Phishing cu AI: cum recunosti atacurile noi

Doua rapoarte serioase spun lucruri diferite despre phishingul cu AI, si asta e prima informatie utila din articol. Microsoft citeaza, in raportul sau anual de securitate pe 2025, un experiment in care emailurile de phishing generate automat au obtinut o rata de click de 54%, fata de 12% la incercarile obisnuite, adica de 4,5 ori mai mult. In acelasi timp, raportul Verizon pe 2026, construit pe peste 22.000 de brese confirmate, observa ca ponderea phishingului ca metoda de intrare abia s-a miscat in ultimii ani, si conchide ca asistenta AI nu pare sa creasca rata de succes in organizatiile din setul lor de date.

Nu se contrazic. Una e o masuratoare de laborator, cealalta e ce s-a intamplat in brese reale. Diferenta dintre ele e exact locul in care merita sa te uiti.

Ce s-a schimbat de fapt e canalul, nu textul

Textul unui email de phishing e bun de ani buni. Ce s-a mutat e unde te suna.

Raportul Verizon pe 2026 arata ca in simularile de phishing rata mediana de click pe canalele care ajung pe telefon, adica apel si mesaj text, e cu 40% mai mare decat pe email. Tot acolo, pretextarea, adica atacul in care cineva construieste o relatie de incredere printr-un scenariu inventat, de obicei la telefon, a ajuns la 6% din brese, in crestere ca metoda de intrare pentru ransomware si santaj. Ingineria sociala in ansamblu e al treilea tipar de bresa, cu 16%, iar factorul uman apare in 62% dintre brese, fata de 60% anul precedent.

Pe partea europeana, cifra e mult mai mare, pentru ca se masoara altfel: in ENISA Threat Landscape 2025, care analizeaza 4.875 de incidente intre iulie 2024 si iunie 2025, phishingul, cu tot cu fraudele telefonice si mesajele publicitare rau intentionate, apare in circa 60% din cazurile observate, urmat de exploatarea vulnerabilitatilor cu 21,3% si de retelele de calculatoare compromise cu 9,9%.

Nu compara cele doua procente intre ele. Unul numara brese cu date confirmate, celalalt numara incidente raportate in Uniune. Amandoua spun acelasi lucru: intrarea prin om nu a plecat nicaieri.

Industrializarea conteaza mai mult decat textul frumos

Partea din rapoarte care ar trebui sa il ingrijoreze pe un patron nu e ca atacatorul scrie bine romaneste. E ca nu mai trebuie sa stie nimic.

ENISA descrie platformele de phishing vandut ca serviciu, care genereaza automat pagini de autentificare clonate si distribuie linkurile prin infrastructura gata facuta. Una singura, Darcula, a fost vazuta imitand peste 200 de organizatii, in peste o suta de tari. Alta a extins campaniile pe mesageria de pe telefon, iMessage si RCS.

Si, cel mai important pentru o firma care crede ca e acoperita: acelasi raport documenteaza un kit care se aseaza intre tine si portalul Microsoft 365, iti preia codul in timp real si trece astfel de autentificarea in doi pasi. Codul primit pe SMS sau in aplicatie nu e o bariera daca il tastezi pe pagina atacatorului. Daca nu stii cu ce metoda de autentificare intra oamenii tai in email, asta e prima intrebare dintr-un audit de securitate IT, inaintea oricarei discutii despre echipamente.

Semnele care se vad in email

1. Urgenta artificiala. “Actioneaza in ora asta sau pierzi accesul.”
2. Autoritate invocata. “Cere directorul, acum.”
3. Confidentialitate ceruta. “Nu spune nimanui inca.”
4. Domeniu modificat cu o litera sau cu o cratima in plus fata de cel real. Se compara caracter cu caracter, nu din priviri.
5. Linkuri scurtate, care ascund adresa reala.
6. Fereastra care iti cere sa lipesti o comanda ca sa dovedesti ca esti om. Nicio verificare legitima nu iti cere asa ceva.

Semnele care se aud la telefon

1. Presiunea timpului. “Trebuie platit azi, altfel se anuleaza contractul.”
2. Evitarea verificarii. “Nu pot raspunde la email, doar telefonic.”
3. Sume rotunde. O plata reala catre un furnizor arata a 49.847,53 EUR, nu a 50.000 EUR fix.
4. Exclusivitate. “Doar tu poti rezolva asta acum.”
5. Cont nou sau metoda neobisnuita de plata, aparuta chiar in ziua platii.

Vocea se cloneaza din inregistrari publice, iar apelul video cu chipul cuiva din conducere nu mai e ipoteza. Nu conteaza cat de bine imita: daca regula interna spune ca plata se confirma pe alt canal, atacul se opreste indiferent cat de convingator suna.

La firmele mici, cea mai mare gaura nu e phishingul

Aici merita spusa partea care nu se vinde bine intr-o prezentare de securitate. In sectiunea dedicata firmelor mici si mijlocii, raportul Verizon pe 2026 pune phishingul pe locul trei ca metoda de intrare, cu 9% din brese, dupa exploatarea vulnerabilitatilor cu 26% si folosirea de parole furate cu 13%. Tot acolo: dintre cazurile de ransomware in care se stie marimea organizatiei, circa 96% dintre victime sunt firme mici si mijlocii.

Cu alte cuvinte, o firma mica e tinta, dar nu neaparat prin oameni. E prin ce a ramas neactualizat la marginea retelei si prin parole care circula deja de la o scurgere veche. Instruirea echipei e ieftina si merita facuta, insa daca ai doar o dupa-amiaza si un buget mic, ordinea corecta e: intai actualizezi echipamentele expuse la internet si pui autentificare rezistenta la interceptare, apoi faci sedinta cu echipa. Asta e si ordinea in care lucram cand verificam o firma: intai pe unde se poate intra fara ajutorul nimanui, apoi pe unde se poate intra cu ajutorul cuiva.

Doua reguli scrise opresc cele mai multe plati frauduloase

Nu e nevoie de buget de infrastructura pentru partea asta, doar de doua propozitii scrise si comunicate:

• Orice plata peste un prag stabilit de tine se confirma pe alt canal decat cel prin care a venit cererea. Daca cererea a venit pe email, confirmarea se face prin telefon la numarul cunoscut, nu la cel din email. Daca a venit prin telefon, confirmarea se face fata in fata sau in scris.
• Schimbarea contului bancar al unui furnizor se verifica intotdeauna, cu un apel la persoana de contact cunoscuta. Acesta e scenariul care goleste conturi la firme mici, si e si cel mai usor de blocat.

Peste ele, o ora cu echipa, o data pe an: aratati exemple reale, spuneti cui se raporteaza un mesaj suspect si, mai ales, spuneti clar ca cine anunta o greseala nu pateste nimic. Un om care se teme ca e certat ascunde clickul gresit, si atunci pierzi singurele ore in care se mai putea repara ceva.

Ce tehnologie ajuta, in ordinea in care merita

• SPF, DKIM si DMARC pe domeniul tau. Fac greu de trimis email in numele firmei tale. E si cel mai ieftin pas, si cel mai des sarit.
• Chei fizice de autentificare pentru conturile care conteaza. Spre deosebire de codul primit pe telefon, cheia fizica nu poate fi transmisa mai departe unei pagini false.
• Filtrul din Microsoft 365 sau Google Workspace, pornit corect. Opreste majoritatea mesajelor, dar nu se atinge de apelul telefonic.
• Protectie pe statii, cu alerte pe care le citeste cineva. O alerta care intra intr-o casuta pe care nu o deschide nimeni nu exista.
• Actualizarile echipamentelor de la marginea retelei. Plictisitor, si totusi acolo intra un sfert din brese la firmele mici.

Daca nu stii de unde sa incepi si nici cine tine evidenta, consultanta IT inseamna exact asta: lista a ce ai, in ce stare e si in ce ordine se repara.

Un singur lucru merita facut saptamana asta, si nu costa nimic: stabileste pragul de la care o plata cere confirmare pe alt canal si trimite regula in scris oamenilor care au acces la conturi. Restul se poate planifica. Aia nu.