Keylogger – co to jest i jak działa?

Keylogger to program lub urządzenie, które potajemnie rejestruje to, co wpisujesz z klawiatury – od haseł, przez wiadomości, po dane kart płatniczych. Działa zwykle w tle, jak typowe spyware, dlatego łatwo możesz nawet nie zauważyć infekcji. Da się go jednak wykryć i zablokować, jeśli wiesz, jak działa i jakimi metodami się przed nim bronić. Więcej o tym przeczytasz poniżej.

Keylogger – co to jest?

Keylogger (od ang. „key” – klawisz, „logger” – rejestrator) to rodzaj oprogramowania szpiegującego, a czasem fizyczne urządzenie, które zapisuje naciśnięcia klawiszy na klawiaturze i inne działania użytkownika. Należy do rodziny spyware, czyli narzędzi, które monitorują aktywność na komputerze, telefonie czy tablecie i przekazują dane osobom trzecim. Najczęstszy scenariusz to przechwytywanie loginów, haseł, numerów kart kredytowych, kodów CVV, danych do bankowości elektronicznej oraz treści wiadomości.

Takie narzędzie nie zawsze jest instalowane w złej wierze – bywa używane legalnie w firmach do monitoringu służbowych komputerów (za wiedzą pracowników) czy jako forma kontroli rodzicielskiej. O tym, czy stanowi realne zagrożenie, decyduje kontekst użycia: jeśli znalazło się na Twoim urządzeniu bez zgody i informacji, mamy do czynienia z typowym złośliwym oprogramowaniem.

W 2026 roku nadal dominują wersje programowe, ale nie można pomijać wariantów sprzętowych – zwłaszcza w miejscach publicznych, na bankomatach czy terminalach płatniczych. W obu przypadkach mechanizm jest podobny: rejestracja działań użytkownika i wysyłka zebranych informacji do atakującego.

Jak działa keylogger?

Programowy rejestrator klawiszy przejmuje funkcje systemu operacyjnego związane z obsługą klawiatury. W praktyce oznacza to wpięcie się w niskopoziomowe procedury systemu, przechwytywanie komunikatów o każdym wciśnięciu klawisza i zapisywanie ich do pliku logu lub wysyłanie od razu na serwer atakującego. Wiele rodzin malware łączy keylogger z innymi komponentami, jak rootkit, który ukrywa procesy przed systemem i użytkownikiem.

Nowoczesne rejestratory nie ograniczają się tylko do klawiatury. Często monitorują wyłącznie wskazane aplikacje (np. przeglądarkę, okno bankowości internetowej) i dodatkowo:

• wykonują zrzuty ekranu w określonych odstępach czasu,
• logują odwiedzane adresy URL i aktywne okna,
• zapisują zawartość schowka systemowego,
• rejestrują ruchy myszy i kliknięcia,
• nagrywają dźwięk z mikrofonu lub obraz z kamery.

Zebrane informacje trafiają do atakującego w postaci plików logów lub obrazów przesyłanych e‑mailem, przez FTP albo kanał szyfrowany. Stąd tak duże zagrożenie dla bankowości online, serwisów społecznościowych czy paneli administracyjnych – wszystko, co wpisujesz, może zostać wykradzione.

Keyloggery programowe

Programowe wersje są najpopularniejsze, bo można je zainstalować zdalnie, bez fizycznego dostępu do sprzętu. Działają jako usługa lub proces w tle, często ukrywają się przed użytkownikiem i standardowymi narzędziami systemowymi. Jeśli współdziałają z rootkitem w trybie jądra, potrafią zniknąć z menedżera zadań, listy programów startowych czy katalogów, gdzie trzymają logi. W wariancie działającym w trybie użytkownika zwykle istnieje szansa wykrycia przez dobry antywirus.

Wiele takich programów potrafi odszyfrowywać dane wpisywane w formularzach HTTPS, zanim trafią do przeglądarki i zostaną zaszyfrowane, dlatego samo „kłódka w pasku adresu” nie chroni przed przechwyceniem naciśnięć klawiszy. Cel jest prosty: dostęp do haseł, danych kart i kont, które potem można wykorzystać do kradzieży pieniędzy czy przejęcia tożsamości.

Keyloggery sprzętowe

Hardware Keylogger najczęściej ma postać małej przejściówki wpiętej między klawiaturę a komputer. Urządzenie przechwytuje sygnały z klawiszy i zapisuje je w swojej pamięci, czasem przesyła je drogą radiową. Można go też wbudować w samą klawiaturę albo kabel – wtedy jest niemal niewidoczny gołym okiem. Odzyskanie danych wymaga zwykle fizycznego dostępu do urządzenia lub odczytu przez specjalny interfejs.

Spotyka się także warianty montowane na klawiaturach bankomatów i terminali POS, akustyczne keyloggery analizujące dźwięki klawiatury czy sniffery przechwytujące transmisje z bezprzewodowych klawiatur. Wspólny mianownik jest jeden: ktoś musi mieć fizyczny dostęp do sprzętu w pewnym momencie, by takie urządzenie zainstalować.

Zaawansowany keylogger software’owy w połączeniu z ukrywającym go rootkitem może działać miesiącami bez widocznych objawów i bez pojawiania się na liście procesów w systemie.

Jak keylogger trafia na urządzenie?

Większość infekcji wynika z błędów użytkownika lub luk w oprogramowaniu. Wektorów ataku jest kilka, ale szczególnie groźny pozostaje phishing, czyli podszywanie się pod zaufane instytucje i osoby. Fałszywe wiadomości zawierają linki lub załączniki, które po otwarciu instalują złośliwy kod, w tym rejestrator naciśnięć.

W codziennej praktyce najczęstsze drogi instalacji wyglądają tak:

• otwarcie załącznika z rzekomą fakturą, potwierdzeniem przelewu, CV czy dokumentem urzędowym,
• kliknięcie w link do „sensacyjnego newsa” lub „pilnego komunikatu z banku”,
• pobranie programu, filmu czy gry z podejrzanej strony lub serwisu torrent,
• uruchomienie pliku z zainfekowanego pendrive’a,
• instalacja pirackiego oprogramowania z dołączonym ukrytym malware.

Do tego dochodzą techniczne metody wykorzystujące luki w przeglądarkach i wtyczkach. W takim scenariuszu wystarczy samo wejście na zainfekowaną stronę, a exploit automatycznie pobiera i uruchamia keyloggera. Dlatego tak istotne są łatki bezpieczeństwa i aktualizacje systemu oraz aplikacji.

Keylogger na telefonie

Urządzenia mobilne także są celem – zwłaszcza smartfony z Androidem, ale pojawiają się również kampanie wymierzone w iOS. Wersje mobilne potrafią rejestrować dotknięcia ekranu, zrzuty ekranu, treść SMS‑ów, listy kontaktów, historię połączeń, a nawet podsłuchiwać mikrofon. Instalacja wygląda podobnie jak na komputerze: zainfekowana aplikacja spoza oficjalnego sklepu, złośliwy link w wiadomości czy chwilowy dostęp do odblokowanego telefonu.

Jak rozpoznać, że masz keyloggera?

Profesjonalnie napisane oprogramowanie szpiegujące stara się nie zostawiać śladów. Mimo to w wielu przypadkach pojawiają się symptomy, które mogą wzbudzić Twoją czujność. Nie są one dowodem wprost, ale dają sygnał, że należy użyć skanera bezpieczeństwa i przeanalizować system dokładniej.

Niepokojące objawy na komputerze to między innymi:

• znaczne spowolnienie uruchamiania i zamykania systemu,
• częste zawieszanie systemu lub programów bez wyraźnej przyczyny,
• wydłużony czas ładowania stron i grafik, niepoprawne wyświetlanie treści,
• wyraźne opóźnienia między pisaniem a pojawianiem się tekstu na ekranie,
• „samoczynne” pojawianie się tekstu, którego nie wpisywałeś,
• obecność folderu ze zrzutami ekranu, których nie tworzyłeś.

Jeśli na telefonie widzisz nagły wzrost zużycia danych, szybsze rozładowywanie baterii, samoczynne włączanie się ekranu lub aplikacji działających w tle, również można podejrzewać złośliwe oprogramowanie. Tu sensownym krokiem jest uruchomienie mobilnego antywirusu z funkcją skanera.

Najbardziej miarodajną metodą wykrywania rejestratorów naciśnięć pozostaje regularne skanowanie systemu przez aktualny program antywirusowy z modułem ochrony przed spyware.

Jak chronić się przed keyloggerami?

Ochrona przed tego typu zagrożeniami to połączenie narzędzi technicznych i właściwych nawyków. Sam program zabezpieczający nie wystarczy, jeśli użytkownik bezrefleksyjnie klika we wszystko, co pojawia się na ekranie. Z drugiej strony nawet bardzo ostrożna osoba bez ochrony w czasie rzeczywistym prędzej czy później trafi na podatność techniczną.

Oprogramowanie zabezpieczające

Podstawą jest dobry antywirus z aktywnym modułem ochrony w czasie rzeczywistym. Taki program monitoruje procesy w tle, skanuje pliki, analizuje zachowanie aplikacji pod kątem przechwytywania klawiszy i podejrzanych prób komunikacji z serwerami. Nowoczesne rozwiązania wykorzystują analizę heurystyczną i behawioralną, co pozwala wykryć również nowe warianty, które nie są jeszcze w bazach sygnatur.

Przydatnym uzupełnieniem jest zapora systemowa lub osobny firewall. Filtrowanie ruchu wychodzącego pozwala wyłapać sytuacje, w których pozornie zwykła aplikacja nagle wysyła duże ilości danych do nieznanego adresu. Część dostawców internetu stosuje na poziomie swojej infrastruktury systemy filtrujące ruch DNS, blokujące znane złośliwe domeny – taka warstwa obrony może zatrzymać komunikację keyloggera z serwerem dowodzenia.

Higiena cyfrowa

Bezpieczne nawyki są równie istotne jak programy ochronne. W praktyce chodzi o kilka powtarzalnych zasad, których trzymanie się wyraźnie obniża ryzyko infekcji:

• aktualizuj system operacyjny, przeglądarki i wtyczki zaraz po wydaniu łatek,
• pobieraj pliki tylko z zaufanych, oficjalnych źródeł,
• nie otwieraj załączników ani linków z niespodziewanych wiadomości,
• unikaj pirackiego oprogramowania i treści z nielegalnych źródeł,
• korzystaj jak najrzadziej z publicznych komputerów i otwartych sieci Wi‑Fi.

Specyficzną formą obrony przed rejestratorem naciśnięć jest wirtualna klawiatura ekranowa. Przy logowaniu do bankowości internetowej możesz wpisać część hasła myszką, co utrudnia działanie prostszym keyloggerom nastawionym wyłącznie na klasyczną klawiaturę. Jeszcze lepszym rozwiązaniem jest silne uwierzytelnianie wieloskładnikowe.

Uwierzytelnianie dwuskładnikowe

Silne hasło to dziś za mało. Dobrą praktyką jest włączanie wszędzie, gdzie to możliwe, uwierzytelniania 2FA lub MFA. Mechanizmy oparte na kodach SMS, aplikacjach uwierzytelniających czy danych biometrycznych znacząco ograniczają skutki działania keyloggera – nawet jeśli atakujący pozna Twoje hasło, nadal potrzebuje drugiego składnika, którego zdobycie jest trudniejsze.

Co zrobić, gdy podejrzewasz keyloggera?

Gdy zauważysz opisane symptomy, nie panikuj, ale zareaguj szybko. Najpierw odłącz komputer od sieci – odetniesz potencjalny kanał wysyłki danych. Następnie uruchom pełne skanowanie za pomocą aktualnego programu ochronnego. Warto zastosować dwa niezależne skanery (jeden rezydentny, drugi on‑demand), by zwiększyć szansę wykrycia nietypowych zagrożeń.

Jeśli narzędzia bezpieczeństwa znajdą spyware tego typu i nie mają pewności, że udało się je całkowicie usunąć, rozważ wykonanie kopii najważniejszych plików (bez programów i plików wykonywalnych) oraz czystą reinstalację systemu. To radykalne, ale często najpewniejsze rozwiązanie. Po oczyszczeniu sprzętu zmień wszystkie hasła z innego, zaufanego urządzenia i włącz 2FA na newralgicznych kontach.

W przypadku sprzętowych przechwytywaczy klawiatury konieczna jest fizyczna inspekcja kabli, portów i samej klawiatury. Jeśli korzystasz z cudzych terminali, bankomatów czy kiosków internetowych, warto na moment przyjrzeć się, czy konstrukcja nie nosi śladów przeróbek albo podejrzanie dokładanych elementów. Jedno krótkie spojrzenie potrafi oszczędzić wiele problemów.