.com. Jeśli chcesz sprawdzić, czy z kontem jest problem, wejdź na Facebooka samodzielnie, bez klikania w link, i zajrzyj do powiadomień, do sekcji Status strony oraz do Meta Business Suite.

Pierwsza godzina po przejęciu: plan krok po kroku

Działaj spokojnie, ale od razu. Każda minuta to potencjalne opłacone reklamy, wiadomości do Twoich klientów i oszustwa podszywające się pod Twoją firmę.

1. Spróbuj się zalogować na swoje prywatne konto, które było administratorem strony. Jeśli to się udaje, od razu zmień hasło na nowe, długie i unikalne.
2. Wyloguj obce urządzenia. W Centrum kont wybierz „Hasło i zabezpieczenia”, a potem „Miejsce logowania”. Zobaczysz tam aktywne sesje z datą, miejscem i typem urządzenia. Przez „Wybierz urządzenia do wylogowania” zakończ sesje, których nie rozpoznajesz, a w razie wątpliwości zaznacz „Wybierz wszystkie”.
3. Sprawdź, kto ma dostęp do strony. Przełącz się na stronę i w jej ustawieniach przejrzyj osoby z dostępem do Facebooka i z dostępem do zadań, a potem listę osób w Meta Business Suite. Usuń osoby, których nie znasz. Możesz to zrobić tylko wtedy, gdy nadal masz pełną kontrolę nad stroną.
4. Sprawdź adres e-mail i numer telefonu przypisane do konta. Atakujący często zmieniają je jako pierwsze.
5. Wstrzymaj reklamy i płatności, jeśli masz do nich dostęp. Zajrzyj do metod płatności i usuń kartę, której nie chcesz używać. W razie obcych obciążeń skontaktuj się z bankiem.
6. Zgłoś przejęcie do Meta. Jeśli logujesz się na swoje konto, ale nie masz już dostępu do strony, wyślij formularz z artykułu Centrum pomocy „Odzyskiwanie zhakowanej strony na Facebooku, którą zarządzasz” (facebook.com/help/738660629556925). Meta stara się odpowiedzieć w ciągu jednego dnia. Formularz działa tylko po zalogowaniu i wtedy, gdy dostęp do strony został utracony niedawno. Jeśli nie możesz się zalogować, wejdź na facebook.com/hacked na urządzeniu, na którym zwykle logujesz się do Facebooka.
7. Zrób zrzuty ekranu obcych postów, wiadomości od „Meta Support”, powiadomień o zmianach i obcych logowań. Przydadzą się przy zgłoszeniu.
8. Ostrzeż klientów innym kanałem: przez wizytówkę Google, stronę internetową, SMS albo newsletter. Napisz, że konto na Facebooku zostało przejęte i żeby nie klikali podejrzanych linków.

Gotowy tekst do skopiowania:

Uwaga: nasza strona na Facebooku została przejęta przez osoby niepowiązane z naszą firmą. Prosimy nie klikać linków ani nie odpowiadać na wiadomości stamtąd, dopóki nie odzyskamy konta. Nowe informacje opublikujemy tutaj i na naszej stronie internetowej.

Gdy nie możesz się zalogować

Jeśli atakujący zmienił hasło, e-mail i numer telefonu, wejdź na stronę facebook.com/hacked. Meta radzi zrobić to na urządzeniu, na którym zwykle logujesz się do Facebooka. Kreator poprosi o numer telefonu lub adres e-mail zapisany na koncie. Jeśli atakujący je zmienił, spróbuj tych, które były przypisane wcześniej. Meta może też poprosić o potwierdzenie tożsamości, na przykład krótkim nagraniem wideo selfie (Meta opisuje je jako opcjonalne) lub zdjęciem dokumentu.

Przygotuj dowody, że strona należy do Twojej firmy:

• adres strony internetowej, na której jest link do Facebooka,
• dane firmy z CEIDG albo KRS i wizytówka Google,
• faktury za reklamy z Meta albo potwierdzenia płatności,
• stare zrzuty ekranu z panelu administratora.

Nie zakładaj nowej strony ani konta „zapasowego” zamiast odzyskiwać stare. Nowa strona zaczyna od zera, bez obserwujących i opinii, a przejęta nadal działa pod nazwą Twojej firmy.

A co z Meta Verified?

Meta oferuje płatną subskrypcję Meta Verified dla firm. Na polskiej stronie Meta for Business (stan na 22 października 2026 r.) najtańszy plan Business Standard kosztuje 14,99 USD miesięcznie za jedną stronę na Facebooku, konto na Instagramie lub numer w WhatsAppie, a wyższe plany 49,99, 149,99 i 499,99 USD. Meta zastrzega, że plany, ceny i dostępność zależą od regionu i konta, więc kwotę dla swojej strony zobaczysz dopiero przy zakupie. Już najtańszy plan daje oznaczenie weryfikacji, ochronę przed podszywaniem się i całodobowy kontakt z agentem przez czat lub e-mail, choć Meta zastrzega, że to wsparcie może nie być jeszcze dostępne dla wszystkich subskrybentów. Od września 2026 r. funkcje Meta Verified są też w nowej subskrypcji Meta One, którą Meta opisuje jako wciąż testowaną i niedostępną wszędzie.

Przed zakupem pamiętaj o dwóch rzeczach. Subskrypcję włącza się z poziomu strony firmowej, więc to raczej zabezpieczenie na przyszłość niż ratunek, gdy dostęp już stracisz. Poza tym Meta zaleca nawet subskrybentom Meta Verified wysłanie zwykłego, bezpłatnego formularza odzyskiwania strony, bo to najszybsza droga. Nie traktuj więc subskrypcji jako gwarancji odzyskania konta i nie płać pod wpływem emocji.

Lista zabezpieczeń na 10 minut

Po odzyskaniu konta, a najlepiej jeszcze przed atakiem, zrób te rzeczy. Każda zajmuje minutę lub dwie.

• [ ] Włącz uwierzytelnianie dwuskładnikowe na koncie każdej osoby z dostępem do strony (Centrum kont > Hasło i zabezpieczenia > Uwierzytelnianie dwuskładnikowe). Najlepiej przez aplikację uwierzytelniającą albo klucz zabezpieczeń, a nie przez SMS.
• [ ] Zapisz kody odzyskiwania (Facebook daje 10 jednorazowych kodów na wypadek braku telefonu) w bezpiecznym miejscu, na przykład w menedżerze haseł.
• [ ] Daj pełną kontrolę nad stroną dwóm osobom: sobie i jednej zaufanej osobie. Każda ma mieć własne, osobne konto.
• [ ] Użyj osobnego adresu e-mail do konta administratora. Nie podawaj go publicznie i nie używaj tego samego co do poczty firmowej widocznej na stronie.
• [ ] Ustaw unikalne, długie hasło i trzymaj je w menedżerze haseł. Nie używaj tego samego hasła do poczty.
• [ ] Sprawdź w Meta Business Suite listę osób z dostępem i ich uprawnienia. Pracownikom, którzy tylko publikują posty, daj częściową kontrolę albo dostęp do zadań, a nie pełną kontrolę.
• [ ] Usuń dawnych administratorów: byłego pracownika, agencję, znajomego, który kiedyś pomagał.
• [ ] Włącz alerty dotyczące logowania z nierozpoznanych urządzeń (Centrum kont > Hasło i zabezpieczenia).
• [ ] Sprawdź adres e-mail do odzyskiwania konta i numer telefonu. Mają być Twoje i aktualne.
• [ ] Zapisz w firmie, kto ma dostęp do strony i reklam, oraz co robić w razie ataku.

Pamiętaj, że hasło do poczty to też klucz do Facebooka. Jeśli ktoś przejmie Twój e-mail, może zresetować hasło do wszystkiego. Dla poczty także włącz uwierzytelnianie dwuskładnikowe.

Dwóch administratorów: dlaczego to tak ważne

W wielu małych firmach stroną zarządza jedna osoba: właściciel albo „ktoś, kto zna się na Facebooku”. Gdy to konto zostanie przejęte, nie ma kto odebrać uprawnień atakującemu. Dwóch administratorów, czyli w języku Facebooka dwie osoby z dostępem do Facebooka i pełną kontrolą, to najprostsza polisa. Taka osoba ma te same uprawnienia co Ty, łącznie z usunięciem Cię ze strony, więc wybierz kogoś zaufanego.

Zasady:

• obie osoby mają własne konta z włączonym uwierzytelnianiem dwuskładnikowym,
• nikt nie udostępnia hasła innym osobom,
• do codziennych zadań, jak publikowanie postów, dajesz innym osobom częściową kontrolę albo dostęp do zadań,
• raz na kilka miesięcy sprawdzasz listę osób z dostępem.

Co zrobić po odzyskaniu strony

Gdy odzyskasz dostęp, nie kończ na zmianie hasła. Przejrzyj całą historię i ślady ataku:

1. Usuń obce posty, reklamy, aplikacje i integracje.
2. Sprawdź, czy atakujący nie zmienił nazwy strony, linku, kategorii ani danych kontaktowych.
3. Zajrzyj do konta reklamowego i sprawdź wydatki oraz metody płatności.
4. Sprawdź, czy do strony nie podłączono obcych aplikacji, stron lub kont na Instagramie.
5. Poinformuj klientów, że problem został rozwiązany.
6. Jeśli w wiadomościach lub na koncie były dane osobowe klientów, sprawdź obowiązki z RODO na stronie uodo.gov.pl albo skonsultuj się z prawnikiem. Gdy naruszenie może zagrażać klientom, zgłoszenie do Prezesa UODO trzeba wysłać w ciągu 72 godzin od jego stwierdzenia (art. 33 RODO). To ogólna informacja, a nie porada prawna.

Warto też sprawdzić inne miejsca, w których używasz tego samego hasła lub adresu e-mail: pocztę, panel strony, Profil Firmy w Google, sklep. Jeśli któreś z nich zostało ujawnione, zmień hasła od razu.

Jak sprawdzić, czy reszta Twojej firmy w sieci jest bezpieczna

Przejęte konto na Facebooku często okazuje się początkiem dłuższej historii: to samo hasło działa w panelu strony, poczcie albo sklepie. Warto raz sprawdzić, czy reszta jest dobrze zabezpieczona. Szybki przegląd strony zrobisz w darmowym narzędziu Zbadaj stronę. Sprawdza ono m.in. bezpieczeństwo oraz pocztę w domenie (SPF, DMARC).

Gdy chcesz dokładniejszej oceny formularzy, logowania i ochrony przed botami, wykonam audyt bezpieczeństwa z raportem i konkretnymi poprawkami. Jeśli konto firmowe w social mediach było zaniedbane, mogę też założyć i skonfigurować profile oraz grupy od nowa, z jasnymi rolami i zasadami. O zabezpieczeniu poczty w domenie piszę w poradzie o mailach firmowych w spamie (SPF, DKIM, DMARC).

Podsumowanie

Gdy konto firmowe na Facebooku zostanie przejęte, liczy się szybka reakcja: zmiana haseł, wylogowanie urządzeń, sprawdzenie, kto ma dostęp do strony, i zgłoszenie przez formularz odzyskiwania strony albo facebook.com/hacked. Najlepszą obroną są uwierzytelnianie dwuskładnikowe, dwie osoby z pełną kontrolą nad stroną i osobny adres e-mail do konta.

Jeśli potrzebujesz pomocy w przeglądzie zabezpieczeń lub uporządkowaniu profili firmy, napisz do mnie. Odpowiadam w 24 godziny, a nowi klienci dostają 20% rabatu na pierwsze zlecenie.