de Călin Perpelea,
Consultant IT pentru procese financiare,
Membru al echipei PNEFR
Îți faci un cont nou pe un site de știri. La câmpul „parolă” tastezi ceva familiar, ceva ce îți vine natural. Poate prenumele tău și anul nașterii. Poate numele câinelui urmat de un semn de exclamare. Poate aceeași parolă pe care o folosești de ani de zile, peste tot.
Apeși „înregistrare” și treci mai departe.
Peste șase luni, acel site e spart. Baza lui de date cu utilizatori și parole ajunge pe dark web, vândută în pachete de milioane de înregistrări, la prețul unui prânz modest. Cineva cumpără pachetul, rulează un program automat care testează fiecare combinație de email și parolă pe cele mai mari bănci din România.
Programul nu doarme. Nu obosește. Testează mii de combinații pe minut.
La a treia încercare, intră în contul tău bancar.
Dacă ți se pare exagerat, citește ce s-a întâmplat la Marriott
În 2014, sistemul de rezervări al lanțului hotelier Starwood a fost infiltrat de atacatori cibernetici printr-un troian de acces la distanță, un program care le oferea control complet asupra sistemelor infectate, fără ca nimeni să observe. Starwood nu a detectat nimic. Doi ani mai târziu, Marriott a cumpărat Starwood. Și nu a făcut un audit serios de securitate înainte de achiziție.
Atacatorii au rămas în sistem. Nedetectați. Timp de patru ani.
Când breșa a ieșit la suprafață, în 2018, erau compromise datele personale a 500 de milioane de clienți din întreaga lume: nume, adrese, numere de pașaport, date de card. Costurile de recuperare au depășit 30 de milioane de dolari. Amenda aplicată de autoritățile britanice pentru încălcarea GDPR a fost de peste 120 de milioane de dolari. Acțiunile companiei au scăzut cu 5% imediat după anunț. Pierderile estimate din loialitate scăzută a clienților, peste 1 miliard de dolari.
Totul a pornit de la sisteme neactualizate și porturi lăsate deschise spre internet.
Nu e o problemă doar a corporațiilor. E o problemă de obiceiuri. Iar obiceiurile tale de securitate digitală sunt direct legate de banii din contul tău.
Ce se întâmplă pe dark web cu parolele tale
Astăzi, parolele nu se sparg, se cumpără. Pe dark web există baze de date cu sute de milioane de combinații email-parolă, colectate din breșe de securitate ale unor platforme aparent inofensive: site-uri de știri, magazine online, forumuri, aplicații de rețete culinare. Platforme pe care le-ai folosit o dată și le-ai uitat.
Pachetele se vând la prețuri accesibile, câteva zeci de euro pentru milioane de înregistrări, „all-inclusive”: programe de atac, servere cloud și datele potențialelor victime. Nu mai e nevoie de cunoștințe tehnice avansate. E suficient un card de credit și o conexiune la internet.
Atacul care urmează se numește „credential stuffing”, un program testează automat aceleași combinații email-parolă pe zeci de platforme simultan. Dacă ai folosit aceeași parolă pe site-ul de știri spart și la bancă, programul intră în contul tău bancar fără niciun efort suplimentar.
Problema nu e că acele site-uri au fost sparte. Problema e că ai folosit aceeași parolă peste tot.
Scena din cafenea
E sâmbătă dimineață. Ești la cafea, vrei să verifici rapid dacă a intrat salariul. Te conectezi la Wi-Fi-ul cafenelei, gratuit, fără parolă, și intri în aplicația băncii.
Ce nu știi e că în același local, la o masă din colț, cineva rulează un program care interceptează tot traficul din rețeaua Wi-Fi publică. Instrumentele necesare sunt disponibile online, gratuit, și funcționează pe orice laptop. Programul vede tot ce trece prin rețea: site-uri accesate, date introduse, sesiuni active.
Rețelele Wi-Fi publice nu sunt criptate. Tot ce trimiți și primești prin ele poate fi vizibil pentru oricine conectat la aceeași rețea.
Regula e simplă: internet banking doar pe rețeaua mobilă personală. Nu în cafenele, nu în aeroporturi, nu în hoteluri. Câțiva lei în plus la factură costă incomparabil mai puțin decât ce poți pierde.
Cât durează să îți fie spartă parola. Concret.
Firma de securitate Hive Systems publică anual un tabel care măsoară exact cât timp îi ia unui calculator modern să spargă o parolă. Diferențele sunt spectaculoase:
O parolă de 6 caractere formată doar din cifre – spartă instantaneu. Aceleași 6 caractere cu litere mici, câteva secunde. O parolă de 8 caractere formată doar din cifre, 37 de secunde. Aceeași lungime cu litere mari, mici și simboluri, 7 ani. O parolă de 10 caractere cu toate tipurile de caractere, peste 100 de ani. La 12 caractere complexe, vorbim de milenii.
Diferența dintre 37 de secunde și 100 de ani nu e un sistem de securitate sofisticat. E câteva caractere în plus și un simbol.
Un studiu pe 193 de milioane de parole reale a arătat că 45% pot fi sparte în mai puțin de un minut. Doar 23% rezistă mai mult de un an. Printre cele mai frecvent folosite parole în România: „andreea”, „steaua”, „dinamo”, sparte în mai puțin de 17 secunde.
Soluția practică: managerul de parole
Cel mai frecvent argument pentru parolele slabe e unul sincer: nu poți ține minte parole complexe și diferite pentru zeci de conturi. E adevărat. Și exact pentru asta există managerii de parole.
Un manager de parole funcționează ca un seif digital criptat, stochează toate parolele, le completează automat la autentificare și generează parole puternice și unice pentru fiecare cont în parte. Tu nu mai trebuie să ții minte decât o singură parolă principală. Restul e automatizat.
Câteva opțiuni concreteși testate:
Bitwarden — gratuit, open-source, sincronizat pe toate dispozitivele fără restricții. Codul e complet transparent și auditat regulat de firme independente de securitate. Decriptarea se face local — Bitwarden nu îți vede niciodată parolele. Cea mai bună opțiune gratuită disponibilă.
Proton Pass — creat de echipa din spatele Proton Mail, bazat în Elveția, sub legislația elvețiană de confidențialitate. Gratuit, stocare nelimitată pe dispozitive nelimitate, autentificare biometrică. Recomandat celor care acordă prioritate confidențialității.
1Password — opțiune plătită, circa 3 USD pe lună. Include monitorizare automată a breșelor de date și notificare în timp real dacă una dintre parolele tale a apărut într-o scurgere publică.
Dacă nu vrei să instalezi nimic deocamdată, telefonul tău are deja un manager de parole integrat Chei de acces pe iPhone sau Google Password Manager pe Android. Nu sunt perfecte, dar sunt incomparabil mai bune decât aceeași parolă pe toate conturile.
Ce poți face de azi, în ordinea priorităților
Activează autentificarea în doi pași la bancă și la email. E gratuită, se setează în câteva minute și adaugă un strat de protecție pe care nicio parolă furată nu îl poate ocoli singur.
Instalează un manager de parole și schimbă parolele conturilor financiare cu unele generate automat, lungi, complexe, unice pentru fiecare cont.
Nu accesa internet banking de pe Wi-Fi public. Datele mobile costă câțiva lei în plus pe lună.
Instalează actualizările când apar. Fiecare actualizare amânată e o vulnerabilitate cunoscută lăsată deschisă. La Marriott, sisteme neactualizate au costat un miliard de dolari. La tine poate costa tot ce ai în cont.
Securitatea contului tău bancar nu depinde doar de cât de sofisticate sunt sistemele băncii tale. Depinde și de alegerile pe care le faci zilnic, ce parolă setezi, de unde te loghezi, ce actualizări amâni.
Breșele mari nu încep cu atacuri spectaculoase. Încep cu „Florin1984″ folosit pe un site de rețete în 2019. Sau cu un sistem neactualizat lăsat să ruleze patru ani. Mecanismul e același, indiferent dacă victima e un lanț hotelier de 500 de milioane de clienți sau un cont bancar personal.
Parola pe care crezi că o știi doar tu, câți alții o mai știu deja?
