Majoritatea dintre noi avem un fel de „alarmă mentală” pentru „mi-a fost spart contul”: un e-mail de resetare a parolei pe care nu l-am cerut, un mesaj despre o autentificare dintr-un oraș necunoscut, un cont blocat brusc. Această alarmă avea sens atunci când principala amenințare era ca cineva să ghicească sau să spargă prin forță brută parola. Ea nu face aproape nimic împotriva metodelor de acces care apar în incidentele recente, concepute special pentru a nu o declanșa.

Două exemple din ultimele săptămâni ilustrează acest tipar. Malwarebytes a documentat o escrocherie pe WhatsApp (publicată pe 3 august 2026) în care victimele sunt ghidate printr-un proces care pare a fi „configurarea WhatsApp Web” — uneori chiar pe domeniul real wa.me — și ajung să introducă un cod care leagă dispozitivul atacatorului de contul lor. Nicăieri nu se tastează vreo parolă, deci nu se declanșează niciun e-mail de resetare a parolei și nicio alertă de autentificare eșuată. Dispozitivul atacatorului devine pur și simplu o nouă intrare discretă în lista dispozitivelor conectate ale contului, cu acces complet de citire și trimitere, pe care apoi îl folosește pentru a rula aceeași escrocherie asupra contactelor victimei. Separat, Microsoft a avertizat despre o campanie pe care o numește „CaptiveCrunch”, care interceptează călătorii pe portalurile captive de Wi-Fi din hoteluri și conferințe, redirecționându-i către pagini de autentificare false care colectează nu doar parole, ci și coduri de dispozitiv și token-uri OAuth — acreditări care oferă acces fără să genereze vreodată tipul de notificare „autentificare nouă” pe care ar genera-o o schimbare de parolă.

Firul comun: ambele atacuri vizează mecanismele de sesiune și autorizare — dispozitive conectate, permisiuni OAuth, coduri de dispozitiv — și nu parola în sine. Sistemul de alertare integrat al contului tău a fost conceput să supravegheze ușa din față. Aceste metode intră printr-o ușă laterală pe care el nu o monitorizează.

Ce poți face concret în privința asta

Nu poți aștepta o notificare care nu va veni niciodată. În schimb, tratează verificarea dispozitivelor tale conectate și a aplicațiilor autorizate ca pe o rutină pe care o faci singur, la fel cum ai verifica bateriile detectorului de fum. Iată o listă concretă de pași, în ordine:

1. Verifică dispozitivele conectate/active din aplicațiile de mesagerie

  • WhatsApp: Setări → Dispozitive conectate. Orice nu recunoști, atinge-l și apasă „Deconectare”.
  • Telegram: Setări → Dispozitive. Aceeași idee — încheie orice sesiune care nu corespunde unui dispozitiv pe care îl ai fizic în mână chiar acum.
  • Signal: Setări → Dispozitive conectate, aceeași verificare.

2. Verifică sesiunile active și accesul aplicațiilor terțe la conturile tale principale

  • Google: myaccount.google.com/security → „Dispozitivele tale” și „Aplicații terțe cu acces la cont.” Revocă tot ce nu recunoști și acordă atenție specială aplicațiilor cărora le-ai dat acces cu luni sau ani în urmă și pe care le-ai uitat — o permisiune veche este la fel de utilizabilă pentru un atacator ca una nouă.
  • Microsoft: account.microsoft.com/security → „Activitate de conectare” și „Permisiuni aplicații.”
  • Apple ID: Setări → [numele tău] → verifică lista de dispozitive de la sfârșit.
  • Facebook/Instagram: Setări → „Unde ești conectat” / „Sesiuni active,” plus „Aplicații și site-uri web” pentru accesul terților conectați.

3. Fii suspicios față de orice proces care îți cere să introduci un cod în loc de o parolă

Procesele legitime de „conectare a acestui dispozitiv” folosesc într-adevăr coduri — asta nu este în sine un semnal de alarmă. Ce ar trebui să te oprească este declanșatorul: dacă o solicitare de introducere a unui cod apare în urma unui mesaj de la un contact („votează pentru mine”, „uită-te la asta”), a unui portal captiv de Wi-Fi public sau a oricărui link pe care nu l-ai inițiat tu însuți, tratează-l ca fiind ostil până la proba contrarie. Închide-l și navighează direct către aplicație sau cont, în loc să continui pornind de la link.

4. Verifică dacă adresa ta de e-mail a apărut într-o breșă de securitate cunoscută

Have I Been Pwned (haveibeenpwned.com), administrat de cercetătorul în securitate Troy Hunt, este un serviciu gratuit și bine consacrat pentru a verifica dacă adresa ta de e-mail apare în breșe de date cunoscute — este suficient de credibil încât guverne naționale îl folosesc pentru propriile domenii (centrul național de securitate cibernetică al Nepalului a devenit al 47-lea guvern care s-a alăturat, conform relatărilor din această săptămână). Nu va detecta o compromitere prin dispozitiv conectat, dar este o verificare rapidă și gratuită, utilă pentru adresele tale de e-mail principale, și este primul pas corect dacă suspectezi o problemă la orice cont și nu știi de unde să începi.

5. Pe rețele nesigure — Wi-Fi de hotel, Wi-Fi de conferință, Wi-Fi de aeroport — evită să te autentifici în orice cont sensibil direct prin pagina portalului captiv

Dacă pagina de autentificare Wi-Fi a unui hotel sau a unei locații îți cere o actualizare de software, un dialog de „verificare de securitate” sau o autentificare Microsoft/Google înainte de a-ți acorda acces la internet, fii precaut — conectează-te mai întâi, apoi fă autentificările propriu-zise prin conexiunea mobilă a telefonului sau printr-un VPN, nu prin pagina oferită de rețea.

Notează-ți-l în calendar

O singură verificare rezolvă problema de azi, dar nu și pe cea din trimestrul următor. Alege un memento recurent — o dată pe trimestru este un ritm rezonabil, sau leagă-l de ceva ce faci deja regulat, cum ar fi schimbarea anotimpului sau o factură recurentă — și parcurge pașii 1 și 2 de mai sus pentru cele mai importante două sau trei conturi ale tale: e-mailul principal, aplicația de mesagerie pe care o folosești cel mai mult și orice cont legat de finanțele tale. Durează sub cincisprezece minute odată ce știi unde sunt meniurile și este singura metodă sigură de a depista accesul conceput special să nu te alerteze.