Mesajul nu mai are greșeli de gramatică și nu vine de la un prinț. Vine pe firul de e-mail existent cu un furnizor real, continuă o discuție pe care colegul tău o purta de două săptămâni și cere un singur lucru: plata să se facă în alt cont, pentru că „banca a schimbat IBAN-ul”. Asta e forma pe care a luat-o phishingul la o firmă mică. Mai jos: ce arată datele europene despre 2025, de ce parola furată nu mai e obstacolul principal, ce fac exact SPF, DKIM și DMARC — și ce oprește în practică paguba.
Cât de mare e, de fapt, problema
ENISA, agenția Uniunii Europene pentru securitate cibernetică, a analizat pentru raportul Threat Landscape 2026 un total de 8 257 de incidente înregistrate între 1 ianuarie și 31 decembrie 2025. Din acel set de date reiese că, dintre tehnicile de inginerie socială, phishingul rămâne vectorul de intruziune cel mai frecvent, cu 77,8%, urmat de spamul malițios (malspam) cu 13%.
Două detalii din raport sunt mai utile decât procentele. Întâi, phishingul a devenit un serviciu care se cumpără: ENISA notează popularizarea kiturilor de phishing și a platformelor de tip Phishing-as-a-Service. Apoi, infrastructura e construită special pentru atac — raportul citează observația că 77% dintre domeniile de phishing sunt înregistrate special pentru a facilita atacurile. Nu sunt site-uri compromise, sunt domenii cumpărate ca să semene cu al tău.
De ce parola nu mai e obstacolul
Partea care schimbă cel mai mult calculul riscului: autentificarea în doi pași nu mai este o barieră automată. ENISA raportează că Tycoon 2FA a fost, potrivit relatărilor publice, cel mai răspândit kit de phishing la nivel global în 2025, iar cadrul funcționa ca un kit de tip Adversary-in-the-Middle (AiTM), proiectat anume pentru a ocoli autentificarea cu mai mulți factori.
Mecanismul, pe scurt: pagina falsă nu îți fură doar parola — stă între tine și serviciul real, îți preia codul din SMS sau din aplicație în timp real și reține cookie-ul de sesiune rezultat. Atacatorul nu mai are nevoie de parola ta, pentru că are sesiunea deja autentificată. De aici concluzia practică: un al doilea factor bazat pe cod transmis e mult mai slab decât se crede, iar cheile de securitate sau passkeys, legate criptografic de adresa site-ului real, rezistă tocmai pentru că nu pot fi „repetate” pe un domeniu fals.
ENISA semnalează și tehnica ClickFix, în creștere în 2025: victima e păcălită să „repare” o problemă afișată pe ecran și execută ea însăși cod malițios, de regulă lipind o comandă într-o fereastră de sistem. Aici nu se fură nicio parolă — se împrumută mâinile utilizatorului.
Formele care ajung efectiv la o firmă mică
Raportul ENISA notează că metodele prin e-mail au format majoritatea activității de phishing în perioada analizată, alături de smishing (prin SMS), vishing (telefonic) și quishing (prin cod QR), plus malvertising, BEC și FileFix. Traduse în ce ajunge efectiv la o firmă mică:
- Compromiterea e-mailului de business (BEC). Nici atașament, nici link — doar o cerere de schimbare a contului bancar, scrisă corect, pe firul real. ENISA încadrează BEC-ul între schemele de fraudă, alături de deturnarea plăților.
- Branduri de încredere, folosite ca decor. ENISA descrie campanii care imită instituții guvernamentale — inclusiv un minister al apărării — și branduri financiare precum PayPal, sau pretexte administrative de tipul unor presupuse amenzi de circulație.
- Invitații false la videoconferință. Raportul menționează campanii cu invitații Zoom false care livrau instrumente de acces la distanță.
- Campanii adaptive. ENISA citează campanii cu încărcături criptate și profilare a victimei, care decid selectiv pe cine atacă — motiv pentru care „nouă nu ne-a venit nimic” nu înseamnă că firma nu e pe listă.
Ce fac, concret, SPF, DKIM și DMARC
Cele trei nu te apără de mesajele care vin spre tine. Ele împiedică pe altcineva să trimită mesaje în numele domeniului tău — adică protejează clienții, furnizorii și colegii de un atac care folosește adresa firmei tale ca mască. Asta e distincția care lipsește cel mai des.
Standardul DMARC este definit în RFC 7489. Elementul central este alinierea identificatorilor: potrivit RFC, „atunci când domeniul din adresa From (RFC5322.From) corespunde unui domeniu validat de SPF sau DKIM (sau de ambele), există aliniere a identificatorilor”. Documentația Microsoft explică de ce contează: SPF verifică adresa folosită în transmiterea între servere (MAIL FROM), în timp ce adresa pe care o vede destinatarul e cea din antetul From. DMARC cere ca cele două să se potrivească — un mesaj trece dacă una dintre verificările aliniate reușește și cade doar dacă ambele eșuează.
Politica se declară prin eticheta p=, cu trei valori în RFC 7489: none — nu se cere nicio acțiune anume; quarantine — mesajele care nu trec să fie tratate ca suspecte; reject — să fie respinse. Eticheta rua indică adresa pentru rapoartele agregate, ruf pe cea pentru rapoartele de eșec.
| Mecanism | Ce verifică | Ce NU face |
| SPF | Dacă serverul care trimite e autorizat pentru domeniul din adresa MAIL FROM | Nu verifică adresa From pe care o vede destinatarul; se rupe la redirecționare |
| DKIM | Semnătura criptografică a domeniului care a semnat mesajul (valoarea d=) | Nu cere ca domeniul semnatar să fie același cu cel afișat în From |
| DMARC | Că domeniul din From se aliniază cu cel validat de SPF sau DKIM, și ce se face dacă nu | Nu filtrează mesajele primite de la domenii străine; nu oprește un cont propriu compromis |
Pentru introducerea politicii, Microsoft recomandă explicit o abordare graduală, cu scopul de a ajunge la p=reject: se pornește de la p=none și se monitorizează rapoartele, se trece la p=quarantine, apoi la p=reject, începând cu un domeniu sau subdomeniu cu volum mic de corespondență. Documentația avertizează că blocarea unui volum semnificativ de e-mail legitim este inacceptabilă pentru utilizatori și că rezultatele false sunt aproape inevitabile — deci rapoartele se citesc înainte de a strânge politica, nu după.
Două detalii din aceeași documentație, utile la firme mici: înregistrarea DMARC a unui domeniu acoperă automat toate subdomeniile care nu au propria înregistrare, iar pentru domeniile înregistrate dar nefolosite pentru e-mail se recomandă publicarea unei înregistrări v=DMARC1; p=reject;, ca să declare că de acolo nu trebuie să vină niciodată corespondență. Domeniile de rezervă, cumpărate „ca să nu le ia altcineva”, sunt exact cele folosite pentru a te imita.
Cerința nu mai e nici opțională comercial: în ghidul pentru expeditori, Google cere tuturor expeditorilor SPF sau DKIM și o rată de spam raportată în Postmaster Tools sub 0,3% — cu o țintă recomandată sub 0,10%. Celor care trimit 5 000 de mesaje pe zi sau mai mult către conturi Gmail personale le cere în plus SPF și DKIM, ambele, DMARC și alinierea domeniului din From cu domeniul SPF sau cu cel DKIM. Separat, pentru trimiterea către conturi Gmail personale, cheia DKIM trebuie să aibă minimum 1024 de biți.
Ce oprește efectiv paguba: procedura pe plată
Partea dezamăgitoare a BEC-ului e că nici DMARC, nici filtrul, nici instruirea nu îl opresc complet — mesajul poate veni dintr-un cont real, compromis, al unui furnizor real. Ce funcționează e o regulă scrisă, care nu depinde de judecata de moment a unui om obosit:
- Orice schimbare de cont bancar se confirmă pe alt canal, la un număr de telefon cunoscut dinainte — niciodată la numărul din e-mailul care cere schimbarea.
- Dublă aprobare peste un prag de sumă stabilit de firmă, cu a doua persoană care verifică beneficiarul, nu doar suma.
- Plățile noi către un beneficiar nou se execută cu o zi de decalaj, nu în aceeași oră cu cererea. Urgența este unealta principală a atacatorului.
- Regula se aplică și conducerii. Un mesaj „de la directorul general”, cerând discreție și viteză, este tiparul clasic; dacă procedura are excepții pentru șef, nu e procedură.
- Raportarea nu se pedepsește. Cine anunță în cinci minute că a dat clic salvează firma; cine se teme de reproș nu anunță deloc.
Pe partea tehnică, ordinea rezonabilă pentru o firmă mică: autentificare în doi pași pe toate conturile, cu chei de securitate sau passkeys la administrare și plăți; SPF, DKIM și DMARC pe toate domeniile, inclusiv cele nefolosite; o cutie dedicată pentru rapoartele DMARC, pe care cineva o citește; alerte pe regulile de redirecționare automată din cutiile poștale — semn tipic de cont compromis; și revizuirea periodică a serviciilor externe care au dreptul să trimită în numele domeniului.
Întrebări frecvente
Dacă am activat autentificarea în doi pași, mai pot fi atacat? Da. Kiturile de tip AiTM, precum Tycoon 2FA — descris de ENISA ca cel mai răspândit kit de phishing la nivel global în 2025 — sunt construite anume pentru a ocoli autentificarea cu mai mulți factori, preluând sesiunea în timp real. Doi pași rămâne obligatoriu, dar factorul contează: codurile transmise sunt vulnerabile, cheile de securitate și passkeys nu pot fi reutilizate pe un domeniu fals.
DMARC ne apără de mesajele de phishing care ne vin nouă? Nu direct. DMARC împiedică folosirea domeniului tău ca expeditor fals, deci protejează în primul rând pe cei cu care corespondezi. Pentru mesajele primite lucrează filtrul furnizorului și verificarea politicilor DMARC ale expeditorilor.
Putem pune direct p=reject? Se poate, dar documentația Microsoft recomandă traseul none → quarantine → reject, cu citirea rapoartelor între pași, pentru a nu bloca e-mail legitim trimis de servicii pe care le-ai uitat (facturare, newsletter, aplicația de recrutare). Excepția e domeniul care nu trimite deloc e-mail: acolo p=reject se publică imediat.
Cât de des se repetă instruirea angajaților? Mai important decât frecvența e tipul: exercițiul util nu e un chestionar, ci un mesaj de test construit pe procesele firmei — un fir plauzibil cu o cerere de schimbare de IBAN — urmat de discutarea rezultatului fără sancțiuni.
Surse
- ENISA, Threat Landscape 2026 (septembrie 2026): 8 257 de incidente, 1 ianuarie – 31 decembrie 2025; phishing 77,8% dintre tehnicile de inginerie socială, malspam 13%; Tycoon 2FA, AiTM, ClickFix, 77% dintre domeniile de phishing
- RFC 7489 — Domain-based Message Authentication, Reporting, and Conformance (DMARC): alinierea identificatorilor, valorile
p=, eticheteleruașiruf - Microsoft Learn, Set up DMARC to validate email in Microsoft 365: MAIL FROM vs. From, introducerea graduală none → quarantine → reject, moștenirea pe subdomenii, domeniile nefolosite
- Google, Email sender guidelines: SPF sau DKIM și rata de spam sub 0,3% pentru toți expeditorii; SPF și DKIM, DMARC și aliniere peste 5 000 de mesaje pe zi; cheie DKIM de minimum 1024 de biți
Vrei să știi dacă domeniile firmei tale pot fi folosite acum pentru a-i scrie clienților în numele tău? HQ LEVEL verifică SPF, DKIM și DMARC pe toate domeniile, propune traseul până la p=reject fără să rupă corespondența legitimă și pune la punct procedura de plată, prin serviciul de implementare GDPR și securitate IT. Vezi și audit IT, articolul despre ransomware și obligațiile din NIS2 pentru IMM-uri. Scrie-ne pentru o discuție fără obligații.
