DNSC (Directoratul Național de Securitate Cibernetică) și instituțiile financiare din România au confirmat în ultimele luni o intensificare semnificativă a campaniilor de phishing care impersonează ANAF, Revolut, ING, BCR, Banca Transilvania și Raiffeisen. Volumul de mesaje raportate la raporteaza.dnsc.ro a crescut constant, iar atacatorii își rotesc rapid domeniile și formatele pentru a evita filtrele antispam.
Pe scurt:
- Val activ de phishing impersonează ANAF (restituire impozit, declarație unică, suspendare SPV) și principalele bănci.
- Vectori: email, SMS (smishing), WhatsApp, Telegram, aplicații false în Google Play sau App Store și anunțuri sponsorizate pe Google și Facebook.
- Țintă: CNP, IBAN, parole de Internet Banking, coduri OTP, date card.
- Raportare oficială: DNSC (raporteaza.dnsc.ro), ANAF, banca emitentă a contului.
Ce s-a întâmplat
Atacatorii folosesc trei tipare repetitive. Primul este „restituire impozit ANAF": un email sau SMS anunță că ai de primit o sumă (de regulă între 200 și 1.500 RON), cu link către un site care imită vizual SPV-ul. Al doilea este „suspendare cont bancar": mesaj urgent că un transfer suspect a fost detectat, cu cerere de confirmare prin click pe link și introducere a credențialelor. Al treilea este „livrare colet" sau „taxă vamală neplătită" - mai vechi, dar tot relevant pentru România.
Domeniile folosite imită oficialul printr-o singură literă sau caracter: anaf-ro.com, anaf.com.ro, anaf-restituiri.ro, revolut-secure.com, ing-romania.net, bcr-online.ro. Aproape toate sunt înregistrate cu mai puțin de 30 de zile înainte de campanie și folosesc certificate SSL Let's Encrypt - lacătul verde nu mai garantează legitimitatea, doar criptarea conexiunii.
În paralel, atacatorii cumpără anunțuri sponsorizate pe Google și Facebook care apar deasupra rezultatelor organice când cauți „revolut login" sau „anaf SPV", redirecționând către domenii false. Pe Google Play și App Store apar periodic aplicații care imită brandurile bancare.
Cum recunoști un mesaj de phishing - 8 semnale clare
| Red flag | Cum verifici |
|---|---|
| Domeniu expeditor diferit de cel oficial | Compară litera cu literă cu domeniul publicat pe anaf.ro sau pe site-ul băncii. anaf.ro DA, anaf-ro.com NU |
| URL din link diferit de cel oficial | Plasează cursorul peste link (fără click) și citește URL-ul real în colțul stânga jos al browserului |
| Cerere de date sensibile (CNP, IBAN, parolă, OTP) | Nicio instituție serioasă nu cere niciodată parola sau codul OTP prin email sau SMS |
| Urgență artificială („în 24 de ore", „ultimul avertisment") | Sună la numărul oficial al instituției și verifică direct. Un termen real are referință legală citabilă |
| Erori de gramatică, diacritice lipsă, frazare ciudată | Compară cu un email vechi legitim de la aceeași instituție - tonul și formatul diferă vizibil |
| Atașament suspect (.zip, .exe, .docm, .html) | ANAF și băncile nu trimit niciodată executabile sau arhive prin email. PDF cu macro este la fel de periculos |
| Promisiune de bani fără justificare clară | Restituirile reale apar în SPV, nu sosesc prin email cu link de „confirmare cont" |
| Cerere „click aici pentru verificare" | Niciodată nu accesa contul printr-un link din email. Tastează direct URL-ul oficial în browser |
Dacă bifezi două sau mai multe semnale, mesajul este aproape sigur phishing. Nu apăsa pe link, nu descărca atașamentele, nu răspunde.
Warning
NU testa link-ul „doar să vezi cum arată". Multe pagini de phishing rulează JavaScript care încarcă malware în fundal sau colectează amprenta browserului pentru atacuri viitoare, chiar dacă nu introduci nimic în formular. Dacă vrei să vezi cum arată pagina, folosește urlscan.io sau VirusTotal - introduci URL-ul fără să îl deschizi local.
Cum verifici un mesaj suspect fără risc
Trei pași simpli, în această ordine:
- Nu apăsa pe niciun link din mesaj. Închide emailul sau SMS-ul.
- Deschide manual sursa oficială. Pentru ANAF, tastează
anaf.roîn browser și loghează-te în SPV cu certificat sau credențiale obișnuite. Pentru bancă, deschide aplicația mobilă oficială sau tastează URL-ul publicat pe spatele cardului. - Verifică dacă există într-adevăr o solicitare reală. Dacă nu apare nimic în contul tău oficial, mesajul este fals. Dacă tot ai dubii, sună la numărul oficial al instituției - cel publicat pe site, nu cel din mesaj.
Pentru bănci, numărul oficial este tipărit pe spatele cardului fizic. Pentru ANAF, numerele direcțiilor regionale sunt publicate pe anaf.ro la secțiunea „Contact".
Cum raportezi - cinci canale oficiale
Raportarea ajută atât la blocarea atacatorilor, cât și la avertizarea altor utilizatori. Folosește toate canalele relevante:
- DNSC - raporteaza.dnsc.ro este punctul central pentru raportarea incidentelor de securitate cibernetică în România. Trimite captură de ecran, URL-ul fals și emailul de expeditor. Răspunsul vine în 24-72 ore.
- ANAF - dacă mesajul impersonează ANAF, raportează prin formularul oficial de pe anaf.ro (secțiunea „Sesizări"). Includeți toate detaliile tehnice.
- Bancă - dacă mesajul impersonează banca ta, raportează prin canalul de fraudă publicat pe site-ul oficial al băncii. Majoritatea au email dedicat (de regulă fraud@ sau abuse@ urmat de domeniul oficial) sau telefon de urgență 24/7.
- Google Safe Browsing - dacă URL-ul fals e găzduit pe domeniu public, raportează la safebrowsing.google.com pentru a fi blocat în Chrome.
- Microsoft - dacă emailul vine prin Outlook sau Hotmail, raportează la phishing.microsoft.com pentru filtrul global.
Pentru SMS de phishing (smishing), majoritatea operatorilor RO (Orange, Vodafone, Digi, Telekom) au numere scurte pentru raportare. Orange folosește 7726 (SPAM) - redirecționezi mesajul suspect și operatorul preia analiza.
Tip
Raportează DNSC chiar și pentru mesaje care nu te-au păcălit. Echipa DNSC agregă raportările pentru a alimenta listele de blocare pentru ISP-urile din România. Un raport care durează 2 minute poate bloca domeniul fals pentru milioane de utilizatori în câteva ore. Este cea mai eficientă acțiune de „cetățenie digitală" pe care o poți face.
Protecție tehnică - patru straturi care contează
1. Multi-Factor Authentication (MFA) pe toate conturile
Activează MFA pe banking, email, SPV ANAF, social media, orice cont cu valoare. Aplicații recomandate: Google Authenticator, Microsoft Authenticator, Authy, Bitwarden Authenticator. Evită SMS ca al doilea factor unde e posibil (SIM swap rămâne risc real în RO).
2. Password manager cu auto-fill domain check
Un password manager serios (Bitwarden, 1Password, KeePassXC) completează automat parola DOAR pe domeniul exact pentru care a fost salvată. Dacă ești pe revolut-secure.com în loc de revolut.com, password managerul refuză să completeze. Este cel mai eficient detector de phishing din arsenalul tău - mai mult detaliu în topul password managerelor pentru business.
3. SPF, DKIM, DMARC pentru emailul propriu
Dacă ai email pe domeniu propriu (firma@firma.ta), configurează SPF, DKIM și DMARC strict. Asta împiedică atacatorii să trimită emailuri care par că vin de la tine către clienții și colegii tăi. Configurare pas cu pas în ghidul SPF DKIM DMARC pentru email business.
4. Chei hardware pentru conturi critice
Pentru conturi cu valoare mare (Google Workspace administrator, banking business, hosting producție), o cheie hardware FIDO2 (YubiKey, Token2, Nitrokey) elimină practic riscul de phishing - cheia nu funcționează pe domenii false. Detalii în ghidul cheilor hardware YubiKey.
Ce faci dacă ai introdus date pe un site fals
Acțiune imediată, în această ordine:
- Sună la bancă pe numărul de pe spatele cardului (NU pe numărul din mesajul fals). Blochează cardul și conturile imediat.
- Schimbă parolele pentru contul afectat și pentru orice alt cont unde foloseai aceeași parolă (motivul pentru care nu reciclezi parole).
- Activează MFA dacă nu era deja activ.
- Depune plângere la poliție - secția de criminalitate informatică. Numărul de înregistrare al plângerii îți este util pentru orice acțiune ulterioară.
- Raportează la DNSC și la bancă incidentul.
- Monitorizează contul zilnic în următoarele 30 de zile pentru tranzacții suspecte.
- Cere extras de la Biroul de Credit - atacatorii folosesc uneori CNP-ul pentru cereri de credit fraudulos.
Conform GDPR, ai drept la informare dacă instituția vizată a suferit o breșă - cere clarificări în scris și păstrează dovezile.
Greșeli frecvente de evitat
- Redirecționarea emailului de phishing colegilor pentru „avertisment" - răspândești atacul. Trimite captură de ecran într-un mesaj nou.
- Apăsare pe link „doar să verifici" - paginile de phishing pot rula cod malițios la simpla vizitare.
- Răspuns la mesaj pentru a-i întreba „cine sunteți" - confirmi atacatorului că adresa ta este activă și escaladezi atacul.
- Refolosirea parolelor între email, banking și conturi minore - o singură breșă compromite tot.
- Ignorarea SMS-ului „bancă" fără raportare - chiar dacă tu ai recunoscut, alții vor cădea. Raportarea ta blochează atacul.
- Salvarea card-ului în browser pe alte site-uri decât cele de încredere - sincronizare cu Chrome compromite cardul dacă unul dintre dispozitive este compromis.
- Folosirea WiFi public pentru banking - chiar și cu HTTPS, riscul de SSL stripping rămâne. Folosește datele mobile sau VPN.
Întrebări frecvente
Cum diferențiez un email real de la ANAF față de unul fals?
ANAF comunică oficial prin SPV (Spațiul Privat Virtual) - notificările apar în contul tău după logare cu certificat sau credențiale. Email-urile de la ANAF, când există, nu cer niciodată click pe link pentru „validare cont" sau „restituire". Dacă ai dubii, loghează-te direct în SPV (tastând anaf.ro în browser) și verifică secțiunea Notificări. Nimic în SPV = mesajul este fals.
Băncile trimit vreodată link-uri prin SMS?
Foarte rar și niciodată pentru acțiuni sensibile. Codurile OTP pentru tranzacții sosesc fără link, doar cu numărul. Notificările de încasare nu cer confirmare. Dacă primești un SMS cu link care îți cere să confirmi o tranzacție sau să te loghezi, este aproape sigur fraudă. Verifică direct în aplicația băncii.
Ce fac dacă am apăsat pe link, dar NU am introdus nimic?
Risc redus, dar nu zero. Închide imediat fila, rulează un scan antivirus complet (Windows Defender este suficient pe Windows 11), schimbă parolele importante pentru siguranță și monitorizează contul bancar pentru 7-14 zile. Dacă ai folosit un browser actualizat, riscul de drive-by download este mic, dar nu nul.
Cum raportez un anunț sponsorizat fals pe Google sau Facebook?
Google: pe pagina anunțului fals, click pe iconița informativă (i) lângă „Sponsored" - opțiunea „Reportează acest anunț". Facebook: trei puncte pe colțul anunțului - „Raportează anunț" - „Fraudă sau înșelăciune". Ambele platforme reacționează în 24-48 ore la raportări multiple.
Sunt protejat dacă folosesc doar aplicația mobilă a băncii?
Mai protejat, da, complet sigur, nu. Aplicațiile mobile oficiale (descărcate exclusiv din Google Play sau App Store, verificând editorul oficial) sunt rezistente la phishing clasic. Riscurile rămân: aplicații false din APK sau magazine alternative, SIM swap, social engineering prin telefon.
Background
Volumul de phishing în România a crescut constant odată cu digitalizarea serviciilor publice și bancare. DNSC agregă raportările prin raporteaza.dnsc.ro și colaborează cu operatorii telecom și hostingurile mari pentru blocarea rapidă a infrastructurii fraudulente. Numărul de domenii false detectate lunar în zona financiară RO este consistent peste 200, cu vârfuri în perioadele de declarații fiscale și de cumpărături online.
Concluzie
Reține trei reguli simple: nu apăsa pe link-uri din mesaje pentru acțiuni sensibile, deschide conturile prin URL tastat manual sau aplicație oficială și raportează fiecare mesaj suspect la DNSC, ANAF și bancă. Aceste trei acțiuni, plus MFA pe toate conturile importante, elimină peste 95% din riscul real.
Dacă ai fost victimă, acționează în primele 60 de minute: blocare card, schimbare parole, raportare. Timpul de reacție rapid limitează prejudiciul. Iar dacă mesajul te-a îngrijorat, dar nu te-a păcălit, raportează totuși la DNSC - protejezi alți utilizatori.
