Exercițiul anti-repezeală: ce poate copia o companie din campania DNSC și FAN Courier

Pe 9 septembrie 2026, Directoratul Național de Securitate Cibernetică și FAN Courier au lansat „Exercițiul anti-repezeală”, o campanie de prevenire a fraudelor prin SMS și WhatsApp care folosesc abuziv numele și identitatea vizuală ale curierului. Campania cuprinde patru materiale video inspirate din tentative reale, în care utilizatorul este împins să confirme o livrare, să completeze o adresă, să aleagă un locker sau să achite o taxă prezentată ca urgentă.

Pe ce date se sprijină și ce nu spun acele date

Campania citează date Bitdefender publicate în martie 2026, potrivit cărora peste un milion de persoane din România au primit SMS-uri frauduloase sub pretextul livrării unui colet, în cadrul unei singure scheme de înșelătorie. Este o cifră despre destinatari, în una singură dintre campaniile observate. Nu este numărul victimelor, nu este suma pierdută și nu este un total național. Distincția contează dacă folosești cifra într-o prezentare internă: exagerarea ei este exact genul de lucru care erodează credibilitatea echipei de securitate.

Campania precizează de asemenea că mesajele nu sunt rezultatul unei breșe în sistemele FAN Courier. Este o precizare utilă și pentru comunicarea internă a oricărei companii al cărei nume este folosit abuziv: brandul poate fi imitat fără ca infrastructura ta să fie atinsă, iar răspunsul corect nu este o dezmințire tehnică, ci un canal clar de verificare pentru clienți.

De ce este relevant pentru o companie, nu doar pentru consumatori

Mesajul despre colet ajunge pe telefonul personal al angajatului, în afara oricărui control corporativ: fără filtru de e-mail, fără gateway, fără avertismentul „expeditor extern”. Acolo se antrenează, zilnic, reflexul pe care atacatorii îl exploatează ulterior în atacuri la adresa companiei — aceeași presiune de timp, aceeași pagină care cere o confirmare rapidă, aceeași plată minoră care pare mai simplu de făcut decât de verificat.

Fraudele cu livrări au și un avantaj pedagogic pe care scenariile corporative nu îl au: toată lumea a așteptat un colet. Nu trebuie să explici contextul, iar nimeni nu se simte vizat profesional. Este unul dintre puținele scenarii în care poți discuta despre o greșeală fără ca cineva să se apere.

Cum transformi campania într-un exercițiu intern

• Pornește de la materialele publice ale campaniei, în loc să produci altele. Sunt în limba română, sunt gratuite și vin de la autoritatea națională — ceea ce elimină discuția despre credibilitatea sursei.
• Adaugă un al doilea strat, cu echivalentul corporativ al fiecărui scenariu: o confirmare de livrare devine o confirmare de factură, o taxă urgentă devine o plată restantă către un furnizor, preluarea contului de WhatsApp devine preluarea contului de Teams sau Microsoft 365.
• Fă exercițiul în echipe mici, nu în plen. Dă fiecărei echipe un mesaj și trei minute pentru o singură decizie: ce verifici mai întâi și pe ce canal.
• Cere explicit canalul independent: aplicația oficială a curierului, numărul de pe site-ul oficial, contul din platforma furnizorului. Nu linkul, nu numărul și nu codul QR din mesaj.
• Încheie cu o singură regulă scrisă, pe care echipa o formulează singură. O regulă pe care oamenii au scris-o supraviețuiește mai mult decât zece slide-uri.

Comportamentele pe care le antrenezi

• Pauza înainte de acțiune: mesajul se citește de două ori înainte de orice atingere a ecranului, mai ales când cere ceva imediat.
• Verificarea în sursă, nu în mesaj: statusul unei livrări, al unei facturi sau al unui cont se verifică deschizând separat aplicația sau site-ul oficial.
• Refuzul plăților mici și urgente: o sumă mică nu este un motiv să sari peste verificare, ci semnalul clasic al schemei.
• Neintroducerea datelor de card sau a codurilor primite prin SMS în pagini deschise dintr-un mesaj.
• Raportarea fără teamă: mesajele suspecte se raportează, inclusiv cele primite pe telefonul personal, chiar dacă angajatul a apucat să dea clic.

Campania recomandă și canale concrete de raportare: caseta de securitate a curierului pentru mesajele care îi folosesc numele, respectiv platforma de raportare a DNSC și numărul 1911 pentru incidente. Într-o companie, echivalentul intern trebuie să fie la fel de simplu de reținut: o singură adresă sau un singur buton, cunoscut de toată lumea, fără formular lung.

Ce măsori

• Numărul de mesaje suspecte raportate intern lunar, inclusiv cele primite pe telefonul personal. O creștere este un rezultat bun, nu un semnal de alarmă.
• Timpul median dintre primirea unui mesaj suspect și raportare.
• Procentul de angajați care, într-un test, verifică pe canalul independent în loc să folosească linkul din mesaj.
• Procentul de raportări venite de la persoane care au dat deja clic — indicatorul real al culturii de raportare.
• Numărul de departamente care au un echivalent corporativ scris pentru fiecare dintre cele patru scenarii.

Ce merită împrumutat din campanie nu este sloganul, ci încadrarea. „Exercițiu” spune că vorbim despre un comportament care se antrenează și care se poate îmbunătăți, nu despre o trăsătură de caracter. Este singura încadrare care funcționează într-o organizație, pentru că este singura care nu transformă persoana care a dat clic în problema care trebuie rezolvată.