Co może się stać, kiedy ktoś przejmie Wasze konto Google? Dużo. Strasznych. Rzeczy. Czy można takie konto odzyskać? Niby można, ale przypadek Mateusza pokazuje, że …nie można. I to pomimo nawiązania kontaktu z pomocą techniczną Google i pomimo posiadania wielu dowodów na to, że przejęte konto do Mateusza należy.
Oto jedna z najbardziej kuriozalnych historii, jaką ostatnio widzieliśmy. Istny cyfrowy paragraf 22. Zobaczcie jak Mateusz wpadł w czarną dziurę i uświadomcie sobie, jak niewiele znaczycie dla firm takich jak Google, pomimo tego, że przez lata płacicie im za różne usługi. Artykuł doczytajcie do końca, tam informujemy co warto zrobić, aby nie ponieść takich strat, jakie poniósł Mateusz w wyniku pewnej luki w procesach Google.
Kolega podesłał mi linka, w którego kliknąłem…
Historia Mateusza zaczyna się 25 września, kiedy odzywa się do niego znajomy na Discordzie. Znajomy przesła mu linka do strony https://vampirk-beta.netlify[.]app a Mateusz pobiera z niej plik .exe (MD5: 1E7997DFEF983BE219D95A1842FEE298) myśląc że to gra o której rozmawiają. I “grę” tę uruchamia. A robi to dlatego, że pracuje w branży gier komputerowych i takie prośby od znajomych nie były dla niego niczym niecodziennym.
Problem w tym, że konto znajomego, który do Mateusza napisał zostało wcześniej przejęte przez atakującego, a pobrana gra okazała się trojanem…
Efekt? Atakujący przejmuje konta Mateusza, zarówno to na Discordzie jak również inne — w tym niestety konto Google. Ale najwyraźniej kradnie tylko ciasteczka i samo “wejście w sesję Mateusza” nie daje mu możliwości przejęcia pełnej kontroli nad kontem zapewne przez brak hasła, więc robi coś bardzo sprytnego:
Włamywacz prosi mnie żebym usunął skojarzenie mojego konta Google z tzw. kontem Brand Account w ramach którego prowadzony był mój kanał na YouTube. Tłumaczy, że to jest powód, dla którego pobrana i zainstalowana przeze mnie gra nie uruchamia się.
Równocześnie atakujący zmienia datę urodzenia Mateusza w ustawieniach konta na “poniżej 13 lat”. To powoduje automatyczne oznaczenie konta jako dziecięcego i nałożenie ograniczeń przez Google. Tu trzeba podkreślić, że atakujący zrobił to nawet pomimo tego, że konto Mateusza zostało założone w 2012 roku i miało już powyżej 13 lat.
Dzięki tym bardzo sprytnym i złośliwym ruchom, atakujący zostaje tzw. rodzicem/opiekunem dla konta Mateusza, a zmiana wieku powoduje, że Mateusz traci możliwość odzyskania swojego konta standardowymi metodami.
[Teraz] wszystkie formularze kierują mnie do ekranu logowania, a następnie do informacji, że konto zostało usunięte i Google nie oferuje innego sposobu logowania.
Równocześnie atakujący szantażuje Mateusza — straszy, że jeśli się nie dogadają, to upubliczni wykradzione z jego skrzynki dane. Część wykradzionych danych, w tym loginy i hasła do różnych usług cytuje mu w wiadomości na Discordzie (pamiętajcie, że nick atakującego na poniższym screenie to nick znajomego Mateusza, którego konto też zostało przejęte):
Mateusz postanawia nie negocjować z atakującym i zaczyna zabezpieczać swoje pozostałe konta. Szczęśliwie dla niego, nic nie wskazuje na to, że atakujący próbuje wykorzystać dostęp do przejętego konta GMail aby przejąć kontrolę nad kontami bankowymi lub kontami w różnych rządowych portalach. Atakujący zdaje się być zainteresowany tylko obszarem gier komputerowych, o czym świadczą otrzymywane przez Mateusza powiadomienia o podejrzanych próbach logowania do kont Riot czy Steam.
Konto Google zaraz zostanie zostanie trwale skasowane
Podsumujmy efekt działań włamywacza: konto Mateusza zostało objęte polityką Google, wedle której zostanie ono trwale usunięte w ciągu 14 dni, chyba że data urodzenia zostanie poprawiona. Ale Mateusz nie jest w stanie tego zrobić, bo wszelkie próby kontaktu z supportem nie odnoszą skutku. A deadline wypada dziś — i stąd ten artykuł.
Cyfrowy paragraf 22
O ile można zrozumieć, że Google nie przewiduje żadnej ścieżki odzyskania dla kont znajdujących się pod kontrolą rodzicielską, to jednak fakt, że Google w ogóle dopuszcza zmianę daty urodzenia na taką poniżej 13 lat dla kont starszych niż 13 lat jest — przyznacie — zdumiewającym niedopatrzeniem. W tym kontekście trochę skandaliczna wydaje się też odpowiedź supportu Google, który odmówił Mateuszowi pomocy, choć po treści odpowiedzi można przypuszczać, że doskonale zdaje się rozumieć, że Mateusz jest ofiarą googlowego błędu w logice biznesowej:
Takie potraktowanie klienta, który przez lata wydał tysiące dolarów na googlowe usługi jest naprawdę smutne.
Mateusz próbował odzyskać dostęp do swojego konta także ścieżką “pół-oficjalną”, kontaktując się z supportem YouTube. W końcu miał pod swoim kontem youtubowy kanał. Niestety YouTube pomocy udziela tylko wtedy, kiedy użytkownik zarządza danym kanałem — a przypomnijmy — konto Mateusza w wyniku ataku straciło powiązanie z Brand Account zarządzającym jego kanałem YouTube. Dlatego pierwsza odpowiedź z supportu YT brzmiała tak:
Kiedy Mateusz wytłumaczył swoją sytuację, pomoc techniczna YouTube utrzymywała, że podawane przez niego dane (tj. adres e-mail konta i link do kanału) nie są poprawne:
A na końcu Mateusz dowiedział się, że “na koncie nie ma żadnej podejrzanej aktywności” i sprawa została zamknięta:
Jak napisał nam zrozpaczony Mateusz:
Próbowałem już wszystkich oficjalnych ścieżek przez support YouTube, Google 1 oraz Google Play, niestety do tej pory bez powodzenia. Wiele wiadomości na Reddicie i innych forach pisało że support YouTube pomaga odzyskiwać konta, ale ostatnia wiadomość jaką od nich otrzymałem to template kopiuj wklej, że na moim koncie nie znaleziono oznak nietypowej aktywności, a Google Play przekazało moją sprawę do Google for Families, skąd dostałem informację że przepraszają ale nie są w stanie go odzyskać i polecają …założyć nowe konto.
Posiadam informacje które mogą być wykorzystane do weryfikacji tożsamości (np. pomocniczy adres email, numery kart płatniczych którymi płaciłem przez Google Pay, lokacje z których logowałem się do konta w przeciągu roku, numer telefonu, adres IP z którego standardowo się logowałem itp.)
Mateusz ma wszystko, o co zazwyczaj support pyta podczas procedury odzyskiwania przejętego konta. Ale problem w tym, że nie daje się Mateuszowi żadnej możliwości, aby te informacje komukolwiek przedstawił. Pomoc techniczna Google (ludzie albo boty) za każdym razem pokazują mu środkowy palec. Chyba nie tak powinno to wyglądać?
Na marginesie, Discord nie jest lepszy od Google. Konta na Discordzie Mateusz też nie jest w stanie odzyskać, choć włamywacz stale próbuje atakować z niego kolejne osoby. Powód? Konto było zarejestrowane na przejętą w tym samym ataku skrzynkę Google, a Discord wymaga, aby procedurę odzyskania konta rozpocząć od zgłoszenia ticketu …z adresu e-mail przypisanego do przejętego konta. Żeby było śmieszniej, Discord odmówił także zablokowania tego konta, choć jest ono wykorzystywane do ataków. Wedle Discorda, z kontem nie dzieje się nic złego.
Co utracił Mateusz po przejęciu konta?
Warto sobie uświadomić o co walczy Mateusz. Brak dostępu do e-maili z 13 lat jest oczywisty, ale to dopiero początek trudności. Nie mając dostępu do swojego konta, Mateusz stracił też:
- dostęp do plików na Google Drive,
- listę zbieranych przez lata kontaktów
- dane związane ze spotkaniami przechowywane w Google Calendar
- kilka tysięcy złotych wydanych na gry, aplikacje i subskrypcje w Google Play, z których teraz nie może korzystać
2FA nie pomogło…
Podkreślić też trzeba, że Mateusz miał włączone dwuetapowe uwierzytelnienie, ale to nie pomogło w zabezpieczeniu konta, bo złośliwe oprogramowanie po prostu ukradło token sesyjny. Co więc Ty powinieneś zrobić, aby zabezpieczyć swoje konto przed podobną sytuacją?
Mam konto Google, którego nie chcę stracić — co robić, jak żyć?
Wygląda na to, że przed tym co spotkało Mateusza nie da się obronić aktywacją jakiejkolwiek opcji po stronie konta Google. Nie pomoże ustawienie “recovery phone number” ani “recovery e-mail” kiedy atakujący zmieni datę urodzenia na wiek poniżej 13 roku życia i podepnie przejęte konto pod swojego Family Linka — wtedy wpada się w “czarną dziurę” jeśli chodzi o ścieżkę odzyskania dostępu przez support Google.
Można spróbować założyć swoją rodzinę, wtedy dodanie naszego konta — głowy rodziny — do cudzej rodziny będzie utrudnione. To jednak półśrodek.
Dlatego jedyna sensowna rada to… regularnie wykonuj kopię bezpieczeństwa konta Google za pomocą Google Takeout. Bo na phishing albo instalację malware zawsze możesz się złapać, tak jak zrobił to Mateusz, człowiek od lat działający zawodowo w branży IT. Zwłaszcza gdy atak zostanie wyprowadzony — jak w przypadku Mateusza — z konta znanej Ci osoby, kogoś komu ufasz.
Faktem jest, że o ile złapanie na phishing czy malware można komuś wybaczyć, to Mateusz nie popisał się odpinając powiązanie z Brand Account i kanałem YouTube. Choć na jego obronę działa to, że prosił go o to znajomy, któremu ufał, a ta z pozoru dziwna prośba w środowisku graczy instalujących aplikacje przez różne przedpremierowe programy typu TestFlight wcale nie musi budzić podejrzenia. Pomimo błędów po stronie Mateusza, nie wydaje nam się, że odpowiedzialność za skutki tego ataku ponosi tylko on. Google też mogło by coś poprawić.
Pozostaje więc trzymać kciuki za to, że kiedyś Google wprowadzi weryfikację wieku podczas operacji jego zmiany na taki poniżej 13 roku życia. Zwłaszcza, że jak widać, Mateusz nie jest jedyną ofiarą. Ten sposób jest powszechnie wykorzystany do skutecznych ataków. I zwłaszcza, że w dobie ataków supply-chain, wcale nie trzeba złapać się na phishing, czy zainstalować malware z podejrzanego linku, aby ktoś ukradł nam nasze ciasteczka sesyjne. Malware może się pojawić na urządzeniu osoby, która w żaden podejrzany link nie kliknie.
Zmuszony by zapłacić okup?
Ta cała sytuacja spowodowała, że Mateusz rozważa teraz czy nie skontaktować się z (wciąż aktywnym) atakującym i spełnić jego żądania. I to jest najgorsze wyjście z sytuacji bo oznacza to zwycięstwo patologii, na którą Google nie powinno pozwalać, zwłaszcza że z cyberprzestępcami akurat ta firma bardzo aktywnie i bardzo skutecznie walczy.
Ale tutaj coś nie wyszło i niestety Google nie potrafi zauważyć dość wyraźnego modus operandi sprawcy, i to pomimo tego, że dane konta Family Link należącego do włamywacza ma podane na talerzu, a Mateusz kontaktuje się z supportem z adresu e-mail, który był wpisany jako “adres pomocniczy” dla zhackowanego, utraconego konta. Konta, które miało najwyższy, platynowy status na Google Play (czyt. Mateusz zostawił w Google naprawdę sporo kasy). Bardzo to rozczarowujące.
Pomóż Mateuszowi
Dlatego ten artykuł kończymy apelem. Jeśli macie jakiś pomysł, czego jeszcze może spróbować Mateusz, aby odzyskać swoje konto, to dajcie znać w komentarzach. Może jest jakąś ścieżka, która zadziałała w Waszym przypadku?
A jeśli znacie kogoś z Google, kto mógłby w tym przypadku pomóc lub eskalować tę sprawę do jakiegoś człowieka, piszcie na redakcja@niebezpiecznik.pl, z przyjemnością przekażemy namiary na Mateusza i adres jego zhackowanego konta.
Aktualizacja (20.10.2025 12:41)
Mateusz poinformował nas, że “odpiąłem Brand Account, ale nie potwierdzałem nigdzie dołączenia do rodziny włamywacza” W związku z tym skorygowaliśmy fragment artykułu z którego wynikało, że Mateusz to zrobił. Mateusz, o ile faktycznie tak jak informowaliśmy początkowo, został poproszony o potwierdzenie dołączenia do rodziny (otrzymał takiego “zapraszającego” e-maila od atakującego) to nie kliknął na link znajdujący się w wiadomości. Niestety zrobił to za niego atakujący (mający dostęp do konta).
English (US) · 
Polish (PL) ·