Calul troian, în variantă modernă: filmul lui Nolan piratat vine cu un infostealer

Cercetătorii Bitdefender au identificat copii false ale filmului The Odyssey, ultima producție a lui Christopher Nolan, distribuite pe site-uri de torrente și de streaming ilegal. Fișierele nu sunt filme, ci executabile Windows care instalează Lumma Stealer, un program de furt de informații. Atacatorii au construit paginile false în câteva ore de la lansare, exact în fereastra în care filmul rulează în cinematografe dar nu este încă disponibil legal pentru vizionare acasă.

Trucul care încă funcționează după douăzeci de ani

Windows ascunde implicit extensiile fișierelor cunoscute. Asta înseamnă că un fișier numit „the odyssey 2026 1080p h264-djt.exe" apare în explorator ca „the odyssey 2026 1080p h264-djt" — fără nimic care să sugereze că este un program. Iconița nu ajută deloc: orice executabil poate purta orice imagine, inclusiv pe cea a unui player video. Cele două elemente pe care un utilizator le folosește instinctiv ca să identifice tipul unui fișier, numele și iconița, sunt exact cele pe care atacatorul le controlează complet.

Regula practică se reduce la o propoziție: un film este un fișier de tip .mp4 sau .mkv, niciodată .exe. Dacă ceea ce ai descărcat cere să fie rulat ca aplicație, nu este un film, indiferent cum se numește.

De ce este o problemă de securitate corporativă, nu de morală

Aici este partea care lipsește din majoritatea relatărilor. Lumma Stealer nu fură doar parolele salvate în browser și datele cardului. Fură și cookie-urile de sesiune — dovezile că ești deja autentificat. Iar un cookie de sesiune valid ocolește complet autentificarea în doi factori, pentru că verificarea a avut deja loc, corect, mai devreme. Atacatorul nu are nevoie de parola ta și nici de codul din aplicația de authenticator.

Este exact tiparul despre care am scris de două ori săptămâna aceasta: la phishingul prin cod de dispozitiv și la campania rusească derulată prin Wi-Fi-ul hotelurilor, unde ținta finală erau tot tokenurile de sesiune, nu parolele. Diferența este că aici nu are loc nicio operațiune sofisticată — victima instalează singură programul, convinsă că se uită la un film.

Scenariul realist într-o companie nu este angajatul care piratează filme de pe laptopul de serviciu. Este angajatul care face asta de pe laptopul personal — același pe care are deschisă, în același browser, sesiunea de email de serviciu, cea de la aplicația de management de proiecte și, dacă e din echipa tehnică, cea de la depozitul de cod. Infostealerul nu face distincție între contexte. Ia tot ce găsește în profilul browserului.

O fereastră previzibilă, pe care o poți anticipa

Campania nu este o invenție. În 2025, cercetătorii au documentat una aproape identică în jurul filmului Mission: Impossible – The Final Reckoning, cu același Lumma Stealer distribuit prin fișiere deghizate în copii ale filmului. Tiparul se repetă pentru că oportunitatea se repetă: între premiera în cinematografe și disponibilitatea legală acasă există o perioadă în care cererea este uriașă și oferta legală, zero.

Consecința utilă pentru cine se ocupă de awareness este că acest tip de campanie se poate anticipa. Nu trebuie să aștepți alerta ca să reacționezi — știi dinainte când vine următorul film mare, următorul meci important, următoarea sesiune de declarații fiscale sau următorul Black Friday. Un mesaj scurt trimis cu două zile înainte, în contextul potrivit, are un efect disproporționat față de un modul de curs parcurs în februarie.

Ce faci, pe două planuri

Pentru oameni, trei lucruri concrete:

• Activează afișarea extensiilor de fișier în Windows. Este o singură bifă și transformă „the odyssey 1080p" în „the odyssey 1080p.exe".
• Nu rula niciodată un fișier .exe prezentat ca fiind un film, o melodie sau un document. Nu există motiv legitim pentru care un conținut media să fie un program.
• Nu folosi același browser pentru conturile de serviciu și pentru navigarea personală. Profiluri separate sunt gratuite și rup exact legătura pe care se bazează atacul.

Pentru organizație, patru:

• Asigură-te că poți revoca sesiunile, nu doar reseta parolele. Dacă un dispozitiv a fost compromis de un infostealer, schimbarea parolei nu închide accesul obținut prin cookie.
• Monitorizează semnele tipice: autentificări din locații imposibile, sesiuni active simultan din regiuni diferite, dispozitive necunoscute pe conturi existente.
• Tratează raportarea unei posibile infecții pe dispozitivul personal ca pe un incident normal, nu ca pe o abatere disciplinară.
• Preferă passkey-urile acolo unde se poate. Nu împiedică furtul unui cookie de sesiune existent, dar elimină parolele salvate în browser din ecuație.

Tonul contează mai mult decât conținutul

Tentația, într-un material despre filme piratate, este să aluneci în morală. Este și cea mai sigură cale de a pierde exact rezultatul pe care îl urmărești. Dacă mesajul organizației este „nu pirata", angajatul care a piratat și bănuiește că a încurcat-o va tăcea — pentru că prima consecință previzibilă pentru el este o discuție neplăcută cu șeful, nu ajutorul echipei de securitate.

Or, în cazul unui infostealer, fereastra dintre infectare și folosirea credențialelor furate se măsoară adesea în ore. Un angajat care anunță în aceeași seară permite revocarea sesiunilor înainte ca cineva să le folosească. Același angajat, temându-se de sancțiune, tace două săptămâni și transformă un incident de zece minute într-o investigație de o lună. Mesajul care funcționează nu este despre piraterie, ci acesta: dacă ai rulat ceva ce nu ar fi trebuit, spune-ne în seara aia și nu se întâmplă nimic rău.