Un om obișnuit are, în medie, între 80 și 150 de conturi online: bancă, email, magazine, aplicații de livrare, rețele sociale, platforme de streaming, contul de la furnizorul de curent. Iar cei mai mulți dintre noi folosesc trei-patru parole pentru toate. De obicei o variantă cu numele animalului de companie, anul nașterii și un semn de exclamare pus la final ca să treacă de verificarea site-ului. Aici începe problema: securitate conturi online nu înseamnă să ai o parolă complicată, ci să nu ai aceeași parolă în două locuri.
Motivul e simplu și neplăcut. Site-urile sunt sparte constant, iar bazele de date cu adrese de email și parole ajung să circule în pachete de zeci de milioane de înregistrări. Nimeni nu stă să te atace pe tine personal. Un program automat ia lista, o încearcă pe Gmail, pe Facebook, pe banca ta, pe contul de la un magazin online, și trece mai departe. Dacă parola de la un forum uitat de mult e aceeași cu cea de la email, ai pierdut tot lanțul într-o singură noapte.
De ce lungimea bate complexitatea în securitatea conturilor online
Ani la rând am fost învățați că o parolă bună are majusculă, cifră, caracter special și minimum opt caractere. Rezultatul: milioane de oameni au ajuns la variante de tipul Parola1! sau IunieBucuresti#. Sunt exact tiparele pe care programele de ghicit parole le încearcă primele, pentru că sunt previzibile. Un om care înlocuiește „a” cu „@” nu păcălește pe nimeni; dicționarele de atac cunosc substituția asta de douăzeci de ani.
Matematica funcționează altfel. Fiecare caracter în plus multiplică numărul de combinații posibile. O parolă de opt caractere, oricât de încâlcită, are un spațiu de căutare mult mai mic decât una de șaisprezece caractere formată din cuvinte simple. Diferența nu e de câteva ori, ci de ordine de mărime greu de scris pe hârtie.
De aici vine ideea de frază-parolă: patru sau cinci cuvinte fără legătură logică între ele, puse cap la cap. Ceva de genul pisicăumbrelădulapmurături. E lungă, e ușor de ținut minte pentru că îți poți face o imagine mentală absurdă cu ea, și e greu de spart pentru că nu apare în nicio listă. Adaugă o cifră și un semn de punctuație undeva la mijloc dacă site-ul insistă, dar nu la final, unde se pun în mod obișnuit.
Ce nu trebuie să conțină fraza-parolă
- Numele copiilor, al soțului sau soției, al animalului de companie
- Data nașterii, în orice format, inclusiv inversată
- Numele echipei favorite sau al orașului natal
- Un vers dintr-o piesă cunoscută sau o replică celebră din film
- Numele site-ului pe care o folosești, chiar și prescurtat
Tot ce se poate deduce dintr-o privire pe profilul tău public de socializare e material de atac. Un atacator care te vizează direct începe exact de acolo.
Managerul de parole rezolvă problema pe care creierul nu o poate rezolva
Nimeni nu poate ține minte o sută de fraze-parolă diferite. E nerealist să ceri asta cuiva, iar oamenii care încearcă ajung inevitabil la variații pe aceeași temă, ceea ce e aproape la fel de rău ca refolosirea directă.
Un manager de parole e o aplicație care le ține pe toate criptate într-un seif digital, deschis de o singură parolă principală. Aceea e singura pe care trebuie să o memorezi, și acolo folosești fraza-parolă lungă. Aplicația generează pentru fiecare site o parolă aleatorie de douăzeci-treizeci de caractere, pe care nu o vezi niciodată și nu ai de ce să o vezi. O completează automat în browser și pe telefon.
Există opțiuni gratuite bune și opțiuni cu plată, cu abonamente în general modeste, în ordinul a câtorva zeci de lei pe an. Diferența ține de sincronizare între dispozitive, partajare în familie și suport. Pentru cineva care pornește de la zero, chiar și managerul integrat în browser sau în sistemul de operare al telefonului e un pas uriaș înainte față de un caiet ținut lângă calculator.
Obiecția standard e: „dar dacă îmi sparg seiful, pierd tot”. E o teamă legitimă și merită răspuns onest. Seiful e criptat local, iar furnizorul nu are cheia. Riscul real nu e serverul furnizorului, ci parola principală slabă și lipsa autentificării în doi pași pe contul de manager. Ambele stau în puterea ta.
Contul de email este cheia care descuie toate ușile
Dacă ar fi să protejezi un singur cont, acela e emailul. Nu contul de bancă. Emailul. Orice discuție serioasă despre securitate conturi online pornește de aici, chiar dacă intuiția spune altceva.
Gândește-te la mecanismul de recuperare a parolei pe orice site: apeși „am uitat parola”, primești un link, îți setezi alta. Cine controlează căsuța ta de email controlează, prin acest mecanism, absolut toate conturile legate de ea. Banca, magazinele, rețelele sociale, contul de la ANAF, dosarul medical dacă îl ai digitalizat. Un atacator cu acces la email nu are nevoie să spargă nimic altceva; cere pur și simplu resetare peste tot, unul câte unul, în ordine.
Practic, asta înseamnă trei lucruri. Parola de email trebuie să fie unică și lungă, folosită nicăieri altundeva. Autentificarea în doi pași trebuie activată acolo prima, înainte de orice alt cont. Iar adresa de recuperare și numărul de telefon asociate contului trebuie verificate periodic, pentru că o adresă de rezervă la un furnizor pe care nu l-ai mai deschis de zece ani e o ușă din spate lăsată deschisă.
Merită și o separare de bun-simț: o adresă folosită doar pentru bancă și lucruri financiare, alta pentru cumpărături și newslettere. Când adresa de shopping ajunge într-o scurgere, ceea ce se va întâmpla mai devreme sau mai târziu, partea financiară rămâne neatinsă.
Autentificarea în doi pași: ce alegi și de ce contează diferența
Al doilea pas de verificare transformă parola dintr-o cheie unică într-una din două. Chiar dacă parola ajunge în mâini străine, contul rămâne închis fără al doilea element. Doar că nu toate metodele oferă aceeași protecție, iar alegerea între ele face o diferență reală pentru securitate conturi online.
| Metodă | Cum funcționează | Punct slab |
|---|---|---|
| Cod prin SMS | Primești un cod pe telefon | Duplicarea cartelei SIM, interceptare, cod cerut prin telefon de un fals operator |
| Aplicație de coduri | Generează coduri care se schimbă la 30 de secunde | Poți fi păcălit să tastezi codul pe un site fals |
| Notificare push în aplicație | Confirmi apăsând un buton | Oboseala de aprobare: apeși din reflex la a zecea notificare |
| Cheie fizică de securitate | Un dispozitiv USB sau NFC pe care îl atingi | Se poate pierde, costă bani, nu e acceptată peste tot |
SMS-ul e cea mai slabă variantă, dar rămâne infinit mai bună decât nimic. Vulnerabilitatea principală e duplicarea cartelei: cineva se prezintă la un magazin al operatorului cu date despre tine și cere o cartelă nouă pe numărul tău. Din acel moment primește el codurile.
Aplicațiile de coduri sunt mijlocul de aur pentru majoritatea oamenilor: gratuite, funcționează fără internet, nu depind de operatorul de telefonie. Setează-le cu grijă și salvează codurile de rezervă pe care ți le dă site-ul la activare, într-un loc offline. Fără ele, un telefon pierdut înseamnă un cont pierdut.
Cheia fizică e singura care oprește complet phishingul, pentru că verifică criptografic adresa reală a site-ului și refuză să funcționeze pe o copie. Pentru cine gestionează bani, conturi de firmă sau date sensibile, cele câteva sute de lei pentru două chei, una principală și una de rezervă, sunt bine investite.
Ce faci concret când parola ta apare într-o scurgere de date
Vestea că datele tale au ajuns public vine de obicei printr-o notificare din browser, din managerul de parole sau printr-un email de la serviciul respectiv. Panica nu ajută, ordinea da.
- Schimbă imediat parola pe contul afectat, cu una nouă și unică, nu o variație a celei vechi.
- Verifică unde ai mai folosit aceeași parolă și schimb-o și acolo. Managerul de parole îți arată duplicatele într-o listă.
- Activează autentificarea în doi pași pe contul respectiv, dacă nu era deja pornită.
- Deconectează toate sesiunile active din setările contului, ca să scoți afară pe oricine e deja înăuntru.
- Intră în setări și caută adrese de email de recuperare, numere de telefon sau reguli de redirecționare pe care nu le-ai pus tu. E prima urmă lăsată de un intrus.
- Dacă e vorba de un cont financiar, sună la bancă și cere monitorizare, iar dacă vezi tranzacții necunoscute, blochează cardul din aplicație.
Un detaliu ignorat des: aplicațiile terțe cărora le-ai dat cândva acces la contul tău. Un joc, un instrument de programat postări, o extensie de browser. Curăță lista periodic și scoate tot ce nu mai folosești.
Semnele care dau de gol un mesaj bancar fals
Phishingul a devenit mult mai îngrijit decât acum câțiva ani. Mesajele au diacritice, logo corect, ton oficial. Tiparele rămân însă aceleași, pentru că psihologia din spate nu se schimbă.
Aproape toate mesajele false creează urgență artificială: contul va fi blocat în 24 de ore, s-a înregistrat o tranzacție suspectă, un colet nu poate fi livrat până nu plătești o taxă mică. Scopul e să te facă să apeși înainte să gândești. O bancă reală nu îți pune un termen de câteva ore prin SMS.
Al doilea semnal e cererea de date. Nicio bancă nu îți cere prin mesaj, email sau telefon parola, codul PIN, codul CVV de pe spatele cardului sau codul de autorizare primit prin SMS. Dacă cineva ți-l cere, indiferent cât de convingător sună, e o tentativă de fraudă. Codul acela autorizează o plată, nu confirmă identitatea ta.
Verifică adresa expeditorului și, mai ales, unde duce linkul înainte să apeși. Domeniile false imită subtil: o literă schimbată, o cratimă în plus, un sufix de țară diferit. Regula practică e să nu deschizi niciodată aplicația bancară dintr-un link. O deschizi de pe telefon, direct, din pictograma ei.
Dacă un mesaj te grăbește, te sperie sau îți cere un cod, tratează-l ca fals până la proba contrarie. Sună tu banca, la numărul de pe spatele cardului.
Obiceiuri mici care întăresc securitatea conturilor online pe termen lung
Actualizările de sistem și de aplicații nu sunt un moft. Majoritatea repară exact găurile prin care se intră. Amânarea lor luni în șir e echivalentul lăsării ferestrei deschise la parter.
Rețelele Wi-Fi publice, din aeroport, cafenea sau hotel, merită tratate ca spații deschise. Citit știri, da. Intrat în contul bancar, mai bine nu, sau folosind datele mobile în locul lor. Blocarea ecranului telefonului cu cod sau amprentă e a doua bază, pentru că telefonul e locul unde ajung codurile de autentificare.
Și încă un lucru rar discutat: întrebările de securitate. „Numele de fată al mamei” e o informație publică în multe cazuri. Tratează răspunsul ca pe o a doua parolă, inventează ceva fără legătură cu întrebarea și salvează-l în managerul de parole.
O securitate conturi online solidă nu se construiește într-o după-amiază, dar nici nu cere mai mult de câteva ore în total. Începi cu emailul, treci la bancă, apoi la rețelele sociale, și lași magazinele online la final. Peste o lună, obiceiul e format și nu te mai gândești la el. Iar diferența dintre cineva care a făcut acești pași și cineva care nu i-a făcut se vede exact în ziua în care o bază de date apare pe internet.
