Securitatea online: ghid complet pentru utilizatori obișnuiți

Securitatea online nu este o problemă rezervată informaticienilor și nici nu cere programe scumpe. Pentru un utilizator obișnuit, ea înseamnă în primul rând câteva obiceiuri bine alese, care închid ușile prin care intră cei mai mulți atacatori: parole refolosite, conturi fără al doilea factor de autentificare, dispozitive neactualizate și mesaje care te împing să acționezi în grabă.

Ghidul de față îți arată, pe rând, cum gândesc atacatorii, ce trebuie protejat mai întâi și cum construiești o apărare realistă, pe care o poți menține fără efort zilnic. La fiecare pas găsești trimiteri spre articolele care explică în detaliu fiecare subiect, de la phishing la passkey-uri.

Ce înseamnă, concret, securitatea online

Securitatea online este ansamblul de măsuri prin care îți păstrezi conturile, dispozitivele și datele sub controlul tău, iar banii și identitatea departe de mâinile altora. Specialiștii descriu acest obiectiv prin trei proprietăți clasice, numite împreună triada CIA:

• Confidențialitatea: doar persoanele îndreptățite pot vedea o informație (mesajele tale, extrasele bancare, pozele).
• Integritatea: informația nu poate fi modificată pe ascuns (un IBAN schimbat într-o factură, de exemplu).
• Disponibilitatea: poți accesa datele și serviciile atunci când ai nevoie de ele (fișierele nu sunt blocate de un virus, contul nu îți este luat).

Modelul de amenințări, pe înțelesul tuturor

Un model de amenințări este răspunsul la trei întrebări simple: ce am de protejat, de cine și cât de mult efort merită. Pentru majoritatea oamenilor, răspunsul arată cam așa: protejez contul de e-mail, banca, rețelele sociale și pozele; de infractori care atacă la grămadă, nu de servicii secrete; cu un efort de câteva ore la început și câteva minute pe lună după aceea.

Această clarificare contează, pentru că te ferește de două extreme: neglijența („nu am nimic de ascuns”) și paranoia care te face să renunți la măsuri utile pentru că par prea complicate.

Cum atacă de fapt infractorii

Cele mai multe atacuri împotriva persoanelor obișnuite nu sparg sisteme, ci păcălesc oameni sau profită de neglijență. Un atacator care trimite un milion de mesaje nu are nevoie ca tu să fii important; îi ajunge ca o mică parte dintre destinatari să greșească.

Observă un tipar: aproape fiecare atac are nevoie de o greșeală umană sau de o ușă lăsată deschisă. De aceea, articolele despre cum recunoști phishingul și despre tehnicile de inginerie socială sunt la fel de importante ca orice setare tehnică.

De ce scurgerile de date te privesc și pe tine

Când un site oarecare este spart, bazele lui de date ajung adesea pe forumuri ale infractorilor. Dacă ai folosit aceeași parolă și pentru e-mail, atacatorii o încearcă automat pe sute de servicii, o tehnică numită credential stuffing (umplere cu credențiale). Nu contează cât de bine protejează banca ta parola, dacă tu i-ai dat aceeași parolă și unui magazin online mic, slab securizat.

Conturile: e-mailul întâi, apoi parole, 2FA și passkey

Contul de e-mail principal este cel mai valoros cont pe care îl ai, pentru că prin el se resetează parolele tuturor celorlalte. Cine controlează căsuța ta poate apăsa „Am uitat parola” la bancă, pe rețelele sociale sau în magazinele online și poate prelua totul, unul după altul.

De aceea, ordinea corectă de protecție este:

1. contul de e-mail principal;
2. contul de telefon sau contul asociat sistemului de operare al telefonului (cel care sincronizează contacte, poze și parole);
3. aplicațiile bancare și portofelele de plată;
4. rețelele sociale și aplicațiile de mesagerie;
5. magazinele online cu card salvat;
6. restul conturilor.

Pentru fiecare dintre ele, verifică adresa și numărul de telefon de recuperare, sesiunile active (dispozitivele conectate) și regulile de redirecționare a e-mailurilor. O regulă de redirecționare adăugată pe ascuns de un atacator îi poate trimite copii ale mesajelor tale luni întregi.

După ce știi ce protejezi mai întâi, urmează felul în care protejezi fiecare cont. O protecție solidă a conturilor are trei straturi: o parolă lungă și unică, un al doilea factor de autentificare și, unde se poate, o metodă rezistentă la phishing, cum este passkey-ul. Fiecare strat acoperă slăbiciunile celui de dinainte.

Parola unică, ținută într-un manager

Nimeni nu poate memora 80 de parole lungi și diferite. Soluția practică este un manager de parole, o aplicație care generează și păstrează parolele într-un seif criptat, deblocat cu o singură parolă principală. Mecanismul, avantajele și riscurile sunt explicate în Parolele puternice și managerele de parole explicate. Pe scurt, lungimea contează mai mult decât simbolurile: o frază de patru–cinci cuvinte alese la întâmplare este mai greu de ghicit decât o parolă de opt caractere plină de semne.

Al doilea factor de autentificare

Autentificarea în doi pași cere, pe lângă parolă, o dovadă suplimentară: un cod generat de o aplicație, o notificare de confirmare sau o cheie fizică. Chiar dacă parola îți este furată, atacatorul se oprește la al doilea pas. Diferențele dintre SMS, aplicații de coduri și chei de securitate sunt detaliate în ghidul despre autentificarea în doi pași.

Passkey-ul, pasul următor

Passkey-ul înlocuiește parola cu o pereche de chei criptografice: cheia privată rămâne pe dispozitivul tău, iar site-ul păstrează doar cheia publică. Pentru că este legat de adresa exactă a site-ului, un passkey nu poate fi folosit pe o pagină falsă. Cum funcționează pas cu pas afli în Passkey-urile: cum înlocuiesc parolele clasice, iar principiul criptografic din spate este explicat în articolul despre chei și criptare.

Sfat: Când activezi al doilea factor, salvează imediat codurile de rezervă oferite de serviciu, pe hârtie sau în managerul de parole. Fără ele, pierderea telefonului te poate bloca definitiv afară din cont.

Dispozitivele: actualizări, aplicații și copii de rezervă

Un dispozitiv sigur este unul actualizat, cu aplicații instalate doar din surse oficiale și cu datele importante copiate în altă parte. Cele trei obiceiuri acoperă împreună majoritatea riscurilor tehnice.

Actualizările închid găuri cunoscute

Fiecare actualizare de securitate repară vulnerabilități descoperite deja. După publicarea unei actualizări, atacatorii compară versiunea veche cu cea nouă și află exact ce s-a reparat, apoi își îndreaptă atacurile spre cei care nu au actualizat. Timpul dintre publicare și instalare este, practic, fereastra lor de oportunitate. Activează actualizările automate pentru sistemul de operare, browser și aplicații și înlocuiește dispozitivele care nu mai primesc actualizări de securitate de la producător.

Aplicațiile și permisiunile

Instalează aplicații doar din magazinul oficial al sistemului de operare sau de pe site-ul oficial al dezvoltatorului. Programele „crăpate” și jocurile piratate sunt una dintre cele mai frecvente căi de infectare. Verifică periodic permisiunile: o aplicație de lanternă nu are nevoie de acces la contacte, SMS-uri sau microfon.

Copiile de rezervă după regula 3-2-1

Regula 3-2-1 spune să ai trei copii ale datelor importante, pe două tipuri diferite de suport, dintre care una păstrată în altă locație sau deconectată. O copie în cloud plus un hard disk extern, conectat doar în timpul copierii, sunt suficiente pentru o familie. Această copie deconectată este singura apărare sigură împotriva programelor care criptează fișierele, descrise în ghidul despre ransomware. Dacă vrei să înțelegi unde ajung de fapt fișierele urcate online, citește Stocarea în cloud: unde stau de fapt fișierele tale.

Important: Blocarea ecranului cu PIN sau biometrie și criptarea spațiului de stocare sunt esențiale pe telefon și laptop. Un dispozitiv pierdut fără blocare înseamnă acces direct la e-mail, poze și aplicații bancare.

Rețeaua de acasă și rețelele publice

Rețeaua prin care ieși pe internet trebuie tratată ca o ușă de intrare: cea de acasă trebuie încuiată bine, iar cele publice trebuie folosite cu prudență. Routerul de acasă este primul dispozitiv expus internetului și adesea cel mai uitat.

Routerul de acasă, în cinci verificări

1. Schimbă parola implicită de administrare a routerului, cea tipărită pe etichetă sau lăsată din fabrică.
2. Folosește criptarea WPA2 sau, dacă routerul și dispozitivele o suportă, WPA3, cu o parolă Wi-Fi lungă.
3. Dezactivează funcția WPS, care permite conectarea prin PIN și a avut vulnerabilități cunoscute.
4. Instalează actualizările de firmware sau cere-le furnizorului, dacă routerul este al lui.
5. Creează o rețea separată pentru musafiri și, ideal, alta pentru dispozitivele inteligente (camere, prize, televizoare).

Rețelele Wi-Fi publice și VPN-ul

Rețelele din cafenele, gări sau hoteluri sunt mai puțin periculoase decât acum zece ani, pentru că aproape toate site-urile folosesc criptarea HTTPS, explicată în HTTPS și certificatele: ce înseamnă lacătul din browser. Riscurile reale rămân totuși: rețele false cu nume credibile și pagini de autentificare care cer date inutile. Precauțiile concrete sunt în articolul despre Wi-Fi public. Un VPN poate ajuta în astfel de rețele, dar nu este un scut universal; vezi VPN-ul: ce face cu adevărat și ce nu poate face ca să știi exact ce acoperă. Pentru imaginea de ansamblu a drumului parcurs de date, ghidul despre cum funcționează internetul este un bun punct de plecare.

Mesajele care cer grabă: phishing și manipulare

Orice mesaj care combină urgența cu o cerere de date, coduri sau bani trebuie tratat ca suspect până la verificare. Atacatorii folosesc presiunea timpului tocmai ca să te împiedice să gândești.

Câteva scenarii des întâlnite în România:

• un SMS de la un presupus curier care cere o mică taxă pentru livrarea unui colet;
• un e-mail care pare de la o instituție fiscală și promite o rambursare, cu link spre un formular de card;
• un apel de la un „angajat al băncii” care spune că ți-a fost compromis contul și îți cere să muți banii într-un „cont sigur”;
• un mesaj de la un prieten cu contul spart, care îți cere urgent un împrumut sau un cod primit prin SMS;
• un anunț de investiții „garantate”, eventual cu imaginea unei persoane cunoscute, creată artificial.

Ultimul caz devine tot mai convingător datorită imaginilor și vocilor generate artificial; cum le identifici afli din ghidul despre deepfake.

Regula verificării pe alt canal

Cea mai eficientă apărare este simplă: nu acționa pe canalul pe care ai primit cererea. Dacă primești un SMS de la bancă, închide mesajul și deschide aplicația băncii. Dacă te sună cineva de la bancă, închide și sună tu la numărul de pe spatele cardului. Dacă un prieten îți cere bani pe mesaj, sună-l. Nicio instituție serioasă nu îți cere parola, codul PIN sau codurile primite prin SMS.

Confidențialitatea și urmărirea online

Securitatea îți protejează conturile, iar confidențialitatea îți protejează informațiile despre tine, inclusiv pe cele pe care le oferi fără să știi. Site-urile, aplicațiile și rețelele de publicitate colectează date despre ce citești, ce cumperi și unde te afli.

Câteva măsuri cu efect mare:

• refuză cookie-urile neesențiale în bannerele de consimțământ;
• verifică setările de confidențialitate ale rețelelor sociale și restrânge vizibilitatea postărilor vechi;
• dezactivează accesul la locație pentru aplicațiile care nu au nevoie de el;
• folosește aplicații de mesagerie cu criptare end-to-end pentru discuțiile private;
• gândește-te de două ori înainte să publici date care servesc drept răspuns la întrebări de securitate (numele animalului, școala, data nașterii).

Mecanismele de urmărire, de la cookie-uri la amprenta browserului, sunt explicate în Urmărirea online: cookie-uri, amprentă digitală și pixeli. În Uniunea Europeană, Regulamentul general privind protecția datelor (GDPR) îți dă dreptul să afli ce date are o companie despre tine și să ceri ștergerea lor; în România, autoritatea care primește plângerile este ANSPDCP.

Un plan de acțiune pe care îl poți face într-o după-amiază

Nu trebuie să faci totul deodată; ordinea contează mai mult decât perfecțiunea. Tabelul de mai jos îți propune o succesiune realistă, de la măsurile cu cel mai mare efect la cele de finisare.

După această sesiune, întreținerea înseamnă câteva minute pe lună: verifici că actualizările s-au instalat, că ultima copie de rezervă este recentă și înlocuiești treptat parolele vechi atunci când intri în conturile respective.

Sfat: Stabilește cu familia un cuvânt de verificare, cunoscut doar de voi. Dacă primești un apel disperat de la o rudă care cere bani, întrebi cuvântul. Metoda funcționează și împotriva vocilor imitate artificial.

Ce faci dacă ai fost păcălit sau ți-a fost spart un cont

Dacă suspectezi o compromitere, viteza contează mai mult decât rușinea: acționează imediat și în ordinea corectă. Atacatorii profită de primele ore, când victima încă ezită.

1. Dacă ai dat date de card sau ai făcut o plată suspectă, sună imediat la bancă, pe numărul oficial, și cere blocarea cardului și contestarea tranzacției.
2. Schimbă parola contului afectat de pe un dispozitiv curat și închide toate sesiunile active.
3. Verifică e-mailul principal: reguli de redirecționare, adrese de recuperare, aplicații conectate.
4. Activează sau resetează al doilea factor și generează coduri de rezervă noi.
5. Anunță-ți contactele dacă de pe contul tău s-au trimis mesaje, ca să nu cadă și ei în aceeași capcană.
6. Raportează incidentul. În România, Directoratul Național de Securitate Cibernetică (DNSC) primește raportări despre incidente și tentative de fraudă online, iar dacă ai pierdut bani depui plângere la poliție.

Dacă un dispozitiv pare infectat (aplicații necunoscute, reclame agresive, baterie consumată fără motiv), fă o copie a datelor personale, apoi readu-l la setările din fabrică și reinstalează aplicațiile doar din surse oficiale.

Ideile principale despre securitatea online

Securitatea online pentru un om obișnuit nu înseamnă să devii expert, ci să închizi ușile folosite cel mai des: parolele refolosite, conturile fără al doilea factor, dispozitivele neactualizate și reacțiile grăbite la mesaje care cer bani sau coduri. Odată puse la punct, aceste obiceiuri cer foarte puțin efort și reduc drastic șansele de a deveni victimă.

De reținut:

• protejează mai întâi e-mailul principal, pentru că deschide toate celelalte conturi;
• folosește un manager de parole și o parolă unică pentru fiecare serviciu;
• activează autentificarea în doi pași și treci la passkey unde este posibil;
• instalează actualizările rapid și păstrează o copie de rezervă deconectată;
• verifică pe alt canal orice cerere urgentă de bani, date sau coduri.