Ce te poate ataca online — și cum te aperi
Nu ai nevoie să fii programator pentru a înțelege riscurile digitale de bază. Majoritatea atacurilor cibernetice exploatează nu tehnologia, ci neatenția oamenilor.
Continuă lecturaTipuri de atacuri cibernetice.
Un atac cibernetic este o acțiune deliberată prin care cineva exploatează o vulnerabilitate pentru a fura date, provoca daune sau întrerupe funcționarea unui sistem. Un „threat” (risc) e doar posibilitatea ca ceva să se întâmple; un „attack” e momentul în care riscul devine acțiune reală.
Cele mai frecvente tipuri
Malware
Software rău-intenționat (viruși, viermi, troieni, spyware, ransomware) conceput să deterioreze, întrerupă sau obțină acces neautorizat la un sistem.
Ransomware
Un tip specific de malware care criptează fișierele victimei și cere o răscumpărare pentru a le debloca. Se răspândește de obicei prin email-uri de phishing sau descărcări malițioase.
Phishing
Tehnică de inginerie socială prin care atacatorii păcălesc utilizatorii să divulge informații sensibile (parole, date bancare) prin email-uri, SMS-uri sau linkuri false.
DDoS (Distributed Denial of Service)
Atac care încearcă să facă un site sau serviciu online indisponibil, inundându-l cu trafic masiv provenit din mai multe sisteme simultan.
Man-in-the-Middle (MitM)
Atacatorul se poziționează secret între două părți care comunică, interceptând sau alterând informația transmisă.
SQL Injection
Atac asupra aplicațiilor web în care se introduc comenzi SQL malițioase în câmpuri de input pentru a manipula baza de date.
Zero-day
Exploatarea unei vulnerabilități necunoscute înainte ca dezvoltatorii să lanseze o corecție (patch).
Atacuri bazate pe AI
O categorie emergentă: deepfake-uri vocale/video folosite pentru fraudă, phishing generat automat și personalizat, atacuri care își adaptează comportamentul în timp real.
Anatomia unui atac real.
Un atac nu e un singur moment, ci un lanț de pași. Asta e și vestea bună: fiecare pas e o ocazie de a-l opri, iar de obicei nu e nevoie de cunoștințe tehnice ca să-l rupi — ci de un reflex. Cele două cazuri de mai jos sunt reale și documentate public.
Două cazuri documentate
Videoconferință cu directori falși
Ianuarie 2024, Hong Kong: un angajat din departamentul financiar al firmei de inginerie Arup a autorizat transferuri de circa 200 de milioane de dolari hongkonghezi (aproximativ 25 de milioane USD) după un apel video în care toți ceilalți participanți erau generați de AI.
Momeala
Primește un email care pare să vină de la directorul financiar din Marea Britanie, despre o tranzacție confidențială. Angajatul e suspicios — mesajul are toate semnele unui phishing clasic.
Escaladarea
Exact pentru că e suspicios, e invitat la o videoconferință „ca să se lămurească”. Aici se inversează totul: pasul care ar fi trebuit să fie verificarea devine dovada.
Apelul
În call sunt directorul financiar și alți colegi pe care îi recunoaște. Toți sunt deepfake-uri construite din înregistrări video și audio publice ale companiei. Arată bine, sună bine, se comportă normal.
Instrucțiunile
Participanții falși dau instrucțiunile și încheie rapid. Angajatul aproape că nu vorbește — un dialog real ar fi expus limitele modelului, așa că scenariul e construit ca el să asculte, nu să întrebe.
Transferurile
Urmează 15 transferuri către 5 conturi bancare. Frauda iese la iveală abia după aproximativ o săptămână, când angajatul verifică în sfârșit cu sediul central.
Semnale de alarmă
- Tranzacție „confidențială”, despre care nu ai voie să discuți cu colegii — izolarea victimei e mereu parte din plan.
- Procedura normală de aprobare e ocolită, iar canalul de comunicare e ales de celălalt, nu de tine.
- Un apel în care tu asculți și nu ți se lasă spațiu să pui întrebări deschise.
Ce oprea atacul: Verificarea pe un canal ales de tine. Închizi și suni înapoi pe numărul din agenda internă a firmei — nu pe cel din invitație, nu răspunzând la același email. O imagine și o voce se pot falsifica; un apel pe care îl inițiezi tu, către un număr cunoscut, mult mai greu.
Sursă: Arup (confirmat public), relatat de CNN și Financial Times
O parolă veche deschide un cont nou
Octombrie 2023: atacatorii au intrat în circa 14.000 de conturi 23andMe folosind parole scurse de pe cu totul alte site-uri. De acolo au ajuns la datele a aproximativ 6,9 milioane de oameni.
Scurgerea inițială
Un site oarecare — un forum, un magazin online — e spart cu ani în urmă. Liste de adrese de email și parole ajung să circule și să fie vândute. Nu are nicio legătură cu contul tău important.
Automatizarea
Atacatorul dă lista unui program care încearcă aceleași combinații pe alte servicii, mecanic, milioane de încercări. Se numește credential stuffing și nu presupune nicio „spargere” — doar răbdare.
Intrarea
Conturile unde omul a refolosit aceeași parolă se deschid din prima. Din perspectiva serviciului atacat, arată ca o autentificare perfect normală: user și parolă corecte.
Amplificarea
Aici cazul devine instructiv. Din interiorul celor 14.000 de conturi, o funcție socială a platformei — lista de rude genetice — a expus date despre milioane de oameni care nu fuseseră niciodată spargați și nu greșiseră nimic.
Consecința
Datele ajung la vânzare, inclusiv liste filtrate pe origine etnică. Pentru cei afectați nu există „schimbă parola și gata”: informația genetică nu se poate reseta.
Semnale de alarmă
- Notificări de autentificare din locuri sau de pe dispozitive pe care nu le recunoști.
- Emailuri de resetare a parolei pe care nu tu le-ai cerut — cineva îți știe adresa și încearcă.
- Adresa ta apare în haveibeenpwned.com pentru o breșă veche, pe care ai ignorat-o atunci.
Ce oprea atacul: O parolă unică pentru fiecare cont, ținută într-un manager de parole. Refolosirea parolei e exact mecanismul care transformă o scurgere veche și neînsemnată într-un cont important pierdut azi.
Sursă: 23andMe (notificare oficială către utilizatori), relatat de TechCrunch
Nu toate metodele de autentificare sunt egale.
„Activează 2FA” e sfatul pe care îl repetă toată lumea, dar al doilea factor pe care îl alegi contează enorm. Diferența dintre un cod prin SMS și o passkey nu e una de comoditate, ci de categorie: una poate fi cerută de un site fals, cealaltă nu.
De la cel mai ușor de spart la cel mai greu
Doar parolă
Nivelul 1 din 4
Slab
nivel de protecție
O singură barieră, de obicei refolosită pe zeci de site-uri. E exact scenariul din cazul de mai sus: o scurgere de acum cinci ani îți poate deschide contul de azi.
- Rezistă la phishing
- Nu
- Rezistă la schimbarea SIM-ului
- Irelevant
- Ce îți trebuie
- Nimic în plus
Limitări
- Refolosirea propagă o singură scurgere peste tot
- Vulnerabil la credential stuffing automatizat
Cod prin SMS
Nivelul 2 din 4
Mediu
nivel de protecție
Mai bine decât nimic, și oprește atacurile automate în masă. Dar codul circulă printr-o rețea pe care nu o controlezi: cine convinge operatorul să îți mute numărul pe alt SIM primește codurile în locul tău.
- Rezistă la phishing
- Nu
- Rezistă la schimbarea SIM-ului
- Nu
- Ce îți trebuie
- Semnal GSM
Avantaje
- Disponibil aproape peste tot
- Nu cere aplicații noi — bariera de intrare e zero
Limitări
- Vulnerabil la SIM-swap
- Un site fals îți poate cere codul și îl folosește pe loc
Aplicație de coduri (TOTP)
Nivelul 3 din 4
Bun
nivel de protecție
Codul se generează pe telefonul tău, din ceas și o cheie comună, fără să treacă prin nicio rețea. Operatorul de telefonie iese complet din ecuație, iar SIM-swap-ul nu mai ajută la nimic.
- Rezistă la phishing
- Parțial
- Rezistă la schimbarea SIM-ului
- Da
- Ce îți trebuie
- O aplicație
Avantaje
- Funcționează fără semnal și fără internet
- Nu depinde de operator sau de numărul tău
Limitări
- Un site fals îți poate cere codul și îl retransmite în timp real
- Trebuie să salvezi codurile de rezervă undeva sigur
Passkey / cheie de securitate
Nivelul 4 din 4
Foarte bun
nivel de protecție
Cheia e legată criptografic de adresa site-ului real și nu părăsește niciodată dispozitivul. Pe un site fals pur și simplu nu se declanșează — nu pentru că ai fost atent, ci pentru că adresa nu se potrivește. Nu ai ce să dai mai departe, nici dacă vrei.
- Rezistă la phishing
- Da
- Rezistă la schimbarea SIM-ului
- Da
- Ce îți trebuie
- Telefon sau cheie fizică
Avantaje
- Singura metodă din listă rezistentă la phishing prin construcție
- Nimic de tastat, deci nimic de furat sau de retransmis
- Deblocare cu amprentă sau față — în practică e și mai rapidă
Limitări
- Încă nu e acceptată de toate serviciile
Ordinea de mai sus e utilă ca prioritate, nu ca verdict moral: orice treaptă în sus e un câștig real. Dacă un serviciu important îți oferă doar SMS, activează SMS — e mult mai bine decât nimic. Schimbă doar acolo unde ai de ales.
Cum te protejezi — checklist practic.
- Folosește parole unice și lungi pentru fiecare cont, gestionate cu un manager de parole.
- Activează autentificarea în doi factori (2FA) oriunde este posibil.
- Nu deschide linkuri sau atașamente din email-uri nesolicitate, chiar dacă par oficiale.
- Verifică orice cerere urgentă de transfer de bani sau date sensibile printr-un canal separat (telefon, nu prin același email/mesaj).
- Actualizează regulat sistemul de operare și aplicațiile — multe atacuri exploatează vulnerabilități deja corectate în versiuni noi.
- Fă backup periodic al datelor importante, separat de rețeaua principală (protecție esențială împotriva ransomware).
Nu toți avem același model de risc.
Sfaturile de securitate se dau de obicei ca și cum toată lumea ar fi amenințată de aceleași lucruri. Nu e așa. „Modelul de risc” înseamnă pur și simplu să răspunzi la trei întrebări: ce ai de pierdut, cine ar avea un motiv să ți-l ia, și cât efort merită să investești. Găsește-ți profilul și începe de acolo — lista e ordonată după impact, nu după dificultate.
Trei profiluri
- o seară
Utilizator obișnuit
Cel mai probabil vei fi ținta unui atac automat, nu a unuia personalizat: parole refolosite încercate mecanic și mesaje de fraudă trimise în masă.
- Instalează un manager de parole și lasă-l pe el să genereze parolele.
- Schimbă întâi parolele de la email și de la banca ta — emailul e cheia care resetează toate celelalte conturi.
- Activează passkey sau o aplicație de coduri pe aceleași două conturi.
- Verifică-ți adresa pe haveibeenpwned.com și tratează fiecare rezultat ca pe o parolă de schimbat.
- un weekend
Freelancer / PFA
Pe lângă riscurile de mai sus, ai datele clienților pe laptopul tău și facturi care circulă pe email — exact ținta fraudei cu schimbarea IBAN-ului.
- Fă tot ce e în profilul de mai sus, întâi.
- Confirmă telefonic orice schimbare de cont bancar comunicată prin email, inclusiv când pare să vină de la un client vechi.
- Ține datele clienților separat de contul personal — alt spațiu de stocare, alt cont, alte permisiuni.
- Activează criptarea discului (FileVault pe Mac, BitLocker pe Windows): un laptop furat devine o problemă de hardware, nu de confidențialitate.
- Fă backup automat, iar o copie ține-o offline sau într-un cont la care laptopul nu are acces permanent.
- câteva săptămâni
Firmă mică
Aici apar atacurile care țintesc organizația, nu persoana: ransomware care îți criptează tot, și fraude de tip „directorul cere urgent un transfer”.
- Scrie o regulă de verificare pentru plăți și fă-o obligatorie, nu opțională: orice transfer peste un prag se confirmă printr-un canal separat, ales de cel care plătește.
- Spune-le explicit oamenilor că au voie să întârzie o plată ca să verifice. Fără asta, presiunea ierarhică face singură restul muncii atacatorului.
- Testează restaurarea din backup, nu doar existența lui. Un backup nerestaurat niciodată e o presupunere, nu o protecție.
- Ține cel puțin o copie de backup izolată de rețea — ransomware-ul caută și criptează backupurile conectate.
- Revocă accesele la plecarea din firmă în aceeași zi, nu „când ne aducem aminte”.
Nouă termeni de reținut.
Cele trei obiective fundamentale ale securității cibernetice — Confidențialitate, Integritate, Disponibilitate (Confidentiality, Integrity, Availability).
O slăbiciune într-un sistem care poate fi exploatată de un atacator.
O actualizare software care corectează o vulnerabilitate cunoscută.
Manipulare psihologică a oamenilor pentru a obține acces la informații sau sisteme, fără a exploata direct tehnologia.
Încercarea automată a unor perechi email–parolă scurse dintr-o breșă pe alte servicii, mizând pe faptul că oamenii refolosesc parolele. Nu sparge nimic: doar se autentifică normal, cu datele tale.
Preluarea numărului tău de telefon pe un alt SIM, de obicei convingând operatorul că ești tu. De aici, atacatorul primește codurile trimise prin SMS — motivul pentru care SMS-ul e cel mai slab al doilea factor.
O cheie criptografică legată de dispozitivul tău și de adresa exactă a site-ului, care înlocuiește parola. Nu poate fi tastată, transmisă sau cerută de un site fals.
O metodă de autentificare pe care nu o poți da din greșeală altcuiva, pentru că nu există nimic de dat — protecția vine din construcție, nu din atenția utilizatorului.
Răspunsul la trei întrebări: ce ai de pierdut, cine ar vrea să îți ia acel lucru și cât efort merită să investești ca să îl aperi. Fără el, sfaturile de securitate devin o listă infinită fără priorități.
Cazurile din Secțiunea 2 sunt documentate public: incidentul Arup a fost confirmat de companie și relatat de CNN și Financial Times; breșa 23andMe a fost notificată oficial utilizatorilor. Pentru definiții și tipurile de atac: Fortinet, Imperva, CrowdStrike, ENISA.