W nocy z 7 na 8 września oficjalny kanał YouTube Archidiecezji Łódzkiej po prostu zniknął. Kanał, który działał od ponad piętnastu lat, miał blisko 127 tysięcy subskrybentów i był największym cyfrowym archiwum życia łódzkiego Kościoła – transmisje liturgii, homilie biskupów, wywiady, relacje z wydarzeń – z dnia na dzień stał się niedostępny. Administratorzy dowiedzieli się o tym nie od YouTube’a, tylko od wiernych, którzy zauważyli, że nagrania przestały działać.
To nie jest odosobniony przypadek ani wyjątkowo pechowy zbieg okoliczności. To pokazówka mechanizmu, który każdego roku dotyka setki milionów kont na całym świecie, a w Polsce staje się coraz powszechniejszym problemem także dla parafii, diecezji i organizacji kościelnych prowadzących swoje media. Warto zrozumieć, jak to działa – nie po to, żeby się bać, tylko żeby wiedzieć, jak się przed tym bronić.
Co dokładnie stało się w Łodzi
Pierwszy komunikat, jaki dotarł do kurii, mówił o naruszeniu zasad dotyczących treści szkodliwych i niebezpiecznych – jak przekazał rzecznik archidiecezji ks. Paweł Kłys w rozmowie z Radiem Łódź. Archidiecezja uznała to wyjaśnienie za bezzasadne i złożyła odwołanie, podkreślając, że kanał od lat służył wyłącznie publikowaniu materiałów informacyjnych i duszpasterskich.
Kilka dni później sprawa nabrała innego wymiaru. Biuro prasowe Google, zapytane wprost przez redakcję Gazeta.pl, przekazało zupełnie inne wyjaśnienie: konto zostało tymczasowo zablokowane w związku z podejrzeniem włamania, wykrytym automatycznie przez systemy zabezpieczeń YouTube’a. Nowe światło na sprawę rzucają też ślady pozostawione przez intruza – w wynikach wyszukiwania przy kanale pojawiło się logo firmy Ripple, a w historii transmisji odnotowano stream poświęcony kryptowalucie XRP i osobom związanym z tą branżą, który oglądało blisko dwa tysiące widzów. Treść nie miała żadnego związku z działalnością łódzkiego Kościoła – to klasyczny obraz przejętego konta wykorzystanego do oszustwa inwestycyjnego.
Do dziś kuria nie otrzymała jednak żadnej bezpośredniej instrukcji dotyczącej przywrócenia głównego kanału, a jedyne powiadomienie, jakim dysponuje, dotyczy prywatnego konta biskupa Piotra Kleszcza, zablokowanego w tym samym czasie. Do czasu wyjaśnienia sprawy bieżące nagrania publikowane są na Facebooku archidiecezji.
To już nie pierwszy raz w polskim internecie katolickim
Warto pamiętać, że łódzka archidiecezja nie jest pierwszą instytucją kościelną, która przeszła przez coś takiego. W listopadzie 2022 roku dokładnie ten sam scenariusz spotkał Tomasza Samołyka, jednego z najpopularniejszych twórców katolickich w polskim internecie, którego kanał liczył ponad sto tysięcy subskrybentów. Jego konto zostało przejęte w piątkowy wieczór – najpierw zmieniono nazwę kanału na „Tesla Live” i puszczono anglojęzyczną transmisję połączoną ze zbiórką pieniędzy, a opublikowane wcześniej filmy zaczęły znikać jeden po drugim. W niedzielę kanał zniknął z YouTube’a całkowicie. Samołyk założył drugi kanał, żeby móc komunikować się z widzami, i przez kilka dni – dzięki wsparciu innych twórców internetowych i naciskowi społeczności – próbował odzyskać dostęp. Ostatecznie, po pięciu dniach, oryginalny kanał wrócił razem ze wszystkimi filmami.
Różnica między tymi dwiema sprawami jest istotna: Samołyk miał szczęście odzyskać konto stosunkowo szybko. Archidiecezja Łódzka, mimo złożonego odwołania, wciąż czeka.
Wiemy, jak to wygląda od środka
Piszemy o tym nie tylko jako obserwatorzy. Strona StronaDobra.pl sama przeszła przez wielomiesięczną walkę o przetrwanie po infekcji złośliwym oprogramowaniem. Problem polegał na tym, że nie wystarczyło raz posprzątać serwer – za każdym razem, gdy wydawało się, że wszystkie luki są załatane, okazywało się, że gdzieś w systemie zostały kolejne backdoory, czyli ukryte furtki pozwalające przestępcom wrócić mimo usunięcia widocznej infekcji. To doświadczenie nauczyło nas, że w cyberbezpieczeństwie nie chodzi o jednorazowe działanie, tylko o systematyczną, cierpliwą pracę i pilnowanie tematu na bieżąco, bo przeciwnik potrafi być równie cierpliwy.
Skala problemu jest większa, niż się wydaje
Łatwo pomyśleć, że tego rodzaju ataki to margines internetu, coś, co przydarza się wielkim firmom albo znanym influencerom. Statystyki mówią co innego. Według danych przywoływanych w branżowych raportach cyberbezpieczeństwa w 2025 roku na całym świecie doszło do kompromitacji około 429 milionów kont w mediach społecznościowych, a szacunki na koniec roku mówiły nawet o 580 milionach – to wzrost o 34 procent względem roku poprzedniego. Globalne straty finansowe wynikające z przejęć kont sięgają, według różnych szacunków, kilkunastu miliardów dolarów rocznie, a przeciętna ofiara potrzebuje około siedemnastu dni, żeby w pełni odzyskać kontrolę nad swoim kontem – w tym czasie przestępca, podszywając się pod właściciela, zdąża dotrzeć do większości jego kontaktów.
W Polsce skala zagrożeń rośnie w podobnym tempie. Zespół CERT Polska, działający w ramach NASK i odpowiedzialny za reagowanie na incydenty cyberbezpieczeństwa w kraju, zarejestrował w 2025 roku prawie 261 tysięcy unikalnych incydentów – to wzrost o ponad 150 procent w stosunku do roku poprzedniego i absolutny rekord w historii prowadzenia takich statystyk w Polsce. Zdecydowana większość, bo aż 97 procent wszystkich obsłużonych zdarzeń, to oszustwa komputerowe, wśród których dominują próby wyłudzenia danych logowania, czyli phishing. Te liczby nie biorą się znikąd – rosną, bo rośnie liczba osób i instytucji obecnych w sieci, a wraz z nią liczba potencjalnych celów.
Po co komuś przejmowanie cudzego kanału czy strony
Kluczowe jest zrozumienie jednej rzeczy: napastnik atakujący kanał YouTube parafii czy diecezji nie robi tego z powodów światopoglądowych ani osobistych. To zautomatyzowany proceder, w którym ofiara jest przypadkowa, a liczy się wyłącznie to, ile ma subskrybentów i jak długą historię zaufania zbudowała w oczach algorytmów i widzów.
Przejęty kanał z realną historią i tysiącami subskrybentów jest dla przestępcy znacznie cenniejszy niż nowo założone, puste konto, bo wygląda wiarygodnie. Stąd fala transmisji obiecujących rozdawanie kryptowalut w zamian za wcześniejszą „drobną wpłatę” – dokładnie taki schemat zaobserwowano przy kanale łódzkiej archidiecezji, gdzie podstawiona transmisja o Ripple i XRP zdążyła zgromadzić blisko dwa tysiące widzów, zanim systemy YouTube zablokowały konto. Inny motyw to zwykła odsprzedaż – istnieje czarny rynek kont z ugruntowaną historią, wykorzystywanych później do dalszych oszustw, reklam czy rozsyłania spamu. Zdarzają się też żądania okupu za zwrot dostępu, szczególnie gdy ofiara dysponuje unikalnym, nie do odtworzenia archiwum, jak w przypadku wieloletniego dorobku parafialnego czy diecezjalnego.
Profile na Facebooku bywają wykorzystywane nieco inaczej – jako narzędzie do rozsyłania fałszywych wiadomości do znajomych i grup, bo wiadomość od kogoś znajomego budzi znacznie mniejszą czujność niż ta od obcej osoby, a jeśli do konta podpięty jest menedżer reklam, przestępca może też puszczać płatne kampanie obciążające cudzą kartę płatniczą. Strony internetowe padają ofiarą z podobnych powodów co serwer StronaDobra.pl – zainfekowana witryna staje się dla przestępców darmowym hostingiem do ukrytych podstron promujących nielegalne treści, punktem wysyłki spamu albo bazą do dalszych ataków, a jej właściciel traci nie tylko funkcjonalność strony, ale też pozycję w wynikach wyszukiwania Google.
Jak w praktyce dochodzi do takich włamań
Zdecydowanie najczęstszym mechanizmem stojącym za przejęciami kanałów i profili jest kradzież tak zwanej sesji, czyli plików tekstowych zwanych ciasteczkami, które przechowują informację, że dana przeglądarka jest już zalogowana. Administrator kanału dostaje maila, który wygląda jak propozycja współpracy od sponsora, reklamodawcy albo firmy zainteresowanej reklamą. W załączniku znajduje się plik podszywający się pod umowę czy prezentację. Jego otwarcie instaluje w tle złośliwe oprogramowanie, które po cichu wysyła napastnikowi ciasteczka z przeglądarki ofiary. Mając je, przestępca loguje się na konto bez podawania hasła i bez potrzeby przechodzenia przez dwuskładnikowe uwierzytelnianie, bo z punktu widzenia serwisu jest to po prostu kontynuacja tej samej, już zalogowanej sesji.
Obok tego działają też metody bardziej klasyczne: fałszywe strony logowania łudząco podobne do prawdziwych, czasem połączone z przechwytywaniem kodu z aplikacji uwierzytelniającej w czasie rzeczywistym, przejęcie konta jednego ze współpracowników mających dostęp administracyjny do kanału czy strony, oraz wykorzystanie danych logowania wykradzionych wcześniej przy zupełnie innym wycieku, jeśli tylko ofiara powtórzyła to samo hasło gdzie indziej. Na Facebooku i Instagramie dochodzi do tego presja czasu – typowy mail informuje o rzekomym naruszeniu praw autorskich i grozi usunięciem strony w ciągu 24 godzin, jeśli ofiara natychmiast nie kliknie linku i nie „zweryfikuje” konta. Na TikToku dodatkowym zagrożeniem jest tak zwane przejęcie karty SIM u operatora telefonicznego, ponieważ logowanie na tej platformie w dużej mierze opiera się na numerze telefonu.
Skutek we wszystkich tych przypadkach bywa podobny do tego, co przeszedł kanał Tomasza Samołyka: zmiana nazwy i grafiki, zniknięcie dotychczasowych materiałów, uruchomienie fałszywej transmisji na żywo mającej wyłudzić pieniądze od widzów, zanim systemy bezpieczeństwa zdążą zareagować.
Jak się realnie zabezpieczyć
Najważniejsza zmiana, jaką może wprowadzić każdy administrator kanału, strony czy profilu, to rezygnacja z kodów SMS i aplikacji uwierzytelniających na rzecz klucza sprzętowego, czyli niewielkiego urządzenia podłączanego do komputera lub telefonu, które fizycznie potwierdza tożsamość przy logowaniu. To jedyna powszechnie dostępna metoda zabezpieczenia, której nie da się obejść nawet najbardziej przekonującą fałszywą stroną logowania, ponieważ klucz po prostu nie zadziała na niewłaściwej domenie. Warto też włączyć program ochrony zaawansowanej oferowany przez Google dla kont najbardziej narażonych na ataki – wymusza on korzystanie z kluczy i znacznie utrudnia próby odzyskania dostępu przez osoby niepowołane.
Równie istotna jest zwykła ostrożność wobec korespondencji. Żadna wiadomość od „sponsora” czy „reklamodawcy” proponującego współpracę nie powinna skłaniać do otwierania załączników bez wcześniejszej weryfikacji nadawcy innym kanałem kontaktu, na przykład telefonicznie. Warto też rozważyć pracę na koncie administracyjnym w osobnej przeglądarce lub osobnym profilu, niewykorzystywanym do codziennego przeglądania internetu ani odbierania poczty – to znacząco zmniejsza ryzyko, że przypadkowe kliknięcie w złośliwy link na co dzień będzie miało wpływ na bezpieczeństwo kanału czy strony.
Nie można też zapominać o regularnym przeglądzie tego, kto i co ma dostęp do konta. Lista administratorów kanału czy strony na Facebooku powinna być sprawdzana co jakiś czas i czyszczona z osób, które już nie współpracują z daną instytucją. To samo dotyczy zewnętrznych aplikacji podpiętych przez OAuth, czyli tych wszystkich narzędzi, którym kiedyś przyznano dostęp do konta Google czy Facebooka – jeśli jakiejś aplikacji nikt nie rozpoznaje, najbezpieczniej jest odebrać jej uprawnienia. Dobrym nawykiem jest również aktualizowanie numeru telefonu i adresu mailowego służącego do odzyskiwania konta, bo stary, zapomniany adres bywa furtką dla przestępcy chcącego przejąć procedurę odzyskiwania dostępu.
Osobną kwestią jest przygotowanie na najgorszy scenariusz. Warto trzymać lokalne kopie najważniejszych materiałów, ponieważ kanał czy profil w mediach społecznościowych nigdy nie powinien być jedynym miejscem przechowywania dorobku wielu lat pracy – archidiecezja łódzka boleśnie przekonała się, że w jednej chwili można stracić dostęp do piętnastu lat archiwum. Dobrze jest też mieć zawczasu przygotowany zapasowy kanał komunikacji z odbiorcami, żeby w razie kryzysu nie improwizować sposobu poinformowania wiernych czy czytelników o tym, co się dzieje.
Podsumowanie
Sprawa kanału Archidiecezji Łódzkiej wciąż nie ma szczęśliwego zakończenia, ale niesie ważną lekcję dla każdego, kto prowadzi jakąkolwiek stronę, profil czy kanał w internecie – niezależnie od tego, czy to duża instytucja kościelna, czy niewielka parafialna strona internetowa. Przejęcie konta rzadko jest wynikiem świadomego, wymierzonego ataku na konkretną osobę czy instytucję. Znacznie częściej to efekt zautomatyzowanego, masowego procederu, w którym wygrywa ten, kto najsłabiej się zabezpieczył. Dobra wiadomość jest taka, że kilka konkretnych, niewielkich zmian – klucz sprzętowy, ostrożność wobec załączników, regularny przegląd dostępów i kopie zapasowe – potrafi skutecznie zamknąć drzwi, przez które najczęściej wchodzą przestępcy.
Źródła:
Sprawa Archidiecezji Łódzkiej:
- Niedziela.pl – Zamknięcie kanału Archidiecezji Łódzkiej na YouTube. Mamy oficjalne stanowisko Google
- Stacja7.pl – Sprawa zniknięcia z YouTube’a kanału archidiecezji łódzkiej. Google potwierdza powód
- Deon.pl – Znamy powód zniknięcia kanału archidiecezji łódzkiej z YouTube
- LodzPlus.pl – YouTube zablokował kanał łódzkiej kurii. Google wyjaśnia dlaczego
- Trybunalski.pl – Archidiecezja Łódzka dostała bana na YouTube. Kuria zaskoczona
- Trybunalski.pl – Archidiecezja łódzka odcięta od YouTube. Zaskakująca decyzja serwisu
- TuLodz.pl – Archidiecezja łódzka odcięta od YouTube. Zaskakująca decyzja serwisu
Sprawa Tomasza Samołyka (2022):
- Gość.pl – Hakerzy zniszczyli kanał znanego katolickiego youtubera Tomasza
- Gość.pl – Kanał Tomasza Samołyka wrócił na YouTube
- Stacja7.pl – Kanał Tomasza Samołyka został zhakowany
- Niniwa.pl – Kanał Tomasza Samołyka wrócił na YouTube! Filmy ponownie są dostępne
Statystyki cyberbezpieczeństwa w Polsce:
- NASK – Prawie 2 tys. zgłoszeń każdego dnia. Raport CERT Polska za 2025 rok
- WNP.pl – Raport CERT Polska: w 2025 r. wzrost liczby zarejestrowanych incydentów o ponad 150 proc.
Statystyki globalne:
