Atacurile de phishing asistate de inteligența artificială au ajuns să reprezinte peste 80% din totalul activității globale de inginerie socială observate, conform datelor din raportul ESET SMB Cyber Readiness Index 2026, citate de Agerpres pe 8 noiembrie 2026. Pentru companiile din România, această cifră marchează sfârșitul unei reguli clasice de igienă cibernetică: instruirea angajaților să caute greșeli gramaticale sau formulări stângace în mesajele suspecte nu mai oferă nicio protecție reală.
Analiza semnată de Mark Szabo, specialist în securitate cibernetică în cadrul ESET, ilustrează viteza cu care s-a schimbat raportul de forțe. Dacă la începutul anului 2024 rapoartele Microsoft și OpenAI tratau inteligența artificială doar ca pe un simplu accelerator de productivitate fără tehnici de atac noi, doi ani mai târziu realitatea din teren este complet diferită. Cercetătorii Google au documentat deja primul exploit de tip zero-day dezvoltat cu ajutorul AI, echipa ESET Research a descoperit PromptLock (primul ransomware bazat pe AI) și malware-ul de Android PromptSpy, iar modelul Mythos de la Anthropic a demonstrat în teste capacitatea de a identifica autonom 271 de vulnerabilități în Firefox și peste 23.000 de breșe în peste 1.000 de proiecte open-source.
De la 16 ore la 5 minute: Industrializarea fraudei B2B
Impactul direct asupra întreprinderilor mici și mijlocii (IMM) nu vine însă din exploit-urile zero-day complexe, ci din democratizarea ingineriei sociale. Datele IBM citate în analiză arată că redactarea și calibrarea manuală a unui mesaj de spear-phishing convingător necesita anterior aproximativ 16 ore de documentare; astăzi, modelele generative reduc acest timp la doar 5 minute.
Pentru departamentul tău financiar sau de achiziții, asta înseamnă că un atacator poate genera instantaneu un email în limba română impecabilă, imitând fidel tonul unui furnizor recurent, al băncii sau chiar al directorului general. Scenariul clasic de Business Email Compromise (BEC) — în care o factură PDF atașată conține un cont IBAN modificat sub pretextul unui audit bancar sau al unei popriri temporare — devine imposibil de depistat cu ochiul liber atunci când contextul comercial și vocabularul sunt reproduse la perfecție de un model lingvistic.
| Vector operațional | Phishing clasic (redactat manual) | Inginerie socială asistată de AI (peste 80% din trafic) |
|---|
| Timp de pregătire per țintă | Aproximativ 16 ore de cercetare manuală | Sub 5 minute prin interogarea automată a datelor publice |
| Calitatea limbii române | Traduceri aproximative, dezacorduri vizibile | Limbaj juridic, contabil și corporatist impecabil |
| Punctul critic de eșec în firmă | Lipsa de atenție a angajatului la detalii vizuale | Însăși arhitectura de aprobare bazată pe email și fișiere PDF |
Vulnerabilitatea structurală: Emailul folosit ca registru de tranzacții
Problema fundamentală a multor firme românești nu este lipsa de vigilență a contabilului, ci faptul că emailul este folosit în continuare ca infrastructură de transport pentru decizii financiare critice. Când aprobarea unei plăți urgente, preluarea unei comenzi B2B sau actualizarea datelor bancare ale unui partener se bazează pe un schimb nestructurat de mesaje și tabele Excel, compania ta operează fără niciun mecanism criptografic sau procedural de validare a identității.
Ce măsuri imediate trebuie să aplice echipa ta tehnică și departamentul financiar pentru a limita expunerea:
- Verificarea pe un canal secundar (Out-of-Band): Orice solicitare de modificare a contului IBAN primită pe email trebuie confirmată telefonic, apelând exclusiv numărul de contact din contractul inițial, niciodată numărul trecut în semnătura emailului recent.
- Reguli stricte de autentificare a domeniului: Administratorii IT trebuie să impună politici DMARC cu respingere automată (
p=reject), alături de configurări corecte SPF și DKIM pe serverele de mail ale companiei. - Eliminarea aprobărilor ad-hoc pe mesaje text: Interzicerea prin regulament intern a plăților ordonate doar pe baza unui mesaj pe email sau WhatsApp, indiferent de urgența invocată.
Soluția arhitecturală: Scoaterea documentelor critice din inbox
Dincolo de regulile de igienă internă, singura metodă prin care elimini definitiv riscul facturilor false pe email este schimbarea modului în care datele intră în firma ta. Așa cum am explicat și în analiza despre erorile agenților AI și costul ascuns al arhitecturilor improvizate, securitatea operațională pornește din modul în care sunt proiectate aplicațiile pe care le folosești zilnic.
În cadrul WebReady, abordăm această vulnerabilitate strict prin prisma arhitecturii software și a organizării proceselor interne, fără a încerca să suplinim rolul echipelor de securitate cibernetică:
- Portaluri web securizate în locul atașamentelor pe email: Prin serviciile noastre de creare site-uri și dezvoltare de aplicații web la comandă, construim portaluri dedicate pentru clienți și furnizori. În loc să primești facturi și cereri de modificare IBAN pe email, partenerii se autentifică într-o aplicație web centralizată, unde fiecare acțiune este înregistrată într-o bază de date controlată.
- Fluxuri de lucru cu validare automată: Prin automatizarea proceselor din firmă și dezvoltarea de softuri mici personalizate, înlocuim aprobările manuale prin email cu reguli stricte de business. Dacă un cont bancar dintr-un document nu corespunde cu cel înregistrat în baza de date centrală a companiei, fluxul blochează automat tranzacția și cere aprobare multiplă în aplicație.
- Asistenți AI interni pentru trierea documentelor: Prin consultanță și integrare AI, implementăm instrumente practice care citesc, extrag și compară automat datele din documentele încărcate cu istoricul real al furnizorului, eliminând eroarea umană cauzată de oboseală sau presiunea timpului.
Întrebări Frecvente
De ce nu mai pot angajații să recunoască emailurile de phishing în 2026?
Deoarece peste 80% din campaniile de inginerie socială folosesc acum modele avansate de inteligență artificială. Acestea nu mai fac greșeli gramaticale sau de traducere și pot prelua automat informații publice despre compania ta pentru a redacta mesaje personalizate în 5 minute, imitând impecabil stilul de comunicare al unui partener de afaceri.
Cum ajută o aplicație web la comandă la prevenirea fraudei cu facturi?
O aplicație web la comandă (cum ar fi un portal de furnizori sau clienți) mută schimbul de documente din căsuța de email într-un mediu cu autentificare controlată. Atacatorii nu mai pot trimite un simplu fișier PDF falsificat pe email, deoarece departamentul financiar procesează doar documentele încărcate și validate direct în baza de date a platformei.
Poate un sistem de automatizare să blocheze plata către un IBAN modificat fraudulos?
Da. Un soft personalizat de automatizare a fluxurilor de lucru verifică automat fiecare factură în raport cu nomenclatorul de furnizori al firmei. Orice discrepanță între contul IBAN de pe document și cel aprobat în baza de date oprește instantaneu trimiterea la plată, fără a depinde de atenția vizuală a unui operator uman.