Phishing, 2FA și parole unice: cum îți aperi conturile firmei și ale asociației

Majoritatea conturilor compromise nu sunt „sparte" în sensul din filme. Sunt deschise cu parola corectă, pe care omul a dat-o singur, pe o pagină care arăta exact ca cea a băncii, sau pe care a folosit-o și pe un site al cărui baze de date a fost furată. Vestea bună e că amândouă căile se închid cu trei obiceiuri simple: recunoașterea phishing-ului, autentificarea în doi pași și câte o parolă unică pentru fiecare cont.

Ce urmează se aplică la fel unei firme mici, unei asociații de proprietari sau unei familii. Diferă doar câte conturi sunt în joc și câți oameni le folosesc.

Phishing-ul: cum arată în 2026

Mesajele de phishing nu mai sunt pline de greșeli de ortografie. Sunt scrise corect, uneori cu ajutorul inteligenței artificiale, folosesc sigla reală a instituției și vin exact când te aștepți la ele: o „factură restantă" la furnizorul de energie, o „notificare ANAF", un „colet reținut", o „verificare de securitate" de la bancă.

Semnele care contează mai mult decât aspectul

• adresa reală a expeditorului și a linkului — nu numele afișat. Un link care pare că duce la bancă, dar are domeniul scris puțin altfel, e semnalul principal;
• urgența — „contul va fi suspendat în 24 de ore", „ultima notificare înainte de executare";
• cererea de date pe care instituția le are deja — o bancă nu-ți cere pe email parola sau codul primit prin SMS;
• atașamentele neașteptate, mai ales arhive și documente care cer activarea macrocomenzilor.

Regula de lucru e simplă: nu intri în niciun cont dintr-un link primit. Deschizi site-ul pe drumul pe care îl folosești mereu — adresa tastată, un semn de carte sau adresa salvată în seif — și verifici acolo dacă există vreo notificare. Facturile reale între firme ajung, oricum, prin sistemul e-Factura al ANAF; un program de facturare precum SpokInvoice le aduce de acolo, nu dintr-un atașament primit de la un necunoscut.

Momentele de tranziție sunt cele mai riscante

Atacatorii profită de schimbări: un administrator nou, un contabil nou, un furnizor care „și-a schimbat contul bancar". Un mesaj care cere plata pe un IBAN nou se confirmă telefonic, la un număr cunoscut dinainte, nu la numărul din mesaj. Dacă tocmai schimbați administratorul, citiți și cum se predau parolele la schimbarea administratorului — exact acele zile sunt cele în care un mesaj fals trece cel mai ușor.

Autentificarea în doi pași (2FA): al doilea lacăt

2FA înseamnă că, pe lângă parolă, contul cere ceva ce ai la tine: un cod de pe telefon, o confirmare într-o aplicație, o cheie fizică. Chiar dacă parola ajunge la un atacator, ea singură nu-i mai ajunge.

Tipurile de 2FA, de la cel mai bun

1. Chei de securitate și passkey-uri — legate criptografic de adresa adevărată a site-ului. Pe o pagină falsă pur și simplu nu funcționează, deci rezistă și la phishing-ul bine făcut.
2. Aplicații de autentificare — coduri de șase cifre care se schimbă la 30 de secunde. Sigure, dar un cod poate fi totuși tastat pe o pagină falsă, dacă omul nu verifică adresa.
3. Coduri prin SMS — mai bune decât nimic, dar vulnerabile la duplicarea cartelei SIM și la redirecționări.

Ordinea în care se activează: întâi emailul (de el depinde resetarea tuturor celorlalte conturi), apoi banca, apoi restul. La activare, serviciile dau de obicei și coduri de rezervă, pentru cazul în care pierzi telefonul. Ele trebuie păstrate undeva sigur — tipărite într-un loc închis sau ca notiță criptată într-un seif de parole. Dacă le ții în același seif cu parola, ține cont că atunci seiful devine singurul punct de care depinde contul; pentru conturile cu adevărat critice, o copie tipărită separat e mai prudentă.

2FA într-o firmă sau asociație

Codurile trebuie să ajungă pe un dispozitiv al instituției sau al omului care răspunde azi de cont, nu pe telefonul personal al cuiva care a plecat acum doi ani. Lista „cine primește codurile pentru ce cont" face parte din inventarul conturilor și se actualizează la fiecare plecare.

Parole unice: de ce refolosirea e cea mai scumpă scurtătură

Bazele de date ale site-urilor sunt furate regulat, iar listele de emailuri și parole ajung publice. Atacatorii nu ghicesc nimic: încearcă automat fiecare pereche pe sute de alte servicii. Dacă parola contului de la un magazin online e aceeași cu cea a emailului firmei, scurgerea de la magazin devine acces la emailul firmei — și, prin el, la resetarea tuturor celorlalte conturi.

Singura apărare reală e ca fiecare cont să aibă parola lui, lungă și aleatorie. Nimeni nu poate ține minte zeci de astfel de parole, și nici nu trebuie: pentru asta există un manager de parole. Ții minte una singură, parola master, iar restul le generează și le păstrează seiful.

Cum ajută SpokPass, concret

• Generatorul de parole folosește sursa de aleatoriu criptografică a dispozitivului și evită înclinarea statistică a caracterelor; implicit produce parole de 20 de caractere, cu majuscule, cifre și simboluri.
• Starea seifului arată câte parole sunt slabe și câte sunt refolosite — aceeași parolă în mai multe locuri — ca să știi ce să schimbi întâi.
• Adresa site-ului stă în fiecare intrare: înainte să tastezi o parolă pe o pagină deschisă dintr-un mesaj, compari adresa din bara browserului cu cea salvată în seif.
• Criptarea pe dispozitiv: titlul, adresa, utilizatorul, parola și notițele intră într-un singur bloc AES-256-GCM înainte să plece spre server. Serverul nu le poate citi, deci nici o scurgere de pe server nu le-ar putea expune.
• Protecția contului SpokPass: cheia se derivă cu Argon2id, un algoritm făcut intenționat lent și costisitor în memorie, iar după 5 parole greșite la rând contul se blochează 5 ore. Seiful se încuie singur după 15 minute de inactivitate (durata se poate schimba din setări).

Și o regulă care decurge direct din felul în care e construit produsul: parola master nu pleacă niciodată de pe dispozitivul tău. Pe server ajunge doar o dovadă derivată din ea, din care parola nu se poate reface. Prin urmare, nimeni de la SpokPass n-are de ce să ți-o ceară — un email, un SMS sau un apel care o cere e, prin definiție, phishing.

Unde intră automatizarea și AI-ul

Tot mai multe firme dau acces la conturi și unor programe: integrări, roboți de raportare, agenți AI care citesc emailuri sau facturi. Fiecare astfel de acces trebuie tratat ca al unui angajat — cont separat, parolă sau cheie proprie, drepturi minime, retras când nu mai e folosit. Despre cum se gândește corect un astfel de proiect, colegii din ecosistem au scris un ghid util: agenți AI pentru firme — ce sunt și când merită.

Rezumat: cele trei obiceiuri

1. nu intri în conturi din linkuri primite; deschizi site-ul pe drumul știut și verifici adresa;
2. activezi 2FA, începând cu emailul și banca, și păstrezi codurile de rezervă separat;
3. fiecare cont are parola lui, generată, ținută într-un seif criptat — iar tu ții minte una singură.

Niciunul nu cere cunoștințe tehnice. Cer doar să devină obicei, pentru toți cei care au acces la conturile firmei sau ale asociației.