Ușa nu mai e spartă. Cineva i-a dat cheia
Pe scurt: parolele nu mai sunt, de cele mai multe ori, ghicite. Sunt furate de programe instalate pe dispozitivul tău, scoase din scurgeri de date, cerute de pe pagini false sau luate dintr-un cont unde le-ai refolosit. Apoi sunt încercate automat pe zeci de site-uri, ca să vadă la care se potrivesc. Apărarea are trei piese: o parolă diferită pentru fiecare cont, ținută într-un manager de parole, verificarea în doi pași și, unde se poate, un passkey în loc de parolă.
Cuprins
Ce înseamnă parole furate
Parola ta nu trebuie să fie slabă ca să ajungă la un atacator. Trebuie doar să existe undeva unde ea poate fi luată.
- Furată de pe dispozitiv. Un infostealer ia parolele salvate în browser, sesiunile deschise și uneori fișiere.
- Scoasă dintr-o scurgere de date. Un site pe care ai cont e spart, iar parolele (sau amprentele lor) ajung pe forumuri.
- Cerută chiar de la tine. O pagină falsă, un SMS sau un apel te conving să scrii parola sau un cod. Detalii în articolele despre phishing, vishing și smishing.
- Refolosită. O parolă scursă de la un site mic e încercată apoi pe e-mailul, pe banca și pe rețelele tale sociale.
- Ghicită. Parole simple, de tipul „123456” sau numele copilului, încercate în masă. Este varianta cea mai rară în zilele noastre.
Face parte din familia vectorilor de atac, adică a ușilor prin care intră escrocii.
Cum folosesc atacatorii o parolă furată
- Credential stuffing. Atacatorul ia perechile de e-mail și parolă dintr-o scurgere și le încearcă automat, la mii de site-uri. Nu ghicește nimic: verifică unde ai folosit aceeași parolă.
- Preluarea contului. Intră în e-mailul tău, cere resetarea parolelor de la alte conturi și le preia pe rând. De aceea e-mailul e contul cel mai important.
- Sesiunile furate. Un infostealer ia și „cheia” sesiunii deschise. Cu ea, atacatorul poate intra fără parolă și, uneori, fără cod.
- Vânzarea. Datele ajung în pachete vândute altor infractori: unii fac fraude, alții intră în firme.
- Folosirea contului tău. De acolo scriu contactelor tale, cer bani sau trimit linkuri, ca în cazul WhatsApp descris la smishing.
Ce e nou în 2026
- Conturile compromise în România au crescut de aproape cinci ori. Raportul anual al DNSC pe 2025, publicat pe 14 august 2026, arată 1.125 de incidente de compromitere a conturilor, față de 248 în 2024, adică o creștere de 353%. DNSC leagă salturile de campanii de inginerie socială pe aplicații de mesagerie, în special WhatsApp, cu mesaje de tipul „votează-o pe fiica mea la concurs”, care duc victima pe pagini false sau îi cer coduri de autentificare.
- Ghicirea parolelor scade, furtul crește. Incidentele de tip brute force, adică încercarea în masă de parole, au scăzut cu 72,7%, de la 172 în 2024 la 47 în 2025. Tendința sugerează că atacatorii nu mai se chinuie să ghicească, ci iau parola de la om.
- Stealer logs în toată lumea. În iunie 2026, Have I Been Pwned a adăugat un set de jurnale furate de infostealere: aproximativ 56 de milioane de adrese de e-mail și 124 de milioane de parole unice, acum căutabile în serviciul Pwned Passwords.
- Infostealerele sunt motorul. Europol le descrie ca pe un element-cheie pentru toată gama de atacuri din 2025. În mai 2025, Microsoft și Europol au dat jos peste 2.300 de domenii ale infostealerului Lumma, care infectase peste 394.000 de calculatoare Windows în două luni.
- Passkey-urile au trecut de la test la folosire. Potrivit FIDO Alliance (Passkey Index, 15 octombrie 2026), 36% dintre autentificările reușite folosesc acum un passkey, față de aproximativ 26% în 2025. Autentificarea cu passkey reușește în 93% dintre cazuri, față de 78% la verificarea în doi pași clasică, și economisește în medie 27 de secunde.
- Regulile pentru parole s-au schimbat. Ghidul NIST SP 800-63B ediția 4, finalizat în iulie 2025, cere cel puțin 15 caractere pentru o parolă folosită singură, permite parole de până la cel puțin 64 de caractere, interzice regulile de tipul „o majusculă și un semn special” și interzice schimbarea periodică a parolei, cu excepția cazului în care există semne de compromitere. Cere și verificarea parolei față de liste de parole cunoscute ca slabe sau scurse și permite folosirea managerelor de parole.
Concluzia practică: nu mai contează cât de ciudată e parola ta. Contează că e unică, lungă și că nu o poate lua nimeni de pe dispozitivul tău sau de pe un site spart.
De ce funcționează atacurile cu parole furate
- Refolosirea. O singură parolă pentru multe conturi transformă o scurgere mică într-o problemă mare.
- Parola salvată în browser. Comodă, dar e exact ce caută infostealerele.
- Sesiunile lungi. Un cont lăsat deschis luni de zile e o cheie care stă în buzunar.
- Codul dat „în bună credință”. Un cod de verificare e dat unui „curier”, unei „bănci” sau unui „prieten”.
- Lipsa semnelor. Nu vezi că parola ți-a fost furată. Afli când contul face lucruri pe care nu le-ai făcut.
Cum recunoști că parola ți-a fost furată
- Primești e-mailuri sau notificări de resetare a parolei pe care nu le-ai cerut.
- Apar autentificări din locuri sau de pe dispozitive necunoscute.
- Prietenii îți spun că primesc mesaje ciudate de la tine.
- Contul a trimis mesaje sau a postat fără știrea ta.
- Parola ta nu mai funcționează, iar e-mailul de recuperare e schimbat.
- Un serviciu sau o bancă te anunță de o activitate neobișnuită.
- Adresa ta de e-mail apare într-o scurgere de date, verificabilă pe haveibeenpwned.com.
Cum te aperi de parole furate
- O parolă diferită pentru fiecare cont. Singura regulă care contează cu adevărat.
- Un manager de parole. Creează și ține minte parole lungi și unice. Pe e-mail, pe bancă și pe managerul în sine folosește parolele cele mai lungi.
- Parole lungi, nu complicate. Mai bine o frază lungă decât o parolă scurtă plină de simboluri. Ghidul NIST din 2025 mută accentul pe lungime.
- Verificare în doi pași. De preferat cu o aplicație sau cu un passkey, nu cu SMS. Un cod trimis prin SMS poate fi cerut de un escroc.
- Passkey-uri, unde se poate. Un passkey nu se scrie pe o pagină falsă și nu se poate refolosi. E cea mai bună apărare împotriva phishingului pentru conturile importante.
- Codurile nu se dau nimănui. Nici „curierului”, nici „băncii”, nici unui „prieten” pe WhatsApp.
- Parolele nu se țin în browser pe un dispozitiv nesigur. Dacă ai avut vreodată un program suspect, tratează parolele salvate ca fiind furate.
- Verifici periodic dacă datele tale au fost scurse. Pe haveibeenpwned.com sau cu verificarea din managerul de parole.
- Închizi sesiunile vechi. Din setările contului, la „dispozitive conectate”.
- Un e-mail separat pentru conturile importante. Banca și e-mailul principal nu se folosesc la înscrieri pe site-uri mici.
Ce faci dacă ai parole furate
- Schimbă mai întâi parola de la e-mail, de pe un dispozitiv curat, apoi pe cea de la bancă și de la rețelele sociale.
- Închide toate sesiunile active pe fiecare cont. Un infostealer fură și sesiunile, nu doar parola.
- Pornește verificarea în doi pași, de preferat cu aplicație sau passkey.
- Scanează dispozitivul dacă bănuiești un program rău intenționat, înainte să schimbi parolele. Altfel, programul le fură din nou pe cele noi. Detalii în articolul despre malware.
- Schimbă parola oriunde ai refolosit-o.
- Anunță banca dacă ai folosit aceeași parolă sau ai dat datele cardului.
- Anunță-ți contactele pe altă cale, dacă un cont al tău a trimis mesaje cu cereri de bani.
- Raportează la DNSC, la 1911 sau pe pnrisc.dnsc.ro, și depune plângere la Poliție dacă ai pierdut bani.
Nu te rușina. Sunt milioane de parole furate în fiecare an, iar oricui i se poate întâmpla.
Întrebări frecvente
Ce înseamnă credential stuffing?
Este încercarea automată a unor perechi de e-mail și parolă scurse, pe mii de site-uri. Atacatorul nu ghicește nimic: verifică unde ai folosit aceeași parolă. De aceea o parolă unică pentru fiecare cont oprește atacul.
Cum aflu dacă parola mea a fost scursă?
Caută adresa ta de e-mail pe haveibeenpwned.com. Mulți manageri de parole fac și ei o verificare automată. Dacă apari într-o scurgere, schimbă parola de pe acel cont și de oriunde ai mai folosit-o.
Ce este un passkey?
Un passkey înlocuiește parola cu o cheie criptografică legată de dispozitivul tău și deblocată cu amprenta, fața sau codul telefonului. Nu poate fi scris pe o pagină falsă și nu poate fi refolosit pe alt site, de aceea rezistă la phishing.
Un manager de parole nu e un punct unic de risc?
E un risc mai mic decât refolosirea parolelor. Alege un manager cunoscut, protejează-l cu o parolă lungă și cu verificare în doi pași și nu-l folosi pe un dispozitiv pe care nu ai încredere. Dacă ai un program suspect pe dispozitiv, rezolvă întâi asta.
Trebuie să-mi schimb parolele la fiecare câteva luni?
Nu. Ghidul NIST din 2025 spune că parolele nu se schimbă periodic fără motiv, ci doar când există semne de compromitere. Contează parola unică și lungă, nu schimbarea deasă.
Surse și resurse
- DNSC, raportul anual de activitate pe 2025, publicat pe 14 august 2026: incidentele de compromitere a conturilor și de tip brute force
- Have I Been Pwned, „June 2026 Stealer Logs”, adăugat pe 15 iunie 2026
- FIDO Alliance, Passkey Index, 15 octombrie 2026
- NIST, SP 800-63B-4 „Digital Identity Guidelines: Authentication and Authenticator Management”, versiunea finală din 31 iulie 2025
- Europol, IOCTA 2026, publicat pe 28 aprilie 2026
- Microsoft, acțiunea împotriva Lumma Stealer, 21 mai 2025
- Unde raportezi: DNSC, telefon 1911 și pnrisc.dnsc.ro; Poliția Română, 112 în caz de urgență
Citește mai departe în această serie
- Ce este un vector de atac? Ușile prin care intră escrocii în 2026
- Ce este malware-ul? Aplicațiile false, infostealerele și ransomware-ul în 2026
- Ce este smishingul? SMS-urile false cu colete, taxe și bănci în 2026
- Cum îți poți proteja conturile de social media în 2026?
- Resurse gratuite: ghidul Q4 Reset și planul de urgență „Primele 10 minute”
Cum se poartă site-ul tău când cineva încearcă parole furate?
Dacă ai un site sau un magazin cu conturi de client, verific ce se întâmplă când cineva încearcă același cont de zeci de ori sau o parolă deja scursă: se blochează încercările? Resetarea parolei e sigură? Poți opri sesiunile deschise? Primești problemele ordonate după cât te costă. Verific și dacă site-ul ține pasul cu cele mai noi reglementări care îl privesc, de la accesibilitate la protecția datelor, ca să afli din timp ce trebuie reparat. Nu este consultanță juridică. Vezi cum lucrez.
Despre autoare
Brîndușa Maria, Senior Software Test Analyst, certificată ISTQB® Certified Tester Advanced Level Test Analyst (CTAL-TA). Scriu despre cum recunoști escrocheriile online. LinkedIn
Notă: articolul se bazează pe cercetarea și experiența mea profesională. Am folosit unelte de inteligență artificială la redactare și la stilizare.
📢 Distribuie informațiile, fii în siguranță! 🔒✨ Apasă butoanele de share de mai jos și ajută-i și pe ceilalți să navigheze în siguranță pe Internet. Cu cât știm mai multe despre escrocheriile online, cu atât suntem mai protejați! 🚀💙