Fișa 1 · Identitate și recunoaștere
Parola de recunoaștere
Într-o frază → un cuvânt sau o întrebare convenită dinainte, față în față, pe care doar persoana reală o poate da — o verificare pe care o voce clonată cu AI nu o poate trece, oricât de perfectă ar fi, atât timp cât secretul nu a fost compromis.
Originea
Cea mai veche descriere tehnică a unei parole militare o avem de la Polibiu, în Istoriile sale (cartea VI), unde explică cum funcționa tessera în legiunile romane. În fiecare seară, tribunul alegea cuvântul de ordine și îl scria pe o tăbliță de lemn. Tăblița trecea din mână în mână, de la un manipul la următorul, fiecare comandant confirmând că a primit-o, până ajungea înapoi la tribun înainte de lăsarea întunericului. Dacă tăblița nu se întorcea, se știa exact în ce manipul s-a oprit — și cineva răspundea. Două lucruri sunt remarcabile aici. Parola se schimba zilnic și exista un lanț de custodie verificabil. Romanii au inventat, practic, rotația cheilor și jurnalul de acces, cu două mii de ani înainte de orice server.
Mai veche încă este versiunea din Cartea Judecătorilor (12, 5–6). După o bătălie, galaadiții păzeau vadurile Iordanului și le cereau efraimiților fugari să pronunțe „șibolet”. Efraimiții nu puteau rosti sunetul „ș” și spuneau „sibolet” — și erau descoperiți. Este prima parolă din istorie care nu se baza pe un secret, ci pe o trăsătură pe care impostorul nu o putea imita. Rețineți ideea; ne întoarcem la ea.
Iar cea mai cunoscută formă modernă este din noaptea de 5 spre 6 iunie 1944. Parașutiștii americani aruncați peste Normandia, împrăștiați în întuneric printre soldați germani, se identificau prin provocare și răspuns. Unul striga „Flash”, celălalt trebuia să răspundă „Thunder”, iar primul confirma cu „Welcome”. Cuvintele au fost alese și pentru că un vorbitor nativ de germană le pronunță greu — din nou, șibolet. Sistemul era de unică folosință, valabil pentru acea noapte și apoi înlocuit.
Surse: Polibiu, Istorii, VI, 34–35; Judecătorii 12, 5–6; S. L. A. Marshall, Night Drop (1962), pentru parolele din Normandia.
Principiul
Parola de recunoaștere rezolvă o problemă precisă — cum verifici identitatea cuiva când canalul prin care comunici nu este de încredere. Pe câmpul de luptă, canalul era întunericul și uniforma, care se poate fura. Azi, canalul este vocea, chipul de pe un apel video și numărul de telefon, toate falsificabile.
Trei proprietăți fac tehnica să funcționeze. Secretul a fost schimbat pe un alt canal decât cel atacat, adică față în față, nu prin e-mail sau WhatsApp. Este efemer, se schimbă des și, ideal, este valabil pentru o singură tranzacție. Și se bazează pe ceva ce impostorul nu poate obține din exterior, nici din înregistrări publice, nici din rețelele sociale.
În limbaj modern, este o verificare out-of-band cu secret partajat și rotație. Nu este autentificare cu mai mulți factori în sensul tehnic — nu înlocuiește MFA pe conturi — ci un control organizațional care acoperă exact locul unde MFA nu ajunge: decizia unui om de a executa o cerere primită de la alt om.
Amenințarea de azi
În iulie 2024, un director de la Ferrari a primit pe WhatsApp mesaje care păreau să vină de la CEO-ul Benedetto Vigna, de pe un număr nou, cu fotografia de profil a acestuia, despre o achiziție mare și confidențială. A urmat un apel telefonic. Vocea clonată imita aproape perfect accentul sud-italian al lui Vigna, iar „CEO-ul” cerea o tranzacție de acoperire valutară pentru o afacere legată de China. Directorul a sesizat mici inconsistențe în voce și cererea financiară neobișnuită, apoi a făcut exact ce făceau parașutiștii în Normandia — l-a întrebat pe apelant care era titlul cărții pe care Vigna i-o recomandase cu câteva zile înainte. Escrocul nu a putut răspunde și a închis.
Ce nu a mers la Ferrari este lecția. Directorul a improvizat. A avut noroc că exista o informație recentă, personală, pe care o putea folosi. Într-o firmă în care CEO-ul nu recomandă cărți, sau în care apelul ar fi ajuns la un contabil care nu vorbise niciodată cu directorul, nu exista nicio întrebare de pus. O companie din Hong Kong a pierdut aproximativ 25 de milioane de dolari exact așa, la începutul lui 2024, după ce un angajat din departamentul financiar a fost convins într-un apel video în care toți „colegii” erau deepfake-uri.
Costul unei clonări de voce este azi de ordinul minutelor și al câtorva secunde de înregistrare — un interviu, un webinar, un mesaj vocal. Pentru atacator, vocea și chipul nu mai sunt dovezi de identitate. Pentru majoritatea organizațiilor, încă sunt. În acest decalaj se face frauda. Parola de recunoaștere nu este singurul răspuns și nici cel principal pentru plăți — acolo, verificarea pe un canal independent și aprobarea separată (fișa 2) rămân baza —, dar este cel mai ieftin și singurul pe care îl poți pune în funcțiune în aceeași zi.
Cum o implementezi luni dimineață
Firma de 20 de oameni
Adunați, fizic, în aceeași cameră, persoanele care pot aproba plăți, schimba datele bancare ale furnizorilor sau acorda acces la sisteme. De obicei sunt trei până la cinci. Conveniți un cuvânt de verificare — nu numele câinelui, nu orașul natal, nimic ce apare pe Facebook, ci un cuvânt arbitrar, ușor de reținut, fără legătură cu firma.
Regula este simplă și fără excepții. Orice cerere de plată, de schimbare a unui IBAN sau de acces „urgent și confidențial”, venită prin telefon, mesaj sau video, se verifică cerând cuvântul — și, pentru plăți, se confirmă suplimentar printr-un apel inițiat de voi, la numărul din agendă, nu la cel de pe care a venit cererea. Fără cuvânt și fără confirmare, nu se execută nimic, indiferent cine pare că cere și cât de presant este tonul. Cuvântul nu se scrie în niciun sistem, nici în e-mail, nici în Teams, nici într-un fișier „parole.xlsx”. Trăiește doar în memorie și se schimbă trimestrial, precum și imediat ce cineva părăsește grupul.
Firma de 500 de oameni
Un singur cuvânt nu scalează. Aici regula devine call-back — orice cerere financiară primită pe un canal se confirmă pe un alt canal, folosind un număr de telefon din agenda internă, nu din mesajul primit. Pentru conducere, păstrați cuvântul de recunoaștere pentru cercul restrâns, adică director general, director financiar, trezorerie și administratorii IT, exact cei care sunt ținta fraudei de tip „CEO”. Combinați-l cu regula celor doi (fișa 2) pentru orice plată peste un prag, pentru că nicio voce, oricât de reală, nu poate înlocui a doua semnătură, și păstrați MFA pe toate conturile — parola verbală protejează decizia, MFA protejează contul. Scrieți regula în procedura de plăți și includeți-o în instruirea anuală, cu cazul Ferrari ca exemplu, pentru că rămâne în minte.
Acasă
Același lucru cu familia. Apelul „Mamă, am avut un accident, am nevoie de bani acum”, cu vocea copilului, este deja o fraudă curentă în România. Un cuvânt de familie, convenit la masă, rezolvă problema în trei secunde.
Unde eșuează
Secretul scris devine secret furat. Dacă cuvântul ajunge într-un e-mail, un atacator care a compromis căsuța poștală — lucru frecvent în fraudele de tip BEC — îl are înaintea voastră.
Tehnica nu rezistă la amenințarea internă. Cineva din grup poate fi atacatorul sau poate fi constrâns. De aceea se combină cu regula celor doi, nu o înlocuiește.
Apoi este presiunea psihologică. Atacatorul va spune că nu are timp de jocuri și că se pierde contractul. Romanii nu negociau parola la poartă; nici voi. Regula trebuie să fie absolută tocmai pentru că momentul atacului este construit ca să pară excepțional.
Întrebarea improvizată, varianta Ferrari, merge doar dacă există istoric comun. Convenția dinainte nu depinde de noroc. Iar istoric, parolele au picat când erau previzibile sau reutilizate — același motiv pentru care pică și azi.
Cadrul legal
Pentru entitățile NIS2, parola de recunoaștere se încadrează la art. 21 alin. (2) lit. (i) din Directiva (UE) 2022/2555 — politici de control al accesului și securitatea resurselor umane — ca procedură de autorizare a operațiunilor; ea nu ține locul autentificării cu mai mulți factori cerute la lit. (j), care rămâne o obligație distinctă pentru conturi și sisteme. Sub GDPR, art. 32 cere măsuri adecvate riscului împotriva accesului neautorizat, iar schimbarea datelor bancare ale unui salariat sau furnizor pe baza unui apel neverificat este o încălcare de securitate de care răspunde operatorul. În ISO/IEC 27001:2022, controalele A.5.17 (informații de autentificare), A.6.3 (conștientizare și instruire) și A.5.3 (separarea sarcinilor) sunt cele în care o astfel de procedură se documentează.