Keylogger – co to jest i jak działa?

Keylogger to program lub urządzenie, które po cichu rejestruje każde naciśnięcie klawisza i często wysyła te dane na zdalny serwer. Dla cyberprzestępców to szybka droga do Twoich haseł, numerów kart i poufnych informacji, a dla firm – narzędzie nadzoru nad pracownikami. Jeśli chcesz świadomie się chronić, warto zrozumieć, jak dokładnie działa keylogger, skąd się bierze i po czym poznasz, że już działa w tle.

Keylogger – co to jest i do czego służy?

Keylogger (od angielskich słów „key” – klawisz i „logger” – rejestrator) to oprogramowanie lub sprzęt działające w tle systemu, którego zadaniem jest zapisywanie znaków wpisywanych z klawiatury. W wersji programowej pracuje jako niewidoczny proces w systemie operacyjnym, w wersji sprzętowej – jako mała przejściówka podpięta między klawiaturą a komputerem albo moduł ukryty w samej klawiaturze.

Ten sam mechanizm może być wykorzystywany w zupełnie inny sposób: od nielegalnego wykradania danych logowania, przez przechwytywanie wiadomości i dokumentów, aż po całkowicie jawne monitorowanie służbowych komputerów czy kontrolę rodzicielską. O tym, czy keylogger staje się zagrożeniem, decyduje cel i sposób instalacji – jeśli pojawia się na Twoim komputerze bez wiedzy i zgody, masz do czynienia ze złośliwym oprogramowaniem spyware.

Typowy keylogger działa niepostrzeżenie jako proces w tle, nie wyświetla okien ani powiadomień i stara się nie wpływać zauważalnie na pracę systemu.

Jak działa keylogger programowy?

Keyloggery programowe integrują się z systemem operacyjnym – przejmują funkcje, które normalnie odpowiadają za obsługę klawiatury. Gdy wpisujesz hasło, adres strony czy numer karty, system generuje komunikat o wciśnięciu danego klawisza. Keylogger „wstawia się” w ten mechanizm, odczytuje komunikaty i zapisuje je w postaci logu, zanim trafią do aplikacji docelowej, np. przeglądarki.

Zaawansowane odmiany nie ograniczają się tylko do tekstu. Taki program potrafi tworzyć zrzuty ekranu, śledzić aktywne okna, rejestrować zawartość schowka, ruchy myszy, a nawet nagrywać dźwięk z mikrofonu. Gdy zbierze wystarczająco dużo danych, wysyła je na zdalny serwer – najczęściej poprzez e‑mail lub protokół FTP, czasem przez zaszyfrowane połączenie HTTPS, żeby utrudnić wykrycie ruchu.

Jakie dane przechwytuje keylogger?

Zakres zbieranych informacji zależy od konkretnego wariantu, ale zwykle obejmuje:

• dane logowania do poczty, portali społecznościowych, bankowości internetowej,
• numery kart płatniczych, kody CVV, hasła jednorazowe wprowadzane z klawiatury,
• treści wiadomości e‑mail i rozmów w komunikatorach,
• teksty dokumentów tworzonych lokalnie, np. w edytorze tekstu,
• adresy odwiedzanych stron, nazwy aktywnych aplikacji,
• zawartość schowka – skopiowane hasła, fragmenty umów, dane osobowe.

Jak keylogger się ukrywa?

Żeby pozostać niewidocznym, keylogger często współpracuje z innym rodzajem złośliwego oprogramowania. Rootkit działający w trybie jądra systemu potrafi ukryć procesy i pliki przed menedżerem zadań i skanerem antywirusowym – to on maskuje obecność rejestratora klawiszy. W praktyce oznacza to, że nie widzisz podejrzanego procesu, nie znajdziesz programu na liście autostartu, a logi mogą być zaszyfrowane i schowane w niepozornie wyglądającym pliku.

Jak działa keylogger sprzętowy?

Keyloggery sprzętowe mają postać małej przejściówki wpiętej między przewód klawiatury a port USB lub PS/2 komputera. Cały ruch z klawiatury przechodzi przez takie urządzenie, więc może ono zapisać do wbudowanej pamięci każdy naciśnięty klawisz. Inna odmiana to moduły wbudowane w samą klawiaturę, przewód lub – w przypadku ataków na bankomaty – nakładane na klawiatury numeryczne bankomatów.

Część urządzeń działa jak prosty rejestrator: żeby odczytać dane, trzeba mieć fizyczny dostęp do sprzętu i podłączyć go do komputera, który odczyta pamięć. Bardziej zaawansowane wersje przesyłają logi drogą radiową lub przez sieć, dzięki czemu osoba atakująca nie musi wracać po urządzenie. W obu przypadkach to bardzo groźna technika w środowisku firmowym – pojedynczy, dyskretny keylogger podpięty do komputera działu finansowego może zbierać hasła i dane płatnicze przez tygodnie.

Gdzie możesz spotkać keylogger sprzętowy?

Ryzyko dotyczy przede wszystkim miejsc, gdzie wiele osób korzysta z tego samego stanowiska:

• stanowiska kasowe, punkty obsługi klienta, recepcje,
• komputery w biurach typu open space, do których dostęp ma wielu pracowników,
• publiczne stanowiska w bibliotekach, hotelach, kawiarniach internetowych,
• bankomaty i terminale płatnicze, gdzie stosuje się nakładki na klawiatury.

Skąd bierze się keylogger na urządzeniu?

Najczęściej infekcja zaczyna się od socjotechniki. Phishing – czyli wiadomości udające korespondencję z banku, firmy kurierskiej czy portalu społecznościowego – zachęca do otwarcia załącznika lub kliknięcia linku. Plik wygląda jak faktura lub dokument PDF, a w rzeczywistości jest instalatorem, który do systemu dociąga keyloggera i często dodatkowo rootkita.

Inną drogą są zainfekowane strony WWW. Wykorzystują luki w przeglądarce lub wtyczkach – odwiedzasz pozornie normalną stronę, a w tle pobiera się i uruchamia malware. Wciąż aktualne są też nośniki przenośne: pendrive z „ważnym plikiem”, który ktoś „przypadkowo zgubił”, potrafi zainstalować w tle rejestrator klawiszy, jeśli automatyczne uruchamianie nie jest odpowiednio ograniczone.

Rola systemu DNS i zagrożeń sieciowych

Keylogger nie musi atakować bezpośrednio systemu – może zostać dostarczony przez atak na infrastrukturę sieciową. DNS, który tłumaczy nazwy domen na adresy IP, w swojej podstawowej formie nie weryfikuje źródła odpowiedzi. Przy ataku DNS spoofing użytkownik zamiast na prawdziwą stronę banku trafia na fałszywą kopię, a formularz logowania zawiera ukryty skrypt keyloggera, przechwytujący wpisywane dane.

Rozwiązaniem takich problemów są rozszerzenia DNSSEC, które podpisują kryptograficznie rekordy DNS i pozwalają sprawdzić, czy odpowiedź faktycznie pochodzi z autorytatywnego serwera. Operatorzy sieci i usługodawcy wykorzystują też systemy filtrujące na poziomie DNS, takie jak mechanizmy blokowania złośliwych domen, które zatrzymują połączenie z serwerem malware zanim plik keyloggera zostanie pobrany.

Jak rozpoznać, że masz keyloggera?

Dobrze napisany keylogger nie powinien zdradzać swojej obecności – tak projektują go twórcy. W praktyce część złośliwych programów jest napisana niedbale i wywołuje objawy, które mogą Cię zaniepokoić. Jeśli działanie komputera nagle się zmienia, warto wziąć pod uwagę także tę możliwość, obok typowych awarii sprzętu.

Na potencjalną infekcję mogą wskazywać między innymi:

• wyraźnie dłuższe uruchamianie i zamykanie systemu niż wcześniej,
• częste zawieszanie się systemu lub przeglądarki,
• spowolnione ładowanie stron, losowe błędy przy wyświetlaniu grafik,
• opóźnienia między wpisaniem tekstu a jego pojawieniem się na ekranie,
• „zacinanie się” komputera przy określonych kombinacjach klawiszy,
• foldery z zrzutami ekranu, których sam nie tworzyłeś,
• tekst pojawiający się na ekranie, którego nie wpisywałeś z klawiatury.

Jeśli menedżer zadań nie pokazuje podejrzanych procesów, a komputer wyraźnie „dziwnie” reaguje, możesz mieć do czynienia z połączeniem keylogger + rootkit, który ukrywa złośliwe moduły.

Keylogger w telefonie – czy to możliwe?

Smartfony z Androidem i iOS także mogą zostać zainfekowane. Tutaj rejestrowane są dotknięcia ekranu i dane z klawiatury ekranowej – efekt jest ten sam, co przy fizycznej klawiaturze. Aplikacja szpiegowska potrafi przechwycić SMS‑y (w tym kody jednorazowe), listę kontaktów, historię połączeń, treść wiadomości z komunikatorów, a przy tym wykonywać zrzuty ekranu i nagrywać dźwięk.

Na telefonie sygnałem ostrzegawczym mogą być nienaturalnie wysokie zużycie baterii, rosnące wykorzystanie transmisji danych, przegrzewanie się urządzenia podczas prostych zadań lub pojawienie się podejrzanych uprawnień w aplikacjach, które wcale nie powinny mieć dostępu do mikrofonu czy SMS‑ów.

Jak technicznie wykrywa się keyloggery?

Specjalistyczne skanery antywirusowe analizują procesy działające w tle, biblioteki wstrzyknięte do przeglądarek i programów systemowych oraz zachowania charakterystyczne dla spyware. Narzędzia klasy anty‑malware potrafią wykrywać:

• hooki podpinane do funkcji obsługi klawiatury i myszki,
• nietypowy dostęp do schowka i zrzutów ekranu,
• próby wysyłania podejrzanych plików logów na zewnętrzne serwery,
• zmiany w rejestrze i plikach startowych systemu.

Jak usunąć keyloggera i jak się bronić?

Jeśli podejrzewasz infekcję, najrozsądniej jest od razu odłączyć komputer od sieci – w tym momencie ograniczasz możliwość dalszego wysyłania danych. Kolejny krok to pełne skanowanie systemu aktualnym programem antywirusowym lub anty‑malware, najlepiej uruchomionym z zaufanego nośnika (np. bootowalnego pendrive’a). W trudnych przypadkach, gdy keylogger jest mocno zintegrowany z systemem i ukrywany przez rootkit, jedynym pewnym rozwiązaniem pozostaje pełne wyczyszczenie dysku i ponowna instalacja systemu.

Znacznie wygodniej jest nie dopuścić do infekcji niż ją później leczyć. Przy ochronie przed rejestratorami klawiszy dobrze sprawdza się połączenie kilku warstw zabezpieczeń.

Jak ograniczyć ryzyko infekcji?

Podstawowy zestaw na 2026 rok wygląda następująco:

• aktualny system operacyjny i regularnie aktualizowane programy, zwłaszcza przeglądarka,
• program antywirusowy z ochroną w czasie rzeczywistym i modułem anty‑spyware,
• aktywna zapora sieciowa (firewall), filtrująca wychodzące połączenia,
• ostrożność wobec linków i załączników z nieznanych źródeł,
• pobieranie plików tylko z zaufanych stron, bez pirackich instalatorów i „cracków”,
• unikanie logowania do wrażliwych usług na komputerach publicznych.

Jak utrudnić keyloggerowi kradzież danych?

Nawet jeśli złośliwe oprogramowanie wniknie do systemu, możesz znacząco zmniejszyć szkody:

• stosuj uwierzytelnianie dwuskładnikowe – kod z SMS, aplikacji lub klucz sprzętowy,
• używaj menedżera haseł, który wypełnia pola logowania bez wpisywania z klawiatury,
• przy wprowadzaniu danych na obcym sprzęcie wykorzystaj klawiaturę ekranową,
• dziel uprawnienia w systemie – na co dzień pracuj na koncie użytkownika, nie administratora,
• oddziel urządzenia do bankowości (np. osobny, zadbany smartfon) od sprzętu do codziennych testów czy instalowania różnych programów.

Uwierzytelnianie dwuskładnikowe sprawia, że przechwycone hasło z keyloggera jest znacznie mniej warte – atakujący nadal musi zdobyć drugi składnik logowania.

Na co uważać poza własnym komputerem?

Najlepsze praktyki bezpieczeństwa obejmują też sytuacje „poza domem”. Publiczne komputery, urządzenia w hotelach i kawiarniach czy stanowiska w biurach coworkingowych to idealne miejsce na keyloggera sprzętowego. Zanim zalogujesz się do poczty czy banku na takim urządzeniu, zadaj sobie proste pytanie: czy naprawdę musisz to zrobić teraz, na tym komputerze?

Przy terminalach płatniczych i bankomatach zwracaj uwagę na wygląd klawiatury i czytnika – wszelkie nadlewki plastiku, luźne elementy czy dodatkowe moduły mogą świadczyć o zamontowanej nakładce szpiegującej. W takich sytuacjach lepiej zrezygnować z transakcji i zgłosić sprawę obsłudze lub bankowi niż ryzykować przechwycenie kodu PIN.