Un mesaj aparent banal poate deveni poarta de intrare către email, documente, fișiere de lucru și conturi conectate. În ultimele luni, specialiștii în securitate au atras atenția asupra unei metode de phishing care nu se bazează neapărat pe furtul clasic al parolei, ci pe păcălirea utilizatorului să introducă un cod de autentificare într-o pagină legitimă.
Pentru utilizatorii din România, subiectul este relevant mai ales pentru că Microsoft 365 este folosit în firme mici, școli, instituții, cabinete, agenții, magazine online și de freelanceri. Nu este nevoie ca victima să fie „expertă în IT” ca să fie vizată. De multe ori, atacul mizează exact pe rutină: primești un email, vezi o solicitare urgentă, introduci un cod, mergi mai departe.
Ce este phishing-ul prin cod de autentificare
În mod normal, anumite servicii permit conectarea unui dispozitiv printr-un cod afișat pe ecran. De exemplu, un televizor, o aplicație sau un dispozitiv fără tastatură completă poate cere utilizatorului să intre pe o pagină oficială și să introducă acel cod.
Problema apare când atacatorii folosesc această funcție în mod abuziv. Ei pot trimite victimei un mesaj care pare să vină dintr-un context profesional: o invitație, o notificare, o cerere de acces la un document sau un presupus proces de verificare. Utilizatorul este direcționat către o pagină reală de autentificare și introduce codul primit. Pentru că pagina poate fi legitimă, multe persoane nu își dau seama că acțiunea poate autoriza accesul altcuiva.
Important: acest tip de atac nu înseamnă că autentificarea în doi pași este inutilă. Dimpotrivă, MFA rămâne esențială. Problema este că utilizatorul poate fi păcălit să aprobe o conectare pe care nu a inițiat-o.
De ce este periculos pentru utilizatorii obișnuiți
Un cont de email compromis poate fi folosit pentru mai mult decât citirea mesajelor. Atacatorii pot căuta facturi, conversații cu clienți, linkuri de resetare a parolei, documente personale, contracte sau informații bancare. Într-o firmă mică, un singur cont compromis poate crea probleme serioase: emailuri false trimise către clienți, solicitări de plată modificate, acces la fișiere interne sau încercări de fraudă.
Pentru utilizatorii individuali, riscul este la fel de concret. Dacă același email este folosit pentru conturi personale, cloud, rețele sociale și aplicații financiare, accesul neautorizat poate duce rapid la alte tentative de preluare a conturilor.
Semne care ar trebui să te oprească
Primul semn este urgența. Dacă un mesaj îți cere să introduci rapid un cod, să aprobi o conectare sau să „reactivezi” accesul la un document, oprește-te câteva secunde.
Al doilea semn este contextul neclar. Ai cerut tu acea autentificare? Ai încercat tu să conectezi un dispozitiv? Dacă nu, nu introduce codul.
Al treilea semn este presiunea profesională: „șeful a trimis documentul”, „departamentul financiar are nevoie urgent”, „contul va fi suspendat”. Atacurile moderne sunt scrise tot mai convingător, iar unele pot folosi automatizare sau inteligență artificială pentru texte mai naturale.
Ce poți face ca să te protejezi
Nu introduce coduri de autentificare primite prin email, SMS sau chat dacă nu ai început tu procesul de conectare. Dacă apare o cerere de aprobare pe telefon și nu ai încercat să te loghezi, respinge-o.
Activează autentificarea în doi pași, dar folosește metode mai sigure acolo unde sunt disponibile: aplicații de autentificare, chei de securitate sau passkeys. Evită să te bazezi doar pe SMS, mai ales pentru conturi importante.
Verifică periodic dispozitivele conectate la cont și sesiunile active. Dacă vezi locații, aplicații sau dispozitive necunoscute, deconectează-le și schimbă parola. Pentru firme, administratorii ar trebui să revizuiască politicile de acces, alertele de conectare suspectă și metodele de autentificare permise.
Parolele rămân importante. Folosește parole unice pentru fiecare cont și un manager de parole. O parolă refolosită poate transforma o breșă veche într-o problemă actuală.
Ce faci dacă ai introdus deja un cod suspect
Schimbă imediat parola contului, verifică sesiunile active și deconectează dispozitivele necunoscute. Anunță administratorul IT, dacă este un cont de muncă. Verifică regulile de redirecționare din email, pentru că atacatorii pot încerca să primească automat copii ale mesajelor. Dacă observi tranzacții, facturi sau mesaje suspecte, contactează banca, partenerii afectați și raportează incidentul prin canalele oficiale.
Securitatea digitală nu înseamnă panică, ci reflexe bune. Când un cod apare din senin, cea mai bună reacție este simplă: nu îl introduce, verifică sursa și intră manual în cont din aplicația sau site-ul oficial.
Surse folosite
Axios – analiză despre creșterea atacurilor de phishing automatizate și folosirea AI în campanii recente: https://www.axios.com/2026/06/23/ai-automation-phishing-emails-hackers
Microsoft Learn – documentație despre fluxul de autentificare prin cod de dispozitiv: https://learn.microsoft.com/en-us/entra/identity-platform/v2-oauth2-device-code
Microsoft – recomandări privind autentificarea multifactor și protecția conturilor: https://www.microsoft.com/en-us/security/business/solutions/multifactor-authentication-mfa
DNSC – recomandări generale de siguranță online pentru utilizatori: https://dnsc.ro/
