Știri
Știri din categoria Securitate cibernetică
Google pare să pregătească migrarea cheilor de acces pe Android, prin opțiuni de import și export în Google Password Manager, un pas care ar reduce blocarea utilizatorilor într-un singur dispozitiv și ar face mai simplă trecerea la un telefon nou, potrivit GSMArena.
Cheile de acces (passkeys) sunt o alternativă la parole, bazată pe criptografie: utilizatorul păstrează local pe dispozitiv o cheie privată, iar serviciile online primesc cheia publică asociată. Autentificarea se face apoi printr-o metodă sigură pe dispozitiv (de exemplu, biometrie), fără a mai introduce o parolă.
Principalul obstacol practic pentru adoptarea cheilor de acces este migrarea lor atunci când utilizatorul schimbă telefonul sau își pierde dispozitivul. Pentru asta există Credential Exchange Protocol (CXP), un standard în dezvoltare susținut de FIDO Alliance, care permite transferul sigur al acreditărilor între furnizori și dispozitive.
GSMArena notează că, deși Google se numără printre susținătorii CXP, compania nu a implementat oficial până acum CXP în Google Password Manager și, implicit, în Android.
Conform articolului, Android Authority a reușit să activeze o interfață încă ascunsă în Google Password Manager care permite atât importul, cât și exportul cheilor de acces. Miza este operațională: pe Android, transferul prin CXP se bazează pe Google Play Services și pe Google Password Manager pentru a „muta” cheile între furnizori, iar existența acestei interfețe sugerează că fundația tehnică necesară este deja pregătită.
Dacă funcționalitatea va fi lansată oficial, este probabil să apară opțiuni de migrare a cheilor de acces nu doar în Google Password Manager, ci și în alți manageri de parole care rulează pe Android și suportă passkeys, fiind menționat ca exemplu Samsung Pass. Publicația subliniază însă că, în acest moment, este vorba despre o funcție neanunțată oficial și încă ascunsă în aplicație.
Recomandate
Google împinge autentificarea fără parolă și recuperarea contului ca măsuri „de bază” pentru reducerea riscului de compromitere, într-un set de cinci instrumente pe care utilizatorii le pot activa în contul Google, potrivit Google Blog . Mesajul central: securizarea accesului nu mai depinde doar de „o parolă bună”, ci de metode mai greu de interceptat sau reutilizat și de opțiuni de recuperare care limitează blocarea definitivă a contului. Lista vine în contextul Zilei Mondiale a Parolei și vizează, în principal, scăderea expunerii la atacuri bazate pe parole (ghicire, reutilizare, furt) și creșterea rezilienței contului atunci când utilizatorul își pierde dispozitivul sau datele de autentificare. Ce se schimbă operațional pentru utilizatori: autentificare cu „passkeys” și verificare în doi pași Primul instrument recomandat este folosirea „passkeys” (chei de acces) pentru conturile Google. Google descrie passkeys ca o metodă „mai ușoară și mai sigură” decât parolele și chiar decât unele metode tradiționale de autentificare multifactor, precum codurile de unică folosință. Autentificarea se face prin blocarea ecranului dispozitivului (amprentă, recunoaștere facială sau PIN), iar Google susține că datele biometrice rămân pe dispozitiv și nu sunt partajate cu compania. Al doilea pas este activarea 2-Step Verification (verificare în doi pași, 2SV) ca măsură suplimentară, inclusiv atunci când utilizatorul folosește passkeys. Argumentul din material: dacă cineva încearcă să se dea drept utilizator și pretinde că a pierdut passkey-ul, 2SV adaugă un strat de protecție multifactor. Recuperarea contului și reducerea „suprafeței” de parole Google recomandă și configurarea „Recovery Contacts” (contacte de recuperare) pentru situații precum pierderea telefonului. Utilizatorul poate desemna persoane de încredere care să ajute la confirmarea identității în caz de blocare a accesului. Publicația precizează două limite importante: pot fi setate până la 10 contacte, iar acestea nu primesc acces la cont sau la informațiile personale. Pentru autentificarea în aplicații și site-uri terțe, compania promovează „Sign in with Google” (Conectare cu Google), ca alternativă la crearea de conturi noi cu utilizator și parolă. Rațiunea invocată este reducerea numărului de parole stocate în diverse servicii, ceea ce poate limita expunerea dacă o altă platformă are un incident de securitate; utilizatorul poate revizui și revoca accesul aplicațiilor oricând. A cincea recomandare este folosirea Google Password Manager pentru generarea, salvarea și administrarea parolelor și passkeys pentru alte conturi, cu stocare și sincronizare între dispozitive și completare automată la autentificare. Cele cinci instrumente, pe scurt Passkeys pentru Contul Google (autentificare cu blocarea ecranului dispozitivului) 2-Step Verification (2SV) ca strat suplimentar de protecție Recovery Contacts (până la 10 contacte de recuperare) „Sign in with Google” pentru aplicații și site-uri terțe Google Password Manager pentru parole și passkeys, cu sincronizare între dispozitive Google nu oferă în material date cantitative despre adopție sau eficiență (de exemplu, scăderi măsurate ale compromiterilor), dar poziționează aceste setări ca actualizări rapide care pot crește securitatea autentificării și șansele de recuperare a accesului pe termen lung. [...]
Android va începe să închidă automat apelurile care se dau drept bănci , o schimbare cu impact direct asupra fraudelor telefonice, potrivit Android Police . Măsura vizează în special apelurile în care escrocii „clonează” (spoof) numărul sau numele unei instituții financiare pentru a părea legitimi. Cum funcționează protecția și de ce contează Noua funcție urmărește să reducă pierderile generate de escrocherii care se prezintă ca fiind din partea băncilor. Publicația notează că această metodă de fraudă a devenit frecventă și că, la nivel global, escrocii ajung să fure aproape 1 miliard de dolari pe an (aprox. 4,6 miliarde lei) prin astfel de scheme. Mecanismul descris are două componente: Android va verifica activ, împreună cu aplicația băncii, dacă apelul este unul oficial. Dacă aplicația raportează că nu inițiază un apel către utilizator, telefonul va închide automat convorbirea. Sistemul va respinge automat apelurile de la numere pe care banca le-a desemnat „doar pentru apeluri primite” (inbound-only), adică numere de la care, în mod normal, nu ar trebui să te sune nimeni. Condiții, compatibilitate și calendar de lansare Protecția nu este „infailibilă”: utilizatorul trebuie să aibă instalată aplicația băncii respective pentru ca verificarea să funcționeze. Google spune că funcția va fi disponibilă pe dispozitive cu Android 11 și versiuni mai noi și va începe să fie distribuită „în următoarele săptămâni”. La lansare, suportul este menționat pentru Revolut , Itaú și Nubank, iar extinderea către alte aplicații bancare ar urma să vină în cursul anului următor. Context: pachet mai larg de măsuri anti-fraudă și anti-furt În același anunț, Google a prezentat și alte măsuri de securitate pentru Android, inclusiv controale suplimentare pentru situațiile de furt (de exemplu, opțiuni mai stricte în „Mark as Lost” din Find Hub) și monitorizare „dinamică” a comportamentului aplicațiilor pentru a semnala posibile tentative de furt de date, cu opțiunea de dezinstalare. [...]
Microsoft accelerează trecerea la autentificarea fără parole , pe fondul creșterii eficienței atacurilor de tip phishing asistate de inteligență artificială, care pot ajunge la rate de accesare de până la 54%, potrivit WinFuture . Miza operațională este reducerea suprafeței de atac prin standardizarea „passkeys” (chei de acces) și eliminarea treptată a metodelor considerate vulnerabile, inclusiv întrebările de securitate. De ce contează: phishing-ul „cu IA” face parola tot mai ușor de compromis Microsoft argumentează că parolele au rămas una dintre cele mai slabe verigi ale securității online, iar atacatorii folosesc tot mai des campanii de phishing generate sau optimizate cu ajutorul inteligenței artificiale. În acest context, compania își poziționează strategia „passwordless” (fără parolă) ca răspuns direct la un risc operațional în creștere: compromiterea conturilor prin pagini de autentificare false și tehnici de inginerie socială mai convingătoare. Ce schimbă Microsoft în practică Din perspectiva utilizatorilor și a organizațiilor, schimbările descrise de publicație se traduc în câteva măsuri concrete: Conturile noi Microsoft sunt create, de la începutul lui 2026, fără parolă , autentificarea fiind făcută prin passkeys, metode biometrice sau chei de securitate (dispozitive hardware). Utilizatorii existenți își pot elimina manual parola din cont, dacă doresc să treacă complet pe passkeys. Windows 11 a extins integrarea passkeys , inclusiv suport nativ pentru chei de acces din administratori de parole terți, precum 1Password și Bitwarden. Microsoft a dezvoltat împreună cu acești furnizori o interfață de programare (API) dedicată passkeys , pentru integrare mai simplă. Sincronizarea passkeys din Microsoft Password Manager este posibilă prin browserul Edge cu iOS și Android. Ce sunt passkeys și de ce sunt mai greu de „furat” Passkeys sunt credențiale legate de dispozitiv și de o verificare locală (amprentă, recunoaștere facială sau PIN). Spre deosebire de parole, ele sunt concepute să fie rezistente la phishing , deoarece nu pot fi capturate printr-o pagină falsă de autentificare în același mod în care este „smulsă” o parolă introdusă de utilizator. Context de piață și adopție: miliarde de passkeys, sute de milioane la Microsoft Trecerea nu este doar o inițiativă izolată, arată WinFuture . Membrii FIDO Alliance împing adopția la nivel de industrie, iar alianța estimează că există cinci miliarde de passkeys în uz la nivel global. Conform unei „studii recente” citate în material, 90% dintre oameni cunosc passkeys, iar 75% au activat cel puțin una. La Microsoft, compania susține că „sute de milioane de utilizatori” folosesc zilnic passkeys pentru servicii precum OneDrive, Xbox și Copilot. Totodată, Microsoft afirmă că a eliminat intern metode mai slabe de autentificare și a implementat proceduri rezistente la phishing care acoperă 99,6% dintre utilizatorii și dispozitivele din mediul său. Următorul pas: dispar întrebările de securitate din Entra ID, din 2027 O schimbare cu impact direct pentru administrarea identităților în companii este planul Microsoft de a elimina o „portiță” folosită frecvent în atacuri: începând din ianuarie 2027, întrebările de securitate nu vor mai putea fi folosite pentru resetarea parolelor în Microsoft Entra ID . Compania motivează decizia prin reducerea riscurilor asociate recuperării conturilor, zonă exploatată adesea ca rută alternativă de compromitere. [...]
Google își extinde apărarea anti-fraudă cu filtre bazate pe inteligență artificială și schimb de date între companii și autorități , mizând pe blocarea la scară mare a tentativelor de înșelăciune înainte să ajungă la utilizatori, potrivit Google Blog . Mesajul vine în contextul în care compania descrie atât măsuri tehnice integrate în produse (Gmail, Chrome, Search, Android), cât și colaborări cu instituții publice și inițiative educaționale. În centrul strategiei este folosirea inteligenței artificiale ca „primă linie” de apărare, cu rezultate prezentate ca volum și rată de blocare: Google spune că oprește peste 99,9% din spam, phishing și programe malițioase înainte să ajungă în Gmail și că blochează aproape 15 miliarde de e-mailuri nedorite pe zi. În Chrome, compania afirmă că anticipează și blochează în timp real site-uri periculoase, iar în Search filtrează „sute de milioane” de pagini de tip spam zilnic, pentru a menține rezultatele „99% fără spam”. Filtrare la scară mare în publicitate și detecție pe dispozitiv Pe zona de publicitate, Google indică faptul că în 2025 sistemele sale au identificat peste 99% dintre reclamele care încălcau politicile înainte să fie văzute de utilizatori și că a blocat sau eliminat peste 8,3 miliarde de reclame, dintre care 602 milioane asociate cu escrocherii. Tot pe linia protecțiilor automate, compania menționează „Scam Detection” în aplicația Phone by Google, unde inteligența artificială rulează pe dispozitiv și alertează utilizatorii în timp real atunci când detectează tipare conversaționale specifice escrocilor. Instrumente pentru utilizatori: verificare rapidă și semnale în timp real Google pune accent și pe instrumente prin care utilizatorii își pot întări securitatea conturilor și pot verifica suspiciuni „în momentul în care apar”: Security Checkup , pentru consolidarea setărilor de securitate ale contului, inclusiv activarea „Passkeys” (chei de acces) și verificarea în doi pași (2-Step Verification); Circle to Search pe Android, care permite selectarea unui mesaj suspect pentru o evaluare bazată pe inteligență artificială și recomandări; alternativ, aceeași verificare se poate face prin captură de ecran și Google Lens . Educație și finanțare: program interactiv și ținte de acoperire Pe componenta de prevenție, Google descrie inițiativa „Be Scam Ready”, un program interactiv, de tip joc, care simulează în siguranță scenarii de fraudă. Compania susține că abordarea „învățare prin practică” are rezultate mai bune decât campaniile tradiționale de conștientizare. Programul este disponibil în engleză, portugheză, thailandeză și chineză tradițională și ar urma să fie lansat în mai multe limbi „mai târziu în acest an”, inclusiv franceză, spaniolă și arabă. În plus, Google reamintește un angajament de 5 milioane de dolari (aprox. 23 milioane lei) prin Google.org, anunțat la summitul de anul trecut, pentru combaterea escrocheriilor în Europa și Orientul Mijlociu. Beneficiarii menționați, Internet Society (ISOC) și Oxford Information Labs (OXIL), derulează programe de instruire „la firul ierbii”, cu obiectivul de a proteja peste 7 milioane de persoane vulnerabile și de a echipa mii de lucrători din prima linie cu instrumente de „reziliență” la fraude. Schimb de date și acțiuni împotriva rețelelor: GSE, poliție și litigii Pentru a opri fraudele care operează pe mai multe platforme și în mai multe țări, Google indică rolul Global Signal Exchange (GSE), descris ca un „clearinghouse” global pentru date despre amenințări. Platforma ar stoca peste 1,2 miliarde de „semnale”, iar Google, ca partener fondator, atât consumă, cât și furnizează informații, în timp ce modelele sale de inteligență artificială analizează semnalele pentru a identifica tipare care pot sprijini investigații și acțiuni de aplicare a legii. Pe partea de intervenție, compania spune că lucrează cu agenții de aplicare a legii, inclusiv cu National Crime Agency (NCA) din Marea Britanie, și că, pe baza semnalelor partajate prin GSE, echipele sale au identificat și perturbat o rețea de fraudă din Africa de Vest. Google mai menționează că este semnatar al „Industry Accord Against Online Scams and Fraud” și că a inițiat acțiuni legale împotriva unor operațiuni, inclusiv „Lighthouse” (o rețea de tip „phishing-as-a-service”, adică furnizare de infrastructură pentru atacuri de tip phishing) și operatorii botnetului BadBox. În ansamblu, mesajul companiei este că lupta anti-fraudă se mută tot mai mult în zona de automatizare prin inteligență artificială și cooperare interinstituțională, cu efect direct asupra modului în care sunt filtrate e-mailurile, reclamele și accesul la site-uri, dar și asupra instrumentelor de verificare pe care utilizatorii le au la îndemână. [...]
Un atac coordonat de inteligența artificială a scos la iveală o vulnerabilitate „zero-day ” în software-ul Google , ridicând miza operațională pentru companii: apărarea nu mai înseamnă doar patch-uri rapide, ci și capacitatea de a detecta exploatări pe care nici dezvoltatorii nu le cunosc, potrivit Mediafax . Atacul a fost respins, însă cazul evidențiază riscul ca IA să accelereze descoperirea și exploatarea breșelor. Publicația notează, citând Futurism, că atacul a folosit inteligența artificială pentru a identifica o eroare majoră în software-ul Google despre care dezvoltatorii nu aveau cunoștință. Reprezentanții companiei nu au precizat cine s-a aflat în spatele atacului. De ce contează: „zero-day” găsite cu IA pot depăși apărarea standard Google a indicat că atacatorii au identificat o „vulnerabilitate zero-day” – adică o eroare dintr-un software necunoscută până atunci celor care îl dezvoltă. În astfel de situații, apărătorii nu au, de regulă, soluții pregătite din timp, iar fereastra de risc poate fi critică. În cazul descris, vulnerabilitatea ar fi permis ocolirea autentificării cu doi factori pe un „instrument popular de administrare a sistemului, open-source, bazat pe web”. Instrumentul nu este numit în material. Potrivit informațiilor citate, accesul ar fi fost posibil dacă atacatorii ar fi avut numele de utilizator și parola unei persoane. Impact operațional: autentificarea cu doi factori nu mai e suficientă, singură Materialul subliniază că autentificarea cu doi factori este „ultima linie de apărare semnificativă” pentru majoritatea utilizatorilor, în condițiile în care parolele sunt adesea slabe. În acest context, o metodă de ocolire a autentificării cu doi factori ar fi putut avea „un efect catastrofal”, conform sursei. Experții citați au descris cazul drept primul exemplu de vulnerabilitate zero-day exploatată de hackeri cu ajutorul inteligenței artificiale și îl văd ca un semnal despre ce ar putea urma, pe fondul dezvoltării accelerate a produselor bazate pe IA. [...]
Un furt de telefon în vacanță s-a transformat în 14 transferuri neautorizate, iar un cuplu de pensionari a pierdut 30.000 de euro (aprox. 150.000 lei) în 36 de minute , potrivit Focus . Cazul ridică întrebări despre cât de repede pot fi golite conturile după compromiterea accesului de pe un smartphone și despre eficiența limitelor bancare de transfer în astfel de situații. Cuplul, din Portugalia, se afla în São Paulo, iar incidentul a avut loc pe Avenida Paulista , unde un hoț i-a smuls unuia dintre ei telefonul din mână, relatează postul portughez NOW Canal (citat de Focus). La scurt timp, au început tranzacțiile care au dus la dispariția economiilor. Cum s-au derulat tranzacțiile și ce nu se leagă, potrivit victimelor În intervalul de 36 de minute, banca ar fi înregistrat 14 tranzacții către conturi străine. Cei doi susțin că nu au autorizat niciunul dintre transferuri, conform NOW Canal. Un element care, potrivit relatării, rămâne neclar pentru victime este cum au putut fi procesate sume atât de mari în condițiile existenței unui plafon de transfer la banca lor. Cu toate acestea, tranzacțiile „au trecut” aparent fără întrerupere. După incident, cuplul a notificat poliția judiciară și banca centrală a Portugaliei . Banii nu au fost recuperați până acum, iar cei doi cer rambursarea integrală a sumelor pierdute. Ce recomandă autoritățile și un expert pentru debitări neautorizate Pentru situațiile în care apar debitări neautorizate, Focus indică drept pași imediat necesari informarea băncii și depunerea unei contestații. Publicația menționează că, în Germania, termenul pentru contestarea unor debitări neautorizate poate ajunge până la 13 luni, în timp ce pentru debitări greșite, dar autorizate, termenul este de opt săptămâni. Expertul în protecția consumatorilor Niels Nauhauser a declarat pentru „ Polizei Dein Partner ” că verificarea regulată a extraselor și raportarea rapidă a operațiunilor suspecte sunt esențiale. După furt sau fraudă, recomandarea este blocarea imediată a cardurilor și sesizarea poliției. În context mai larg, materialul notează că infractorii ajung frecvent la accesul în cont prin date bancare furate, bancomate manipulate sau programe malițioase (software dăunător). În multe cazuri, băncile acoperă prejudiciul, însă condițiile depind de circumstanțe și de evaluarea autorizării tranzacțiilor. [...]
