Cum funcționează un mesaj de phishing

Modulul 3: Recunoașterea phishingului · Timp de citire: 11 minute

Obiectiv de învățare: După această lecție veți putea recunoaște trucurile psihologice și caracteristicile fixe ale unui mesaj de phishing, chiar și atunci când textul este impecabil, și veți reacționa cu reflexul opriți-vă, verificați, întrebați.
Noțiuni-cheie: urgență, autoritate, frică, curiozitate, recompensă, pretext, phishing scris cu AI, reflexul "opriți-vă, verificați, întrebați"

Phishingul este o poveste, nu o tehnică

Phishingul este un mesaj care vă determină să faceți ceva ce este bun pentru expeditor și rău pentru dumneavoastră: să dați clic pe un link, să vă conectați pe o pagină falsificată, să deschideți un atașament, să efectuați o plată sau să comunicați un cod. Tehnica din spate este adesea simplă. Ceea ce face treaba este povestea.

Această poveste se numește pretext: un motiv credibil. "Coletul dumneavoastră nu a putut fi livrat." "Căsuța dumneavoastră de e-mail este plină." "Aveți o factură neplătită." "Contul dumneavoastră va fi blocat." Un pretext bun se potrivește cu situația dumneavoastră. O brutărie primește un e-mail despre un furnizor de făină, un cabinet de avocatură despre o citație, un magazin online despre o plată blocată.

Scopul este aproape întotdeauna unul dintre aceste patru:

În cazul ultimei categorii, nu se întâmplă nimic grav în acel moment. "Cine se ocupă la dumneavoastră de plăți?" pare o întrebare obișnuită. Dar cu răspunsul, atacatorul poate trimite ulterior un e-mail mult mai convingător, adresat exact acelei persoane. Acest lucru se numește spear phishing (lecția 1.2).

Cele cinci butoane pe care apasă phishingul

Phishingul funcționează pentru că vă face să acționați înainte să gândiți. Pentru aceasta, apasă pe câteva butoane fixe din mintea noastră. Aproape fiecare mesaj de phishing folosește cel puțin două.

1. Urgența. "În 24 de ore", "astăzi", "ultima notificare". Presiunea timpului este cel mai important truc, deoarece nu vă mai lăsați timp să verificați.
2. Autoritatea. Mesajul pare să vină de la cineva pe care îl luați în serios: banca, ANAF, directorul, poliția, furnizorul dumneavoastră de găzduire, un avocat.
3. Frica. Contul dumneavoastră va fi blocat, veți primi o amendă, datele dumneavoastră au fost compromise, domeniul dumneavoastră expiră, există o fraudă pe contul dumneavoastră bancar.
4. Curiozitatea. "Vedeți fotografiile de la eveniment", "ați primit un document partajat", "aveți un mesaj vocal", "fluturaș_de_salariu_2026.pdf".
5. Recompensa. O rambursare, un voucher cadou, un premiu câștigat, o actualizare gratuită, o comandă mare de la un client nou.

Atenție: aceste butoane apar și în mesaje reale. O factură reală are o dată de scadență, o bancă reală trimite uneori un avertisment. Deci un singur truc nu face un mesaj fals. Devine suspect atunci când presiunea este mare și mesajul cere ceva ce în mod normal nu ați face așa.

Caracteristici fixe, independente de text

Pe lângă trucuri, mesajele de phishing au câteva caracteristici care revin aproape întotdeauna:

• O instrucțiune de a face ceva acum (call to action): un buton, un link, un atașament, un număr de telefon de sunat.
• Un canal nepotrivit. Banca dumneavoastră vă cere prin e-mail să vă conectați, furnizorul dumneavoastră cere prin WhatsApp o plată, colegul dumneavoastră cere prin sms vouchere cadou.
• O cerere nepotrivită. Să comunicați o parolă sau un cod de autentificare, să modificați un IBAN, să efectuați o plată în afara procedurii normale, să instalați software la cererea unui apelant.
• O abatere la expeditor sau link. Adresa sau link-ul nu se potrivește exact cu organizația pe care o așteptați. Cum anume citiți acest lucru veți învăța în lecțiile 3.2 și 3.3.
• Confidențialitate sau ocolirea procedurii. "Nu spuneți asta încă celorlalți", "sunt într-o ședință, nu mă sunați", "rezolvați asta puțin pe lângă sistem".

Ultima caracteristică este cel mai puternic semnal în cazul fraudei de tip CEO și al fraudei cu facturi: un director real nu are niciun interes ca dumneavoastră să săriți peste controlul normal.

De ce greșelile de scriere nu mai sunt o caracteristică bună

Înainte, recunoșteați phishingul după o limbă stâlcită, o formulă de adresare ciudată și un format urât. Acest lucru nu mai funcționează. Cu modele de limbaj (AI), un atacator scrie în câteva secunde un e-mail impecabil, prietenos, în orice limbă, în stilul organizației pe care o imită. NCSC-ul olandez avertizează, de asemenea, că phishingul generat cu AI devine tot mai greu de recunoscut: mai puține greșeli de limbă și pagini de autentificare care arată din ce în ce mai autentic.

La aceasta se adaugă faptul că phishingul vine uneori dintr-o căsuță de e-mail reală. Dacă s-a preluat căsuța de e-mail a unui furnizor, atacatorul răspunde pur și simplu într-un schimb de e-mailuri existent, cu semnătura, tonul și mesajele anterioare incluse. Acest lucru se numește thread hijacking. Expeditorul, formatul și limba sunt atunci toate reale. Doar cererea nu se potrivește: "Avem un cont bancar nou, puteți plăti factura restantă în acesta?"

De aceea nu vă uitați la cum arată un mesaj, ci la ce vă cere. Rareori recunoașteți phishingul după o singură caracteristică, ci după imaginea de ansamblu.

Reflexul: opriți-vă, verificați, întrebați

Nu trebuie să cunoașteți fiecare truc. Aveți nevoie de un singur reflex pe care să îl folosiți de fiecare dată când un mesaj vă cere ceva.

Opriți-vă. Simțiți grabă, spaimă, curiozitate sau bucurie? Acesta este exact momentul în care nu trebuie să dați clic. Lăsați mesajul deoparte puțin. Organizațiile reale vă oferă aproape întotdeauna suficient timp să verificați.

Verificați pe propria dumneavoastră cale. Nu continuați prin intermediul mesajului în sine. Nu dați clic pe link, nu sunați numărul din mesaj și nu răspundeți la e-mail. Mergeți singur pe site prin marcajul dumneavoastră (bookmark) sau tastând adresa, ori sunați la un număr pe care îl aveați deja (propria dumneavoastră evidență, verso-ul cardului dumneavoastră bancar, site-ul oficial). Este factura chiar acolo? Este coletul chiar pe drum?

Întrebați. Dacă încă aveți îndoieli, întrebați un coleg sau persoana care pretinde că a trimis mesajul, printr-un alt canal. Stabiliți în echipa dumneavoastră că o astfel de întrebare nu este niciodată deranjantă. Mai bine întrebați de zece ori degeaba decât să plătiți o singură dată greșit.

Acest reflex funcționează și în cazul unui e-mail perfect provenit dintr-o căsuță de e-mail spartă. Verificarea pe propria dumneavoastră cale îl ocolește complet pe atacator, pentru că acesta nu se află în marcajul dumneavoastră și nici la telefonul furnizorului dumneavoastră.

În practică: așa arată

Trei mesaje simulate pe care Brutăria Example (info@example.com) le primește într-o singură dimineață. Toate numele sunt fictive.

Mesajul 1: coletul

De la: Serviciu de curierat <service@koeriersdienst-track.example>
Subiect: Livrare eșuată: este necesară o acțiune
Stimate client, astăzi am încercat să livrăm un colet. Adresa era incompletă. Programați o nouă livrare în termen de 48 de ore și plătiți costurile de relivrare de 1,95 euro, altfel coletul va fi returnat expeditorului.

Trucuri: urgență (48 de ore), frică (returnarea coletului), o sumă mică pentru a nu vă pune pe gânduri. Scopul este obținerea datelor dumneavoastră de card. Verificare: așteptați un colet? Căutați expediția pe site-ul sau aplicația proprie a transportatorului.

Mesajul 2: furnizorul

De la: Furnizor Făină <administratie@leverancier.example>
Subiect: RE: factura 2026-0412
Bună ziua, conform celor discutate, atașat factura. Atenție: din cauza unei schimbări bancare, vă rugăm să plătiți de acum înainte în noul nostru cont bancar. Puteți face asta chiar astăzi? Astfel putem programa livrarea de vineri.

Trucuri: autoritate (furnizor cunoscut, schimb de e-mailuri existent), urgență, recompensă (livrarea). Expeditorul poate fi real: căsuța de e-mail a furnizorului poate fi fost preluată. Verificare: sunați furnizorul la numărul din propria dumneavoastră evidență, nu din acest e-mail.

Mesajul 3: programul de contabilitate

De la: Program de contabilitate <noreply@boekhoudpakket.example>
Subiect: Abonamentul dumneavoastră va fi suspendat
Nu am putut procesa ultima dumneavoastră plată. Conectați-vă în termen de 24 de ore pentru a vă actualiza datele de plată, altfel pierdeți accesul la evidența dumneavoastră.
[Conectare]

Trucuri: frică, urgență, autoritate. Dacă expeditorul este corect, veți citi în lecția 3.3; unde duce butonul, în lecția 3.2. Verificare: deschideți singur aplicația sau marcajul dumneavoastră pentru programul de contabilitate. Dacă nu apare nicio notificare acolo, e-mailul este fals.

Rezumat

• Phishingul funcționează printr-o poveste (pretext) care se potrivește cu dumneavoastră, cu scopul de a obține date de autentificare, bani, acces la dispozitivul dumneavoastră sau informații.
• Cele cinci butoane: urgență, autoritate, frică, curiozitate și recompensă. De obicei sunt folosite două sau mai multe simultan.
• Greșelile de scriere nu mai sunt o caracteristică de încredere: AI scrie e-mailuri impecabile, iar căsuțele de e-mail sparte trimit mesaje reale.
• Priviți ce vă cere un mesaj și prin ce canal, nu cum arată.
• Reflex: opriți-vă, verificați pe propria dumneavoastră cale, întrebați dacă aveți îndoieli.

Test

Exercițiu

Exercițiul A3.1: Recunoașterea tertipurilor. Primiți șase mesaje simulate. Alegeți pentru fiecare mesaj ce trucuri conține (urgență, autoritate, frică, curiozitate, recompensă) și ce faceți: îl tratați normal, sau mai întâi îl verificați pe propria dumneavoastră cale. Programul vă verifică răspunsurile și explică pentru fiecare mesaj ce ați omis.

Pentru aprofundare

Pașii din articolele WebOké se aplică mediului WebOké; la alți furnizori funcționează similar.

• Acest e-mail este cu adevărat de la WebOké? Recunoașterea phishingului și utilizarea codului de acțiune
• Autoritatea națională de securitate cibernetică, Cum recunosc un e-mail de phishing?: autoritatea națională de securitate cibernetică (sursă olandeză, fără link disponibil)
• Autoritatea națională de securitate cibernetică, Phishing: autoritatea națională de securitate cibernetică (sursă olandeză, fără link disponibil)
• Pentru raportarea fraudei și a phishingului: poliția și autoritatea națională de securitate cibernetică