Atac la reputația online: investigație și dovezi

Un atac la reputație se investighează ca orice incident informatic: se păstrează urmele tehnice înainte să dispară, se reconstituie cronologia și se caută legăturile dintre conturi, domenii și documente. Postările se pot șterge în câteva minute, dar o documentare corectă, făcută din primele ore, rămâne utilizabilă la platforme, la avocat și, dacă e cazul, în procedura penală.

Pe scurt

Atacurile la reputație folosesc conturi false, site-uri clonă, recenzii fabricate, documente scurse și, tot mai des, conținut deepfake.
Capturile de ecran simple sunt ușor de contestat; contează data, adresa exactă, metadatele și o amprentă criptografică a fiecărui fișier salvat.
Sursa unui atac se identifică de obicei prin corelare: stil, orar de postare, infrastructură comună, greșeli repetate, legături între conturi.
Scurgerea de documente interne este și un incident de securitate: poate declanșa obligații față de ANSPDCP sau, pentru entitățile NIS2, față de DNSC.
Pierderea nu e doar de imagine: clienți pierduți, contracte suspendate, costuri de răspuns și timp de conducere consumat.

Ce înseamnă un atac la reputație în mediul digital?

Prin atac la reputație înțelegem o acțiune coordonată sau repetată care urmărește să scadă încrederea în o persoană sau o organizație. Formele întâlnite cel mai des sunt:

conturi false care folosesc numele, sigla sau fotografia victimei pentru a publica mesaje compromițătoare ori pentru a cere bani clienților;
site-uri clonă, pe domenii aproape identice, care copiază designul firmei și colectează date sau plăți;
recenzii false în valuri, pe hărți, platforme de comerț sau rețele profesionale;
documente scurse sau trunchiate: contracte, e-mailuri interne, liste de salariați, prezentate scos din context;
conținut generat cu AI: imagini, înregistrări audio sau video în care o persoană pare să spună sau să facă ceva ce nu a făcut.

Elementul comun este viteza. Un conținut fals se răspândește în ore, iar autorul își șterge urmele imediat ce primește atenție. De aceea, ordinea pașilor contează mai mult decât reacția publică.

De ce este și o problemă financiară, nu doar de imagine?

Pentru o companie, atacul se vede repede în cifre: clienți care renunță după o recenzie virală, parteneri care cer clarificări, campanii de marketing oprite, timp de conducere consumat cu explicații. Când atacul vine printr-un site clonă sau un cont fals care cere plăți, apare și o pagubă directă, la clienți care au plătit unui impostor.

Pentru o persoană, consecințele sunt adesea mai grele: oportunități profesionale pierdute, presiune asupra familiei, conținut greu de eliminat. În ambele cazuri, fără dovezi solide, discuția rămâne „cuvântul meu contra cuvântului lor”.

Primele 24 de ore: cum documentezi corect

Reacția instinctivă este să răspunzi public sau să ceri imediat ștergerea. Ștergerea rapidă poate fi necesară, dar numai după ce dovezile au fost păstrate. Ordinea recomandată:

Nu interacționați cu autorul. Un răspuns poate determina ștergerea conținutului sau escaladarea.
Salvați adresa exactă (URL) a fiecărei postări, profil sau pagină, nu doar captura vizuală.
Faceți capturi complete, cu data și ora vizibile, inclusiv comentariile și numărul de distribuiri.
Descărcați fișierele originale (imagini, clipuri, documente), nu versiuni recomprimate trimise prin mesagerie.
Arhivați paginile cu un instrument care păstrează codul paginii, nu doar imaginea.
Calculați o amprentă criptografică (de exemplu SHA-256) pentru fiecare fișier salvat și notați-o într-un registru.
Țineți un jurnal: cine a observat, când, ce a salvat, unde e stocat.
Păstrați mesajele primite de la clienți care au fost contactați de conturile false.
Abia apoi raportați conținutul la platformă și cereți eliminarea.

Amprenta criptografică face diferența între o captură oarecare și o dovadă verificabilă: orice modificare ulterioară a fișierului schimbă amprenta, deci integritatea poate fi demonstrată.

Cum se identifică sursa unui atac?

Rareori există o singură probă care arată autorul. Identificarea se face prin corelarea mai multor indicii, fiecare slab separat, dar convingător împreună.

Conturile false

Se analizează data creării, prietenii sau urmăritorii comuni, fotografiile folosite (de unde provin, dacă au mai apărut în alte conturi), orele de activitate, expresiile și greșelile repetate, legăturile cu alte conturi deja cunoscute.

Site-urile clonă

Domeniul lasă urme: data înregistrării, registratorul, serverele de nume, adresa de găzduire, certificatul TLS, alte domenii găzduite pe aceeași infrastructură, codurile de analiză sau de plată reutilizate. De multe ori, același autor folosește aceleași elemente în mai multe campanii.

Documentele scurse

Un document intern are metadate: autor, date de creare și modificare, versiuni, uneori numele calculatorului sau al imprimantei. Compararea versiunii scurse cu cele din arhiva firmei poate arăta din ce etapă provine și cine a avut acces la ea în acel moment. Analiza jurnalelor de acces la e-mail, la platforma de documente sau la imprimantă completează imaginea.

Conținutul deepfake

Pentru imagini și înregistrări generate cu AI se urmăresc artefactele de generare, inconsecvențele audio-video, sursa primei publicări și traseul distribuirii. Concluzia trebuie formulată prudent, cu limitele metodei, nu ca o certitudine.

Tabel: tipul de atac, ce urme păstrezi și cine poate acționa

Tip de atac	Urme de păstrat	Cine poate acționa
Cont fals cu numele victimei	URL profil, ID numeric, capturi, mesaje către terți	Platforma (uzurpare de identitate), avocat, organele de urmărire penală
Site clonă	Domeniu, date de înregistrare, găzduire, capturi, plăți raportate de clienți	Registratorul, găzduirea, banca, organele de urmărire penală
Recenzii false în val	Capturi, date, profiluri autoare, tipare comune	Platforma, avocat
Documente interne scurse	Fișierul scurs, versiunile interne, jurnale de acces	Conducerea, responsabilul cu protecția datelor, ANSPDCP, DNSC (entități NIS2)
Deepfake audio-video	Fișier original, prima publicare, traseul distribuirii	Platforma, avocat, organele de urmărire penală

Calea penală sau calea civilă?

Alegerea căii juridice aparține persoanei vătămate și avocatului ei. Din punct de vedere tehnic, unele fapte asociate atacurilor la reputație pot avea relevanță penală: accesul ilegal la un sistem informatic (art. 360 Cod penal), transferul neautorizat de date informatice (art. 364), falsul informatic (art. 325) sau frauda informatică (art. 249), atunci când un site clonă colectează plăți. Infracțiunile de la art. 325 și art. 360-366 sunt de competența DIICOT, potrivit Legii 508/2004.

Indiferent de cale, aceeași întrebare revine: ce s-a întâmplat, când, prin ce mijloace și cum se poate verifica. Răspunsul ține de documentarea tehnică, nu de declarații.

Scurgerea de documente este și un incident de securitate

Când documentele interne ajung public, problema nu mai este doar de comunicare. Dacă documentele conțin date cu caracter personal, GDPR (art. 33) cere, când este cazul, notificarea ANSPDCP în 72 de ore de la constatare. Dacă organizația este entitate esențială sau importantă sub OUG 155/2024, un incident semnificativ declanșează și notificarea către DNSC: avertizare timpurie în 24 de ore, notificare în 72 de ore, raport final într-o lună. Detaliile sunt în articolul despre notificarea incidentelor NIS2.

Investigația tehnică răspunde la întrebarea pe care o pun toate aceste autorități: cum au ieșit datele din organizație și dacă breșa a fost închisă.

Prevenție: ce reduce riscul data viitoare

monitorizarea domeniilor asemănătoare cu al firmei și înregistrarea preventivă a variantelor evidente;
autentificare multifactor pe conturile oficiale de social media și pe e-mail;
drepturi de acces minime la documentele sensibile și jurnalizarea accesului;
marcarea documentelor confidențiale și controlul versiunilor;
un plan scurt de răspuns: cine documentează, cine comunică, cine decide sesizarea autorităților;
instruirea echipei pentru recunoașterea manipulării, inclusiv a conținutului generat cu AI. Mecanismele de influență sunt explicate în analiza despre manipularea percepției umane.

Cum vă ajută ProDefence

Serviciul de investigare a infracțiunilor informatice urmează cinci etape: preluare, conservare, analiză, documentare, remediere. Rolul nostru este tehnic: stabilim ce s-a întâmplat și documentăm dovada. Livrabilele sunt un raport tehnic, probele documentate într-o formă utilizabilă în procedura penală, indicatorii tehnici găsiți (domenii, conturi, infrastructură) și măsurile de remediere. Decizia de a sesiza autoritățile vă aparține.

Când atacul a produs deja un volum mare de material (capturi, corespondență, sesizări, răspunsuri ale platformelor), ProCIS îl transformă, pentru avocatul dumneavoastră, într-o cronologie factuală cu index de persoane și conturi, legături între documente și lipsuri identificate. Solicitările ProCIS se fac prin procis.ro.

Pentru prevenție, auditul de securitate web și rețea verifică expunerea conturilor și a sistemelor prin care pot ieși documente, iar platforma CysEdu, cu campania „Analizează. Decide. Acționează.”, pregătește oamenii să recunoască manipularea.

Când defăimarea face parte dintr-o campanie coordonată, cu mai multe conturi care repetă același mesaj, analiza trebuie să privească narativul în ansamblu, nu doar postările izolate. Pentru astfel de situații, CysFact NEXUS este platforma ProDefence de sprijin decizional pentru analiză narativă și răspuns coordonat în mediul informațional.

Întrebări frecvente

Este suficientă o captură de ecran ca dovadă?

O captură este un început, dar e ușor de contestat. Ea trebuie completată cu adresa exactă a postării, data și ora, fișierul original descărcat, o arhivă a paginii și o amprentă criptografică a fiecărui fișier, notată într-un registru. Așa se poate demonstra ulterior că materialul nu a fost modificat.

Pot afla cine se ascunde în spatele unui cont fals?

Uneori, prin corelarea indiciilor tehnice: data creării, conexiuni comune, orar de activitate, fotografii reutilizate, infrastructură comună cu alte conturi sau site-uri. Datele de identificare deținute de platforme se obțin, de regulă, doar prin procedurile legale, la cererea organelor de urmărire penală.

Ce fac mai întâi: cer ștergerea sau păstrez dovezile?

Mai întâi păstrați dovezile, apoi cereți ștergerea. După eliminare, conținutul poate deveni inaccesibil și pentru dumneavoastră. Dacă există un risc imediat, de exemplu un site clonă care colectează plăți, documentarea și raportarea se fac în paralel, în aceeași zi.

O scurgere de documente interne trebuie raportată?

Depinde de conținut și de statutul organizației. Dacă sunt implicate date cu caracter personal, poate fi necesară notificarea ANSPDCP în 72 de ore. Entitățile vizate de OUG 155/2024 au obligații de notificare a incidentelor semnificative către DNSC. Investigația tehnică arată cum au ieșit datele și dacă breșa a fost închisă.

Cum recunosc un deepfake folosit împotriva firmei?

Semnalele obișnuite sunt inconsecvențele de sincronizare audio-video, detalii nefirești la mâini, dinți sau fundal, o sursă de publicare necunoscută și o cerere urgentă. Nicio verificare vizuală nu este sigură, deci materialul original și traseul distribuirii trebuie analizate tehnic.

Lucrați și pentru persoane fizice?

Da, serviciul de investigare se adresează atât organizațiilor, cât și persoanelor afectate. Pentru analiza unui dosar voluminos prin ProCIS, persoanele fără avocat sunt îndrumate spre un profesionist care poate contracta serviciul.

Surse

Codul penal, art. 249, 325, 360-366: https://legislatie.just.ro/
Legea nr. 508/2004 privind DIICOT, art. 12: https://legislatie.just.ro/Public/DetaliiDocument/56888
OUG nr. 155/2024, text consolidat: https://legislatie.just.ro/Public/DetaliiDocument/293121
Regulamentul (UE) 2016/679 (GDPR), art. 33: https://eur-lex.europa.eu/eli/reg/2016/679/oj
ANSPDCP: https://www.dataprotection.ro/

Alexandru Angheluș, ProDefence. Specialist în securitate cibernetică, coautor al ghidului „Inteligența artificială & manipularea percepției umane”, lucrează pe investigarea fraudelor online și a campaniilor de manipulare.