Spear phishing în 2026: cum funcționează și de ce MFA clasic nu mai e suficient

Spear phishing în 2026: cum funcționează și de ce MFA clasic nu mai e suficient, după avertizările Directoratului Național de Securitate Cibernetică despre valul de mesaje personalizate care vizează firme și instituții din România. Spear phishing înseamnă un mesaj făcut pentru o singură persoană, cu numele, funcția, colegii și proiectele ei reale, care cere o acțiune plauzibilă: o factură de plătit, un document de deschis, o autentificare „de verificare”. Ce s-a schimbat în 2026: personalizarea la scară cu modele de limbaj și tehnicile care ocolesc autentificarea în doi pași clasică, cu coduri.

Articolul explică mecanismul, rolul AI, cum sunt ocolite codurile, ce protejează cu adevărat (autentificarea rezistentă la phishing) și lista de măsuri pentru o firmă mică, din experiența incidentelor pe care le-am gestionat pentru clienți.

Spear phishing în 2026: cum funcționează și de ce MFA clasic nu mai e suficient

Phishing față de spear phishing

Phishing-ul clasic trimite același mesaj la milioane de adrese și mizează pe procentul mic care răspunde. Spear phishing-ul pornește de la țintă: numele complet, funcția, firma, un proiect recent, numele unui coleg sau al unui furnizor, toate din surse publice (LinkedIn, site-ul firmei, rețele sociale, comunicate) sau din breșe anterioare. Un atacator construiește în câteva ore un profil credibil și scrie un mesaj care pare că vine de la directorul firmei, de la contabil sau de la furnizorul de găzduire, cu detalii pe care un străin nu le-ar ști. Rata de răspuns la astfel de mesaje este de zeci de ori mai mare decât la phishing-ul generic.

Rolul AI

Până în 2023, personalizarea cerea muncă manuală, deci spear phishing-ul era rezervat țintelor valoroase. Modelele de limbaj au eliminat limita: sute de mesaje pe oră, fiecare adaptat profilului destinatarului, în română corectă, cu tonul potrivit funcției, fără greșelile care trădau vechile mesaje. Clonarea vocii pentru apeluri („directorul” care cere un transfer urgent) și mesajele video sintetice au apărut în incidente raportate în 2025 și 2026. Concluzia practică: „mesajul pare scris de un om care ne cunoaște” nu mai este un semn de autenticitate.

Cum ocolesc atacatorii MFA clasic

1. Proxy în timp real (adversary-in-the-middle): victima primește o legătură spre o pagină de autentificare falsă, identică cu cea reală, care transmite în timp real datele spre serviciul real; victima introduce parola și codul din SMS sau din aplicație, atacatorul le folosește în aceleași 30 de secunde și primește sesiunea. Uneltele pentru acest atac sunt disponibile ca servicii, la prețuri mici.
2. Oboseala de aprobare: atacatorul are parola (din breșe) și declanșează notificări push repetate; victima apasă „aprobă” ca să scape sau crezând că e o eroare.
3. Furtul de sesiune: programe care copiază cookie-urile de sesiune din browser, după o autentificare legitimă; al doilea factor a fost deja trecut de victimă.
4. Duplicarea cartelei (SIM swap): codurile prin SMS ajung la atacator, care a convins operatorul să mute numărul.
5. Inginerie socială la suport: „am pierdut telefonul, resetați-mi al doilea factor”, cu detalii suficiente ca să convingă.

Toate au în comun un lucru: al doilea factor bazat pe ceva ce victima poate transmite (un cod, o aprobare) poate fi transmis atacatorului. Ce nu poate fi transmis este o semnătură criptografică legată de domeniul real.

Ce protejează: autentificarea rezistentă la phishing

Cheile fizice FIDO2 (YubiKey și similare) și passkey-urile (aceeași tehnologie, cu cheia stocată în telefon sau în calculator) răspund doar site-ului legitim: pagina falsă, chiar identică, are alt domeniu, iar cheia nu semnează pentru el. Proxy-ul în timp real nu funcționează, oboseala de aprobare nu există (nu există notificare de aprobat), SIM swap-ul nu ajută. Ghidul NIST pentru autentificare recomandă explicit acest nivel pentru conturile importante și clasifică SMS-ul ca opțiune restricționată. Configurarea pe conturile Google, Microsoft, cPanel și WordPress este descrisă în ghidul despre autentificarea în doi pași, cu accent pe chei și passkeys.

Semnele unui mesaj țintit

• Urgența și confidențialitatea („plătește azi, nu spune nimănui până semnăm”).
• O cerere neobișnuită de la o persoană obișnuită: transfer, schimbare de cont bancar al unui furnizor, date de autentificare.
• Adresa expeditorului asemănătoare, nu identică (litere schimbate, domeniu cu o literă în plus), sau un domeniu legitim compromis.
• Legături spre pagini de autentificare, chiar dacă arată ca Microsoft sau Google; verificați domeniul din bara de adrese, nu aspectul.
• Documente care cer „activarea conținutului” sau instalarea a ceva.
• Contextul corect, dar detaliile puțin greșite: un proiect real, dar cu un termen pe care nu îl aveți.

Regula pe care o aplicăm în firmă: orice cerere de bani sau de date de acces se confirmă pe alt canal (telefon la un număr cunoscut, nu cel din mesaj), indiferent cine pare că o trimite.

Lista de măsuri pentru o firmă mică

1. Chei fizice sau passkeys pentru administratori și pentru conturile financiare; TOTP pentru restul; SMS nicăieri unde există altă opțiune.
2. Procedura de confirmare pe alt canal pentru plăți și pentru schimbări de conturi bancare, scrisă și cunoscută de toți.
3. SPF, DKIM și DMARC cu p=reject pe domeniul firmei, ca atacatorii să nu poată trimite mesaje „de la” dumneavoastră colegilor și clienților; configurarea este în ghidul despre setările DNS de bază.
4. Filtrare de e-mail cu verificarea legăturilor și a atașamentelor, și marcarea mesajelor externe.
5. Actualizări la zi pe calculatoare și browsere; manager de parole (care nu completează parola pe un domeniu greșit, un semnal util în sine).
6. Reducerea expunerii publice: organigrame detaliate și adrese personale de e-mail pe site nu sunt necesare; o adresă generală pentru fiecare funcție.
7. Exercițiu de o oră pe an: exemple reale de mesaje, ce s-a întâmplat în alte firme, ce facem noi; nu teste-capcană care umilesc.
8. Planul pentru cazul în care cineva a apăsat: cui spune, ce conturi se rotesc, cine anunță banca; pașii tehnici sunt în ghidul despre răspunsul la incidente de securitate.

Ce spune avertizarea DNSC

Directoratul a semnalat campanii care imită instituții (ANAF, bănci, furnizori de utilități) și, tot mai des, parteneri de afaceri reali ai țintei, cu documente atașate sau cu legături spre pagini de autentificare clonate; a recomandat verificarea expeditorului, confirmarea pe alt canal și raportarea. Ce adaugă practica noastră: campaniile care vizează firme mici din România folosesc deseori domenii înregistrate cu câteva zile înainte, cu numele firmei-țintă sau al furnizorului ei ușor modificat, iar mesajele sosesc în afara programului (seara, vineri), când verificarea pe alt canal e mai greu de făcut. O regulă simplă rezolvă cazul: nicio plată și nicio autentificare „urgentă” în afara programului, fără confirmare a doua zi.

Cum verificați un mesaj în două minute

1. Expeditorul: adresa completă, nu numele afișat; domeniul comparat literă cu literă cu cel cunoscut.
2. Legăturile: cursorul deasupra (pe telefon, apăsare lungă) arată adresa reală; domeniul de după https:// și înaintea primului slash este cel care contează.
3. Antetele: în programul de e-mail, „afișează sursa”; rezultatele SPF, DKIM și DMARC pentru domeniul expeditorului; un fail pe toate trei este un fals aproape sigur.
4. Contextul: cererea are sens în relația reală? Persoana chiar ar cere asta, așa, acum?
5. Canalul alternativ: un telefon la numărul cunoscut, nu la cel din mesaj.

Cazuri văzute de aproape

O firmă de servicii a primit, în numele directorului aflat în concediu, cererea de plată a unei facturi „urgente” spre un cont nou; mesajul cita un proiect real, menționat pe LinkedIn cu o săptămână înainte. Contabila a sunat directorul; plata nu s-a făcut. O a doua firmă, fără procedură, a plătit 8.000 de euro. Un administrator de site a primit un mesaj „de la furnizorul de găzduire” cu o pagină de autentificare identică cu cPanel; a introdus parola și codul TOTP; atacatorul a intrat în aceleași secunde și a instalat un script de spam. Cheia fizică ar fi refuzat pagina falsă; codul TOTP nu a putut.

Ce înseamnă pentru site-uri

Conturile de administrare ale site-ului, ale găzduirii, ale registrarului și ale profilului Google sunt ținte de spear phishing la fel de valoroase ca banca: un site preluat înseamnă redirecționări, spam în numele firmei și pierderea pozițiilor. Măsurile pentru cont sunt în ghidul despre securitatea contului cPanel, iar contextul atacurilor din România, cu cifrele DNSC, în articolul despre atacurile DDoS zilnice în România.

Întrebări frecvente

1. Codurile din aplicație sunt inutile? Nu; opresc atacurile automate cu parole furate. Nu opresc phishing-ul țintit în timp real; pentru el, chei sau passkeys.
2. Cât costă o cheie fizică? Între 25 și 70 de euro; două per persoană importantă (una de rezervă).
3. Passkey-urile sunt la fel de sigure ca o cheie fizică? Împotriva phishing-ului, da; depind de securitatea dispozitivului și a contului în care sunt sincronizate.
4. Cum raportez un mesaj țintit? La DNSC (prin formularul de raportare) și, dacă a produs pagube, la poliție; păstrați mesajul cu antetele complete.

Surse

• NIST SP 800-63B, ghid pentru autentificare: nivelurile de asigurare, autentificatoarele rezistente la phishing și restricțiile pentru SMS.