Spam na Messengerze to nie tylko irytujące wiadomości reklamowe – to coraz częściej zaawansowane narzędzie do przejęcia konta, wyłudzenia pieniędzy lub kradzieży danych. Mechanizmy, które stoją za takimi wiadomościami, są znacznie bardziej złożone, niż sugeruje samo słowo „spam”. Ten artykuł wyjaśnia, czym dokładnie jest spam na Messengerze, jak działa folder spamu, jak rozpoznać niebezpieczne wiadomości i co zrobić, gdy coś już kliknęłeś.

Najważniejsze informacje z tego artykułu:

• Spam na Messengerze to niezamówiona lub masowo dystrybuowana komunikacja, która może mieć charakter reklamowy, manipulacyjny lub być nośnikiem phishingu i oszustwa.
• Messenger ma dwa osobne filtry – folder próśb o kontakt oraz folder spam – a wiadomości ze spamu nie generują powiadomień, przez co łatwo je przeoczyć.
• Najgroźniejszy spam trafia do głównej skrzynki, bo pochodzi z przejętych kont znajomych, które Messenger traktuje jak zaufane kontakty.
• Samo otwarcie podejrzanej wiadomości jest zazwyczaj bezpieczne, ale kliknięcie w link i zalogowanie się na fałszywej stronie może prowadzić do utraty dostępu do konta.
• Po otrzymaniu spamu należy zgłosić rozmowę w Messengerze i ewentualnie też na stronie incydent.cert.pl, a nie odpowiadać ani klikać w linki.

Co to jest spam na Messengerze?

Spam na Messengerze to każda niezamówiona, masowo rozsyłana lub powtarzalna wiadomość, której nadawca chce dotrzeć do jak największej liczby odbiorców – niezależnie od tego, czy ich zna, czy nie. Może mieć charakter reklamowy, polityczny, pornograficzny albo być częścią kampanii wyłudzeniowej. Kluczowe jest jednak rozróżnienie między trzema pojęciami, które są często mylone:

• Spam – niezamówiona wiadomość, wysyłana masowo lub automatycznie, niekoniecznie szkodliwa, ale niechciana.
• Phishing – spam skonstruowany tak, żeby skłonić odbiorcę do ujawnienia danych logowania, kodu uwierzytelniającego lub danych karty. CERT Polska podkreśla, że phishing dociera też przez prywatne wiadomości w komunikatorach, np. jako prośba o oddanie głosu w konkursie wysłana z konta znajomego.
• Scam (oszustwo) – szerszy termin obejmujący fałszywe inwestycje, wyłudzenia „na znajomego”, fikcyjne nagrody, podrobione oferty pracy, romanse internetowe czy sprzedaż nieistniejących produktów.

Spam opisuje więc formę i skalę komunikacji, a phishing i scam opisują jej cel. Wiadomość może być jednocześnie wszystkimi trzema.

Messenger jest szczególnie podatnym kanałem z powodów strukturalnych. Napisać do Ciebie może nie tylko znajomy, ale też każda osoba, która znajdzie Cię przez wyszukiwarkę Messengera, wspólną grupę, kontakt z Instagrama, numer telefonu albo interakcję z firmową stroną na Facebooku. Wiadomości od osób spoza listy znajomych trafiają do jednego z dwóch filtrów: folderu próśb o kontakt albo folderu spam. Ten drugi nie generuje żadnych powiadomień, przez co łatwo przeoczyć w nim nawet ważną wiadomość od rekrutera czy kuriera.

Ważna uwaga – prośba o kontakt nie jest równoznaczna ze spamem. To tylko mechanizm dostarczania wiadomości od nieznanej osoby. Klasyfikacja Messengera jest probabilistyczna, a nie bezbłędna. Wiadomość od dawnego znajomego może trafić do spamu, a wiadomość od oszusta może pojawić się w głównej skrzynce. Folder spam to sygnał ostrzegawczy, nie wyrok.

Gdzie znaleźć folder spam w Messengerze?

Messenger ma dwa odrębne miejsca, do których trafiają wiadomości spoza Twojej sieci kontaktów. Pierwsze to sekcja próśb o wiadomość, czyli „Message Requests”. Trafiają tam osoby, które znalazły Cię przez wyszukiwarkę, wspólne grupy lub Instagram. Drugie to folder spam, do którego Meta kieruje wiadomości uznane przez algorytm za podejrzane. Ten folder nie generuje żadnych powiadomień, a jego istnienie jest nieoczywiste dla większości użytkowników.

Jeśli chcesz sprawdzić, co się w nim znajduje, skorzystaj z tego samouczka o tym, gdzie znaleźć spam i folder inne w Messengerze. Warto zaglądać tam regularnie – zdarzało mi się znajdować u klientów niezaakceptowane wiadomości od potencjalnych partnerów biznesowych, które leżały w spamie od miesięcy.

Jedna przydatna funkcja, którą warto znać – opcja „Ignoruj wiadomości” przenosi rozmowę do folderu spam i wycisza ją bez wiedzy nadawcy. To rozwiązanie pośrednie między blokadą a zwykłym wyciszeniem, przydatne np. wobec natrętnych znajomych, których nie chcesz blokować.

Jak rozpoznać wiadomość spamową na Messengerze?

Samo brzmienie wiadomości rzadko wystarcza do jej jednoznacznej oceny. Spam jest coraz lepiej napisany, bywa pozbawiony literówek i stylistycznie dopracowany. Dlatego warto zwracać uwagę na kombinację sygnałów, a nie na pojedynczy element.

Typowe cechy spamu i phishingu na Messengerze:

• Nieoczekiwany kontakt – wiadomość od osoby, z którą nie miałeś kontaktu od lat, albo od kogoś zupełnie nieznanego.
• Presja czasu – „Twoja strona zostanie usunięta w ciągu 24 godzin”, „Musisz potwierdzić konto teraz”.
• Emocjonalny haczyk – „Czy to ty na tym filmiku?”, „Zobacz, co o Tobie piszą”, „Mam coś ważnego”.
• Prośba o dane lub pieniądze – kod SMS, hasło, dane karty, przelew, BLIK.
• Link do nieznanej domeny – adres, który nie ma związku z deklarowanym nadawcą lub instytucją.
• Prośba o przejście do innego komunikatora – przeniesienie rozmowy na WhatsApp lub Telegram to jeden z sygnałów oszustwa.
• Prośba o zachowanie sprawy w tajemnicy – klasyczny element manipulacji.

Szczególną uwagę zwróć na wiadomości rzekomo od Meta, Facebooka lub zespołu bezpieczeństwa. Groźba usunięcia strony w ciągu 24 godzin, żądanie weryfikacji przez link albo prośba o hasło na zewnętrznej stronie – to nie jest żadna procedura administracyjna. Meta nie informuje o naruszeniach przez zwykłe wiadomości od profili. Oficjalne komunikaty trafiają do Centrum Kont i Meta Business Suite. Jeśli chcesz sprawdzić, czy Twoje konto ma rzeczywiście jakiś problem, wejdź bezpośrednio do ustawień, bez korzystania z linku z wiadomości.

Wskazówka: Linki w spamie coraz częściej prowadzą przez legalne usługi – Google Sites, Firebase, Canva, skracacze adresów czy dokumenty w chmurze. Znana domena w podglądzie nie oznacza bezpieczeństwa. Klikając, możesz zostać przekierowany dalej, na fałszywą stronę logowania.

Warto wiedzieć też, że jeśli wiadomość trafiła do folderu próśb o kontakt, nadawca nie widzi statusu „wyświetlono”, dopóki jej nie zaakceptujesz lub nie odpiszesz. Możesz ją więc przeczytać bez sygnalizowania spamerowi, że konto jest aktywne.

Dlaczego spam od znajomego jest wyjątkowo groźny?

Najgroźniejszy spam na Messengerze nie trafia do folderu próśb o kontakt – omija filtry, bo pochodzi z przejętych kont osób, które masz na liście znajomych. Messenger traktuje takie wiadomości jak zaufane i dostarcza je bezpośrednio do głównej skrzynki. Stąd popularność w Polsce oszustw w stylu „pożycz mi na BLIK-a” i „czy to ty na tym filmiku?” – krótka, emocjonalna wiadomość od kogoś, kto powinien wiedzieć, kim jesteś.

Mechanizm działania takiego łańcucha jest prosty i brutalnie skuteczny. Ofiara klika w link, loguje się na fałszywej stronie i oddaje dane dostępowe. Przejęte konto automatycznie wysyła ten sam link do znajomych ofiary, każdy z nich widzi wiadomość od kogoś znajomego, a cykl się powtarza. Jedna z takich kampanii, opisana przez BleepingComputer, osiągnęła około 8,5 mln odwiedzin stron phishingowych w 2022 roku.

Jeśli znajomy prosi Cię o coś nietypowego, potwierdź jego tożsamość innym kanałem – zadzwoń, wyślij SMS. Jeśli podejrzewasz, że konto znajomego zostało przejęte, poinformuj go o tym przez inny kontakt, żeby mógł zareagować.

Co się dzieje, gdy oznaczysz wiadomość jako spam?

Oznaczenie rozmowy jako spam powoduje kilka rzeczy jednocześnie. Rozmowa znika z głównej skrzynki i trafia do folderu spam, a powiadomienia od tego nadawcy zostają wyciszone. Nadawca nie dostaje żadnej informacji o tym, że oznaczyłeś go jako spam – nie widzi też zmiany statusu ani żadnego komunikatu.

Jeśli przy okazji zgłosisz rozmowę do Meta (a możesz to zrobić jednocześnie z oznaczeniem), system odbiera to jako sygnał do analizy. Zgłoszenie w zaszyfrowanym czacie przesyła do Meta ostatnie wiadomości odszyfrowane na Twoim urządzeniu. Zgłoszenia użytkowników są realnym źródłem danych dla moderacji – nie tylko gestem.

Konta masowo zgłaszane jako spam dostają najpierw ograniczenia wysyłania wiadomości do osób spoza znajomych, a dopiero później blokadę konta. To ważne szczególnie dla firm i sprzedawców – jeśli Twoje konto firmowe wysyła zbyt wiele wiadomości, które odbiorcy oznaczają jako spam, możesz stracić możliwość pisania do klientów, nawet jeśli robisz to w dobrej wierze.

Szczegółowy opis procesu zgłaszania znajdziesz w artykule o tym, jak oznaczyć rozmowę jako spam w Messengerze.

Czy spam na Messengerze jest niebezpieczny?

To zależy od tego, co zrobiłeś po otrzymaniu wiadomości. Samo otwarcie wiadomości jest zazwyczaj nieszkodliwe. Realne zagrożenie pojawia się dopiero w kilku konkretnych sytuacjach:

• zalogowanie się na stronie, do której prowadził link ze spamu,
• podanie kodu SMS lub kodu 2FA komukolwiek,
• autoryzacja zewnętrznej aplikacji przez konto Facebook,
• pobranie i uruchomienie pliku z archiwum ZIP lub RAR.

Kampanie phishingowe na Messengerze mogą prowadzić do przejęcia konta, kradzieży danych z przeglądarki, a nawet do aktywacji płatnych subskrypcji bez Twojej wiedzy. CERT Polska opisał kampanię, w której fałszywa reklama aktualizacji czytnika PDF prowadziła do aplikacji „Messenger Pro” w Google Play. Aplikacja – pobrana z oficjalnego sklepu – aktywowała usługi SMS Premium, kosztujące 30,75 zł za wiadomość lub 17 zł co siedem dni w subskrypcji.

Guardio Labs przeanalizowało z kolei kampanię, w której wiadomości kierowane do kont firmowych na Messengerze zawierały archiwa ZIP lub RAR. Po uruchomieniu pliku instalował się złodziej informacji, który wykradał ciasteczka sesyjne przeglądarki – a to oznaczało możliwość przejęcia konta bez konieczności znajomości hasła. Kampania miała rozsyłać około 100 000 wiadomości tygodniowo.

Badanie „A Phishing Awareness Campaign Using Smishing” pokazało, że phishing przez media społecznościowe osiąga skuteczność na poziomie ponad 52% – znacznie wyższą niż phishing e-mailowy (16%) czy przez SMS (4%). To pokazuje, dlaczego Messenger jest tak atrakcyjnym kanałem dla oszustów.

Jak ograniczyć spam na Messengerze?

Zanim zablokujesz konkretnego nadawcę, warto zajrzeć do ustawień prywatności Messengera. W sekcji „Dostarczanie wiadomości” możesz zdecydować, czy wiadomości od znajomych znajomych, osób znających Twój numer telefonu lub użytkowników Instagrama trafiają do próśb o kontakt, czy nie są dostarczane w ogóle. To ogranicza spam u źródła, zanim w ogóle trafi do Twojej skrzynki.

Blokowanie nadawcy to kolejny krok – ale warto wiedzieć, że blokada na Messengerze i blokada na Facebooku to dwie różne rzeczy. Blokada tylko w Messengerze zatrzymuje wiadomości i połączenia, ale spamer nadal widzi Twój profil i może komentować Twoje posty. Pełną ochronę daje dopiero blokada na Facebooku.

Jak zminimalizować ryzyko otrzymywania niechcianych wiadomości:

• W ustawieniach prywatności Facebooka ogranicz widoczność swojego numeru telefonu i adresu e-mail.
• Zdecyduj, czy użytkownicy Instagrama mogą pisać do Ciebie przez Messenger – możesz to wyłączyć.
• Nie akceptuj próśb o kontakt od nieznanych osób, które wyglądają podejrzanie.
• Zgłaszaj spam, nawet jeśli wydaje Ci się to bez znaczenia – zgłoszenia trafiają do systemu i mają realny wpływ na moderację.

Wskazówka: Jeśli prowadzisz stronę firmową na Facebooku, pamiętaj że od listopada 2024 roku wysyłanie niezamówionej informacji handlowej przez komunikator bez uprzedniej zgody odbiorcy narusza Prawo komunikacji elektronicznej. Może być też traktowane jako nieuczciwa praktyka rynkowa.

Co zrobić po kliknięciu w link ze spamu?

Reakcja powinna być proporcjonalna do tego, co zrobiłeś po kliknięciu. Poniżej podaję konkretne kroki dla każdego scenariusza.

Kliknąłeś link, ale nie podałeś żadnych danych:

1. Zamknij stronę.
2. Wejdź w ustawienia Facebooka i sprawdź sekcję „Gdzie jesteś zalogowany”.
3. Wyloguj wszystkie nieznane sesje.
4. Sprawdź listę aplikacji mających dostęp do Twojego konta w Centrum Kont.
5. Usuń nieznane rozszerzenia przeglądarki.

Wpisałeś hasło na fałszywej stronie:

1. Zmień hasło do Facebooka z zaufanego urządzenia, natychmiast.
2. Wyloguj wszystkie aktywne sesje.
3. Włącz uwierzytelnianie dwuskładnikowe, jeśli jeszcze nie jest aktywne.
4. Sprawdź, czy to samo hasło nie jest używane w innych serwisach – jeśli tak, zmień je również tam.

Podałeś kod SMS, jednorazowy kod 2FA lub dane karty płatniczej:

1. Skontaktuj się z bankiem niezwłocznie – poinformuj o możliwym oszustwie i poproś o zablokowanie transakcji lub karty.
2. Zmień hasło do Facebooka i wyloguj wszystkie sesje.
3. Zgłoś incydent na stronie incydent.cert.pl.

Pobrałeś i uruchomiłeś plik z archiwum:

1. Odłącz urządzenie od internetu.
2. Uruchom skanowanie programem antywirusowym.
3. Zmień hasła do wszystkich serwisów z innego, niezainfekowanego urządzenia – samo zmienienie hasła na zainfekowanym sprzęcie może być niewystarczające, bo złośliwe oprogramowanie może przechwycić nowe dane.
4. Skontaktuj się z bankiem.

Jeśli Twoje konto samo zaczęło rozsyłać podejrzane wiadomości, oznacza to, że zostało przejęte lub że autoryzowałeś aplikację z szerokim dostępem. W takiej sytuacji sprawdź listę aplikacji w Centrum Kont, usuń te, których nie rozpoznajesz, zmień hasło i wyloguj wszystkie sesje. Poinformuj też znajomych, żeby nie klikali w linki, które od Ciebie dostali. Jeśli chcesz odzyskać wiadomości, które trafiły do folderu spam, możesz skorzystać z poradnika opisującego, jak przywrócić wiadomości ze spamu w Messengerze.

Wskazówka: Rozmowy z Marketplace mają osobną zakładkę, ale fałszywe linki w stylu „odbierz płatność przez InPost/OLX/Vinted” często przenoszą się do zwykłego czatu albo na WhatsApp. Przeniesienie rozmowy kupieckie poza Marketplace jest jednym z najczęstszych sygnałów oszustwa.

Jak Meta wykrywa spam i jakie są tego ograniczenia?

Od grudnia 2023 roku wszystkie prywatne czaty na Messengerze są domyślnie szyfrowane end-to-end. Oznacza to, że Meta nie ma dostępu do treści wiadomości na swoich serwerach. Wykrywanie spamu opiera się więc nie na skanowaniu treści, ale na sygnałach behawioralnych i metadanych – tempie wysyłania wiadomości, liczbie nowych odbiorców, wieku konta, historii zgłoszeń i aktywności publicznej.

Meta deklaruje, że w przypadku nowych kontaktów system może ostrzegać przed wzorcami typowymi dla fałszywych ofert pracy i zaproponować dobrowolne przekazanie wiadomości do analizy AI. Jeśli system oceni rozmowę jako potencjalne oszustwo, zasugeruje zablokowanie lub zgłoszenie konta.

Problem w tym, że automatyczne filtry można omijać. Oszuści zmieniają konta, domeny, język, rytm wysyłki i treść. Wykorzystują też konta, które przez jakiś czas zachowują się normalnie, a dopiero później zaczynają masową dystrybucję. Brak ostrzeżenia ze strony Messengera nie oznacza, że wiadomość jest bezpieczna.

Szyfrowanie nie eliminuje moderacji całkowicie. Gdy zgłaszasz rozmowę, ostatnie wiadomości są odszyfrowywane na Twoim urządzeniu i przekazywane do Meta w związku ze zgłoszeniem – do 30 ostatnich wiadomości z rozmowy. Nadawca nie dostaje żadnej informacji o tym, że został zgłoszony.

Podsumowanie

Spam na Messengerze to pojęcie szersze, niż mogłoby się wydawać – obejmuje niezamówione wiadomości reklamowe, ale też phishing i zaawansowane oszustwa prowadzące do przejęcia konta lub kradzieży pieniędzy. Messenger ma dwa odrębne filtry dla niechcianych wiadomości, a algorytm klasyfikuje je probabilistycznie, nie bezbłędnie. Rozpoznanie spamu wymaga czytania kombinacji sygnałów, a nie jednego elementu. Samo otwarcie wiadomości rzadko jest groźne – niebezpieczeństwo pojawia się przy kliknięciu w link i podaniu danych. Każde zgłoszenie spamu ma realne znaczenie dla systemu moderacji Meta i dla ochrony innych użytkowników.

FAQ

Q: Czy zablokowanie nadawcy na Messengerze usuwa poprzednie wiadomości?

A: Blokada ukrywa rozmowę w skrzynce, ale nie usuwa wiadomości z serwera. Po odblokowaniu nadawcy historia rozmowy może być znów widoczna.

Q: Czy osoba, którą zgłosiłem jako spam, dowie się, że to ja złożyłem zgłoszenie?

A: Nie. Meta nie informuje zgłaszanego użytkownika, kto konkretnie go zgłosił.

Q: Czy spam na Messengerze można otrzymać przez grupę, w której jestem?

A: Tak. Wspólna grupa może sprawić, że nieznana Ci osoba będzie mogła napisać do Ciebie przez Messengera, a jej wiadomość trafi do próśb o kontakt.

Q: Czy mogę wyłączyć możliwość pisania do mnie przez Messengera osobom spoza mojej listy znajomych?

A: Tak. W ustawieniach prywatności w sekcji „Dostarczanie wiadomości” możesz ustawić, że wiadomości od nieznajomych nie są dostarczane wcale, nie tylko kierowane do folderu próśb.

Q: Co oznacza, że wiadomość w Messengerze jest zaszyfrowana end-to-end?

A: Treść wiadomości jest szyfrowana na Twoim urządzeniu i odszyfrowana dopiero na urządzeniu odbiorcy. Meta nie ma dostępu do jej treści na serwerach podczas przesyłu.