Email fals de la ANAF sau SPV: cum recunoști phishingul

Îți ajunge pe email un mesaj cu sigla ANAF și un subiect care îți strânge stomacul: „Notificare de plată", „Somație de plată" sau, dimpotrivă, „Aveți o sumă de restituit". În text scrie că ai o datorie restantă, că ți se pune poprire pe cont sau că ai bani de recuperat, și că trebuie să intri pe un link ca să rezolvi acum. Pentru un proprietar de firmă sau un contabil care chiar are de-a face cu Fiscul, mesajul pare perfect plauzibil, iar asta e exact ce vor cei care l-au trimis.

Ghidul ăsta e pentru oamenii care administrează o firmă, pentru contabili și pentru oricine se sperie când vede numele ANAF în inbox. Îți arăt cum arată mesajele false, semnele după care le recunoști, cum verifici REAL dacă ai o notificare (intri singur în cont, nu prin link), ce faci dacă ai dat deja click și cum raportezi. Plus avertismentele oficiale, așa cum le-au publicat ANAF și DNSC în 2025.

Cum arată un mesaj fals în numele ANAF

Tiparele sunt câteva și se repetă. De obicei mesajul folosește una dintre aceste momeli:

Indiferent de momeală, finalul e mereu același: un link care duce spre o pagină ce imită ANAF și îți cere date personale, date de logare sau, cel mai grav, datele cardului bancar. Uneori, în loc de link, e un atașament (o „factură" sau o „somație" în PDF sau ZIP) care îți infectează calculatorul cu un program de furat parole. Despre acest tip de program poți citi pe larg în ghidul despre ce este un infostealer.

Regula de aur: ANAF nu îți cere date și bani pe email sau SMS

Aici e cheia care taie aproape toată teama. ANAF a comunicat clar, în avertismentele din 2025, că interacționează cu contribuabilii pe două căi și numai pe acestea:

• Spațiul Privat Virtual (SPV), platforma securizată oficială, unde intri tu cu user și parolă sau cu certificat;
• Poșta Română, prin scrisoare cu confirmare de primire.

ANAF nu trimite notificări de datorie, somații sau restituiri prin email obișnuit sau SMS și nu cere niciodată date personale, parole sau date de card prin mesaj. Dacă primești un email sau un SMS care îți cere așa ceva în numele ANAF, este fals, oricât de oficial ar arăta. Documentele reale ajung în SPV sau prin poștă, nu într-un link de apăsat pe loc.

Semnele după care recunoști mesajul fals

Niciun semn nu e, singur, o dovadă. Dar când se adună mai multe, oprește-te și verifică înainte să apeși ceva.

Atenție la un mit periculos: nu mai e adevărat că mesajele false au mereu greșeli de limbă. Multe campanii sunt acum scrise corect gramatical, uneori cu ajutorul inteligenței artificiale, tocmai ca să pară credibile. Nu judeca mesajul după cât de îngrijit e scris, ci după semnele tehnice de mai sus. Aceleași reguli le găsești detaliate în ghidul despre cum recunoști un email de phishing.

Cum verifici REAL dacă ai o notificare

Asta e singura verificare în care poți avea încredere: nu te uiți în email, intri singur în cont. Pașii sunt simpli.

Regula pe scurt: nu te loga și nu plăti niciodată printr-un link dintr-un mesaj. Mereu intri singur, pe adresa oficială pe care o tastezi tu. Așa, chiar dacă pagina falsă arată identic cu cea reală, nu ajungi niciodată pe ea.

Ce faci dacă ai dat deja click sau ai introdus date

Dacă doar ai primit mesajul și nu ai apăsat nimic, e simplu: nu da click, nu deschide atașamentul, raportează-l și șterge-l. Dacă însă ai intrat pe pagina falsă și ai completat date, acționează rapid, în ordinea asta:

• Dacă ai dat datele cardului, sună imediat banca sau blochează cardul din aplicație. Apoi urmează pașii din ghidul am dat datele cardului pe un site fals, ce fac.
• Dacă ai dat o parolă (de SPV, email sau alt cont), schimb-o imediat de pe un dispozitiv curat și oriunde o refoloseai. Activează și autentificarea în doi pași.
• Dacă ai deschis un atașament, rulează un scan antivirus și tratează calculatorul ca posibil infectat, mai ales dacă de pe el intri în contabilitate sau în conturile firmei.
• Anunță contabilul și colegii, ca să nu cadă și alții în aceeași capcană.

Cum raportezi mesajul fals

Raportarea ajută autoritățile să avertizeze public și să scoată paginile false. În România poți raporta în câteva feluri:

• La DNSC, Directoratul Național de Securitate Cibernetică, la numărul gratuit 1911 sau pe site-ul oficial dnsc.ro.
• La ANAF, semnalând mesajul fals; pentru informații reale folosești Call Center ANAF la 031.403.91.60.
• La bancă, dacă a fost implicat un card sau o plată.

Dacă ești firmă și vrei un proces clar de reacție atunci când ceva nu e în regulă, vezi ghidul despre cum raportezi un incident cibernetic la nivel de firmă.

Pentru imaginea de ansamblu a acestor înșelătorii, citește și ce este phishingul și ce este ingineria socială, mecanismul psihologic pe care se bazează tot acest tip de mesaje.