Orice cont care contează cu adevărat – adresa de e-mail, aplicația băncii, profilul de pe o platformă de anunțuri, rețelele sociale – cere astăzi o verificare suplimentară față de parolă. În setări, denumirea este aproape peste tot aceeași, „autentificare în doi pași”, însă în spatele ei stau patru tehnologii care nu oferă același nivel de protecție: codul primit prin SMS, codul generat de o aplicație, cheia fizică pe USB și passkey-ul, care elimină complet parola.
Diferența nu este cosmetică. Împotriva atacurilor automate, cele care testează în masă parole apărute în scurgeri de date, toate patru funcționează; Microsoft a comunicat că simpla activare a unei a doua verificări oprește peste 99% dintre aceste încercări. Împotriva unui atac de phishing derulat în timp real, în care victima este condusă pe o pagină clonată, iar codul introdus acolo este folosit în aceeași secundă pe site-ul autentic, două dintre metode cedează și două rezistă. Comparația de mai jos folosește cinci criterii practice: rezistența la phishing, dependența de terți, costul, timpul de configurare și riscul de a rămâne blocat în afara propriului cont.
Ce trebuie, de fapt, să oprească a doua verificare
Înainte de cifre contează scenariul de atac. În practică sunt patru tipuri. Primul: încercările automate cu parole vechi, recuperate din breșe de date, testate pe zeci de servicii. Al doilea: phishingul în timp real, cu kituri care se așază între victimă și site-ul autentic și fură inclusiv cookie-ul de sesiune, ceea ce face inutil orice cod cu durată limitată. Al treilea: preluarea numărului de telefon, prin duplicat de cartelă obținut prin inginerie socială sau prin portare frauduloasă. Al patrulea: aplicațiile malițioase instalate chiar pe telefonul utilizatorului, care citesc notificările sau conținutul ecranului.
Al doilea criteriu, mai puțin discutat, este riscul de blocare. O metodă foarte sigură, dar fără plan de rezervă, poate transforma un telefon pierdut într-o pierdere definitivă de cont. Recuperarea unei adrese de e-mail preluate sau blocate durează, în cazurile fericite, câteva zile de corespondență cu suportul, iar în cele nefericite nu reușește deloc – motiv pentru care alegerea metodei trebuie făcută împreună cu alegerea variantei de rezervă, nu separat.
Codul prin SMS: universal, dar legat de cartela din telefon
Este metoda cu cea mai largă acoperire: funcționează pe orice telefon, inclusiv pe unul fără internet, nu cere instalarea vreunei aplicații și este acceptată practic de toate serviciile din România, de la bănci la magazine online. Costul este zero, iar configurarea durează sub două minute. Pentru o persoană care nu are activată nicio verificare suplimentară, SMS-ul rămâne un progres real față de parola singură.
Slăbiciunile sunt însă structurale. Codul poate fi introdus pe un site fals la fel de ușor ca pe cel autentic, deci nu oferă nicio protecție împotriva phishingului în timp real. Apoi, securitatea contului depinde de un terț – operatorul de telefonie: dacă cineva obține un duplicat al cartelei SIM sau portează numărul, primește și codurile. Se adaugă detalii banale, dar costisitoare: mesajele apar pe ecranul blocat, întârzie în zonele cu semnal slab și pot deveni greu de primit în străinătate, dacă roamingul este dezactivat.
Concluzia practică: SMS-ul rămâne acolo unde serviciul nu oferă altceva – iar în România sunt încă destule astfel de servicii, inclusiv publice. Pe conturile în care există și alte opțiuni, el ar trebui folosit ca metodă de rezervă, nu ca metodă principală.
Aplicația de autentificare: gratuită și offline, dar tot phishabilă
Aplicațiile de tip TOTP generează un cod din șase cifre, valabil 30 de secunde, calculat local dintr-o cheie stabilită la configurare. Nu au nevoie de semnal, de cartelă SIM sau de internet, ceea ce elimină dintr-un foc riscul de preluare a numărului. Opțiuni gratuite există din belșug: Google Authenticator, Microsoft Authenticator, 2FAS, Aegis sau Ente Auth; managerele de parole comerciale integrează aceeași funcție, la costuri orientative de circa 50 de lei pe an pentru un plan de bază și 150–200 de lei pe an pentru variantele cu mai multe funcții.
Configurarea cere două–trei minute pe cont: se scanează un cod QR, se confirmă primul cod generat și se salvează codurile de rezervă. Aici apare prima capcană – mulți utilizatori sar peste ultimul pas sau păstrează captura de ecran cu codul QR în galeria telefonului, adică exact în locul din care o poate extrage o aplicație cu permisiuni prea largi sau o sincronizare cloud compromisă.
A doua limită este mai importantă: codul rămâne un secret care se tastează, deci poate fi tastat și pe o pagină falsă. Față de SMS, aplicația elimină dependența de operator și întârzierile, dar nu rezolvă phishingul în timp real. Ca protecție, este alegerea rezonabilă pentru zecile de conturi obișnuite, unde o cheie fizică ar fi disproporționată.
Cheia fizică FIDO2: 150–400 de lei pentru imunitate la site-uri clonate
Cheia de securitate este un dispozitiv mic, conectat prin USB sau apropiat prin NFC, care semnează criptografic cererea de autentificare. Elementul decisiv este legarea de adresa reală a site-ului: cheia răspunde doar domeniului pentru care a fost înregistrată, așa că o pagină clonată, oricât de bine făcută, nu obține nimic utilizabil. Este singura categorie, alături de passkey, care oprește atacurile de tip proxy în timp real, iar rezultatele din organizațiile care au trecut integral pe chei fizice arată dispariția practică a compromiterilor prin phishing.
Prețurile orientative în România, în 2026, pornesc de la 150–250 de lei pentru un model de bază certificat FIDO2 și ajung la 300–400 de lei pentru variantele care adaugă suport pentru OTP, smart card sau OpenPGP. Recomandarea standard este achiziția a două chei – una folosită zilnic, una păstrată într-un alt loc – deci un buget realist de 350–700 de lei. Înainte de comandă merită verificat conectorul: USB-C, USB-A sau NFC, în funcție de laptopul și telefonul folosite.
Dezavantajele sunt costul, efortul de înregistrare pe fiecare cont și, mai ales, suportul inegal. Marile platforme internaționale acceptă chei fizice, dar multe servicii românești – bănci, magazine, instituții – nu au implementat standardul, așa că metoda nu poate fi aplicată uniform pe toate conturile.
Passkey: fără parolă și fără cod, dar cu dependență de ecosistem
Passkey-ul folosește aceeași criptografie ca o cheie fizică, doar că perechea de chei este stocată în telefon, în computer sau în managerul de parole și se deblochează cu amprentă, recunoaștere facială ori cod PIN. Nu există parolă de furat și nici cod de tastat, deci nici de dat, din greșeală, unei pagini false. Costul este zero, iar autentificarea devine mai rapidă decât varianta clasică – argument care a împins Google, Microsoft, Apple, Amazon și platformele mari de comerț să îl activeze implicit pentru utilizatorii noi.
Problemele apar în jurul portabilității și al recuperării. Un passkey creat pe un telefon Android se sincronizează în contul Google, unul creat pe iPhone ajunge în brelocul Apple, iar mutarea între ecosisteme a devenit posibilă abia prin standardele de export apărute în ultimii doi ani, încă neimplementate peste tot. În plus, multe servicii păstrează parola clasică drept variantă de rezervă, ceea ce readuce în joc exact riscul pe care passkey-ul îl elimina. Iar dacă singurul dispozitiv cu passkey se pierde, recuperarea depinde de procedura serviciului, care este adesea mai slabă decât protecția în sine.
Comparația pe cele cinci criterii
Puse una lângă alta, cele patru metode se ordonează destul de clar:
- Rezistență la phishing în timp real: cheia fizică și passkey-ul rezistă, pentru că sunt legate de domeniul real; SMS-ul și codul din aplicație nu, pentru că se pot tasta oriunde.
- Dependență de terți: SMS-ul depinde de operatorul de telefonie și de acoperirea rețelei; aplicația TOTP nu depinde de nimic; passkey-ul depinde de contul de sincronizare; cheia fizică, de niciun serviciu extern.
- Cost: zero lei pentru SMS, aplicație și passkey; 350–700 de lei pentru o pereche de chei fizice, cheltuială unică, cu durată de viață de câțiva ani.
- Timp de configurare: circa 2 minute pentru SMS, 3 minute pentru TOTP, sub un minut pentru un passkey pe un serviciu care îl suportă și 5–10 minute pe cont pentru chei fizice, dacă se înregistrează și rezerva.
- Risc de blocare definitivă: mic la SMS, mare la TOTP fără coduri de rezervă salvate și la passkey existent pe un singur dispozitiv, mediu la chei fizice dacă a doua cheie nu a fost înregistrată.
Ce metodă merită pe fiecare cont și ce faci când o pierzi
Ierarhia începe de la adresa principală de e-mail, pentru că din ea se resetează toate celelalte parole. Acolo se justifică cea mai puternică opțiune disponibilă: passkey sau cheie fizică, cu o a doua cheie înregistrată și cu codurile de rezervă tipărite și ținute offline. Pentru conturile bancare, alegerea este de regulă impusă de bancă – tokenul din aplicația proprie, cerut de regulile europene de autentificare strictă a plăților – iar ce rămâne în controlul utilizatorului este verificarea periodică a dispozitivelor înregistrate și dezactivarea celor nefolosite.
Pentru conturile de pe platformele de anunțuri și marketplace-uri, unde valoarea contului stă în istoricul de vânzări și în reputație, minimul rezonabil este o aplicație de autentificare, nu SMS-ul: un cont vechi, cu recenzii bune, preluat de altcineva, devine instrument de fraudă împotriva altor utilizatori. Protecția contului este, de altfel, doar jumătate din poveste; cealaltă jumătate ține de modul în care se desfășoară tranzacția propriu-zisă, subiect tratat separat în materialul despre cum eviți escrocheriile la vânzările online între persoane. Pentru restul conturilor – forumuri, magazine folosite ocazional, aplicații de livrare – aplicația TOTP oferă cel mai bun raport între efort și protecție.
Indiferent de metodă, planul de rezervă cere patru lucruri concrete:
- codurile de recuperare salvate în afara telefonului, tipărite sau păstrate într-un manager de parole separat;
- o a doua metodă înregistrată pe conturile critice – a doua cheie, un al doilea dispozitiv cu passkey sau aplicația TOTP instalată pe o tabletă;
- adresa de recuperare și numărul de telefon din setări verificate cel puțin o dată pe an, pentru că multe conturi rămân legate de numere abandonate;
- după pierderea sau furtul telefonului: ștergerea de la distanță, închiderea tuturor sesiunilor active din setările contului și abia apoi reînregistrarea metodelor pe noul dispozitiv.
Trecerea completă la metode rezistente la phishing nu se face într-o seară și nici pe toate conturile, pentru că suportul serviciilor din România rămâne inegal. Ordinea utilă este însă simplă: mai întâi e-mailul principal și contul din care se sincronizează parolele, apoi conturile cu bani sau reputație în joc, iar la final restul, unde codul dintr-o aplicație gratuită acoperă suficient de bine riscul.
