Translația ireversibilă dinspre dimensiunea fizică spre cea digitală a conceptului de frontieră este evidentă în arhitectura actuală a spațiului informațional. Dacă în secolul trecut securitatea era circumscrisă integrității teritoriale, în prezent, stabilitatea unui stat depinde în mod intrinsec de integritatea fluxurilor de date și de protecția identității cetățenilor săi. Sustragerea datelor cu caracter personal a devenit un vector principal în operațiunile de influență, spionaj economic și destabilizare socială, depășind linia infracțiunii de drept comun. Dispozitivele de comunicații au devenit un „cal troian” prin care actori malițioși accesează datele de identitate ale utilizatorilor. Vulnerabilitatea sistemică nu rezidă exclusiv în breșele software, ci și în factorul uman, considerat „veriga cea mai slabă” a oricărui sistem informatic.
Amprente digitale complexe
Definirea datelor cu caracter personal a evoluat de la simple elemente de identificare la amprente digitale complexe, incluzând date de geolocație, metadate și profiluri comportamentale. Din punct de vedere juridic, prin Regulamentul General privind Protecția Datelor (GDPR) au fost impuse standarde riguroase, însă aplicabilitatea acestora este constant sfidată de natura transfrontalieră a criminalității cibernetice (Regulamentul UE 2016/679 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal GDPR, 2016). În accepțiunea Consiliului Uniunii Europene, ingineria socială este definită ca „strategia utilizată de persoane individuale sau grupuri pentru a manipula oamenii și a-i induce în eroare în vederea dezvăluirii unor informații sensibile sau a efectuării de acțiuni care le compromit securitatea”. Ingineria socială reprezintă fundamentul pe care se clădesc schemele moderne de înșelăciune. Astfel, dispozitivele de comunicare devin principalele instrumente prin care se livrează stimulul psihologic necesar obținerii accesului neautorizat.
Metode de colectare a datelor
Potrivit Directoratului Național de Securitate Cibernetică, phishing-ul rămâne metoda dominantă de colectare a datelor, utilizând tehnici de spoofing pentru a mima identitatea unor entități de încredere.
Ca alte metode de colectare a datelor regăsim:
• Smishing (SMS Phishing): livrarea de link-uri malițioase, transmise prin mesaje text, care instalează malware de tip infostealer (ENISA, 2023);
• Vishing (Voice Phishing): metodă ce presupune utilizarea tehnologiilor VoIP pentru a ascunde numărul de telefon (ID spoofing), prin care utilizatorii pot fi contactați de către persoane care pretind că sunt din partea unor instituții precum bănci, companii etc.;
• Deepfake: utilizarea inteligenței artificiale pentru a replica vocea sau chipul unei persoane cunoscute, ceea ce facilitează obținerea de date.
Mecanismele psihologice ale înșelăciunii
Succesul schemelor de înșelăciune se bazează pe exploatarea unor algoritmi euristici pe care creierul uman îi utilizează pentru procesarea rapidă a informației. În cazul furtului de date, de cele mai multe ori, sunt aplicate anumite tehnici de manipulare a emoțiilor pentru a anula gândirea critică:
• Autoritatea: Victimele tind să se conformeze cererilor venite din partea unei entități percepute ca oficială. În ianuarie 2025, au avut loc campanii de phishing prin care atacatorii au clonat site-ul Bursei de Valori București și al unor bănci (BCR, BT), folosind reclame plătite pe rețelele sociale pentru a atrage victimele spre platforme false de investiții;
• Urgența și raritatea: Mesaje care invocă suspendarea iminentă a unui cont („cont blocat în 30 de minute”) dezactivează gândirea analitică și logică, forțând un răspuns emoțional;
• Reciprocitatea: atacatorul oferă un serviciu gratuit (ex: un e-book sau o scanare de securitate), creând o datorie psihologică ce obligă victima să ofere informații la schimb;
• Dovada socială: Infractorii simulează faptul că alți colegi sau prieteni au accesat deja un link, exploatând conformismul de grup pentru a reduce suspiciunea;
• Consecvența: Prin tehnica „foot-in-the-door”, atacatorii obțin mai întâi un angajament minor (ex: confirmarea adresei de e-mail), urmând ca victima să accepte, ulterior, cereri precum introducerea datelor cardului.
Cazuri din România
Potrivit Directoratului Național de Securitate Cibernetică, analiza fenomenului în România relevă o adaptabilitate remarcabilă a grupurilor infracționale. Utilizatorii români au avut de înfruntat campanii de investiții fictive, care au presupus utilizarea identității unor companii strategice (ex: Hidroelectrica, Romgaz) pentru a colecta copii după actele de identitate, utilizate ulterior în scheme de identity theft. Au existat situații în care, prin tehnica vishing-ului bancar, atacatorii, care s-au recomandat drept „ofițeri antifraudă”, au solicitat instalarea unor aplicații de control de la distanță, anulând barierele tehnice precum autentificarea în doi pași (2FA). Un alt caz, cel al malware-ului FluBot, este o tentativă de atac de tip phishing, prin care sunt extrase date sensibile de la utilizatori, concomitent cu răspândirea de malware.
În același timp, atacurile de tip impersonation degradează capitalul de încredere socială, scăzând reziliența în fața crizelor și subminând inițiativele de digitalizare.
Datele angajaților din sectoare strategice pot servi drept punct de plecare pentru atacuri asupra infrastructurilor critice, detaliile personale fiind utilizate pentru a construi mesaje extrem de convingătoare.
Reziliența digitală
Începând cu finalul anului 2024 și pe parcursul anului 2025, statele membre UE (inclusiv România) au transpus Directiva (UE) 2022/2555 (NIS 2), care impune managerilor din domeniul business să urmeze cursuri obligatorii de securitate cibernetică.
La nivel internațional au fost adoptate o serie de strategii pentru contracararea atacurilor cibernetice și creșterea rezilienței digitale.
Dezvoltarea „Imunizării Cognitive” (Prebunking), de exemplu, presupune utilizarea la nivel guvernamental și privat a unor tehnici care permit recunoașterea tentativelor de manipulare precum autoritatea falsă sau urgența, înainte ca utilizatorul să devină victimă. Arhitectura Zero Trust (modelul „nu avea încredere niciodată, verifică întotdeauna”) contracarează tehnica folosirii autorității prin cerința ca orice solicitare, indiferent de poziția ierarhică ocupată de cel care o emite, să fie verificată prin mai mulți factori de identificare.
Protocolul Pattern Interruption („Întreruperea Tiparului”) impune o perioadă de așteptare de 120 de secunde și verificarea printr-un canal de comunicare out-of-band (în afara platformei pe care a primit mesajul). Protocolul intervine atunci când un utilizator sesizează folosirea metodei urgenței.
Parteneriatele Public-Private pentru Alertă Timpurie (Computer Security Incident Response Teams – CSIRT) presupun partajarea, în timp real, a indicatorilor de compromitere.
Reziliența prin design (Privacy by Design) are ca prim scop reducerea ariei de atac prin minimizarea volumului de date personale existente în mediul online.
Sustragerea datelor personale prin intermediul dispozitivelor mobile a devenit un fenomen multidimensional cu profunde implicații asupra securității naționale și a stabilității economice. Transformarea datelor în „arme” obligă comunitatea de intelligence să își recalibreze instrumentele de analiză. În era capitalismului de supraveghere, unde datele sunt marfa supremă, protecția identității digitale devine un pilon central al suveranității informaționale a României.
Abstract
The security perimeter has changed and is constantly changing, from physical to digital borders. This article analyses how the vulnerabilities of communication systems facilitate the theft of personal data, focusing both on the implementation of advanced social engineering tactics and on remarkable threats (vishing, smishing, and deepfakes) with a focus on psychological heuristics used to avoid conventional security measures. The theft of personal data has evolved into a strategic vulnerability of national security, an aspect highlighted by the examination of case studies in Romania and internationally. Therefore, I believe that a transition to Zero Trust architecture is important and necessary. In conclusion, identity protection becomes, in this digital age, the foundation on which the informational sovereignty of any state rests.
Autor: dr. Daniela Băiașu
