Phishing: cum recunoașteți mesajele frauduloase

Un SMS vă spune că aveți un colet de ridicat. Un e-mail susține că dosarul dumneavoastră fiscal are o problemă. Un apel „de la bancă” vă cere un cod. Mesajele arată diferit, dar mecanismul este același: cineva se dă drept o persoană sau o instituție de încredere și vă împinge să acționați repede, înainte să apucați să verificați. Asta este, pe scurt, phishingul.

Acest ghid explică ce este phishingul, cum îl recunoașteți, ce faceți imediat dacă ați reacționat la un mesaj și unde raportați. Se bazează pe ghidurile și avertismentele Poliției Române, ale campaniei Siguranța Online (inițiată de Poliția Română, Directoratul Național de Securitate Cibernetică și Asociația Română a Băncilor), ale ANAF, ale Poștei Române și ale FAN Courier, toate citite pe site-urile lor. Este informare generală, nu consiliere juridică pentru situația dumneavoastră.

Ce este phishingul

Poliția Română definește phishingul ca pe o metodă de fraudă online în care atacatorii încearcă să obțină informații sensibile, precum datele personale, parolele sau informațiile bancare ale victimelor, prin mesaje înșelătoare. Mesajele par să vină de la instituții publice sau private ori de la alte entități de încredere.

Campania Siguranța Online adaugă un detaliu important: nu există un profil tipic al victimei. Se poate întâmpla oricui, iar campania recomandă să nu vă bazați doar pe propriile cunoștințe de informatică.

Același tipar apare sub nume diferite, în funcție de canal. Poliția Română enumeră patru căi frecvente:

• E-mailuri false: mesaje care imită o bancă, o instituție sau o firmă și conțin un link sau un atașament.
• SMS-uri false (smishing): același scop, dar prin mesaj text. Siguranța Online descrie smishingul ca pe SMS-uri care par trimise de bănci și duc spre un site clonat, unde victima este rugată să introducă date personale sau datele cardului.
• Site-uri web false: pagini care copiază aspectul unei bănci sau al unui magazin. Poliția precizează că atacatorii folosesc numele, sigla și aspectul vizual autentic ale entității imitate.
• Apeluri telefonice (vishing): infractorii sună și pretind că reprezintă o entitate. Prin tactici de manipulare obțin date personale sau financiare.

Poliția mai menționează spear phishingul, o formă mai atent lucrată: atacatorii personalizează mesajul pentru o persoană anume, ca să pară mai autentic și mai convingător. Despre asta vorbim mai jos, pentru că de multe ori informațiile folosite pentru personalizare sunt deja publice.

Nu trebuie să rețineți denumirile. Trebuie să rețineți tiparul: un contact neașteptat, o presiune de timp și o cerere de date, de bani sau de un clic.

Ce urmăresc atacatorii

Poliția Română explică, într-un material despre phishing, ce fel de informații caută atacatorii și ce fac cu ele. Sunt patru categorii, iar prima este cea mai puțin evidentă pentru mulți oameni:

1. Date de identificare personală: nume, prenume, CNP, adresă, număr de telefon, data nașterii. Poliția arată că ele pot fi folosite pentru a „fura” identitatea sau pentru a accesa alte conturi ori servicii.
2. Date despre conturi bancare și alte date financiare: numere de cont, numere de card, date de autentificare la serviciile bancare online. Cu ele se pot face tranzacții frauduloase sau se pot accesa fondurile victimei.
3. Date de autentificare: nume de utilizator și parole pentru e-mail, rețele sociale sau alte servicii. Ele permit accesul în conturi.
4. Informații confidențiale de afaceri: în cazul atacurilor care vizează firme.

După ce au obținut datele, autorii le folosesc, de regulă, pentru alte fapte penale, în general infracțiuni informatice. Pe scurt, un phishing reușit nu se oprește la o singură plată: datele pot alimenta alte fraude. Dacă vă temeți că vi s-au folosit datele de identitate, citiți furtul de identitate: ce faceți și cum vă apărați.

Cum recunoașteți un mesaj de phishing

Niciun semn nu dovedește singur o fraudă. Priviți mai multe lucruri deodată. Din sursele citite, semnele care revin cel mai des sunt acestea.

Cine vă scrie și cum vă adresează

Siguranța Online notează, pentru phishing și smishing, formulele de adresare impersonale („Stimate client”, fără numele dumneavoastră) și expeditorul necunoscut sau nesolicitat. Nu trageți însă concluzia inversă: dacă mesajul vă spune pe nume, nu înseamnă că este autentic. Poliția explică modul de operare al spoofingului: atacatorii adună mai întâi informații aparent banale, precum numele, adresa, vârsta, tranzacții vizibile public sau mențiuni de pe rețelele sociale, și le folosesc apoi ca elemente de verificare, ca să pară credibili.

Presiunea de timp și amenințarea

Mesajele de phishing creează urgență. Siguranța Online descrie cazul clasic al e-mailului care pare trimis de bancă și amenință că dacă nu vă actualizați datele, contul va fi blocat. Poliția Română descrie manipularea psihologică prin frică, urgență sau curiozitate, menite să vă facă să reacționați prompt. Orice mesaj care vă cere să faceți ceva „în două ore” sau „imediat” merită o pauză.

Cererea de date

Aici există o regulă simplă, formulată în mai multe surse. Siguranța Online arată că băncile nu cer datele cardului, parolele sau PIN-ul prin telefon, SMS, e-mail sau pe un site. Poliția Română spune că nicio instituție oficială nu cere, prin apel, coduri SMS (OTP), parole, PIN-uri sau date de card. Datele pe care atacatorii le cer pe site-urile false sunt, potrivit Siguranței Online: numele, adresa, numărul cardului, data expirării, codul CVV2/CVC, codul numeric personal (CNP) și numărul de telefon.

Dacă un mesaj vă cere unul dintre aceste lucruri, nu este de la bancă sau de la o instituție. Nu contează cât de convingător sună.

Linkul și atașamentele

Siguranța Online include printre semne atașamentele și linkurile primite de la persoane necunoscute și adresele web care duc la o copie a site-ului unei instituții financiare. Recomandarea este simplă: nu vă grăbiți să dați clic pe linkurile din e-mailuri necunoscute sau nesolicitate și nu deschideți atașamentele primite de la necunoscuți.

Greșelile de scriere

Siguranța Online și Poliția Română le enumeră printre semne, iar în avertismentul din decembrie 2025 despre mesajele false în numele Poliției și al DNSC, Poliția dă chiar exemple de formulări greșite din paginile false. Totuși, greșelile nu sunt un test suficient. Un mesaj corect scris poate fi tot o fraudă. Întrebarea utilă nu este „e scris bine?”, ci „ce îmi cere să fac și de ce chiar acum?”.

Cum verificați un link sau un expeditor

Cea mai sigură verificare este să nu vă bazați pe ce vă arată mesajul. Din ghidurile citite rezultă câteva reflexe simple.

1. Intrați pe site-ul oficial prin propria adresă, nu prin link. Poliția Română recomandă să evitați linkurile din e-mailuri sau SMS-uri nesolicitate și să accesați site-ul oficial al companiei sau instituției ori să o contactați direct, folosind datele de contact oficiale, nu cele din mesaj.
2. Sunați banca la numărul pe care îl aveți deja. Siguranța Online recomandă ca, dacă un mesaj pare să vină de la bancă, să nu folosiți datele din mesaj, ci să sunați banca la numerele de pe site-ul ei oficial și să întrebați dacă v-a trimis ceva. Articolul notează că este foarte probabil ca banca să nu fi trimis nimic.
3. Citiți adresa site-ului, nu doar aspectul lui. FAN Courier atrage atenția, în alerta din 11 februarie 2026, asupra linkurilor care par oficiale, dar folosesc alte domenii (exemplul dat este „fancourier.info”), și precizează că linkurile legitime se termină în „.ro”. Poliția Română recomandă și verificarea manuală a autenticității site-urilor, prin introducerea adresei în browser.
4. Pentru un colet, urmăriți-l în aplicația oficială sau pe site-ul oficial al curierului. FAN Courier cere exact asta într-o alertă din 29 august 2025.
5. Pentru organele statului, folosiți canalele lor oficiale. ANAF spune că interacționează cu contribuabilii fie prin Spațiul Privat Virtual (SPV), platforma oficială securizată, fie prin Poșta Română, cu confirmare de primire, și nu cere informații personale sau financiare prin SMS sau prin adrese de e-mail neoficiale.

Dacă după aceste verificări rămâne un dubiu, tratați mesajul ca pe unul fals până când un canal oficial vă spune contrariul.

SMS-uri frauduloase (smishing)

SMS-ul este canalul preferat pentru că se citește repede, vine de la un număr și pare personal. În sursele citite apar câteva scenarii care se repetă:

• Coletul care așteaptă: Poșta Română a avertizat, într-un comunicat din 9 august 2024, asupra unor SMS-uri care par trimise de companie și spun că există un colet de livrat. Mesajul cere accesarea unui link scurtat și completarea unor date personale, iar linkul duce la un site care imită pagina oficială. FAN Courier a avertizat, la 29 august 2025, asupra unor SMS-uri care îndeamnă destinatarii să aleagă un locker de ridicare printr-un link.
• Contul „poprit”: ANAF a avertizat la 5 martie 2025 asupra unor SMS-uri false care spun că agenția a poprit conturile destinatarului și indică un link. Instituția precizează că mesajele nu sunt trimise de ea.
• Mesajul „de la bancă”: descris de Siguranța Online, cu trimitere la un site clonat unde se cer numărul cardului, data expirării și codul CVV2/CVC.

Un detaliu din alerta FAN Courier din 11 februarie 2026 merită reținut: paginile false pot cere, pe lângă datele bancare, codurile de verificare ale WhatsApp. Compania spune că nu cere niciodată, prin SMS, parole, coduri de verificare sau date de card. Tot ea recomandă să verificați în WhatsApp lista „dispozitivelor conectate”, să eliminați sesiunile pe care nu le recunoașteți și să activați verificarea în doi pași cu PIN.

Pentru fiecare scenariu în parte (curier, ANAF, bancă), cu ce faceți pas cu pas, citiți SMS-uri frauduloase: curier, ANAF, bancă.

E-mailuri frauduloase

Pe e-mail, phishingul poate fi mai elaborat: sigle, semnături și un ton oficial. Poliția Română descrie exemplul clasic: un mesaj alarmant, potrivit căruia datele contului bancar al destinatarului au fost compromise și trebuie actualizate urgent, ca să se evite pierderi. Mesajul conține un link către o pagină care arată ca cea a băncii, dar este controlată de autori.

FAN Courier a descris, într-o informare din 31 mai 2024, o campanie de e-mailuri în care expeditorul și alte elemente de identificare sunt falsificate, mesajele au atașamente și creează o falsă urgență. Recomandările companiei sunt valabile și pentru alte situații: verificați dacă adresa expeditorului este cea corectă, treceți cursorul peste link fără să dați clic ca să vedeți destinația reală, nu plătiți sume cerute și nu dați date de card.

Regula este aceeași și pentru instituțiile statului: ANAF precizează că nu cere informații personale sau financiare prin adrese de e-mail neoficiale.

Apeluri telefonice și numere falsificate (vishing)

Phishingul nu se oprește la mesaje scrise. Poliția Română descrie vishingul ca pe apeluri în care autorii pretind că reprezintă o entitate privată sau publică, iar prin manipulare obțin date personale sau financiare.

Într-un comunicat din 4 octombrie 2025, Poliția descrie atacurile cu număr falsificat („spoofing”): infractorii falsifică numărul sau numele afișat, ca să pară că vorbiți cu un reprezentant al băncii, al Poliției, al ANAF ori al altei instituții publice. Un tipar frecvent este cel în care apelantul se dă drept polițist și vă convinge să dați coduri primite prin SMS, parole sau date bancare ori să faceți transferuri sau achiziții, de exemplu pentru „blocarea probelor”. Alteori cere instalarea unei aplicații de acces la distanță, care ar oferi control asupra telefonului sau calculatorului, sau transferuri într-un cont „de custodie”.

Pentru a vă lăsa fără timp de gândire, apelul este construit cu referiri la „dosar”, „investigație” sau „procedură” și cu presiune constantă de timp. Poliția mai notează că un apel „de la poliție” poate fi urmat de un al doilea, „de la bancă”, care „confirmă” primul: confirmarea multiplă dă impresia de legitimitate.

Regulile Poliției sunt fără echivoc:

• nu furnizați niciodată coduri SMS (OTP), parole, PIN-uri sau date de card la telefon;
• încheiați imediat apelul și contactați instituția la numerele oficiale (de pe site, de pe spatele cardului sau afișate la sediu);
• nu instalați aplicații la cererea unei persoane necunoscute, chiar dacă se prezintă drept polițist sau angajat al băncii;
• nu transferați bani și nu cumpărați vouchere sau carduri preplătite la indicația telefonică a unui „reprezentant”;
• nu dați curs cererilor de a muta banii într-un cont „de siguranță” sau „de verificare”.

ANAF spune același lucru despre apelurile în numele inspectorilor Antifraudă, într-un avertisment din 17 aprilie 2026: infractorii folosesc nume și date publicate pe anaf.ro, dar numerele de telefon nu aparțin instituției, iar inspectorii nu cer telefonic date personale sau bancare.

Pentru cazul bancar, citiți fals angajat al băncii: cum recunoașteți frauda. Dacă vă întrebați cum de apare un număr cunoscut pe ecran, vedeți spoofing: numere falsificate în apeluri și SMS-uri.

Alte forme: „amenda” care vă blochează telefonul

Nu toate fraudele imită o bancă. Într-un comunicat din 18 decembrie 2025, Poliția Română a descris pagini și mesaje care impersonează DNSC și Poliția. Ele afișează un mesaj alarmant: dispozitivul ar fi fost restricționat pentru că ar fi accesat site-uri cu materiale interzise. Mesajul pomenește un număr de caz care nu există și un ofițer fictiv și cere plata unei „amenzi” de 1.250 de lei, de regulă într-un termen de două ore, prin card.

Poliția arată clar că autoritățile române nu blochează dispozitive prin astfel de mesaje și nu cer plata amenzilor prin pagini web, ferestre pop-up sau sub presiunea timpului. Recomandările: nu plătiți, nu introduceți date personale sau financiare, nu apelați vreun număr din mesaj, închideți imediat pagina fără să interacționați cu ea, verificați informațiile doar pe canalele oficiale ale instituției, apoi raportați incidentul.

Siguranța Online descrie, pe lângă acestea, înșelăciunile de pe platformele de anunțuri (OLX, Publi24, Lajumate și altele). Un „cumpărător” vă trimite un link pentru a „primi banii” și vă cere datele de securitate ale cardului, sau un „vânzător” cu prețuri foarte mici vă duce la o pagină de plată falsă. Campania explică și o regulă utilă: cardul este un instrument de plată, nu o modalitate de a primi bani. Panorama completă a înșelăciunilor online este în înșelăciune online: cum o recunoașteți și ce faceți.

Ce faceți când primiți un mesaj suspect

Primii pași nu costă nimic și durează câteva secunde. Mergeți în ordine:

1. Nu răspundeți și nu apăsați pe link. Nu deschideți atașamentele primite de la necunoscuți.
2. Nu dați nimic: nici cod, nici parolă, nici PIN, nici date de card.
3. Verificați pe alt canal. Sunați banca, curierul sau instituția la un număr pe care îl aveți deja sau intrați pe site-ul oficial scriind dumneavoastră adresa. Pentru ANAF, canalele sunt SPV sau Poșta Română.
4. Marcați mesajul ca spam și ștergeți-l. Poșta Română recomandă să nu reacționați impulsiv, să marcați mesajul imediat ca spam fără să-l deschideți și să nu accesați linkul. ANAF recomandă să ignorați și să ștergeți SMS-urile false.
5. Păstrați dovezile dacă ați reacționat deja. Număr de telefon, ora apelului, captură de ecran: ele ajută la raportare. ANAF cere, pentru apelurile false, exact astfel de date: numărul de la care a venit apelul, data și ora, caracteristicile vocii.
6. Raportați. Detaliile sunt mai jos.

Vreți să vedeți ce informații despre dumneavoastră sunt vizibile public? Poliția Română notează că atacurile încep adesea cu colectarea unor informații aparent banale, precum numele, adresa sau mențiunile de pe rețelele sociale, folosite apoi pentru a părea credibile. Remove Me face o analiză gratuită, fără cont. Căutăm în surse publice, în scurgerile de date cunoscute (prin Have I Been Pwned) și într-un registru de brokeri de date. Un cod din 6 cifre, trimis pe e-mail, deschide raportul. Remove Me nu trimite încă cereri de ștergere în numele dumneavoastră. Începeți analiza gratuită.

Dacă ați dat clic sau ați introdus date

Se poate întâmpla oricui, inclusiv persoanelor atente. Ce faceți depinde de ce ați apucat să oferiți.

Ați deschis linkul, dar nu ați introdus nimic. Închideți imediat pagina sau mesajul, fără să interacționați cu conținutul, cum recomandă Poliția Română. Nu descărcați nimic. Sursele citite nu spun că simpla deschidere ar fi lipsită de consecințe, așa că actualizați sistemul și aplicațiile, rulați un antivirus actualizat și urmăriți soldul și istoricul contului.

Ați introdus datele cardului. Sunați banca cât mai repede, inclusiv telefonic, și cereți blocarea și reemiterea cardului cu date de securitate noi. Siguranța Online dă aceeași indicație pentru cazul în care datele au fost introduse pe un site clonat.

Ați introdus parole de internet banking sau de mobile banking. Schimbați-le de pe un alt dispozitiv (telefon sau calculator). Dacă nu puteți schimba parola, cereți băncii să blocheze temporar accesul la serviciu. Poliția recomandă să schimbați imediat și parolele de e-mail și de pe rețelele sociale dacă ați interacționat cu mesajul.

Ați dat un cod primit prin SMS sau ați instalat o aplicație la cererea unui apelant. Poliția explică faptul că codurile permit autentificarea în conturi, iar aplicațiile de acces la distanță dau control deplin și pot expune parole sau iniția transferuri. Contactați imediat banca și raportați. Banii trimiși în conturi intermediare sunt, potrivit Poliției, retrași rapid sau dispersați, de aceea timpul contează.

Ați trimis bani. Sunați imediat banca și depuneți plângere la poliție. Siguranța Online spune că, dacă furnizorul nu mai poate fi contactat după plată, banca se contactează urgent. Detalii despre ce se poate și ce nu se poate face pentru recuperare găsiți în recuperarea banilor după o înșelăciune. Nu putem promite că banii se recuperează: depinde de fiecare caz.

Ați dat un cod WhatsApp. Urmați recomandările FAN Courier din alerta de care am vorbit: verificați dispozitivele conectate, eliminați sesiunile necunoscute și activați verificarea în doi pași.

În toate cazurile, verificați regulat soldul și istoricul contului și sunați banca la prima tranzacție pe care nu o recunoașteți. Poliția mai notează că după prima reușită autorii pot reveni la aceeași victimă, cu alte pretexte, sau pot folosi datele culese pentru fraude asupra altor persoane. Dacă cineva vă contactează „ca să vă ajute să recuperați banii” sau vă cere un nou cod, tratați și acest contact cu aceeași prudență.

Unde raportați

Alegeți canalul după ce s-a întâmplat. Nu se exclud între ele.

• Banca: primul apel dacă ați introdus date de card sau parole bancare, sau dacă ați trimis bani.
• Poliția Română: dacă ați pierdut bani sau datele v-au fost folosite, depuneți plângere. Siguranța Online indică plângerea la poliție drept pas după ce banii au fost luați din cont, pentru deschiderea unei investigații. Poliția recomandă și raportarea oricărui mesaj sau e-mail suspect, fie organizației implicate, fie poliției.
• DNSC: Siguranța Online recomandă notificarea DNSC (fostul CERT-RO), ceea ce ajută la informarea altora. Pe platforma PNRISC, operată de DNSC, raportarea se face printr-un formular („Start raportare”), iar linia 1911 este disponibilă non-stop. Platforma precizează că raportarea prin formular nu înlocuiește plângerea penală depusă la autoritățile competente.
• Organizația imitată: banca, curierul sau instituția. FAN Courier primește mesajele suspecte prin formularul de contact de pe site, iar Poșta Română recomandă raportarea la DNSC, la adresa dnsc.ro/contact.
• ANAF, pentru apeluri false: formularul unic de contact de la anaf.ro/asistpublic, cu numărul apelantului, data și ora apelului și caracteristicile vocii. ANAF precizează că datele primite sunt incluse în sesizarea organelor de cercetare penală.

Diferența dintre DNSC și Poliție, și în ce ordine acționați, este explicată în DNSC sau Poliția: unde raportați o fraudă online.

Raportați chiar dacă ați evitat capcana. Siguranța Online subliniază că semnalarea ajută instituțiile abilitate să identifice autorul, iar Poliția Română cere să semnalați imediat orice tentativă de fraudă, pentru a-i proteja și pe alții.

Cum vă protejați pe viitor

Poliția Română și Siguranța Online dau, în esență, aceleași măsuri:

• Folosiți autentificarea în doi pași la conturile importante. Poliția recomandă o aplicație de tip „Authenticator”, nu doar SMS.
• Folosiți parole puternice și diferite pentru fiecare cont și nu le dați nimănui.
• Păstrați sistemul de operare, aplicațiile și antivirusul actualizate și verificați periodic aplicațiile instalate și permisiunile lor (de exemplu accesul la SMS sau la contacte).
• Activați notificările pentru tranzacțiile bancare, ca să știți imediat dacă se întâmplă ceva neobișnuit, și setați limite de tranzacție în aplicația băncii.
• Limitați ce publicați despre dumneavoastră: CNP-ul, adresa completă, fotografiile actelor sau datele bancare nu au ce căuta pe internet, spune Poliția.
• Nu dați datele cardului nici online, nici telefonic, nici pe WhatsApp sau SMS: cardul este un instrument de plată, nu o modalitate de a primi bani.
• Vorbiți cu apropiații: Poliția recomandă educarea dumneavoastră și a celor apropiați despre riscurile phishingului și semnele de avertizare.

Pentru autentificarea în doi pași, citiți autentificarea în doi pași: cum o activați.

Lista de control în șase întrebări

Înainte să faceți orice, puneți-vă șase întrebări:

1. Așteptam acest mesaj sau acest apel?
2. Cine îl trimite și pot verifica asta pe alt canal, la un număr sau o adresă pe care o știu deja?
3. Ce îmi cere: un clic, un cod, o aplicație, o plată?
4. De ce trebuie să fac asta acum?
5. O bancă sau o instituție mi-ar cere vreodată asta prin SMS, e-mail sau telefon?
6. Ce se întâmplă dacă aștept zece minute și verific?

Dacă răspunsurile vă neliniștesc, opriți-vă. Un răspuns amânat nu pierde nimic. Un cod dat în grabă poate pierde mult.

Pe scurt

Phishingul înseamnă un mesaj, un link sau un apel care se dă drept altcineva ca să vă ia datele sau banii. Îl recunoașteți după neașteptat, urgență și cererea de date. Nu apăsați pe linkuri, nu dați coduri, verificați pe un canal pe care îl alegeți dumneavoastră. Dacă ați reacționat, sunați banca, apoi raportați la poliție și la DNSC. Faptul că ați fost păcălit nu este o rușine: potrivit Siguranței Online, nu există un profil tipic al victimei.

Surse

• Poliția Română: Prevenire phishing
• Poliția Română: Phishingul, o amenințare cibernetică constantă
• Poliția Română: Metode de înșelăciune în mediul online și atacurile de tip spoofing
• Poliția Română: Fraudă prin impersonarea Poliției Române și a DNSC
• Siguranța Online: Cum ne poate afecta phishing-ul
• Siguranța Online: Cele mai frecvente tipuri de fraude din România
• Siguranța Online: Ce fac în caz de fraudă?
• DNSC: platforma PNRISC
• ANAF: avertizare privind SMS-uri false (5 martie 2025)
• ANAF: avertisment privind apelurile frauduloase (17 aprilie 2026)
• Poșta Română: tentativă de phishing prin SMS (9 august 2024)
• FAN Courier: SMiShing alert (11 februarie 2026)
• FAN Courier: tentativă de phishing prin SMS (29 august 2025)
• FAN Courier: atenție la mesajele frauduloase (31 mai 2024)