„Ordin de plată” ascunde malware: alerta vizează Moldova

La 7 octombrie 2026, Agenția pentru Securitate Cibernetică a semnalat o campanie activă de spear phishing în care destinatari aleși intenționat pot primi arhive ZIP numite „Ordin de plata”, „ordin de plata.zip” sau similar. Relatarea ziar.md arată că mesajele vizează persoane și organizații din Republica Moldova.

Fișierele din aceste arhive pot fi malițioase: executarea lor poate compromite stația de lucru, instala programe malițioase sau permite accesul neautorizat la date și conturi. Dacă mesajul este încă neatins, nu deschide atașamentul și raportează-l; dacă ai salvat arhiva, oprește-te înainte de a o dezarhiva; dacă ai deschis atașamentul ori un link suspect, anunță imediat echipa IT și nu mai folosi dispozitivul până la evaluare. Parolele conturilor accesate de pe acel dispozitiv, inclusiv cea de e-mail, trebuie schimbate de preferință de pe un dispozitiv sigur.

Cum poate fi recunoscut mesajul

Numele care trimite la un ordin de plată este indiciul concret al campaniei, dar nu funcționează ca o semnătură unică. Au fost indicate și variante apropiate, astfel încât o literă schimbată sau o altă formulare nu face atașamentul sigur. Extensia .zip arată că este o arhivă: numele ei nu spune ce fișiere vor apărea după deschidere.

Mesajul poate invoca o sursă cunoscută ori o acțiune urgentă. În spear phishing, alegerea destinatarului și folosirea unui context credibil fac parte din încercarea de a obține deschiderea unui atașament, accesarea unui link sau divulgarea unor date sensibile. Pentru un angajat care lucrează cu plăți, pretextul poate părea legat de activitatea curentă; această potrivire este motivul pentru care trebuie verificat expeditorul real.

Indiciile se citesc împreună: atașament neașteptat, cerere grăbită, formulare neobișnuită și diferența dintre numele afișat al expeditorului și adresa lui de e-mail. Prezența mesajului în căsuța poștală nu înseamnă că dispozitivul a fost compromis. Riscul descris în alertă privește în special fișierele malițioase din arhivă atunci când sunt executate.

Dacă mesajul a sosit, dar atașamentul este neatins

Lasă arhiva închisă. Nu o dezarhiva, nu urma linkurile din mesaj și nu răspunde expeditorului. Uită-te la adresa de e-mail reală, nu doar la numele afișat de aplicație; o denumire familiară poate fi folosită pentru a face mesajul credibil.

Într-o organizație, raportează mesajul suspect departamentului IT sau responsabilului de securitate cibernetică prin canalul intern folosit pentru incidente. Spune că mesajul pretinde să trimită un ordin de plată și că include o arhivă ZIP, apoi lasă evaluarea atașamentului în seama celor care gestionează securitatea. Nu este nevoie să deschizi fișierul pentru a demonstra că merită verificat.

Dacă arhiva ZIP a fost descărcată

O arhivă salvată local cere să precizezi ce ai făcut după descărcare. Dacă nu ai dezarhivat-o și nu ai pornit nimic din interior, oprește interacțiunea cu fișierul și raportează situația echipei IT. Nu deschide arhiva doar pentru a-i comunica echipei o listă a conținutului.

Descrie faptele cât mai exact: ai salvat atașamentul, l-ai dezarhivat sau ai lansat un fișier? Aceste acțiuni nu sunt echivalente pentru evaluarea unui incident. Dacă nu știi ce a făcut aplicația după un clic, spune asta în raportare, în loc să presupui că nu s-a întâmplat nimic.

Separarea etapelor evită și o concluzie pripită. Salvarea unui ZIP nu confirmă executarea unui program malițios; în același timp, simpla lipsă a unei avertizări pe ecran nu poate stabili că arhiva este sigură. Echipa tehnică are nevoie de succesiunea acțiunilor pentru a decide cum verifică dispozitivul.

Dacă atașamentul ori un link suspect a fost deschis

Raportează imediat incidentul departamentului IT sau echipei de securitate cibernetică și evită alte acțiuni pe dispozitiv până la evaluarea lui. Aceeași reacție este recomandată când ai accesat un link suspect din mesaj, chiar dacă nu știi să fi executat un fișier. Nu continua lucrul pe stația respectivă doar pentru că nu observi schimbări vizibile.

Spune ce ai deschis și în ce ordine: mesajul, arhiva, un fișier din ea sau un link. Dacă ai introdus date de autentificare după accesarea linkului, comunică și acest lucru. Relatarea exactă îi ajută pe responsabili să distingă între o expunere posibilă a dispozitivului și riscul pentru conturi, fără a presupune automat că ambele s-au produs.

Formularea „am deschis atașamentul” poate ascunde pași diferiți: previzualizarea, dezarhivarea și executarea unui fișier nu descriu aceeași acțiune. Pentru utilizator, nu este necesar un diagnostic tehnic înainte de raportare. Momentul în care ai observat greșeala și ultimele acțiuni făcute sunt informațiile utile echipei care va evalua stația.

Dacă sunt în joc parolele folosite pe dispozitiv

După deschiderea atașamentului sau accesarea unui link suspect, schimbă parolele conturilor accesate de pe dispozitivul respectiv, inclusiv parola e-mailului. Fă această schimbare, de preferință, de pe un dispozitiv despre care știi că este sigur. Dacă lucrezi într-o organizație, coordonează schimbarea cu echipa IT, care poate stabili ce conturi au fost folosite pe stația afectată.

Parola e-mailului are o miză practică aparte: contul poate primi mesaje de resetare pentru alte servicii, iar un acces neautorizat ar putea extinde incidentul. Schimbarea parolelor limitează riscul pentru autentificări; ea nu înlocuiește verificarea dispozitivului pe care a fost deschis atașamentul. Până la evaluare, folosește indicațiile echipei de securitate pentru reluarea lucrului pe acea stație.

Citește și:

• Pinterest Creator Day 2026 ocolește România și Republica Moldova
• Moldova caută 2–3 proiecte-pilot ServiceNow pentru servicii publice
• Moldova Innovation Fund oferă 40.000 €: ideea trece prin șase etape