Pagini false de autentificare, construite cu ajutorul inteligenței artificiale generative, pot imita portaluri familiare și pot fi adaptate unor angajați sau organizații anume. Miza depășește furtul parolelor: unele campanii colectează coduri MFA ori deturnează sesiuni deja autentificate, oferind atacatorilor acces la conturi corporative.
AI-ul accelerează imitarea portalurilor de încredere
Imitarea paginilor de login nu este o tactică nouă, însă instrumentele generative fac mai ușoară producerea unor replici convingătoare. Logo-urile, structura paginii și solicitările de autentificare pot semăna îndeaproape cu cele ale serviciilor pe care angajații le folosesc în mod obișnuit.
Personalizarea poate merge mai departe decât copierea aspectului unui site. Atacatorii pot crea notificări IT care folosesc identitatea vizuală a companiei și formulări familiare, apoi trimit angajații către o pagină frauduloasă de autentificare, concepută să pară parte dintr-un proces legitim.
Campaniile folosesc adesea domenii asemănătoare celor autentice, cu modificări discrete de ortografie sau caractere suplimentare. Combinația dintre adresă, pagină realistă și mesaj țintit poate face tentativa mai greu de observat, iar AI-ul le permite atacatorilor să creeze și să adapteze astfel de campanii mai repede și la scară mai mare.
Raportul Verizon Data Breach Investigations Report din 2026 a constatat că phishingul a reprezentat 44% dintre tehnicile de acces inițial asistate de AI analizate. Cifra nu înseamnă că 44% dintre toate atacurile folosesc AI, ci descrie ponderea phishingului în categoria tehnicilor asistate de inteligență artificială examinată de raport.
De la coduri MFA la deturnarea sesiunilor
Unele pagini frauduloase reproduc autentificarea în mai mulți pași și colectează coduri MFA, pe care atacatorii încearcă să le folosească înainte să expire. Astfel, prezența autentificării multifactor nu oprește automat accesul neautorizat dacă utilizatorul introduce codul pe un site controlat de atacator.
O metodă mai sofisticată este atacul adversary-in-the-middle (AiTM). Site-ul fraudulos funcționează ca intermediar între utilizator și serviciul legitim, retransmițând în timp real cererile de autentificare; după autentificarea reușită, atacatorul poate captura un cookie de sesiune sau un token de autentificare.
Cu un token activ, atacatorul poate accesa contul fără să repete autentificarea și fără să treacă din nou printr-o provocare MFA. Deturnarea sesiunii este periculoasă tocmai fiindcă poate transforma o autentificare validă într-o cale de acces persistentă pentru atacator, chiar dacă parola și MFA au fost folosite corect de utilizator.
De ce filtrele și vigilența utilizatorilor nu sunt suficiente
Instruirea angajaților rămâne utilă, dar replicile convingătoare pot fi greu de deosebit de paginile autentice, inclusiv pentru utilizatori experimentați. Brandingul familiar și solicitările obișnuite de autentificare pot reduce suspiciunea, iar o modificare subtilă a adresei web poate trece neobservată.
Filtrele de e-mail, listele de blocare URL și serviciile de reputație opresc multe amenințări cunoscute, dar domeniile nou înregistrate sau site-urile de phishing cu durată scurtă pot evita detectarea. Linkurile malițioase pot circula și prin SMS, platforme de colaborare ori reclame în motoare de căutare, ocolind apărarea concentrată exclusiv pe e-mail.
Verificarea URL-urilor adaugă un nivel de protecție, însă domeniile asemănătoare pot fi dificil de identificat. Nici conexiunea HTTPS, singură, nu dovedește că site-ul este legitim: aceasta protejează conexiunea cu domeniul accesat, nu confirmă că domeniul aparține serviciului pe care utilizatorul intenționează să-l folosească.
Ce pot face organizațiile din România și UE
Pentru companiile și instituțiile din România, riscul privește orice cont folosit pentru e-mail, colaborare sau acces la aplicații interne. În organizațiile din UE, politicile de securitate și continuitate trebuie să trateze furtul de credențiale și deturnarea sesiunilor drept scenarii distincte; simpla activare a MFA nu închide aceste căi de atac.
Passkeys și cheile de securitate FIDO2 oferă autentificare rezistentă la phishing, deoarece folosesc mecanisme criptografice legate de domeniul legitim. Organizațiile ar trebui să adauge protecție la nivelul browserului, capabilă să semnaleze domenii asemănătoare, uzurparea identității unui brand și tipare suspecte de URL înainte ca utilizatorul să introducă date sensibile.
Monitorizarea trebuie să urmărească autentificări din locații neobișnuite, dispozitive necunoscute și comportamente suspecte ale sesiunilor, astfel încât echipele de securitate să poată identifica rapid o posibilă preluare de cont. Politicile de acces cu privilegii minime reduc efectele compromiterii, iar accesul just-in-time limitează intervalul în care drepturile ridicate pot fi abuzate.
Organizațiile au nevoie și de proceduri clare pentru raportarea tentativelor de phishing, revocarea sesiunilor compromise, resetarea credențialelor și investigarea accesului neautorizat. O soluție menționată în materialul-sursă, Keeper Security, afirmă că produsul său Keeper's AI-powered Phishing Protection folosește AI pe dispozitiv pentru a identifica site-uri suspecte și a avertiza utilizatorii; afirmația este prezentată de companie și nu constituie o evaluare independentă.
Articolul-sursă a fost contribuit de Aranza Trevino, de la Keeper Security. Recomandarea de fond este ca protecția să nu se oprească la filtrarea mesajelor: organizațiile trebuie să detecteze site-urile suspecte chiar în momentul în care utilizatorii sunt pe cale să-și introducă datele de autentificare.
