Gmail jest trudny do zhakowania. Google twierdzi, że blokuje ponad 99,9% spamu, prób wyłudzenia informacji i złośliwego oprogramowania, zanim dotrą do skrzynki, a klucz dostępu lub klucz bezpieczeństwa sprawia, że konto jest bardzo trudne do ukradzenia. Dzięki temu Gmail jest bezpieczny przed wieloma typowymi zagrożeniami, ale niekoniecznie prywatny.

Bezpieczeństwo i prywatność odpowiadają na różne pytania:

  • Bezpieczeństwo pyta, czy przestępca może włamać się do skrzynki odbiorczej.
  • Prywatność pyta, kto jeszcze może to przeczytać, w tym firma, która to prowadzi.

Gmail nie jest domyślnie zaszyfrowany end-to-end, co oznacza, że wiadomości nie są szyfrowane w taki sposób, by odszyfrować je mogły tylko nadawca i odbiorca. Google posiada klucze do przechowywanych wiadomości, przetwarza ich treść, aby uruchamiać filtrowanie spamu i funkcje takie jak Smart Compose, i łączy konto z tym samym profilem Google, który napędza biznes reklamowy firmy. Krótka odpowiedź brzmi: Gmail jest stosunkowo bezpieczny, ale nie jest prywatnym e-mailem.

Czy Gmail jest zaszyfrowany?

Tak, ale nie end-to-end. Standardowy Gmail używa TLS podczas przesyłania i szyfrowania w spoczynku. Klienci biznesowi korzystający z niektórych płatnych planów Google Workspace mogą dodać silniejsze opcje.

Typ szyfrowaniaCo chroniDostępne naCzy Google może przeczytać wiadomość?
TLSWiadomość przesyłana między serwerami poczty, gdy drugi serwer to wspieraWszystkie kontaTak
Szyfrowanie w spoczynkuPrzechowywane wiadomości e-mail, chronione przed kradzieżą dysków i niektórymi atakami na infrastrukturęWszystkie kontaTak
Hostowany S/MIMEWiadomości e-mail między użytkownikami, którzy oboje mają certyfikaty S/MIMEPlany Enterprise Plus, Frontline Plus i EducationTak: certyfikaty i klucze prywatne są przesyłane do Gmaila
Szyfrowanie po stronie klienta (CSE)Wiadomości e-mail zaszyfrowane w przeglądarce za pomocą kluczy kontrolowanych przez organizacjęEnterprise Plus, Frontline Plus, Education Standard i PlusNie, ale organizacja może.

W osobistym Gmailu prawdziwe szyfrowanie end-to-end wymaga rozszerzenia PGP strony trzeciej, takiego jak Mailvelope, a odbiorca także potrzebuje PGP (oprogramowania zgodnego z OpenPGP, otwartym standardem szyfrowania end-to-end)

Czy tryb poufny Gmaila szyfruje wiadomości e-mail?

Nie. Tryb poufny pozwala ustawić datę wygaśnięcia, unieważnić dostęp, wymagać kodu SMS i uniemożliwić odbiorcom przekazywanie dalej, kopiowanie, drukowanie lub pobieranie wiadomości. Odbiorcy nadal mogą robić zrzuty ekranu lub zdjęcia wiadomości e-mail. Tryb poufny ogranicza to, co odbiorca może zrobić, ale nie zapewnia prywatności wiadomości względem Google.

Czy Gmail jest bezpieczny?

Tak – pod względem ochrony przed kradzieżą haseł, próbami wyłudzenia informacji, spamem i złośliwym oprogramowaniem Gmail jest jednym z silniejszych dostępnych serwisów e-mail, zwłaszcza po zastąpieniu hasła kluczem dostępu lub kluczem bezpieczeństwa. Oto dlaczego:

Szyfrowanie podczas przesyłania i w spoczynku

Gmail szyfruje wiadomości za pomocą TLS (Transport Layer Security) podczas przesyłania między serwerami poczty, więc wiadomości e-mail są chronione podczas przesyłania, o ile dostawca poczty po drugiej stronie również obsługuje TLS. Jeśli obok wiadomości pojawia się czerwona otwarta kłódka, oznacza to, że wiadomość nie jest zaszyfrowana.

Gdy wiadomość trafi na serwery Google, zostaje zaszyfrowana w spoczynku. W dokumencie technicznym o szyfrowaniu(nowe okno) Google Workspace wymieniono wiadomości Gmail i załączniki jako zaszyfrowane algorytmem AES z kluczem 128-bitowym lub silniejszym, który jest generowany i zarządzany przez Google.

Oba zabezpieczenia powstrzymują osoby z zewnątrz, na przykład kogoś, kto podsłuchuje łącze sieci lub kradnie dysk twardy z centrum danych. Ponieważ jednak to Google posiada klucze, zachowuje techniczny dostęp do wiadomości e-mail. To właśnie różni je od szyfrowania end-to-end, w którym tylko nadawca i odbiorca mogą odszyfrować wiadomość.

Uwierzytelnianie dwustopniowe i klucze dostępu

Google obsługuje uwierzytelnianie dwustopniowe (2FA). Logowanie można potwierdzić za pomocą monitu Google na telefonie, aplikacji uwierzytelniającej, klucza dostępu, fizycznego klucza bezpieczeństwa lub kodu wysłanego SMS-em lub połączeniem telefonicznym. Kody weryfikacyjne wysyłane SMS-em lub połączeniem telefonicznym są podatne na ataki oparte na numerach telefonów, a rzecznik Gmaila powiedział Forbesowi w lutym 2025 roku(nowe okno), że Google chce „odejść od wysyłania wiadomości SMS w celu uwierzytelniania”. Klucze dostępu, domyślna opcja logowania w Google, są silniejsze, ponieważ mogą odpierać ataki online, takie jak próby wyłudzenia informacji.

Dla osób o podwyższonym ryzyku Google oferuje Advanced Protection Program. Wymaga klucza dostępu lub klucza bezpieczeństwa do logowania, zezwala na dostęp do danych konta wyłącznie aplikacjom Google i zweryfikowanym aplikacjom stron trzecich, a także wykonuje surowsze kontrole pobieranych plików. Nie zmienia to sposobu, w jaki Gmail szyfruje wiadomości, więc Google nadal może je przeczytać.

Ochrona przed spamem, próbami wyłudzenia informacji i złośliwym oprogramowaniem

Gmail automatycznie filtruje przychodzącą pocztę. Firma twierdzi, że blokuje blisko 10 milionów spamowych wiadomości e-mail co minutę, a nowszy model AI wprowadzony pod koniec 2024 roku blokuje o 20% więcej spamu niż wcześniej. Gmail także:

  • Odrzuca ryzykowne typy załączników, takie jak pliki wykonywalne, i ostrzega przed pobraniem niebezpiecznego załącznika.
  • Pokazuje banery ostrzegawcze przy podejrzanych wiadomościach, niebezpiecznych treściach i zwodniczych linkach.
  • Wymaga od każdego, kto wysyła wiadomości do Gmaila, uwierzytelnienia domeny przy użyciu SPF lub DKIM, wysyłania przez TLS oraz utrzymywania wskaźnika spamu poniżej 0,3%. Nadawcy wysyłający ponad 5\u00a0000 wiadomości dziennie muszą dodatkowo korzystać zarówno z SPF, jak i DKIM, a także z DMARC i z funkcji jednokliknięcia anulowania subskrypcji. Wiadomości niespełniające tych wymagań są odrzucane lub trafiają do folderu spam.
  • Wyświetla zweryfikowane logo (Brand Indicator for Message Identification, czyli BIMI), które wygląda jak niebieski znacznik wyboru, obok marek, które zweryfikowały domenę i logo. Utrudnia to podszywanie się.

Filtry zmniejszają ryzyko, ale go nie usuwają. Microsoft wykrył około 8,3 miliarda prób wyłudzenia informacji za pośrednictwem poczty e-mail(nowe okno) w pierwszym kwartale 2026 roku, a atakujący nadużyli systemów samego Google: w kwietniu 2025 roku wyłudzacze wysłali fałszywe alerty(nowe okno) z adresu no-reply@google.com, które przeszły kontrole uwierzytelniania Gmaila.

Filtry antyspamowe Gmaila mają również wyjątki, a Google decyduje, kto je otrzyma. Od września 2026 roku Gmail Verified Sender Program pozwala zarejestrowanym amerykańskim komitetom politycznym omijać filtr, jeśli wysyłają z zweryfikowanych domen i utrzymują liczbę skarg poniżej 0,3%. Wiadomości polityczne, które Gmail wcześniej wyłapałby jako spam, teraz trafiają do skrzynki odbiorczej, a ich ponowne filtrowanie pozostaje w gestii użytkownika.

Funkcje bezpieczeństwa konta

Narzędzia konta Google wcześnie wykrywają wiele prób przejęcia kont:

Kontrola bezpieczeństwa przedstawia spersonalizowane zalecenia, takie jak usunięcie starych urządzeń lub dodanie metody odzyskiwania konta.

Alerty bezpieczeństwa powiadamiają telefonicznie lub wiadomością, jeśli ktoś zaloguje się na nowym urządzeniu albo jeśli konto wysyła nietypową liczbę wiadomości. Oszuści podszywają się pod te alerty: w 2024 roku fałszywe monity o odzyskiwanie konta połączone z głosowymi połączeniami wygenerowanymi przez AI(nowe okno) posłużyły do przejęcia kont. Alert warto sprawdzić, otwierając konto Google bezpośrednio zamiast klikania zawartych w nim linków.

Zarządzanie urządzeniami pozwala zobaczyć wszystkie zalogowane urządzenia i zdalnie wylogować się z nich. Warto z niej skorzystać po każdym alarmie związanym ze złośliwym oprogramowaniem: w 2024 roku badacze(nowe okno) wykryli infostealery, które zachowywały dostęp do kont Google nawet po zresetowaniu hasła, wykorzystując skradzione tokeny sesji. Według Google wylogowanie się z dotkniętej przeglądarki lub unieważnienie jej na stronie urządzeń odcina ten dostęp.

Numer telefonu i wiadomość e-mail do odzyskiwania konta pomagają odzyskać dostęp, jeśli nie można się zalogować.

Rozszerzona ochrona przeglądania zapewnia większą ochronę przed próbami wyłudzenia informacji i złośliwym oprogramowaniem w Chrome i Gmailu.

Incydenty bezpieczeństwa i ataki w Gmailu

Oto kilka znanych incydentów bezpieczeństwa w Gmailu. Warto zauważyć, że zaczynały się one po stronie użytkowników, przez próby wyłudzenia informacji, złośliwe oprogramowanie lub wyciek haseł, a nie przez naruszenie systemów Google.

  • W styczniu 2026 roku wykryto ujawnioną bazę danych zawierającą 149 milionów skradzionych danych logowania(nowe okno), z czego około 48 milionów dotyczyło Gmaila. Według Google dane logowania zostały zebrane przez złośliwe oprogramowanie na urządzeniach użytkowników, a nie wykradzione z systemów Google.
  • W sierpniu 2025 roku hakerzy znani jako ShinyHunters wykradli dane z bazy danych Google Salesforce: szczegóły kontaktu i notatki dotyczące małych i średnich firm. Nie dotyczyło to danych Gmaila.
  • W lipcu 2025 roku badacze(nowe okno) wykazali, że ukryty tekst w wiadomości mógł oszukać funkcję Gemini „Podsumuj tę wiadomość”, aby wyświetliła fałszywe ostrzeżenie bezpieczeństwa.
  • W kwietniu 2025 roku oszuści wysłali fałszywe alerty(nowe okno) z adresu no-reply@google.com, które przeszły kontrole uwierzytelniania Gmaila, prowadząc do fałszywej strony wsparcia w Google Sites.
  • W październiku 2024 roku oszuści użyli wygenerowanych przez AI połączeń głosowych, podszywając się pod wsparcie Google(nowe okno), wraz z fałszywymi monitami do odzyskiwania konta, aby przejąć konta Gmaila.
  • Od października do grudnia 2018 roku dwa błędy w Google+ ujawniły dane profilowe do 500\u00a0000 użytkowników, a następnie 52,5 miliona użytkowników. Google wyłączyło Google+ i zaostrzyło dostęp stron trzecich do Gmaila.

Czy Gmail jest prywatny?

Niezbyt. Gmail dobrze chroni przed osobami z zewnątrz, ale sam Google może uzyskać dostęp do wiadomości, zbiera dane o tym, jak się z nich korzysta, i łączy te dane z kontem Google. Dostawcy usług wiadomości e-mail skupiający się na prywatności, którzy oferują szyfrowanie end-to-end i szyfrowanie zero-access, są zaprojektowani tak, aby nie mogli tego robić.

Gmail nie jest domyślnie szyfrowany end-to-end

Aby indeksować skrzynkę odbiorczą pod kątem wyszukiwania i sugerować odpowiedzi, serwery Google przetwarzają wiadomości w czytelnej formie. Jest to możliwe tylko dlatego, że to Google, a nie użytkownik, posiada klucze szyfrowania.

Tylko płatny plan Google Workspace z szyfrowaniem po stronie klienta zapewniał szyfrowanie end-to-end. Przy szyfrowaniu end-to-end wiadomość jest szyfrowana na urządzeniu nadawcy i odszyfrowywana dopiero na urządzeniu odbiorcy. Dostawca przechowuje dane w postaci nieczytelnej, do których nie ma klucza.

Jakie dane zbiera Google od użytkowników Gmaila?

Polityka prywatności Google obowiązuje w Gmailu tak samo jak w Wyszukiwarce, Mapach i YouTube, więc aktywność we wszystkich tych usługach przyczynia się do tego, co Google o tobie wie. Wymienia ona następujące kategorie:

KategoriaPrzykłady z polityki prywatności Google
Treści tworzone lub udostępnianeImię i nazwisko, hasło, numer telefonu, informacje o płatnościach oraz treści, w tym wiadomości
Aplikacje, przeglądarki i urządzeniaUnikalne identyfikatory, typ przeglądarki i urządzenia, system operacyjny, raporty o awariach
Adres IP i lokalizacjaAdres IP(nowe okno), GPS, pobliskie urządzenia oraz lokalizacja wywnioskowana na podstawie aktywności
Aktywność w usługach GoogleWyszukiwania, obejrzane filmy, aktywność związana z zakupami oraz komunikacja, w zależności od ustawień

Od października 2026 roku etykieta prywatności aplikacji Gmail w App Store na iOS wskazuje, że zbierane są „Dane powiązane z Tobą”, w tym zakupy, przybliżona lokalizacja, kontakty, wiadomości i inne treści użytkowników, historia wyszukiwania, identyfikatory użytkowników i urządzeń oraz dane reklamowe.

Etykieta „Dane powiązane z Tobą” w App Store na iOS dla aplikacji Gmail

Zmień ustawienia prywatności Google, aby wstrzymać Web & App Activity, wyłączyć spersonalizowane reklamy w My Ad Center, zatrzymać śledzenie lokalizacji i nie tylko.

Czy Google wykorzystuje dane z Gmaila do reklam?

Google twierdzi, że nie wykorzystuje treści wiadomości do kierowania reklam. Zaprzestano tego w 2017 roku, kiedy Google stwierdziło: „Treści konsumenckie Gmaila nie będą wykorzystywane ani skanowane do personalizacji jakichkolwiek reklam.” Obecna polityka prywatności głosi: „Nie wyświetlamy spersonalizowanych reklam na podstawie treści z Dysku, Gmaila lub Zdjęć Google.”

Skrzynka odbiorcza jest w inny sposób nadal częścią biznesu reklamowego Google. Na przykład Gmail wyświetla reklamy na podstawie „aktywności online, gdy zalogowano się do Google”, takiej jak wyszukiwania i historia YouTube. W 2025 roku francuski organ ochrony danych nałożył na Google karę w wysokości 325 milionów €(nowe okno), częściowo za wstawianie reklam między wiadomościami w kartach Oferty i Społeczności bez zgody. Google się odwołało, a do października 2026 roku nie podano żadnego orzeczenia.

Czy Gmail wykorzystuje wiadomości do trenowania AI?

Google twierdzi, że nie. W listopadzie 2025 roku rzecznik w rozmowie z Tom’s Guide(nowe okno): „Nie wykorzystujemy treści Gmaila do trenowania modelu AI Gemini.”

Jeśli jednak pozwolisz Gemini na dostęp do Gmaila, treść wiadomości, którą pobiera do czatu, podlega zasadom Gemini, zgodnie z którymi Google może wykorzystywać prompty i odpowiedzi do trenowania AI, gdy aktywność w Gemini jest zapisywana. Czaty przeglądane przez ludzkich recenzentów są przechowywane przez maksymalnie trzy lata.

Ustawienia funkcji inteligentnych Gmaila napędzają Smart Compose, śledzenie przesyłek i karty podsumowań. Według Google, jeśli je włączysz, „możemy również przetwarzać Workspace Content & Activity, aby ulepszać te funkcje.” Wyłączenie Gemini w Gmailu jednak wyłącza także inne przydatne funkcje oparte na AI, takie jak kategorie skrzynki odbiorczej i Smart Reply.

Pozwy sądowe i naruszenia prywatności w Gmailu

Google wielokrotnie karano grzywnami i pozywano w związku z tym, jak obchodzi się z danymi użytkowników Gmaila. Oto kilka przykładów:

  • W listopadzie 2025 roku w sprawie Thele v. Google(nowe okno) zarzucono Google, że bez zgody włączyło Gemini w Gmailu, Chat i Meet. W lipcu 2026 roku sędzia odrzucił pozew, pozwalając na jego poprawienie, a poprawiona skarga oczekuje na rozpatrzenie.
  • We wrześniu 2025 roku CNIL nałożyła na Google karę w wysokości 325 milionów €(nowe okno) za wyświetlanie reklam między wiadomościami w kartach Oferty i Społeczności Gmaila bez zgody oraz za pliki cookies ustawiane przy zakładaniu konta. CNIL twierdzi, że reklamy zobaczyło 53 miliony osób. Google się odwołało.
  • W lipcu 2018 roku dziennik The Wall Street Journal poinformował(nowe okno), że pracownicy aplikacji stron trzecich do obsługi wiadomości e-mail czytali wiadomości Gmaila użytkowników. Google odpowiedziało, że „nikt w Google nie czyta twojego Gmaila”, z wyjątkiem sytuacji za zgodą lub ze względów bezpieczeństwa, a użytkownicy udzielają tym aplikacjom dostępu. Później, w październiku, ograniczyło dostęp do interfejsu API Gmaila dla aplikacji „bezpośrednio rozszerzających funkcjonalność wiadomości e-mail”.
  • W 2013 i 2014 roku użytkownicy wnosili pozwy dotyczące skanowania treści wiadomości w Gmailu w celu kierowania reklam(nowe okno). Pozew zbiorowy nie powiódł się, a większość powodów zawarła ugody indywidualnie. Google zaprzestało skanowania na potrzeby reklam w 2017 roku.

Jak zwiększyć bezpieczeństwo i prywatność Gmaila

Te kroki znacznie utrudniają przejęcie konta i ograniczają zakres danych zbieranych przez Google. Żaden z nich nie powstrzymuje Google przed dostępem do wiadomości.

  1. Użyj klucza dostępu lub klucza bezpieczeństwa. Skonfiguruj go w koncie Google w sekcji Bezpieczeństwo. Klucze dostępu skuteczniej chronią przed próbami wyłudzenia informacji niż hasła i kody SMS.
  2. Włącz uwierzytelnianie dwustopniowe i wybieraj monity Google lub aplikację uwierzytelniającą zamiast wiadomości tekstowych.
  3. Użyj unikalnego hasła wygenerowanego przez menadżera haseł, aby wyciek z innej strony internetowej nie mógł odblokować konta Gmail.
  4. Sprawdź urządzenia i wyloguj się z tych, których nie rozpoznajesz.
  5. Usuń aplikacje stron trzecich, z których już nie korzystasz, z listy aplikacji połączonych z kontem, zwłaszcza te z uprawnieniami do odczytu wiadomości.
  6. Uruchom Security Checkup i dodaj zapasowy numer telefonu oraz adres e-mail, nad którymi masz kontrolę.
  7. Wyłącz inteligentne funkcje w ustawieniach Gmaila, jeśli nie chcesz, aby Google przetwarzało wiadomości na potrzeby Smart Compose, kart podsumowań i funkcji obejmujących różne produkty, a także sprawdź opcje kontroli aktywności w sekcji Dane i prywatność konta Google.
  8. Naucz się rozpoznawać próby wyłudzenia informacji. Zachowaj ostrożność wobec pilnych alertów bezpieczeństwa, nawet tych, które wydają się pochodzić od Google.
  9. Nie wysyłaj bardzo poufnych informacji. Do tego celu użyj prywatnego i bezpiecznego e-maila.

Bardziej prywatna i bezpieczna alternatywa dla Gmaila

Jeśli chcesz bezpieczniejszej i bardziej prywatnej alternatywy dla Gmaila, poszukaj usługi ze szyfrowaniem end-to-end i wbudowanym szyfrowaniem typu zero-access. Proton Mail zapewnia oba te rozwiązania oraz codzienne funkcje, których oczekujesz od Gmaila, w darmowych i płatnych planach.

Wiadomości wysyłane do innych użytkowników Proton lub do odbiorców korzystających z PGP są zaszyfrowane end-to-end, w tym treść wiadomości i załączniki. W innych przypadkach można dodać ochronę hasłem. Dzięki temu tylko nadawca i odbiorca mogą odczytać te wiadomości. W mało prawdopodobnym przypadku naruszenia serwerów Proton treść wiadomości pozostaje chroniona. To samo dotyczy sytuacji, gdy Proton otrzyma nakaz sądowy.

Proton jest finansowany z subskrypcji, a nie z danych o użytkownikach. Nigdy nie wyświetlamy reklam, nie śledzimy, nie sprzedajemy danych ani nie wykorzystujemy ich do trenowania AI. Podobnie jak wszystkie aplikacje Proton, Proton Mail jest chroniony szwajcarskimi przepisami o prywatności, jednymi z najsilniejszych na świecie.

Możesz przejść z Google za pomocą Easy Switch. Easy Switch importuje wiadomości z Gmaila, kontakty i kalendarze, przekazuje dalej nowe wiadomości do Proton Mail i pozwala wysyłać wiadomości z adresu Gmail, dopóki nie przyzwyczaisz się do nowej skrzynki odbiorczej. Gdy chcesz na dobre zostawić Google za sobą, możesz przeprowadzić pełne przejście i usunąć konto Gmail – to ważny krok w stronę „deGoogling” swojego życia.

Utwórz darmowe konto Proton Mail