Un mesaj care pare trimis de ANAF poate pune presiune imediată pe contabilitate: „somație”, „notificare”, „regularizare”, „termen limită”, uneori cu un atașament care promite detalii. Pentru o firmă, problema nu este doar dacă mesajul este real, ci cum îl verifici fără să deschizi fișierul și fără să trimiți mai departe un posibil risc în rețea.
Regula de bază este simplă: tratează atașamentul ca necunoscut până când confirmi cererea printr-un canal oficial. Nu descărca documentul pe calculatorul de lucru, nu îl deschide pe telefon și nu îl redirecționa către colegi „ca să se uite cineva”.
Primul pas: verifică dacă există notificarea în SPV
Pentru firme, verificarea principală trebuie făcută în Spațiul Privat Virtual sau în serviciile electronice ANAF folosite deja de companie. Intră manual pe site-ul ANAF, din browser, folosind adresa cunoscută sau un bookmark verificat. Nu folosi linkul din email.
Caută în zona de mesaje, notificări sau documente transmise către contribuabil. Dacă emailul spune că există o cerere oficială, ar trebui să poți confirma existența ei în contul firmei sau prin contabilul autorizat. Dacă nu există nimic în SPV, mesajul nu devine automat fals, dar este suficient de suspect încât să nu deschizi atașamentul.
Am explicat separat și cum se verifică un email fals în numele ANAF, inclusiv adresa expeditorului și formulările care încearcă să grăbească destinatarul.
Nu valida mesajul cu un reply
O greșeală frecventă este răspunsul direct la email: „Bună ziua, confirmați că este real?”. Dacă mesajul este de phishing, ai confirmat că adresa firmei este activă și că subiectul te interesează. Verificarea se face separat, prin contul oficial, prin datele de contact publicate pe site-ul ANAF sau prin consultantul fiscal al firmei.
Nu suna la numerele din email și nu folosi linkuri de tip „verifică documentul”. Dacă ai nevoie de contact, caută manual pagina oficială ANAF și pornește de acolo. Pentru apeluri suspecte pe aceeași temă, util este și ghidul despre apeluri telefonice false „de la ANAF”.
Ce verifică angajatul înainte să escaladeze intern
Într-o firmă mică, mesajul poate ajunge la administrator, contabilitate, office manager sau vânzări. Toți ar trebui să aibă aceeași procedură minimă:
- să nu deschidă atașamentul și să nu apese linkuri;
- să salveze doar captura mesajului sau detaliile vizibile, dacă politica internă permite;
- să noteze data, ora, expeditorul afișat și subiectul;
- să trimită cazul către persoana responsabilă, fără atașamentul original, dacă nu există o procedură tehnică sigură;
- să verifice în SPV sau prin contabil înainte de orice plată, transmitere de date ori modificare de cont.
Dacă mesajul cere plată rapidă, schimbarea unui IBAN sau trimiterea unor documente ale firmei, tratează-l ca risc ridicat. Atacatorii combină adesea limbajul administrativ cu presiunea termenului limită. Pentru proceduri similare, vezi și ghidul despre phishing pentru firme.
Ce faci cu atașamentul
Atașamentul nu trebuie „testat” pe calculatorul principal. Nu îl converti online, nu îl urca pe servicii necunoscute și nu îl deschide în aplicații vechi. Dacă firma are administrator IT sau furnizor de securitate, trimite cazul conform procedurii interne. Dacă nu există o astfel de procedură, păstrează mesajul nedeschis, fă verificarea oficială și șterge-l după ce ai documentat incidentul.
Dacă cineva a deschis deja fișierul, schimbă abordarea: izolează calculatorul de rețea, anunță responsabilul IT sau furnizorul, nu continua lucrul pe acel sistem și verifică dacă au fost introduse parole sau date fiscale. Pașii de urgență sunt tratați separat în ghidul despre ce faci dacă ai deschis o presupusă somație fiscală malițioasă.
Politica simplă pentru firme
O firmă nu are nevoie de un manual complicat pentru fiecare email suspect. Are nevoie de o regulă scrisă și repetată: documentele fiscale importante se confirmă în SPV sau pe canale oficiale, nu prin atașamente primite pe neașteptate. Orice mesaj care cere grabă, secret, plată sau date sensibile trebuie verificat de două persoane, pe două canale diferite.
Această procedură nu blochează activitatea firmei. Dimpotrivă, scurtează discuțiile și reduce riscul ca un angajat bine intenționat să transforme un email fals într-un incident real.
Întrebări frecvente
Dacă emailul pare de la ANAF, pot deschide atașamentul?
Nu. Mai întâi verifică existența cererii în SPV sau printr-un canal oficial ANAF accesat manual, nu din linkul primit.
Pot răspunde la email ca să întreb dacă mesajul este real?
Nu este recomandat. Verificarea se face separat, prin contul oficial, datele publicate pe site-ul ANAF sau prin contabilul firmei.
Ce fac dacă mesajul cere o plată urgentă?
Tratează mesajul ca risc ridicat. Confirmă în SPV și prin persoana responsabilă din firmă înainte de orice plată sau transmitere de date.
Ce fac dacă atașamentul a fost deja deschis?
Izolează calculatorul de rețea, anunță IT-ul sau furnizorul de securitate și verifică dacă au fost introduse parole ori date fiscale.
