Phishingul în 2026 nu mai arată ca emailul evident cu prințul nigerian sau ca linkul scris greșit într-un mesaj dubios. Escrocheriile de astăzi folosesc inteligență artificială, deepfake-uri și mesaje personalizate care imită perfect vocea, fața și stilul de comunicare al unui coleg, șef sau furnizor de servicii. Potrivit Verizon Data Breach Investigations Report 2024, 68% dintre breșele de securitate implică un element uman, iar phishingul rămâne vectorul de atac numărul unu la nivel global.
Ce tipuri de phishing domină în 2026 și cum funcționează
Infractorii cibernetici folosesc acum un întreg ecosistem de tehnici, adaptate fiecărui canal de comunicare pe care îl folosești zilnic.
- Smishing (phishing prin SMS): mesaje scurte care pretind că vin de la curieri, bănci sau instituții guvernamentale, cu linkuri către pagini false de plată sau „actualizare a adresei de livrare”.
- Vishing (phishing vocal): apeluri telefonice în care o voce clonată prin AI pretinde că ești contactat de bancă, poliție sau ANAF.
- Quishing (phishing prin QR cod): coduri QR plasate în emailuri, parcări sau pe afișe publicitare, care duc direct la site-uri compromise.
- Deepfake phishing: apeluri video sau audio în care apare chipul și vocea unui director general care cere un transfer bancar urgent.
- Phishing generat cu AI: emailuri impecabile din punct de vedere gramatical, scrise în limba română perfectă, fără greșelile care trădau odinioară escrocii.
Cum arată un atac de phishing în 2026: exemplu real
În februarie 2024, o companie multinațională din Hong Kong a pierdut aproximativ 25 de milioane de dolari după ce un angajat din departamentul financiar a participat la o videoconferință cu ceea ce păreau a fi directorii companiei. Toți participanții erau deepfake-uri generate cu AI, iar angajatul a autorizat transferurile fără să verifice apelul pe un alt canal. Cazul, relatat de CNN și confirmat de poliția din Hong Kong, demonstrează că nici măcar verificarea vizuală nu mai este suficientă.
În România, DNSC a raportat în 2024 o creștere semnificativă a tentativelor de smishing care imitau companii de curierat precum FAN Courier, Sameday sau DHL, folosind linkuri către pagini false de plată a unor taxe vamale inexistente.
Phishing tradițional vs. phishing bazat pe AI: ce s-a schimbat
| Caracteristică | Phishing tradițional | Phishing bazat pe AI (2026) |
|---|---|---|
| Limbaj | Greșeli gramaticale, traduceri automate evidente | Text natural, în limba română perfectă |
| Personalizare | Generic, trimis către mii de persoane | Mesaje personalizate cu nume, funcție, context |
| Canal principal | SMS, WhatsApp, apeluri vocale, video | |
| Identitate vizuală | Logo-uri furate, adrese asemănătoare | Deepfake-uri audio și video în timp real |
| Viteză de adaptare | Zile sau săptămâni | Minute, cu ajutorul modelelor generative |
Care sunt cele mai clare semne că ești vizat de o escrocherie
Chiar dacă atacurile s-au rafinat, anumite semne rămân constante și te pot salva de o decizie greșită.
- Urgența artificială: „Trebuie să plătești în 30 de minute” sau „contul va fi blocat imediat”.
- Cererea de date sensibile: nicio bancă serioasă nu cere PIN-ul, parola sau codul OTP prin telefon sau email.
- Linkuri care nu corespund: treci cu mouse-ul peste link fără să dai click și verifică dacă domeniul e legitim.
- Presiune emoțională: mesaje care invocă panică, frică sau rușine, cum ar fi „ai o datorie restantă” sau „ai fost hacked”.
- Canale neobișnuite: un director care te contactează pe WhatsApp personal în loc de emailul corporativ.
Potrivit raportului Proofpoint State of the Phish 2024, 71% dintre angajați au recunoscut că au făcut o acțiune riscantă, iar 96% dintre campaniile de phishing reușite au implicat interacțiunea utilizatorului cu un mesaj. La nivel global, APWG a înregistrat în 2023 aproape 5 milioane de atacuri de phishing, cel mai mare număr din istorie.
Cum aplici asta începând de astăzi
Protecția reală vine din obiceiuri mici, aplicate constant, nu din soluții tehnice scumpe.
- Activează autentificarea cu doi factori (2FA) pe toate conturile importante: email, bancă, rețele sociale. Preferă aplicații de tip TOTP, precum Google Authenticator sau Authy, în loc de SMS.
- Verifică orice cerere de plată printr-un canal separat. Dacă primești un email de la „director”, sună-l pe telefonul oficial înainte de a face orice transfer.
- Nu da click direct pe linkuri din SMS sau email. Deschide manual site-ul instituției în browser și navighează de acolo.
- Folosește un manager de parole. Acesta completează automat datele doar pe domeniile reale și te avertizează când ceva nu se potrivește.
- Raportează tentativa către DNSC, la telverde 1911, sau către CERT-RO, chiar dacă nu ai căzut în plasă.
Întrebări frecvente
Cum recunoști un email de phishing în 2026 dacă nu mai are greșeli gramaticale?
Caută contextul, nu doar forma. Un email legitim nu te va presa să acționezi în minute, nu îți va cere date sensibile și va folosi întotdeauna un domeniu oficial verificabil. Dacă ai dubii, contactează expeditorul pe un canal independent, cum ar fi telefonul oficial afișat pe site-ul companiei.
Este sigur să dai click pe un link scurtat primit prin SMS?
Nu. Linkurile scurte, de tip bit.ly sau t.co, ascund destinația reală. Cel mai bine este să nu le deschizi și să verifici direct pe site-ul oficial al companiei care pretinde că ți-a trimis mesajul, tastând adresa manual în browser.
Deepfake-urile vocale pot păcăli pe cineva din familie?
Da, iar cazurile de „vishing familial” sunt în creștere. Dacă o rudă te sună panicată cerând bani urgent, închide apelul și sună înapoi pe numărul pe care îl ai deja salvat în telefon, nu pe cel afișat pe ecran în timpul apelului.
Ce fac dacă am introdus deja datele pe un site suspect?
Schimbă imediat parola contului afectat, activează 2FA dacă nu era activat și contactează banca dacă ai furnizat date de card. Apoi raportează incidentul la DNSC sau la poliție, la secția de criminalitate informatică, pentru a limita daunele.
Antivirusul mă protejează complet împotriva phishingului?
Nu. Antivirusul detectează o parte dintre amenințări, dar nu te poate proteja dacă tu însuți introduci datele pe un site fals. Cea mai bună apărare rămâne educația, atenția și verificarea pe un canal secundar înainte de orice acțiune sensibilă.
