Am primit un email de phishing care se dădea drept Orange România. Classic: plata automată a eșuat, actualizați metoda de plată, link scurtat prin share.google ca să ascundă destinația reală. Domeniu suspect, IP din Islanda, antete complete, totul documentat.
Am trimis raportul la DNSC. Detaliat. Cu Return-Path, Message-ID, DKIM, IP, WHOIS, modus operandi. Nu un „am primit un email ciudat”. Un raport tehnic.
Răspunsul a venit prompt și e demn de studiat.
„Această adresă de email nu este destinată raportării oficiale a incidentelor de securitate cibernetică, astfel încât este posibil ca sesizarea dumneavoastră să nu fie procesată.
Pentru a raporta un incident… completați formularul disponibil la adresa https://pnrisc.dnsc.ro.
În situația în care considerați că sunteți victima unei infracțiuni, vă recomandăm să vă deplasați de îndată la cea mai apropiată subunitate de poliție…”
Traducere: nu e canalul corect, completați formularul, sau duceți-vă la poliție.
Problema e mai profundă. Formularul ăla e gândit pentru incidente de securitate – breach-uri, atacuri asupra sistemelor, evenimente majore. Nu pentru raportarea unui phishing primit de un cetățean sau o firmă. Te trimit pe un canal care nu e făcut pentru genul ăsta de semnalare. E ca și cum ai anunța un furt de bicicletă și ți s-ar spune să completezi formularul pentru dezastre naturale.
Și totul se întâmplă în contextul în care baza de date de la cadastru (ANCPI) a fost spartă recent. Un incident major, cu impact național, sisteme picate, date scoase la vânzare. Instituția care ar trebui să fie pe fază la amenințări cibernetice răspunde la un raport de phishing cu un template de redirectionare.
Nu e vorba că DNSC ar trebui să rezolve personal fiecare email de phishing din țară. E vorba de reflexul birocratic. Când cineva îți trimite un raport tehnic, cu infrastructură, IP și metodă de atac, iar tu răspunzi cu „completați formularul (care oricum nu e pentru asta)”, mesajul e clar: semnalările care nu vin pe canalul „corect” nu contează prea mult.
Phishingul ăsta nu e teoretic. Oameni primesc zilnic astfel de mesaje. Unii cad. Pierd bani. Iar instituția care ar trebui să colecteze și să coreleze astfel de semnale răspunde cu un text standard.
Și aici intervine incompetența reală. Nu birocrație abstractă, ci prostie organizațională. O instituție care are ca misiune securitatea cibernetică a țării nu reușește să facă diferența între un raport tehnic util și un spam oarecare. Te trimite pe un formular care nu e făcut pentru phishing, deși phishingul e cel mai comun atac care lovește oamenii în fiecare zi. Asta nu e procedură. E incapacitate. E reflexul de a închide ochii la informație doar pentru că nu a venit pe „canalul corect”. Când cadastrul a fost spart recent, s-a văzut ce înseamnă un sistem nepregătit la scară mare. Când un raport clar de phishing e tratat cu un template idiot, se vede același lucru la scară mică: incompetență, lipsă de discernământ și o mentalitate care pune ștampila mai presus de fond. Prostia nu doare doar când pică sisteme critice. Doare și când semnalele utile sunt aruncate la gunoi din automatism.
Nu e un atac la DNSC ca instituție. E o frustrare legată de modul în care sistemul tratează informația utilă când ea nu vine pe formularul potrivit. Când birocrația devine mai importantă decât semnalarea, ceva e stricat.
Am raportat.
Am primit răspunsul.
Completați formularul.
Așa arată, uneori, lupta cu phishingul în 2026. Chiar și după ce cadastrul a fost spart.