Vishing în România: 42% din incidentele raportate la DNSC sunt deja fraude telefonice
Săptămâna aceasta, DNSC, ING Bank România și Poliția Română au pus pe masă un număr care schimbă conversația despre „cyber": în prima jumătate a anului 2026, 42% din incidentele raportate la DNSC au fost fraude telefonice — vishing. Phishing-ul a fost la 14%, smishing-ul la 13%. Pentru prima dată, vocea a depășit linkul.
Asta nu înseamnă că vulnerabilitățile software au devenit irelevante. Înseamnă că atacatorii rulează două fabrici în paralel: una scanează internetul după CVE-uri exploatabile, cealaltă sună oameni. Iar a doua devine tot mai eficientă pentru că folosește date publice, presiune emoțională și, din ce în ce mai des, instrumente de AI.
Ce spun cifrele, dincolo de procentul de titlu
Conform datelor prezentate la ING SAFE Talks, în primele șase luni din 2026 au fost înregistrate aproximativ 15.000 de dosare penale la structurile Poliției Române care investighează infracțiuni informatice și împotriva sistemelor informatice. La 1 ianuarie existau deja aproximativ 67.000 de dosare; până la final de iunie au fost soluționate circa 10.000, dar rămâneau în lucru aproximativ 72.000.
Mai e un detaliu important: sumele recuperate în 2025 au fost de circa 11 milioane lei, iar în primele luni din 2026 au ajuns deja la aproximativ 18 milioane lei. Nu e doar zgomot de call-center; e criminalitate financiară cu randament real.
De ce telefonul funcționează atât de bine
Un email fals poate fi pus în carantină, un domeniu clonat poate fi blocat, un link poate fi scanat. Un apel telefonic intră direct în spațiul de încredere al victimei. Atacatorul poate reacționa în timp real: dacă omul ezită, schimbă povestea; dacă pune întrebări, ridică urgența; dacă simte frică, apasă acolo.
În plus, AI-ul face frauda mai ieftină și mai credibilă: mesaje impecabil redactate, scenarii personalizate din date publice, deepfake-uri vocale și video. Nu trebuie să fie perfecte — trebuie doar să fie suficient de bune în cele 90 de secunde în care victima e presată să „confirme", „blocheze", „instaleze" sau „mute banii în siguranță".
Impactul pentru companii: help-desk-ul devine suprafață de atac
Pentru organizații, lecția nu se oprește la „educăm clienții". Vishing-ul e și vector de intrare în companii: resetări de parolă prin telefon, schimbări de MFA, aprobări urgente de plată, instalare de aplicații de remote support, „verificări" cerute de cineva care pretinde că e de la bancă, audit sau IT.
Dacă procedurile tale permit unei voci convingătoare să obțină acces, atunci vocea este o vulnerabilitate operațională. Nu apare în NVD, nu are CVSS, dar poate produce același rezultat: cont compromis, bani mutați, date pierdute.
Ce faci concret săptămâna asta
- ▸Pune regulă de call-back: orice solicitare sensibilă venită telefonic se verifică sunând înapoi pe un număr oficial, deja cunoscut — nu pe numărul furnizat în apel.
- ▸Interzice resetările de MFA/parolă doar pe baza unei conversații telefonice. Cere verificare multi-pas și log de aprobare pentru help-desk.
- ▸Scrie scenarii scurte pentru financiar, suport și IT: „ce fac dacă cineva pretinde că e banca / poliția / CEO-ul / furnizorul". În criză, oamenii nu au timp să inventeze proceduri.
- ▸Exersează frauda vocală, nu doar phishing-ul pe email. Un test de 30 de minute cu echipa de financiar poate arăta mai multe găuri decât un PDF de awareness.
- ▸Pentru utilizatori: emoție + urgență + cerere de date sau bani = stop. Închizi, verifici pe canal separat, nu instalezi nimic la cererea cuiva care te-a sunat.
Cybersecurity nu mai e doar patching — dar patching-ul rămâne fundația
Awarely Monitor nu oprește un vishing call; aici ai nevoie de proceduri, training și controale anti-fraudă. Dar îți acoperă cealaltă mare cale de intrare: vulnerabilitățile exploatate activ. Îți potrivește NVD, CISA KEV, EUVD și GitHub cu inventarul tău, ca să repari înainte ca atacatorii să găsească ușa tehnică.