Atacuri cu AI: vocea șefului, mesaj pe WhatsApp și aplicații care îți citesc emailul

Pe 16 octombrie 2026, FBI și CISA au transmis un avertisment comun: atacatorii folosesc inteligența artificială pentru emailuri fără greșeli, voci clonate și video deepfake, ca să se dea drept oameni în care ai încredere. Avertismentul vizează oficialii electorali din SUA, dar aceleași trucuri lovesc orice firmă în care cineva poate aproba o plată sau poate deschide accesul la date.

Exemplul care ne îngrijorează cel mai mult pentru firmele mici: contabila primește pe WhatsApp un mesaj vocal cu vocea directorului, care cere „urgent” un transfer. Nu e nevoie de niciun virus. Atacatorul exploatează doar încrederea.

Mai jos: cum arată aceste atacuri, ce este „OAuth consent phishing” (accesul la email fără parolă) și ce măsuri concrete opresc problema, cu echipamentele și serviciile pe care le putem instala la tine.

1. Cum arată atacurile în 2026

FBI spune explicit că regula veche nu mai funcționează: emailurile de phishing nu se mai recunosc după greșelile de scriere. AI-ul scrie în limba ta, cu expresiile pe care le folosești zilnic.

• Emailuri profesionale și personalizate – menționează un furnizor real, un proiect în curs sau numele colegilor, preluate de pe LinkedIn și de pe site-ul firmei.
• Voce clonată – câteva secunde dintr-un video public ajung pentru a imita vocea unui director într-un mesaj vocal sau un apel.
• Video deepfake – identități false sau furate, folosite în apeluri video ca să convingă victima.
• Mesaje pe WhatsApp, Signal și Telegram – FBI a observat creșterea acestor tentative în ultimul an. Criptarea protejează conținutul, dar nu îți garantează cine e la celălalt capăt.

Ideea principală: o voce cunoscută, un nume sau o poză de profil nu mai sunt dovadă de identitate.

2. Acces la email fără parolă: „OAuth consent phishing”

Pe 1 septembrie 2026, FBI a avertizat separat despre o tehnică prin care atacatorul intră în contul tău fără să îți afle parola. Nu sare nici peste MFA, pentru că nu are nevoie de el.

Cum se întâmplă, pas cu pas:

1. Atacatorul înregistrează o aplicație cu un nume banal, de exemplu „Document Viewer” sau „Verificare identitate”.
2. Îți trimite un link pe email sau WhatsApp: un document partajat, o invitație la un eveniment.
3. Linkul te duce pe pagina reală de autentificare Microsoft sau Google. Parola ajunge la Microsoft, nu la atacator.
4. Apare o fereastră care cere permisiuni: „să citească emailul”, „să acceseze fișierele”. Apeși „Accept”.
5. Aplicația atacatorului primește acces permanent la emailul și fișierele tale.

Schimbarea parolei nu rezolvă nimic. Accesul rămâne până când aplicația este revocată din setările de securitate ale contului.

Ce faci în Microsoft 365, ca firmă:

• Oprești aprobarea aplicațiilor de către utilizatori. În Microsoft Entra, setările de „user consent” se pun pe „nu permite” sau doar pentru aplicații verificate, iar restul trec printr-o cerere de aprobare către administrator.
• Verifici lunar aplicațiile cu acces (Enterprise applications) și ștergi ce nu recunoști.
• Dacă cineva a apăsat deja „Accept”: revoci aplicația, închizi sesiunile active ale utilizatorului și verifici regulile de redirecționare din căsuța lui de email.

Detalii despre setările de bază găsești și în articolul nostru Microsoft 365: 7 greșeli de configurare.

3. Regula care oprește cele mai multe fraude

Nicio plată neprevăzută, niciun transfer de date sensibile și nicio cerere de acces nu se aprobă fără o verificare pe alt canal, chiar dacă cererea pare să vină de la cineva cunoscut.

Cum o pui în practică în firmă:

• Suni înapoi pe numărul pe care îl ai deja salvat, nu pe cel din mesaj. Dacă „directorul” scrie pe WhatsApp de pe un număr nou, suni pe numărul lui vechi.
• Cuvânt de verificare intern – o întrebare sau un cuvânt pe care îl știu doar oamenii din firmă, folosit când cineva cere ceva urgent.
• Două persoane pentru plăți peste un prag – de exemplu, orice transfer peste 5.000 de lei sau orice schimbare de IBAN la un furnizor se confirmă de a doua persoană.
• Urgența e un semnal de alarmă, nu un motiv să te grăbești. „Am nevoie în 10 minute, nu suna, sunt în ședință” este exact ce spune un atacator.
• Un singur loc unde se raportează mesajele suspecte – un email sau un grup intern, ca IT-ul să afle repede.

4. Măsurile tehnice care contează

FBI și CISA nu recomandă nimic exotic. Lista lor e aproape identică cu ce verificăm la orice audit IT pentru IMM-uri:

Dacă vrei să vezi singur unde stă firma, VivaNet IT Security Kit este un audit pe care îl faci intern, pas cu pas, și acoperă exact aceste puncte.

Checklist: firma ta e pregătită?

1. Există o regulă scrisă că plățile urgente și schimbările de IBAN se confirmă pe alt canal?
2. Conturile de email au MFA, iar adminii folosesc passkey sau cheie FIDO2, nu SMS?
3. Utilizatorii obișnuiți pot aproba singuri aplicații care cer acces la email? (Răspunsul corect: nu.)
4. Știi ce aplicații au acces acum la conturile firmei?
5. Domeniul are SPF, DKIM și DMARC configurate?
6. Emailurile din afara firmei au un banner de avertizare?
7. Calculatoarele și routerul primesc actualizări automat?
8. Ai un backup pe care l-ai testat în ultimele 3 luni?

Mai mult de două răspunsuri „nu” înseamnă că un mesaj vocal bine făcut poate trece de tine.

Întrebări frecvente

Aceste atacuri vizează doar campaniile electorale din SUA?

Avertismentul FBI/CISA din 16 octombrie 2026 se adresează oficialilor electorali, dar tehnicile (phishing cu AI, voce clonată, mesaje pe aplicații criptate) sunt aceleași folosite în frauda „CEO” împotriva firmelor de orice mărime.

Am schimbat parola, sunt în siguranță?

Nu neapărat. Dacă ai aprobat o aplicație rău-intenționată, accesul ei rămâne valabil până când o revoci din setările de securitate ale contului.

WhatsApp e criptat, deci e sigur?

Criptarea protejează mesajul pe drum. Nu îți spune nimic despre cine îl trimite.

Cum recunosc o voce clonată?

Adesea nu poți, și nici nu trebuie să încerci. Verifică cererea pe alt canal, indiferent cât de credibilă sună.

Surse oficiale: FBI / CISA – I-101626-PSA, 16 octombrie 2026, FBI – I-090126-PSA, consent phishing, 1 septembrie 2026.