Phishing în firmă: cum recunoaște echipa un email fals și ce opresc SPF, DKIM și DMARC

Vineri, ora cinci fără un sfert. Contabila primește un email de la director: o factură trebuie achitată azi, el e la o ședință și nu poate răspunde la telefon, rechizitele sunt în atașament. Numele e corect, semnătura e corectă, chiar și tonul seamănă cu al lui. Sau un furnizor cunoscut scrie că și-a schimbat banca și că următoarea plată trebuie făcută într-un cont nou.

Ambele scenarii sunt clasice. FBI le numește compromiterea emailului de afaceri (business email compromise), iar în raportul său pe 2024 (IC3) a fost a doua cea mai costisitoare fraudă online: 21 442 de plângeri și pierderi de aproximativ 2,77 miliarde de dolari. Doar fraudele cu investiții au costat mai mult.

Cum arată acum un email de phishing

Sfatul vechi era să căutați greșeli de ortografie. Acum nu mai ajută. CISA, agenția americană de securitate cibernetică, avertizează că atacatorii scriu phishingul cu ajutorul AI, fără greșeli, așa că limba nu-i mai dă de gol.

Îi dă de gol ce vrea mesajul de la Dvs. În februarie 2026, Serviciul Fiscal de Stat (SFS) a avertizat despre notificări false trimise în numele lui, despre o presupusă reținere a banilor din cont, semnate cu numele directoarei instituției. Veneau pe WhatsApp, iar SFS a enumerat ce era în neregulă: adresa greșită a portalului, un antet inventat, coduri QR și coduri de bare pe care SFS le folosește doar pe facturile electronice și lipsa semnăturii electronice, pe care o are orice document real al SFS. Dacă același mesaj vine pe email, lista e aceeași.

Unei firme mici îi fac cele mai mari pagube două tipuri:

• Pagina de autentificare falsă. „Căsuța e plină”, „vi s-a trimis un document”, „confirmați contul”: linkul deschide o pagină care arată ca Microsoft, Google sau banca Dvs., iar tot ce scrieți acolo ajunge la atacator.
• Cererea falsă de bani. Aici nu e niciun link, doar un om în care aveți încredere și care cere o plată sau un cont bancar nou. Filtrele le lasă să treacă cel mai ușor, pentru că nu au nimic tehnic de semnalat.

Ce verifică echipa

• Citiți adresa de după @, nu numele. Numele afișat poate fi oricare. Dacă adresa reală e @exemplu.md, cea falsă va fi @exemplu-md.com, @exemp1u.md sau un cont Gmail cu numele directorului.
• Apăsați „Răspunde” și vedeți ce adresă apare. Dacă nu e a expeditorului, opriți-vă.
• Fiți atenți când graba, secretul și banii apar în același mesaj. „Azi”, „nu pot vorbi”, „deocamdată să nu afle nimeni” lângă un număr de cont: exact așa arată aceste emailuri.
• Verificați unde duce de fapt linkul. Pe calculator, țineți mouse-ul deasupra lui și citiți adresa din colțul de jos al ferestrei; pe telefon, apăsați lung. Ca să intrați într-un cont, scrieți adresa singuri sau deschideți-o din favorite.
• Nu deschideți atașamente pe care nu le așteptați: arhive, fișiere HTML, documente care cer să „activați conținutul”, orice fișier numit de felul factura.pdf.exe.
• Sunați înainte să plătiți într-un cont nou. Folosiți numărul din contract sau din agenda Dvs., niciodată pe cel scris în email. Doar regula asta oprește cele mai multe fraude cu bani.

Ce opresc SPF, DKIM și DMARC și ce nu

Despre aceste trei înregistrări am scris în articolul despre emailurile care ajung în spam. Ele vă apără și de phishing, dar doar de un singur tip de fals.

Ce opresc

Cu DMARC configurat pe p=reject, nimeni nu mai poate trimite emailuri de pe @firmadvs.md care să ajungă la destinatar. Un email fals „de la director” de pe propriul Dvs. domeniu e respins de Gmail, de Microsoft și de majoritatea serviciilor mari de poștă. La fel și o factură falsă trimisă clienților Dvs. în numele firmei. Centrul Național de Securitate Cibernetică al Marii Britanii (NCSC) o spune direct: dacă activați DMARC, atacatorii nu mai pot folosi domeniul Dvs. pentru emailuri false.

Ce lasă să treacă

• Un domeniu care doar seamănă cu al Dvs., de pildă firmadvs-md.com. E al atacatorului, iar el își poate configura perfect SPF, DKIM și DMARC pentru el.
• O adresă gratuită de Gmail sau Outlook cu numele directorului Dvs.
• O căsuță reală, la care atacatorul a obținut acces. Dacă i s-a furat contul unui furnizor, factura falsă vine de pe adresa lui adevărată și trece toate verificările. E cazul cel mai greu și îl prinde doar apelul de mai sus.

Înregistrările sunt deci doar începutul, oamenii rămân la fel de importanți. Pentru ce trece de ele ajută două setări. Majoritatea serviciilor de poștă pot marca fiecare mesaj venit din afara firmei cu o etichetă de tipul „Extern”, așa că un „director” care scrie din afară sare în ochi. Iar autentificarea cu doi factori pe fiecare căsuță face ca o parolă furată printr-o pagină falsă să nu fie de ajuns (vedeți articolul despre parolele firmei).

De ce o singură barieră nu ajunge

NCSC descrie o companie financiară cu circa 4 000 de angajați, care a primit 1 800 de emailuri cu program malițios, deghizate în factură urgentă și scrise într-o engleză corectă. Filtrul a oprit 1 750. Din cele 50 ajunse în căsuțe, oamenii au ignorat sau au raportat 36. Pe 14 s-a dat clic. În 13 cazuri programul nu a pornit, pentru că calculatoarele erau actualizate. Singurul care s-a instalat a fost depistat când a încercat să ia legătura cu cei care îl controlau, iar calculatorul a fost curățat în câteva ore.

Nicio barieră nu le-a prins pe toate: filtrul a scăpat 50, oamenii 14, actualizările unul. Toate împreună au făcut din atac câteva ore de lucru.

Același ghid insistă pe ceva ce firmele mici greșesc des: nu-l pedepsiți pe cel care a dat clic. Cine se teme pentru locul de muncă nu-și recunoaște greșeala, iar tocmai un anunț făcut la timp vă salvează. Numărați câți au raportat emailul, nu doar câți au dat clic.

O regulă de o pagină pentru echipă

Printați-o sau fixați-o în chatul echipei:

1. Un cont bancar nou sau o plată urgentă cerută pe email: sunați înapoi la un număr pe care îl aveți deja, iar plata o aprobă și a doua persoană.
2. Nimeni nu cere parola pe email. Ca să intrați într-un cont, scrieți adresa singuri.
3. Ceva pare suspect: trimiteți emailul celui care se ocupă de IT, apoi ștergeți-l. Mulțumiți-i celui care l-a raportat, chiar dacă emailul se dovedește adevărat.
4. Ați dat clic sau ați scris parola pe o pagină de care nu sunteți siguri: spuneți imediat. Schimbați parola respectivă și cereți să fie verificat calculatorul.
5. Dacă banii au plecat deja, sunați imediat la bancă. Cu cât află mai repede, cu atât sunt mai mari șansele să oprească transferul.

Pe scurt

Oamenii prind falsurile care trec de toate verificările tehnice, iar înregistrările domeniului le prind pe cele care se dau drept Dvs. Cele mai multe emailuri de phishing ajung la o firmă mică pentru că lipsește una dintre cele două: DMARC n-a fost activat niciodată sau nimeni nu i-a spus contabilei că un telefon de verificare e permis și chiar așteptat.

Verificarea înregistrărilor de poștă ale domeniului și a modului în care căsuțele tratează mesajele din afară face parte din consultanța IT pe care o oferim. Dacă doriți să ne uităm la ale Dvs., scrieți-ne.