Frauda la telefon a depășit phishing-ul: 42% dintre raportările DNSC au fost vishing
DNSC spune că 42% dintre raportările din primul semestru 2026 au fost fraude telefonice. Cum recunoști vishing-ul și ce reguli reduc riscul.
În datele prezentate de Directoratul Național de Securitate Cibernetică (DNSC) pentru prima jumătate a anului 2026, fraudele telefonice — vishing — au reprezentat 42% dintre incidentele raportate. Phishing-ul prin email a reprezentat 14%, iar smishing-ul (frauda prin SMS) 13%. Este un semnal important: pentru mulți atacatori, apelul telefonic a devenit mai eficient decât mesajul scris, tocmai pentru că pune presiune în timp real asupra victimei.
De ce vishing-ul funcționează atât de bine
Într-un apel fraudulos, atacatorul poate pretinde că reprezintă banca, poliția, o autoritate, un furnizor IT sau chiar un coleg. Scenariul folosește aproape întotdeauna urgența: un cont este „în pericol”, o plată trebuie „oprită” sau un dispozitiv trebuie „verificat acum”. O voce convingătoare și un număr afișat pe telefon nu sunt dovezi ale identității apelantului. Tocmai de aceea, verificarea trebuie mutată pe un canal cunoscut și controlat de organizație sau de instituția reală.
Regula operațională: închide apelul și verifică independent
Cea mai utilă reacție nu este să încerci să demaști apelantul în timpul convorbirii. Închide apelul, apoi sună la numărul oficial publicat pe site-ul instituției sau folosește directorul intern al organizației. Pentru o solicitare internă, verifică persoana printr-un canal separat: Teams, un număr de serviciu salvat în director sau o cerere în sistemul de ticketing. Nu apela înapoi numărul lăsat de persoana care te-a sunat și nu utiliza un link primit ulterior prin SMS.
Ce merită implementat într-o organizație
- O regulă simplă, comunicată repetat: parolele, codurile MFA și codurile de autorizare a plăților nu se dictează niciodată la telefon.
- Confirmare pe un al doilea canal pentru plăți, modificări de cont bancar, resetări de acces și cereri urgente din partea conducerii.
- Un traseu clar de escaladare: angajatul oprește conversația, informează echipa IT/securitate și păstrează numărul, ora și contextul apelului.
- Exerciții de awareness care includ apeluri și mesaje, nu doar emailuri de phishing; riscul real nu este limitat la inbox.
- Raportarea tentativelor către canalele interne și, când este relevant, către Platforma Națională de Raportare a Incidentelor de Securitate Cibernetică (PNRISC).
Trainingul ajută, dar nu înlocuiește procesul
Awareness-ul oferă angajaților limbajul și reflexele necesare pentru a opri un scenariu de inginerie socială. Totuși, un angajat bine instruit are nevoie și de un proces care îi permite să spună „verific și revin”, fără presiunea de a rezolva imediat cererea. Controalele pentru plăți, autentificare și administrare de conturi rămân la fel de importante ca trainingul.