O adresă de e-mail folosită de câțiva ani ține, de obicei, cheile către câteva zeci de alte conturi. Magazine online, aplicații de livrare, contul de la bancă, rețelele sociale, abonamentul de streaming, poate și contul de la serviciu. Fiecare dintre ele are un buton de resetare a parolei, iar acel buton trimite un mesaj într-un singur loc. De aceea, o protectie conturi online care chiar funcționează nu înseamnă o listă de măsuri egale între ele, ci o ordine bine gândită a priorităților.
Majoritatea oamenilor fac invers. Pun o parolă complicată la contul de Instagram, pentru că acolo au poze, și lasă e-mailul cu aceeași parolă din facultate. E o inversare de logică pe care atacatorii o exploatează sistematic.
Protecția conturilor online începe cu o ierarhie, nu cu o listă
Primul cont care trebuie securizat este cel de e-mail principal. Nu cel de rezervă, nu cel de spam, ci adresa pe care ați folosit-o ca să vă înregistrați peste tot. Al doilea este contul bancar sau aplicația de internet banking. Abia al treilea vin rețelele sociale, iar după ele restul.
Ordinea nu e arbitrară. Ea urmează logica pagubei: cu cât un cont deschide accesul către mai multe altele, cu atât trebuie protejat mai devreme. Un cont de Facebook compromis înseamnă mesaje ciudate trimise prietenilor și, în cazurile mai rele, o pagină pierdută. Un e-mail compromis înseamnă că cineva poate deveni, pas cu pas, dumneavoastră.
Dacă aveți la dispoziție o seară, alocați-o e-mailului. Restul poate aștepta o săptămână fără consecințe.
Efectul de domino care pornește de la o singură căsuță poștală
Merită descris concret cum arată un astfel de scenariu, pentru că formularea abstractă nu convinge pe nimeni.
Cineva intră în e-mailul dumneavoastră. Primul lucru pe care îl face nu e să citească mesajele, ci să caute după cuvinte precum bancă, factură, cont, confirmare. Descoperă astfel la ce servicii sunteți înscris. Apoi cere resetarea parolei la fiecare, pe rând, și șterge mesajele de confirmare ca să nu vă dați seama. În multe cazuri adaugă și o regulă de redirecționare, astfel încât o copie a corespondenței să ajungă la el chiar și după ce vă schimbați parola.
În câteva ore, o singură breșă se transformă în zece. Contul de magazin online cu cardul salvat, contul de curierat cu adresa de acasă, contul de telefonie de unde se poate cere o cartelă SIM duplicat. Fiecare piesă care cade o împinge pe următoarea.
Acesta este motivul pentru care e-mailul primește tratamentul cel mai serios: parolă unică, autentificare în doi pași și o verificare periodică a setărilor de redirecționare.
Autentificarea în doi pași, explicată fără jargon
Autentificarea în doi pași înseamnă că, pe lângă parolă, sistemul cere încă o dovadă că sunteți dumneavoastră. De obicei un cod din șase cifre, valabil câteva zeci de secunde.
Efectul practic e simplu: chiar dacă cineva află parola, tot nu intră. Parola singură devine insuficientă, iar majoritatea atacurilor automate se opresc exact aici. Este cea mai bună îmbunătățire pe care o puteți face în cinci minute.
De ce aplicația de coduri e mai sigură decât SMS-ul
Codul primit prin SMS pare mai comod, pentru că nu trebuie instalat nimic. Problema e că numărul de telefon nu vă aparține în sensul strict al cuvântului, ci este administrat de operator. Există procedura de duplicat SIM, gândită pentru situația în care pierdeți telefonul, iar acea procedură poate fi păcălită cu date personale găsite online. Din momentul în care cartela duplicat e activă, codurile ajung la altcineva.
O aplicație de generare a codurilor funcționează altfel. Ea calculează codul local, pe telefon, pornind de la o cheie salvată la configurare și de la ceasul dispozitivului. Nu trece prin rețeaua operatorului, nu poate fi interceptată și funcționează inclusiv fără semnal sau internet.
| Metodă | Cum ajunge codul | Punct slab |
|---|---|---|
| SMS | Prin rețeaua operatorului | Duplicat de cartelă, mesaje vizibile pe ecranul blocat |
| Aplicație de coduri | Generat local, pe telefon | Pierderea telefonului fără coduri de rezervă salvate |
| Cheie fizică | Dispozitiv conectat prin USB sau NFC | Cost și disponibilitate limitată în unele servicii |
Când activați aplicația de coduri, serviciul vă oferă și un set de coduri de rezervă. Notați-le pe hârtie și puneți-le într-un sertar, alături de documente. Sunt singura cale de intrare dacă telefonul se pierde sau se strică.
Parola lungă bate parola complicată
Vechea recomandare cu majuscule, cifre și simboluri a produs o generație întreagă de parole de tipul Parola1! — grele de ținut minte pentru oameni și ușor de ghicit pentru programele care încearcă milioane de combinații pe secundă.
Ce contează cu adevărat este lungimea. Peste 12 caractere, iar la conturile importante peste 16. O succesiune de patru cuvinte fără legătură între ele, de exemplu trei cuvinte obișnuite plus un număr care nu are legătură cu data nașterii, este mult mai rezistentă decât o parolă scurtă plină de simboluri.
A doua regulă e unicitatea. Fiecare cont cu parola lui. Motivul ține de felul în care se scurg datele: când un magazin online sau un forum este spart, adresele și parolele ajung în liste care circulă mai departe. Programele încearcă apoi aceeași combinație la e-mail, la bancă, peste tot. Dacă parola e refolosită, o breșă la un site fără importanță devine o breșă la contul care contează.
- Peste 12 caractere la conturile obișnuite, peste 16 la e-mail și bancă.
- Nicio parolă refolosită, nici măcar cu o cifră schimbată la final.
- Fără nume de copii, animale de companie, echipe favorite sau date de naștere.
- Schimbarea parolei doar când există un motiv, nu lunar din obișnuință.
- Întrebările de securitate completate cu răspunsuri inventate, nu cu adevărul verificabil pe rețelele sociale.
Managerul de parole, singura soluție realistă
Nimeni nu ține minte patruzeci de parole lungi și diferite. Cine spune că reușește fie are cinci conturi, fie folosește un tipar previzibil.
Un manager de parole este o aplicație care le păstrează pe toate criptate și le completează automat în pagini. Rețineți o singură parolă, cea principală, care trebuie să fie lungă și pe care o scrieți nicăieri în format digital. Restul devine automat.
Există un beneficiu mai puțin evident. Managerul completează datele doar pe adresa corectă a site-ului. Dacă ajungeți pe o pagină clonată, care arată identic cu cea a băncii, aplicația pur și simplu nu oferă nimic. Tăcerea ei este un semnal de alarmă util.
Alternativa de compromis, pentru cine nu se împacă deloc cu aplicațiile, este un carnețel ținut acasă. Nu e elegant, dar un caiet din sertar nu poate fi accesat de la mii de kilometri distanță.
Cum arată o tentativă de phishing când o privești atent
Phishingul este mesajul care imită o instituție cunoscută și vă cere să vă autentificați undeva. Rareori conține greșeli gramaticale evidente. Modelele actuale sunt curate, cu siglă corectă și ton oficial. Semnele sunt însă aproape mereu aceleași trei.
Adresa expeditorului. Numele afișat poate fi orice. Ce contează este adresa reală, care se vede apăsând pe nume. Domeniul de după semnul arond este singurul lucru care nu poate fi falsificat ușor. O literă schimbată, o cratimă în plus sau un domeniu terminat altfel decât cel oficial spun tot.
Urgența artificială. Contul va fi suspendat în 24 de ore, coletul se returnează astăzi, plata a eșuat și trebuie confirmată imediat. Presiunea de timp are un singur scop: să vă împiedice să verificați. Instituțiile serioase comunică termene în zile, nu în minute, și nu amenință cu ștergerea contului într-un mesaj neanunțat.
Linkul care nu corespunde textului. Pe calculator, ținând cursorul deasupra unui link fără să apăsați, adresa reală apare în colțul de jos. Pe telefon, o apăsare lungă deschide o previzualizare. Dacă textul spune numele băncii, iar adresa reală duce în altă parte, mesajul se închide fără alte discuții.
Regula care rezolvă majoritatea situațiilor
Nu introduceți niciodată date de autentificare pornind de la un link primit. Niciodată, indiferent cât de convingător pare mesajul.
Dacă notificarea ar putea fi reală, închideți mesajul și ajungeți la cont pe drumul obișnuit: aplicația de pe telefon, adresa scrisă manual în browser sau semnul de carte salvat. Dacă problema există cu adevărat, o veți vedea acolo. Dacă nu apare nimic, mesajul era fals. Această regulă unică neutralizează majoritatea tentativelor, inclusiv pe cele bine făcute.
Sesiunile active și dispozitivele conectate
Aproape orice serviciu important are, undeva în setări, o secțiune numită dispozitive conectate, sesiuni active sau activitate recentă. Puțină lume o deschide vreodată.
Acolo apar toate locurile în care contul este autentificat în acest moment: telefonul, laptopul de acasă, calculatorul de la birou, poate un televizor sau tableta unui copil. Fiecare intrare are un tip de dispozitiv, o localizare aproximativă și o dată.
Verificarea durează două minute și se face de câteva ori pe an. Ce nu recunoașteți, deconectați. Nu riscați nimic: dacă era un dispozitiv al dumneavoastră, veți fi rugat să vă autentificați din nou. Găsiți acolo laptopuri vândute demult, telefoane pierdute și sesiuni deschise pe calculatoare împrumutate.
În aceeași zonă a setărilor merită verificate și aplicațiile terțe cărora le-ați dat acces cu butonul de conectare rapidă. Multe sunt servicii încercate o dată și uitate, care au rămas cu drepturi asupra contului.
Un plan de protecție a conturilor online pentru două seri
Nimic din toate acestea nu se face într-o oră, iar încercarea de a le rezolva pe toate deodată se termină de obicei cu abandon. Împărțiți munca.
- Instalați un manager de parole și o aplicație de generare a codurilor.
- Schimbați parola de la e-mailul principal cu una lungă și unică, apoi activați autentificarea în doi pași prin aplicație.
- Verificați în setările e-mailului dacă există reguli de redirecționare pe care nu le-ați creat.
- Faceți același lucru pentru contul bancar și pentru cel de telefonie.
- Treceți la rețelele sociale și la conturile de cumpărături, în ordinea frecvenței cu care le folosiți.
- Închideți sesiunile și dispozitivele necunoscute din fiecare cont pe măsură ce ajungeți la el.
- Salvați codurile de rezervă pe hârtie, într-un loc știut de o singură persoană apropiată.
La final rămâne un obicei de întreținere, nu un proiect. De două ori pe an, o trecere rapidă prin sesiunile active și prin aplicațiile conectate. Restul funcționează în fundal.
Securitatea nu înseamnă să deveniți o țintă imposibilă, ci una suficient de incomodă încât efortul să nu merite. Atacurile automate caută ușa deschisă, nu zidul de spart.
Diferența dintre un cont pierdut și unul rămas intact ține, în practică, de trei lucruri făcute o singură dată corect: o parolă unică, un al doilea pas la autentificare și reflexul de a nu apăsa pe linkurile din mesaje neașteptate. O protecție a conturilor online construită pe aceste trei obiceiuri rezistă la aproape tot ce circulă astăzi prin căsuțele poștale.
