Cum recunoști un atac de phishing înainte să fie prea târziu

Phishing-ul rămâne, an după an, cea mai folosită cale de intrare într-o organizație. Nu pentru că lipsesc filtrele de email sau antivirusul, ci pentru că atacatorii țintesc ceva ce niciun program nu poate repara: felul în care reacționăm când suntem grăbiți, obosiți sau prinși între două ședințe.

Vestea bună: marea majoritate a emailurilor de phishing au aceleași câteva ticuri. Odată ce le știi, le vezi. Iar odată ce echipa ta le știe, un atac care ar fi costat săptămâni de curățenie se termină cu un email raportat și șters.

Iată cele trei semnale care apar cel mai des — și ce faci cu ele.

Semnalul 1: graba artificială

„Contul tău va fi blocat în 24 de ore.” „Factura este scadentă azi.” „Directorul are nevoie de plata asta până la prânz.”

Presiunea de timp nu este un accident — este chiar mecanismul atacului. Atacatorul știe că o persoană care are timp să gândească pune întrebări: de ce îmi cere banca asta acum? De ce vine mesajul de pe adresa asta? Așa că îți ia timpul de gândire. Orice mesaj care îți cere să acționezi imediat, sub amenințarea unei consecințe — cont blocat, penalizare, șansă pierdută — merită exact reacția opusă: încetinește.

Un reflex simplu de instalat în echipă: cu cât un email insistă mai tare că e urgent, cu atât mai mult merită o pauză de 30 de secunde. Instituțiile reale — bănci, furnizori, autorități — nu rezolvă lucruri grave printr-un singur email cu numărătoare inversă.

Semnalul 2: domenii care seamănă, dar nu sunt

microsoft-security.com nu este Microsoft. netflix-cont.net nu este Netflix. Diferența dintre domeniul real și cel fals este adesea o cratimă, o literă dublată sau o terminație schimbată — exact genul de detaliu pe care ochiul îl sare când citește în grabă pe telefon.

Ce poți verifica în câteva secunde:

• Adresa expeditorului, nu numele afișat. Numele „Microsoft Support” poate fi scris de oricine; adresa reală din spatele lui este cea care contează.
• Linkul, înainte să dai click. Pe calculator, ține cursorul peste link și uită-te la adresa care apare. Pe telefon, apasă lung pe link ca să vezi destinația reală.
• Partea de dinaintea primului „/”. Aceea este destinația reală. microsoft.com.verificare-cont.net te duce pe verificare-cont.net, nu la Microsoft.

Dacă ai și cel mai mic dubiu, nu folosi linkul din email. Deschide browserul și intră pe site-ul instituției cum o faci de obicei — adresa scrisă de tine, nu cea servită de mesaj.

Semnalul 3: cereri pe care nimeni legitim nu le face

Niciun furnizor serios nu îți cere parola prin email. Nicio bancă nu îți cere PIN-ul sau datele complete ale cardului „pentru verificare”. Niciun coleg din conducere nu îți cere, printr-un mesaj scurt și neobișnuit de amabil, să cumperi carduri cadou sau să faci o plată către un cont nou.

Cererile neobișnuite sunt semnalul cel mai ușor de ratat, pentru că vin ambalate în contexte plauzibile: o factură de la un furnizor cu care chiar lucrezi, dar cu un IBAN „actualizat”; un mesaj de la „directorul general” exact în ziua în care acesta e plecat. Regula care taie nodul: orice cerere care implică bani, parole sau date de acces se verifică pe un alt canal decât cel pe care a venit. Un telefon la numărul pe care îl știi deja — nu la cel din semnătura emailului — rezolvă în două minute ce o plată greșită nu mai rezolvă deloc.

Ce faci când ai un dubiu

Trei lucruri, în ordinea asta:

1. Nu da click, nu descărca, nu răspunde. Nici măcar „dezabonare” — confirmă doar că adresa ta e activă.
2. Verifică pe alt canal. Sună persoana sau instituția, sau intră direct pe site-ul lor.
3. Raportează intern. Chiar dacă s-a dovedit o alarmă falsă. Un email suspect raportat devreme poate fi exact avertismentul care protejează restul colegilor — același mesaj ajunge rareori la o singură persoană.

Și dacă cineva a apucat să dea click sau să introducă o parolă: cu cât spune mai repede, cu atât e mai ușor de limitat răul. O parolă schimbată în 10 minute e un incident evitat; una schimbată după trei zile de tăcere e o anchetă.

Simulările interne: măsurătoare, nu vânătoare de vinovați

Cel mai eficient mod de a afla cât de expusă e organizația ta nu e un chestionar, ci o simulare de phishing: emailuri de test, realiste, trimise propriilor angajați, într-un cadru controlat.

O condiție însă e esențială: simularea măsoară sistemul, nu pedepsește oamenii. În momentul în care cine dă click e sancționat sau expus în fața colegilor, ai stricat singurul lucru care contează cu adevărat — disponibilitatea oamenilor de a raporta. Data viitoare, cel care greșește va tăcea. Iar tăcerea, nu click-ul, este ceea ce transformă un incident mic într-unul mare.

Folosită corect, simularea îți arată unde e nevoie de instruire, ce roluri sunt cele mai vizate (financiar, asistență, conducere) și dacă programul de conștientizare chiar schimbă comportamente de la o rundă la alta. Experiența arată că rata de click scade măsurabil după un program de instruire bine construit — dar cifra exactă depinde de organizație, de punctul de pornire și de calitatea programului, nu de o promisiune de pe un fluturaș.

Ce legătură are asta cu NIS2

Dacă organizația ta intră sub incidența NIS2 — transpusă în România prin OUG 155/2024, aprobată prin Legea 124/2025 — conștientizarea nu mai e opțională. Printre măsurile de securitate cerute de lege se numără igiena cibernetică de bază și instruirea angajaților, iar conducerea are obligația de a urma ea însăși pregătire în domeniu. Cu alte cuvinte: un program real de instruire împotriva phishing-ului nu e doar bun-simț operațional, ci și o cerință pe care DNSC o poate verifica.

Partea încurajatoare e că cele două obiective se suprapun perfect: același program care îți reduce riscul real bifează și obligația legală. Invers nu funcționează — un PDF trimis anual pe email nu schimbă niciun comportament și nu convinge niciun auditor.

---

Recunoașterea phishing-ului nu e un talent nativ, ci un mușchi care se antrenează: semnale clare, exerciții realiste și o cultură în care raportarea e lăudată, nu penalizată. Dacă vrei să construiești exact asta în organizația ta — instruire pe roluri, simulări de phishing fără vânătoare de vinovați și progres măsurabil — vezi serviciul nostru de training de securitate sau scrie-ne direct.

Vrei să vezi cât de repede recunoști tu semnalele? Încearcă jocul „Primele 30 de zile” — 3 minute, fără cont.