Зламали акаунт? Що робити в першу годину (2026)

Якщо ваш акаунт зламали, дійте в такому порядку: захистіть пошту, до якої він прив'язаний, поверніть доступ через офіційну сторінку відновлення, завершіть усі незнайомі сеанси, поставте новий пароль і ввімкніть двоетапну перевірку, а потім попередьте знайомих. Перша година вирішальна, бо зловмисник саме в цей час виконує власний план: змінює пошту й номер телефону, вмикає свою 2FA і пише вашим друзям.

Ця інструкція про Instagram, Facebook і Telegram. В інших сервісах пункти меню називаються інакше, але порядок дій той самий.

Почніть із пошти, а не зі зламаного застосунку

Усі посилання «Забули пароль?» і всі сповіщення про новий вхід приходять на вашу пошту. Якщо скринька в руках зловмисника, він за хвилину скасує все, що ви виправите в Instagram, і бачитиме кожен код відновлення раніше за вас.

Саме тут застрягали майже всі відновлення, з якими я допомагав. Люди колись давно створили пошту, один раз увійшли в неї на телефоні й більше ніколи не вводили той пароль. Коли соцмережу вкрали і єдиний шлях назад був код на цю пошту, вони не знали, як у неї зайти. І двофакторної автентифікації не було в жодному акаунті.

Тож спочатку:

1. Увійдіть у пошту, прив'язану до зламаного профілю. Якщо не виходить, спершу відновіть саму пошту через відновлення Google чи Apple; соцмережа почекає.
2. Змініть пароль пошти на новий, якого ви ніде раніше не використовували.
3. Перевірте в налаштуваннях пошти, чи немає там чужого резервного номера чи адреси, а також правил пересилання. Якщо зловмисник додав пересилання, він і далі отримуватиме ваші листи після зміни пароля.
4. Увімкніть 2FA для пошти. Ключ доступу (passkey) або застосунок-автентифікатор кращі за SMS.

Якщо ваша пошта — це акаунт Google або Apple, у моїй інструкції з захисту акаунта Google і Apple ID ці налаштування розібрані екран за екраном.

Перша година хвилина за хвилиною

Instagram

Якщо ви ще можете увійти:

1. Відкрийте профіль, меню, далі «Центр облікових записів» → «Пароль і безпека» → «Де ви ввійшли» (в англійському інтерфейсі Accounts Center → Password and security → Where you're logged in). Вийдіть з усіх пристроїв і місць, яких не впізнаєте.
2. На тому самому екрані «Пароль і безпека» змініть пароль, а потім відкрийте двофакторну автентифікацію й додайте застосунок-автентифікатор.
3. Перевірте «Центр облікових записів» → «Особисті дані»: пошта й телефон досі ваші?

Якщо вас уже не пускає, пошукайте в скриньці лист від [email protected] про зміну пошти чи телефону. У ньому є посилання, щоб скасувати цю зміну й захистити акаунт. Скористайтеся ним насамперед. Якщо такого листа немає, перейдіть на instagram.com/hacked і попросіть посилання для входу або код безпеки. Instagram може попросити коротке відеоселфі й порівняти його з фото у вашому профілі; автоматична перевірка інколи триває кілька хвилин, ручна — кілька днів. Надішліть один запит і чекайте. Якщо слати запити з кількох пристроїв, це може виглядати як активність бота.

Facebook

Facebook використовує той самий «Центр облікових записів» Meta, тож кроки для випадку, коли ви ще в акаунті, такі самі, як в Instagram: «Налаштування» → «Центр облікових записів» → «Пароль і безпека» → «Де ви ввійшли», завершіть усі незнайомі сеанси, змініть пароль, увімкніть 2FA. Якщо Instagram і Facebook об'єднані в одному Центрі облікових записів, перевірте обидва: зловмисник в одному з них бачить і може змінювати інший.

Доступу немає? Почніть із facebook.com/hacked. Пошукайте в пошті лист від Facebook про зміну адреси; як і в Instagram, у ньому є посилання, щоб цю зміну скасувати. Якщо ви керуєте бізнес-сторінкою, потім перевірте в Meta Business Suite, чи не з'явилися адміністратори, яких ви не додавали.

Telegram

У Telegram є два правила, які працюють на вас або проти вас, залежно від того, який пристрій у вас у руках.

Перше: сеанс, якому менше 24 годин, не може завершувати інші сеанси. API Telegram відхиляє такий запит із помилкою FRESH_RESET_AUTHORISATION_FORBIDDEN. Це добра новина, якщо зловмисник увійшов нещодавно, а на вашому старому телефоні чи комп'ютері Telegram досі відкритий: він не може вас вигнати, а ви його можете. І погана, якщо ви щойно встановили Telegram на новий телефон, щоб дати відсіч: новий сеанс не зможе завершити його сеанс до завтра. Тому беріть свій найстаріший пристрій, на якому ви в акаунті:

1. «Налаштування» → «Пристрої» (у деяких версіях «Конфіденційність і безпека» → «Активні сеанси»), далі «Завершити всі інші сеанси».
2. «Налаштування» → «Конфіденційність і безпека» → «Двоетапна перевірка»: задайте пароль і додайте пошту для відновлення. Після цього самого номера телефону для входу вже не вистачить.

Друге правило стосується самого пароля двоетапної перевірки. Якщо ви задали його без пошти для відновлення, а потім забули, Telegram дасть скинути його з пристрою, де ви в акаунті, лише після 7 днів очікування. Якщо таких пристроїв не лишилося, вихід один — видалити акаунт, а з ним усі чати й контакти. Тому пошта для відновлення з кроку 2 така важлива: додайте її, поки акаунт під вашим контролем, і переконайтеся, що це та сама пошта, яку ви захистили на початку.

Ніколи нікому не пересилайте код входу. Коди Telegram приходять у самому застосунку від офіційного акаунта Telegram, а типове викрадення починається з повідомлення, де вас просять щось «підтвердити» або «проголосувати» за когось, поділившись цим кодом.

Зачиніть двері, через які зайшли

Коли доступ повернуто, з'ясуйте, як зловмисник потрапив усередину, інакше він зробить це знову:

• Якщо цей пароль стояв і на інших сайтах, змініть його всюди. Credential stuffing (підстановка викрадених пар «пошта + пароль» на інших сайтах) автоматизований і швидкий.
• Приберіть у налаштуваннях кожного акаунта сторонні застосунки й сайти, яких не впізнаєте.
• Замініть коди з SMS на застосунок-автентифікатор або ключ доступу. У порівнянні 2FA і MFA я пояснюю, який другий фактор від якої атаки захищає.

Нові паролі створюйте в Генераторі паролів. Він генерує пароль просто у вашому браузері й нічого не надсилає на сервер, тож пароль для відновленого акаунта існуватиме лише на вашому екрані й у менеджері паролів. А щоб дізнатися, чи підтримують ваш телефон і браузер ключі доступу, запустіть Перевірку Passkey.

Якщо злам пов'язаний із витоком даних (ваша пошта є на Have I Been Pwned або впало кілька акаунтів одразу), план дій на 48 годин після витоку розповідає про банки, мобільних операторів і крадіжку особистих даних.

Попередьте людей раніше за зловмисника

Опублікуйте сторіз або напишіть з іншого акаунта: «Мій Instagram зламали, не відповідайте на повідомлення з нього з проханням про гроші, коди чи голосування». Зловмисники використовують викрадений акаунт, щоб ошукати тих, хто йому довіряє, і ваше попередження дійде швидше, ніж Meta заблокує профіль.

Не платіть тим, хто пропонує відновити акаунт. Відновлення в Instagram, Facebook і Telegram безкоштовне, а «фахівці з відновлення», які відповідають на ваші публічні дописи, здебільшого шахраї, що шукають другу жертву.

FAQ

Чи вийде зловмисник з акаунта, якщо видалити застосунок?

Ні. Сеанс входу зберігається на серверах сервісу, а не в застосунку на вашому телефоні. Видалення чи перевстановлення застосунку завершує лише ваш власний сеанс. Щоб вигнати зловмисника, завершіть його сеанс у «Де ви ввійшли» (Instagram, Facebook) або в «Налаштування → Пристрої» (Telegram).

Чи можна зателефонувати в Instagram або Facebook, щоб повернути акаунт?

Для особистих акаунтів Meta не має телефонної підтримки. Відновлення відбувається через instagram.com/hacked і facebook.com/hacked і нічого не коштує. Якщо хтось дзвонить чи пише вам із пропозицією відновити акаунт за гроші, це ще одна спроба вас обдурити.