În acest capitol
01Ușa cea mai folosită de atacuri este o parolă
În filme, atacurile informatice sunt ecrane negre pline de cod și cineva care „sparge” un sistem în câteva secunde. În realitatea unui magazin, a unui birou sau a unei firme mici, atacul cel mai des întâlnit e mult mai puțin spectaculos: cineva intră cu cheile. O parolă ghicită, o parolă furată de pe alt site, o parolă dată fără să-ți dai seama unei pagini false.
O scenă care se repetă des. Patronul unui magazin folosește de ani de zile aceeași parolă pentru email, pentru programul de gestiune și pentru site-ul de unde comandă marfa. Într-o zi, site-ul furnizorului suferă o breșă și lista utilizatorilor ajunge de vânzare. Nimeni nu-l anunță pe patron. După câteva săptămâni, cineva intră în căsuța lui de email, citește facturile și le scrie clienților cu IBAN-ul schimbat. Nimeni nu a „spart” nimic: cheia era aceeași pentru toate ușile.
Cele patru tehnici cele mai răspândite
- Phishing. Un email, un SMS sau un mesaj care imită banca, curierul, furnizorul sau serviciul de email și duce la o pagină identică cu cea adevărată, unde îți introduci parola. Vorbesc despre asta și în capitolul despre emailul profesional al firmei, pentru că apărarea începe de la poștă.
- Credential stuffing, „umplerea cu credențiale”: cine a furat lista de emailuri și parole a unui site le încearcă automat pe sute de alte servicii. Funcționează pentru că mulți oameni refolosesc aceeași parolă.
- Password spraying: în loc să încerce o mie de parole pe un cont, încearcă una foarte comună, cum ar fi numele firmei urmat de an, pe toate conturile organizației.
- Parole ghicite: date de naștere, numele copiilor, numele magazinului, „Vara2026!”. Un program le încearcă în câteva secunde pornind de la ce găsește pe rețelele sociale.
Ca să afli dacă una dintre adresele tale de email a apărut într-o breșă cunoscută există un serviciu public și gratuit, Have I Been Pwned: introduci adresa și afli în ce liste furate apare. Dacă răspunsul e da, parola folosită pe acel site trebuie considerată publică și schimbată peste tot unde era aceeași.
02Parolele: regulile s-au schimbat
Ani la rând am învățat că o parolă sigură trebuie să aibă o literă mare, o cifră, un simbol și să fie schimbată la fiecare trei luni. Rezultatul îl vedem toți: parole scurte, previzibile, scrise pe un post-it și schimbate adăugând o cifră la final. „Marco2025!” devine „Marco2026!”.
Ghidurile NIST, institutul american care scrie standardele de identitate digitală folosite ca referință în toată lumea, în versiunea definitivă publicată în 2025 spun lucruri foarte diferite:
- contează lungimea: cel puțin 15 caractere când parola este singura cale de acces, cel puțin 8 când e însoțită de un al doilea factor; serviciile ar trebui să accepte cel puțin 64;
- fără reguli de compoziție obligatorii: nu trebuie impus amestecul de litere mari, cifre și simboluri;
- fără schimbări periodice forțate: parola se schimbă când există un semn că a fost compromisă, nu după calendar;
- orice parolă nouă trebuie comparată cu o listă de parole comune, previzibile sau deja apărute în breșe și respinsă dacă se află acolo;
- serviciile trebuie să permită managerele de parole și completarea automată și ar trebui să permită lipirea parolei.
Cum se construiește o parolă bună, când trebuie ținută minte
Parolele de ținut minte ar trebui să fie foarte puține: cea a calculatorului, cea a managerului de parole, cea a căsuței de email principale. Pentru acestea merge bine o frază din mai multe cuvinte alese la întâmplare, fără legătură între ele sau cu tine: patru sau cinci cuvinte înseamnă deja peste douăzeci de caractere. Toate celelalte parole nu trebuie ținute minte: le generează și le păstrează managerul.
Adevărat sau fals?
Parolele: mituri și reguli adevărate
Pentru fiecare afirmație alege adevărat sau fals: explicația apare imediat.
Schimbarea parolei la fiecare trei luni o face mai sigură.
Ghidurile NIST interzic schimbările periodice forțate: duc la parole previzibile. Se schimbă când există un semn de compromitere.
O frază din patru cuvinte la întâmplare poate fi mai sigură decât un cuvânt scurt plin de simboluri.
Lungimea înmulțește combinațiile de încercat mult mai mult decât simbolurile, iar o frază se ține minte mai ușor.
Dacă o parolă e foarte lungă și complicată, poate fi folosită pentru mai multe servicii.
Dacă un singur serviciu suferă o breșă, acea parolă ajunge într-o listă și e încercată peste tot, oricât de lungă ar fi.
Un site serios ar trebui să permită lipirea parolei.
Blocarea lipirii încurcă managerele de parole, adică tocmai instrumentul care face posibile parole lungi și unice.
Cu autentificarea în doi factori, parola nu mai contează deloc.
Al doilea factor e o a doua încuietoare, nu un înlocuitor: o parolă slabă rămâne un risc, mai ales dacă al doilea factor e un SMS.
03Managerul de parole: un seif, o cheie
O parolă diferită și lungă pentru fiecare serviciu e imposibil de ținut minte. De aceea există managerele de parole: programe care păstrează toate credențialele într-un seif criptat, care se deschide cu o singură parolă principală, de preferat însoțită de un al doilea factor.
De ce e mai sigur, nu mai puțin
Obiecția cea mai des întâlnită este: „și dacă fură seiful?”. Seiful e criptat cu o cheie care derivă din parola principală, iar managerele bune sunt construite astfel încât nici măcar cine oferă serviciul să nu-i poată citi conținutul. În schimb, primești trei avantaje concrete:
- parole unice pentru fiecare serviciu: o breșă în altă parte nu mai deschide nimic la tine;
- parole lungi generate la întâmplare, imposibil de ghicit;
- o apărare în plus împotriva phishingului: managerul propune parola doar pe adresa căreia îi aparține. Dacă pe o pagină care arată ca banca ta managerul nu sugerează nimic, e un semnal de alarmă.
În firmă: seiful comun
Multe managere au o versiune pentru echipe: credențialele comune, cum ar fi contul de curierat sau panoul site-ului, stau în dosare partajate doar cu cine are nevoie de ele. Când un colaborator pleacă, i se ia accesul la dosar, în loc să trebuiască să-ți amintești toate parolele pe care le știa. E mult mai bine decât fișierul Excel „parole.xlsx” de pe desktop, care încă e soluția cea mai răspândită în firmele mici.
04Doi factori: de ce o singură parolă nu ajunge
Autentificarea în doi factori (în engleză 2FA sau, mai general, MFA, multifactor) cere două dovezi de identitate de natură diferită. Dovezile posibile sunt de trei tipuri:
- ceva ce știi: o parolă, un PIN;
- ceva ce ai: telefonul, o cheie de securitate USB, un card;
- ceva ce ești: amprenta, fața.
Principiul e simplu: cine fură parola de pe o pagină de phishing sau dintr-o listă spartă nu are și telefonul tău în buzunar. Dar nu toți factorii secundari rezistă la fel.
| Metodă | Cum funcționează | Punct slab | Când se folosește |
|---|---|---|---|
| Cod prin SMS | un cod sosește prin mesaj | numărul poate fi deturnat printr-o schimbare frauduloasă de SIM; codul poate fi cerut prin înșelătorie | doar dacă serviciul nu oferă altceva |
| Aplicație de autentificare | o aplicație generează un cod care se schimbă la fiecare 30 de secunde | o pagină de phishing poate cere și codul și îl poate folosi imediat | aproape peste tot, ca minim |
| Notificare pe telefon | confirmi accesul cu o atingere | cine are parola poate trimite notificări în rafală până când cineva confirmă | cu numărul de comparat pe ecran |
| Passkey sau cheie de securitate | dispozitivul semnează o provocare a site-ului cu o cheie criptografică | trebuie prevăzută o cale sigură de recuperare dacă pierzi dispozitivul | email, bancă, administrarea serverelor și a domeniilor |
Nu întâmplător, ghidul împotriva ransomware-ului al agențiilor americane cere activarea unei autentificări multifactor rezistente la phishing pentru toate serviciile, începând cu poșta, accesul de la distanță și conturile care administrează sistemele critice. De ce tocmai accesele sunt prima apărare împotriva șantajului cu datele povestesc în capitolul despre backupul firmei și ransomware.
Quiz
Ce încuietoare pentru ce ușă?
Alege un răspuns pentru fiecare întrebare: explicația apare imediat.
Amprenta digitală aparține cărui tip de factor?
Factorii biometrici, ca amprenta și fața, sunt „ceva ce ești”; parola e ceva ce știi, telefonul ceva ce ai.
Ce factor secundar rezistă chiar și unei pagini de phishing identice cu cea adevărată?
Passkey-ul e legat de adresa site-ului real și nu răspunde unui site fals; un cod, în schimb, ți-l poate cere oricine prin înșelătorie.
Primești zece notificări de acces pe care nu le-ai cerut. Ce faci?
Cine le trimite are deja parola ta și speră la o atingere neatentă: refuzi tot și schimbi imediat parola.
Ce cont trebuie protejat primul cu factorul cel mai puternic?
Din căsuța de email se resetează aproape toate celelalte parole: cine o controlează controlează tot restul.
05Passkey-ul: intri fără parolă și fără să fii păcălit
Passkey-urile sunt modul de acces pe care marii producători de sisteme de operare și browsere îl răspândesc în locul parolelor, pe baza standardelor alianței FIDO. Se folosesc deja pe multe servicii de email, bănci, magazine online și platforme de lucru și se deblochează cu amprenta, fața sau PIN-ul dispozitivului.
În spatele simplității stă un mecanism criptografic elegant, pe care merită să-l înțelegi pentru că explică de unde vine siguranța.
- Înregistrarea. Când creezi un passkey pentru un site, dispozitivul tău generează o pereche de chei: una privată, care rămâne pe dispozitiv, și una publică, care e predată site-ului.
- Accesul. Site-ul trimite o „provocare”, un număr aleatoriu diferit de fiecare dată. Dispozitivul, după ce l-ai deblocat cu amprenta, fața sau PIN-ul, o semnează cu cheia privată și o trimite înapoi.
- Verificarea. Site-ul verifică semnătura cu cheia publică. Dacă se potrivește, ești tu.
De aici vin trei proprietăți pe care o parolă nu le va avea niciodată:
- nu există nimic de furat de pe site: dacă site-ul suferă o breșă, atacatorul găsește doar chei publice, inutile fără cele private;
- nu există nimic de refolosit: fiecare site are propria pereche de chei;
- nu există nimic ce ți se poate smulge prin înșelătorie: browserul și sistemul de operare leagă fiecare passkey de site-ul pentru care a fost creat. Pe o adresă falsă, chiar identică la prima vedere, passkey-ul pur și simplu nu se propune.
Sincronizate sau legate de un dispozitiv
Există două familii de passkey-uri. Cele sincronizate călătoresc între dispozitivele tale prin managerul de parole sau contul sistemului de operare, într-o formă criptată pe care serviciul de sincronizare nu o poate citi: dacă pierzi telefonul, le regăsești pe cel nou. Cele legate de un dispozitiv, ca cheile de securitate USB, nu ies niciodată din obiectul fizic: sunt alegerea pentru accesele cele mai delicate, cum ar fi administrarea unui server sau a domeniului, dar cer o a doua cheie de rezervă, păstrată într-un loc sigur.
De nu greșit
Punctul slab al oricărui sistem de acces este recuperarea: dacă pentru a-ți recupera contul ajunge un SMS sau o întrebare de securitate, atacul va trece pe acolo. Când activezi passkey-urile sau cheile de securitate, configurează două metode de rezervă solide și păstrează codurile de recuperare într-un loc sigur, în afara calculatorului.
06Harta acceselor firmei tale
Instrumentele folosesc la puțin fără o imagine de ansamblu. Încearcă un exercițiu: ia o foaie și scrie toate serviciile cu care firma ta lucrează online. Banca, emailul, PEC, programul de gestiune, site-ul, domeniul, serverul, rețelele sociale, furnizorii, platformele de rezervări. Apoi, lângă fiecare, cine are acces, cu ce email și dacă există al doilea factor. Aproape întotdeauna e o foaie surprinzătoare.
Planul, în cinci mutări
1
Căsuța de email
Parolă lungă și unică, al doilea factor puternic, codurile de recuperare la loc sigur. Înaintea a orice altceva.
2
Managerul de parole
Pentru toți, cu dosare partajate pentru credențialele comune. Fișierul Excel cu parole se șterge.
3
Al doilea factor
Pe bancă, domeniu, server, programul de gestiune și rețelele sociale. Unde există, passkey sau cheie de securitate.
4
Un cont de persoană
Fără conturi comune: fiecare cu accesul lui, doar cu permisiunile de care are nevoie.
5
Intrări și plecări
Când vine un colaborator i se dă accesul; când pleacă, i se ia în aceeași zi.
Principiul privilegiului minim
Fiecare cont ar trebui să poată face doar ce îi trebuie celui care îl folosește. Cine ia rezervările nu are nevoie să schimbe prețurile; cine se ocupă de depozit nu are nevoie să vadă salariile. Chiar și cine administrează sistemele ar trebui să aibă două conturi: unul obișnuit pentru munca de zi cu zi și unul de administrator, folosit doar când e nevoie. Astfel, dacă un cont e compromis, paguba rămâne mică.
Același lucru e valabil și pentru furnizori: cine ți-a făcut site-ul n-ar trebui să mai aibă, după ani, parola panoului domeniului. Pe numele cui trebuie să fie domeniul, serverul și conturile și cine trebuie să aibă cheile explic în capitolul despre cine deține cu adevărat site-ul tău. Iar pentru un portal cu zone rezervate clienților, siguranța acceselor se proiectează împreună cu restul, cum explic în capitolul despre portaluri integrate, rezervări și PWA.
Cuvintele capitolului
Vocabularul acceselor
Atinge o carte ca s-o întorci.
Pune-te la încercare
Ușile firmei tale sunt închise?
Închiderea ușilor reduce enorm riscul, dar nu-l anulează: pentru ziua în care ceva merge prost ai nevoie de copiile potrivite, cum povestesc în capitolul despre backup și regula 3-2-1. Iar dacă o breșă atinge datele clienților, intră în joc obligațiile GDPR, pe care le explic în capitolul despre GDPR și cookie pentru site-ul unei afaceri mici.
Întrebări frecvente
Cât de lungă trebuie să fie o parolă?
Conform ghidurilor NIST SP 800-63B, cel puțin 15 caractere când parola este singurul factor de acces, cel puțin 8 când există și un al doilea factor. O frază din patru sau cinci cuvinte la întâmplare depășește ușor 20 de caractere.
Trebuie să-mi schimb parolele la fiecare trei luni?
Nu. Ghidurile cele mai recente descurajează schimbările periodice forțate, pentru că duc la parole previzibile. Parola se schimbă când există un semn de compromitere, de exemplu dacă apare într-o breșă cunoscută.
Codul prin SMS e sigur?
E mai bun decât parola singură, dar e cel mai slab factor secundar: numărul poate fi deturnat printr-o schimbare frauduloasă de SIM, iar codul poate fi capturat de o pagină de phishing. Unde se poate, se preferă o aplicație de autentificare sau, mai bine, un passkey.
Ce este un passkey și de ce rezistă la phishing?
Este un acces bazat pe o pereche de chei criptografice: cheia privată rămâne pe dispozitivul tău, iar site-ul păstrează doar cheia publică. Passkey-ul e legat de adresa site-ului pentru care a fost creat, deci pe un site fals nu funcționează.
Dacă pierd telefonul, pierd și passkey-urile?
Passkey-urile sincronizate se regăsesc pe dispozitivele noi conectate la același cont sau manager de parole. Cele legate de o cheie fizică nu: de aceea se păstrează o a doua cheie de rezervă și codurile de recuperare.
Un manager de parole nu e un risc, dacă toate parolele stau într-un singur loc?
Seiful e criptat și se deschide doar cu parola principală, care trebuie protejată cu un al doilea factor. Riscul de a refolosi aceeași parolă peste tot e mult mai mare decât cel al unui manager bine configurat.
Surse
- NIST, SP 800-63B-4, „Authentication and Authenticator Management” (versiunea definitivă, iulie 2025): lungimea minimă, fără reguli de compoziție sau schimbări periodice, verificarea față de listele de parole sparte, managerele de parole.
- CISA, FBI, NSA, MS-ISAC, „#StopRansomware Guide”: autentificare multifactor rezistentă la phishing pentru email, accesul de la distanță și sistemele critice.
- passkeys.dev, „What are passkeys?”: cum funcționează passkey-urile și sincronizarea lor între dispozitive.
- Have I Been Pwned: serviciul gratuit prin care afli dacă o adresă de email apare în breșe de date cunoscute.
- Agenția Națională pentru Securitate Cibernetică din Italia, „CSIRT Italia” (în italiană): avertismente despre amenințările în curs și raportarea incidentelor informatice.
Capitol actualizat în octombrie 2026. Parolele din planșe sunt exemple ilustrative și nu trebuie folosite; indicațiile despre metodele de autentificare urmează ghidurile publice citate.