Phishing-ul este o tehnică de inginerie socială prin care un atacator imită o entitate de încredere pentru a obține date, credențiale sau bani. Poate combina presiunea psihologică cu site-uri false, conturi compromise și malware.
De ce funcționează, chiar și pe angajați atenți
Atacurile de phishing moderne nu mai arată ca emailurile grosolane de acum un deceniu. Folosesc informații reale despre companie (adesea culese din LinkedIn sau de pe site-ul propriu), imită exact designul unor servicii cunoscute (Microsoft 365, bănci, furnizori de logistică) și creează presiune de timp — "contul va fi suspendat", "factura e restantă" — pentru a forța o reacție rapidă, fără verificare.
Tipuri comune de phishing în mediul de business
Phishing clasic prin email — link-uri către pagini de autentificare false, atașamente cu malware deghizat în facturi sau CV-uri.
Spear phishing — atacuri personalizate, țintite pe o persoană sau un rol specific din companie (de obicei cineva cu acces la plăți sau date sensibile), folosind informații reale despre organizație.
Business Email Compromise (BEC) — atacatorul compromite sau imită contul de email al unui director și cere transferuri de bani sau date urgente, exploatând autoritatea ierarhică.
Smishing și vishing — variante prin SMS sau telefon, în creștere pe măsură ce angajații devin mai precauți cu emailul.
Semne de recunoaștere
- Adresa expeditorului diferă subtil de cea reală (domeniu similar, dar nu identic)
- Solicitare urgentă de acțiune, cu presiune de timp neobișnuită
- Cerere de date sensibile sau transfer bancar în afara procesului normal
- Link-uri care, la hover, arată un domeniu diferit de cel afișat
- Ton ușor nefiresc pentru persoana care "trimite" mesajul
Cum previi atacurile la nivel de companie
Autentificare multi-factor (MFA) pe conturile importante, preferabil cu metode rezistente la phishing. Codurile și notificările push pot fi păcălite; CISA explică diferențele între metode.
Verificare pentru plăți și date sensibile. Confirmă cererile neobișnuite printr-un canal cunoscut, folosind un număr deja verificat, nu datele de contact primite în mesajul suspect.
Filtrare avansată a emailului, dincolo de filtrul de spam standard, capabilă să detecteze domenii similare și tipare tipice de phishing.
Training periodic pentru angajați — nu o singură sesiune la angajare, ci exerciții recurente, inclusiv simulări de phishing controlate, care arată realist cât de ușor poate fi păcălit oricine, nu doar "cei neatenți".
Un proces clar de raportare — angajații trebuie să știe exact cui și cum raportează un email suspect, fără teama că vor fi criticați pentru o alarmă falsă.
De ce contează la nivel de arhitectură, nu doar de instruire
Combină instruirea cu măsuri tehnice și un proces de raportare fără reproșuri. Într-un audit de securitate, verifică atât protecția conturilor, cât și procedurile de aprobare a plăților; rezultatul descrie expunerile evaluate, nu garantează că fiecare tentativă va fi blocată.