Phishing în 2026: AI, ClickFix, deepfake și de ce contează passkeys

Ani la rând, instruirea anti-phishing a repetat aceleași semne: greșeli de ortografie, formulări stângace, salutări generice. Modelele de limbaj au eliminat aceste semne. Un atacator scrie azi, în câteva secunde, un e-mail impecabil în română, adaptat după profilul tău public și tonul companiei.

Semnele care rămân valabile țin de context și de cerere, nu de limbă:

• Urgența și presiunea: „azi până la 16:00”, „contul va fi suspendat”, „directorul e în ședință, nu poate vorbi”.
• Ocolirea procesului: plată fără comandă, schimbare de IBAN pe e-mail, cerere de a nu implica pe altcineva.
• Canal neobișnuit: o cerere financiară pe WhatsApp, un document „partajat” de cineva cu care nu lucrezi.
• Domeniul real: adresa expeditorului și destinația linkului, verificate înainte de click, nu numele afișat.
• Cerere de autentificare apărută din senin, după un click pe un link primit.

Regula practică: dacă un mesaj îți cere bani, credențiale sau o acțiune neobișnuită pe computer, verifică pe un canal pe care îl cunoșteai deja, nu pe cel indicat în mesaj.

Pagina falsă de login clasică doar colecta parola. Kiturile adversary-in-the-middle (AiTM) — EvilProxy și Tycoon 2FA sunt două dintre cele raportate public — funcționează ca un proxy: afișează pagina reală de autentificare, trimit în timp real parola și codul MFA către serviciul legitim și păstrează cookie-ul de sesiune rezultat.

Cu acel cookie, atacatorul intră în cont fără parolă și fără MFA. Codurile prin SMS, aplicațiile OTP și notificările push nu ajută, pentru că utilizatorul chiar se autentifică — doar că printr-un intermediar. După acces, urmează de obicei reguli de redirecționare a e-mailului, fraude de tip BEC sau mișcare laterală spre alte aplicații.

ClickFix este una dintre cele mai raportate tehnici din 2024–2025. Victima ajunge pe o pagină care imită o verificare CAPTCHA sau un mesaj de eroare și primește instrucțiuni aparent banale: apasă Win+R, apoi Ctrl+V, apoi Enter. Între timp, pagina a copiat în clipboard o comandă PowerShell. Utilizatorul rulează singur codul atacatorului, de obicei un infostealer care fură parole salvate, cookie-uri și portofele de criptomonede.

Tehnica funcționează pentru că ocolește multe filtre: nu există atașament, nu se descarcă un executabil vizibil, iar comanda pornește din contul utilizatorului.

• Mesaj clar în instruire: niciun site legitim nu îți cere să lipești comenzi în Run sau în terminal.
• Restricționarea dialogului Run și a PowerShell pentru utilizatorii care nu au nevoie de ele, acolo unde este fezabil.
• Monitorizarea proceselor PowerShell pornite din explorer.exe cu argumente codificate.

Toate trei au ceva în comun: mută atacul de pe canalul bine filtrat (e-mailul pe computer) pe unul mai slab protejat — telefonul, conversația vocală sau oboseala utilizatorului.

Clonarea vocii cere azi doar câteva secunde de înregistrare publică. Cel mai citat caz rămâne cel din 2024, raportat pe larg în presă: un angajat al firmei de inginerie Arup din Hong Kong a transferat aproximativ 25 de milioane de dolari după un apel video în care „directorul financiar” și alți colegi erau, de fapt, deepfake-uri.

Direcția inversă e la fel de periculoasă: atacatorul sună la help desk pretinzând că este un angajat care și-a pierdut telefonul și cere resetarea parolei și a MFA. Grupuri precum Scattered Spider au folosit public această tehnică — incidentele de la MGM (2023) și din retailul britanic (2025) i-au fost atribuite public.

• Procedură scrisă pentru resetări: verificare prin manager, apel înapoi pe numărul din HR, nu pe cel din apel.
• Plăți și schimbări de IBAN confirmate în afara canalului inițial, cu un al doilea aprobator.
• Un cuvânt sau o întrebare de verificare pentru cererile financiare urgente ale conducerii.

Passkeys sunt credențiale FIDO2/WebAuthn: o pereche de chei în care cheia privată rămâne pe dispozitiv sau în managerul de parole, iar autentificarea este legată de domeniul real. Pe un site fals, browserul pur și simplu nu oferă credențiala. De aceea sunt considerate rezistente la phishing — inclusiv la AiTM.

Revizuirea NIST SP 800-63B-4, publicată în 2025, merge în aceeași direcție și recunoaște autentificatorii rezistenți la phishing. Pentru parole, recomandările ei sunt contraintuitive pentru multe politici vechi:

• cel puțin 15 caractere când parola este singurul factor;
• fără schimbare periodică forțată — doar la indicii de compromitere;
• verificare față de liste de parole compromise;
• permite lipirea și managerii de parole.

Începe cu conturile cu cel mai mare impact: administratori, finanțe, conducere, e-mail. Pentru un context mai larg despre controalele tehnice cerute de NIS2, vezi Art. 21 NIS2 — controale tehnice.

1. MFA rezistent la phishing (passkeys, chei FIDO2) pentru conturile critice, apoi pentru toți.
2. Acces condiționat: doar dispozitive administrate și conforme pentru aplicațiile sensibile.
3. DMARC cu p=reject pe domeniile proprii, ca nimeni să nu trimită legitim în numele tău.
4. Un buton de raportare în clientul de e-mail și un răspuns rapid la fiecare raportare.
5. Verificare în afara canalului pentru plăți și schimbări de date bancare.
6. Restricționarea rulării scripturilor din Run și, unde se justifică, izolarea browserului.
7. Simulări de phishing regulate, urmate de instruire scurtă, nu de pedepse.

Phishingul rămâne una dintre cele mai frecvente porți de intrare pentru incidente grave, inclusiv ransomware. Niciun control nu e perfect singur; combinația lor face ca un click greșit să nu devină un incident.