Scam înseamna inselatorie, iar in 2025 fenomenul ramane una dintre cele mai frecvente amenintari pentru utilizatorii de internet, companii si institutii. In randurile de mai jos explicam ce este un scam, cum functioneaza, ce semnale de alarma sa urmaresti si ce masuri concrete poti lua pentru a te proteja. Vom integra date statistice recente si recomandari de la institutii precum FBI IC3, FTC, Europol, ENISA si DNSC Romania.
Ce inseamna scam si de ce conteaza in 2025
Scam desemneaza un ansamblu de tactici prin care un actor rau-intentionat obtine bani, date sau acces neautorizat, inseland victima. Poate fi financiar (de exemplu, investitii false), tehnic (suport fals, malware) sau social (romance, impersonare). Spre deosebire de un simplu spam, scam-ul are o intentie clara de frauda si un plan de coerciție sau manipulare. In 2025, contextul este complicat de adoptarea rapida a instrumentelor de generare audio-video si a clonarii vocilor, ceea ce face verificarea autenticitatii mai dificila ca oricand.
Institutiile internationale avertizeaza asupra unei cresteri continue. FBI Internet Crime Complaint Center (IC3) a raportat pentru 2023 pierderi de peste 12,5 miliarde USD asociate plangerilor de criminalitate informatica, iar datele sintetizate in 2024 au aratat ca tactici precum Business Email Compromise (BEC) raman printre cele mai costisitoare. ENISA, in Threat Landscape 2024, evidentiaza phishing-ul ca vector dominant, iar Europol subliniaza in IOCTA ca infractorii combina inginerie sociala cu infrastructuri tehnice profesioniste. Pentru Romania, DNSC atrage periodic atentia asupra campaniilor de phishing pe teme de curent, energie, livrari sau banci.
Tipuri comune de scam online si offline
In practica, scam-urile se manifesta in forme variate, adaptate canalului si publicului tinta. Phishing-ul clasic imita comunicarea unei banci sau a unei platforme mari pentru a fura parole. Smishing-ul muta atacul pe SMS. Vishing-ul foloseste apeluri telefonice, deseori cu spoofing de numar, pentru a crea presiune si falsa autoritate. Exista apoi fraude de investitii (in special cripto sau “AI trading”), scheme romance in care increderea se construieste lent, si impostura suport tehnic care induce victima sa instaleze instrumente de acces la distanta. In zona B2B, BEC exploateaza schimbul de facturi si aprobari financiare.
Exemple uzuale de scenarii
- Phishing prin email: link catre o pagina clonata a bancii care cere “verificarea urgenta” a contului.
- Smishing: SMS de livrare cu link catre plata unei “taxe mici”, dar care colecteaza cardul.
- Vishing: apel “de la banca” care cere coduri de securitate sau instalarea unei aplicatii.
- Impostura suport tehnic: pop-up fals “PC infectat”, urmat de acces la distanta si taxare.
- Frauda de investitii: randamente nerealiste, presiune sa depozitezi fonduri rapid, retrageri blocate.
Pe marketplace-uri apar escrocherii escrow false, pe retele sociale se promoveaza giveaway-uri inexistente, iar in mediul corporativ sunt frecvente modificarile frauduloase ale IBAN-urilor in fluxul de facturare. Toate exploateaza doua constante: urgenta si lipsa de verificare independenta.
Semnale de alarma si psihologia manipulata
Scam-urile functioneaza pentru ca ating biasuri cognitive: frica si urgenta blocheaza gandirea analitica, autoritatea perceputa reduce dorinta de a contrazice, iar lacomia sau speranta de castig amplifica riscul. Mesajele sunt gandite sa semene cu cele autentice, folosind logouri, ton si semnaturi credibile. Totusi, exista indicii recunoscute care te pot salva: solicitari neobisnuite de date, schimbari bruste de cont de plata, erori subtile de limba, si canale de contact necorelate cu profilul oficial al organizatiei.
Red flags de urmarit
- Urgenta artificiala: “trebuie acum” pentru a evita blocarea contului sau pierderea unei oferte.
- Cerere de coduri OTP sau parole, ceea ce institutiile legitime nu solicita niciodata.
- Link-uri scurtate sau domenii cu mici diferente (ex: litere inlocuite sau subdomenii suspecte).
- Promisiuni de castig garantat, randamente ireale sau bonusuri doar daca platesti imediat.
- Cereri de a continua conversatia pe canale greu de urmarit (aplicatii criptate) si de a pastra “confidentialitatea”.
In B2B, un alt semnal critic este schimbarea neanuntata a detaliilor de plata. Procedurile interne ar trebui sa impuna verificare telefonica pe un numar existent in agenda, nu pe cel din emailul nou. Ingineria sociala reuseste in special cand procesele lipsesc sau nu sunt respectate.
Canale si moduri de operare in ecosistemul digital actual
Canalele preferate de scammeri reflecta adoptia utilizatorilor: email, SMS, apeluri, retele sociale, platforme de chat si marketplace-uri. In 2025, apar tot mai des deepfake-uri audio-video care simuleaza voci de directori sau chipuri de influencer-i. De asemenea, QR code-urile malitioase (“quishing”) devin o poarta catre pagini clonale pe mobil, iar SIM swapping-ul ocoleste autentificarea prin SMS. Pe componenta tehnica, infrastructurile sunt industrializate: liste de emailuri compromise, kituri de phishing la cheie, servere proxy invers pentru a intercepta sesiunile MFA.
Canale folosite frecvent
- Email de tip phishing, cu atasamente sau link-uri catre pagini care colecteaza credentiale.
- SMS cu link practic in-click pe mobil, profitand de ecrane mici si graba utilizatorilor.
- Apeluri cu spoofing de numar, inclusiv imitarea centralelor bancare sau a liniilor guvernamentale.
- Retele sociale si mesagerie, unde conturile compromise raspandesc “oportunitati” prietenilor.
- QR code-uri afisate in locuri publice, lipite peste codurile legitime pentru a redirectiona platile.
Combinarea canalelor creste rata de conversie a atacului: un email este urmat de un telefon “de confirmare”, ceea ce sporeste credibilitatea. De aceea, verificarea cross-canal pe numere si adrese cunoscute devine esentiala.
Statistici la zi si institutii cheie
FBI IC3 a inregistrat in 2023 pierderi raportate de peste 12,5 miliarde USD din plangeri, cu BEC printre cele mai costisitoare tipuri de fraude. FTC a consemnat in 2023 peste 10 miliarde USD pierderi raportate de consumatori, cu “imposter scams” in top ca volum. Verizon DBIR 2024 indica faptul ca aproximativ 68% dintre incidentele analizate implica “factorul uman” (phishing, credentiale furate, erori), iar credentialele compromise raman un vector major.
La nivel european, ENISA a subliniat in 2024 ca phishing-ul continua sa fie vectorul cel mai frecvent, in timp ce ransomware si BEC cauzeaza pierderi financiare semnificative. Europol, in raportarile recente, noteaza profesionalizarea retelelor infractionale si utilizarea serviciilor “as-a-service” (phishing kits, bulletproof hosting). In 2025, cadrul DSA al UE aduce sanctiuni pana la 6% din cifra de afaceri globala pentru platformele foarte mari care nu gestioneaza riscurile sistemice, inclusiv fraudele, iar peste 20 de platforme foarte mari sunt sub supraveghere consolidata. In Romania, DNSC si Autoritatea Nationala pentru Protectia Consumatorului au emis in 2024-2025 multiple alerte privind campanii recurente pe teme de energie, colete si banci.
Desi cifrele totale reale sunt mai mari decat cele raportate (nu toate victimele reclama), aceste statistici raman repere solide pentru a intelege magnitudinea fenomenului si prioritatile de aparare la nivel institutional.
Masuri de protectie pentru persoane si companii
Protectia eficienta impune combinarea disciplinei operationale, a tehnologiei si a educatiei. Pentru utilizatori individuali, reguli simple precum neintroducerea credentialelor dupa link-uri din mesaje si folosirea unui manager de parole reduc semnificativ riscul. Pentru companii, segmentarea platilor, principiul celor patru ochi si validarea independenta a schimbarii conturilor bancare taie din start sansele de succes ale BEC. In plus, activarea MFA bazata pe aplicatie sau cheie hardware este mai sigura decat OTP prin SMS.
Practici recomandate imediat
- Activeaza MFA pe conturile critice si evita SMS acolo unde este posibil; prefera aplicatii sau chei FIDO2.
- Foloseste un manager de parole si parole unice, lungi; evita reutilizarea credentialelor.
- Verifica prin call-back pe numere din agenda pentru orice cerere de plata sau schimbare IBAN.
- Actualizeaza sistemele si foloseste filtre anti-phishing in email; implementeaza DMARC/DKIM/SPF.
- Instruieste echipele trimestrial cu simulare de phishing si scenarii de social engineering.
Raporteaza rapid incercarile si fraudele catre banca, platforma implicata si autoritati: in SUA la FTC sau FBI IC3, in UE si Romania catre politie si DNSC. Raportarea timpurie creste sansele de blocare a fondurilor si de demontare a infrastructurilor infractionale.
Ce faci pas cu pas daca ai devenit victima
Prima regula este viteza: blocheaza fluxul de bani si date. Daca ai platit prin transfer, contacteaza banca imediat si solicita initierea procedurii de recall/chargeback acolo unde se aplica regulile cardurilor. Daca ai impartasit parole sau coduri, schimba-le urgent, invalideaza sesiunile deschise si verifica daca emailul principal sau 2FA au fost compromise. Documenteaza tot: mesaje, adrese, tranzactii, ore, capturi.
Depune plangere oficiala: in SUA la FBI IC3 si FTC, in UE la politie si pe canalele nationale (de exemplu, in Romania catre DNSC si Directia de Investigare a Criminalitatii Economice). Informeaza platforma pe care s-a produs frauda (marketplace, retea sociala, exchange) pentru a bloca conturile agresorului. Unele banci si retele de card au fereastra de contestare tipica de pana la 120 de zile; actioneaza in primele 24-48 de ore pentru cele mai bune sanse.
Monitorizeaza-ti identitatea: activeaza alerte de tranzactii, blocheaza raportarea creditului unde este disponibil, si ia in calcul servicii de monitorizare a expunerii credentialelor. Daca a fost instalat software de acces la distanta, deconecteaza dispozitivul, fa un audit de securitate si reinstaleaza sistemul din surse curate. Notifica-ti contactele daca atacul a folosit contul tau pentru a raspandi schema.
Educatie, reglementare si responsabilitatea platformelor
Prevenirea pe scara larga depinde de educatie continua si de responsabilitatea platformelor. Campaniile de constientizare bazate pe scenarii reale si simulari cresc rata de detectie la nivelul utilizatorilor. In scoli si companii, exercitiile de verificare a sursei, de validare cross-canal si de recunoastere a trucurilor de urgenta fac diferenta. Din partea platformelor, verificarea comerciantilor, bariere KYC mai riguroase si detectia automata a domeniilor clonale trebuie dublate de raspuns rapid la raportari.
La nivel de politici publice, ENISA si Europol sustin schimbul de informatii operativ intre banci, telco si platforme pentru a taia lanturile financiare ale fraudelor. In UE, DSA introduce obligatii de management al riscurilor pentru platformele foarte mari, cu sanctiuni de pana la 6% din cifra de afaceri pentru nerespectare. NIS2, operationalizata in statele membre incepand cu 2024-2025, extinde cerintele de securitate si raportare incidenta in sectoare critice si furnizori digitali. In Romania, DNSC publica periodic alerte si ghiduri, iar cooperarea cu politie, banci si retaileri digitali este esentiala pentru a reduce suprafata de atac.
Pe termen scurt, cele mai bune rezultate vin din triada: educatie practica, controale tehnice robuste si procese de verificare umana in punctele de risc (plati, schimbari de date, acces). In masura in care consumatorii raporteaza prompt si platformele actioneaza ferm impotriva infrastructurilor malitioase, costul operatiunilor pentru infractori creste, iar sansele lor scad. Datele recente ale FTC, FBI IC3 si analizelor europene confirma ca vigilenta si disciplina operationala reduc semnificativ impactul financiar al scam-urilor, chiar si intr-un peisaj tehnologizat si in continua schimbare.
