Schimb parola și tot îmi intră în cont: de ce se întâmplă și cum oprești definitiv atacatorul

Ai schimbat parola. Poate de două ori. Și totuși, a doua zi, contul e iar al altcuiva: emailuri citite, mesaje trimise în numele tău, setări modificate. Începi să crezi că ești urmărit special sau că parola ta e „prea slabă", oricât de complicată ai face-o.

Nu e magie și nu e ghinion. Parola este doar una dintre ușile către cont, iar atacatorul folosește alte uși pe care schimbarea parolei nu le închide. Vei vedea care sunt cele șase căi de acces care rămân deschise și, mai important, ordinea exactă în care trebuie să le închizi. Pentru că, dacă începi cu pasul greșit, toată munca ta e anulată în câteva secunde.

Parola schimbată nu înseamnă cont curat

Schimbarea parolei rezolvă un singur lucru: blochează logarea cu vechea parolă. Atât. Nu închide automat sesiunile deja deschise, nu șterge accesele aplicațiilor și nu curăță un dispozitiv infectat. Dacă tot îți intră cineva după ce ai schimbat parola, înseamnă că există o cale de acces rămasă pe care nu ai închis-o încă. Cel mai des, una dintre acestea șase.

Cauza 1: sesiunile vechi rămân deschise

Când te loghezi, serviciul îți dă un fel de brățară de acces, numită cookie sau token de sesiune. Atât timp cât o ai, nu mai introduci parola la fiecare pagină. Problema e că, pe multe servicii, schimbarea parolei NU invalidează automat sesiunile deja deschise. Cine are deja o sesiune activă, inclusiv un atacator, rămâne logat până când sesiunea expiră singură sau până când o revoci manual.

Soluția e opțiunea de deconectare a tuturor sesiunilor: la Google se numește „deconectează dispozitivele", la Microsoft „Sign out everywhere", la Instagram „deconectează-te din toate sesiunile". Atenție la o capcană: la unele servicii, deconectarea de pe toate dispozitivele se aplică abia după ce schimbi și parola, așa că le faci împreună, într-o fereastră scurtă de timp.

Cauza 2: un infostealer rulează pe dispozitivul tău

Un infostealer este un program rău intenționat care fură date de pe calculator sau telefon: parolele salvate în browser, datele de card și, foarte important, cookie-urile de sesiune. Cu cookie-ul de sesiune furat, atacatorul nu mai are nevoie de parola ta și de multe ori nici de codul din pasul al doilea: importă cookie-ul în browserul lui, iar serviciul îl tratează ca pe tine, ca pe o sesiune deja autentificată.

De aceea, cât timp dispozitivul rămâne infectat, orice parolă nouă e furată imediat ce o tastezi. Intri într-un cerc vicios: schimbi parola, programul o trimite atacatorului, atacatorul revine. Infostealere reale, cunoscute în ultimii ani, sunt RedLine, Lumma, Vidar, StealC sau Raccoon. Unele au fost lovite de acțiuni internaționale, dar apar mereu altele noi, deci ideea rămâne valabilă indiferent de nume.

Cauzele 3-5: accesele ascunse pe care parola nu le atinge

Dincolo de sesiuni și de dispozitivul infectat, atacatorii își lasă mai multe portițe care funcționează independent de parolă. Tocmai pentru că nu țin de parolă, rămân active și după ce o schimbi, dacă nu le cauți și nu le tai manual.

Un semn util: dacă o regulă de redirecționare sau un acces revine la loc imediat după ce îl ștergi, înseamnă că o aplicație terță sau o sesiune încă activă îl recreează. Atunci tai accesul de la sursă, nu doar regula.

Cauza 6: ai refolosit aceeași parolă pe alt cont

Dacă foloseai aceeași parolă și pe alte servicii, atacatorul nu mai are nevoie să spargă nimic: încearcă automat aceeași combinație de email și parolă pe sute de site-uri. Tehnica se numește credential stuffing și funcționează tocmai pentru că foarte mulți oameni refolosesc parolele. Așa se explică de ce, după ce îți pică un cont, încep să cadă și altele: nu sunt sparte separat, ci deschise cu aceeași parolă. Schimbă parola pe orice cont unde o refoloseai și citește, pentru context, ghidul despre credential stuffing și cum îți aperi conturile.

Ordinea corectă de curățare a contului

Toate cauzele de mai sus au soluție, dar contează enorm succesiunea. Parcurge pașii exact în această ordine: dacă schimbi parola înainte să cureți dispozitivul sau înainte să revoci sesiunile, o iei de la capăt.

Cum previi să ți se întâmple din nou

Folosește parole unice pentru fiecare cont, generate și păstrate într-un manager de parole, ca să elimini riscul de credential stuffing. Activează autentificarea în doi pași peste tot unde se poate, preferabil cu o aplicație de autentificare sau cu passkey, fiindcă CISA și FBI au recomandat să eviți codurile prin SMS, care pot fi interceptate. Ține sistemul, browserul și soluția de securitate actualizate, fiindcă multe infostealere ajung pe dispozitiv prin instalatoare descărcate din surse nesigure sau prin reclame false. Și verifică periodic, o dată la câteva luni, sesiunile active, aplicațiile conectate și regulile de email.

Când și cum raportezi incidentul

Dacă ești firmă sau ți-au fost afectate date ale clienților, tratează situația ca pe un incident de securitate, nu doar ca pe un cont pierdut. În România poți suna la 1911, numărul național pentru raportarea incidentelor cibernetice, operat de DNSC, apelabil din orice rețea la tarif normal, și poți completa formularul de pe platforma DNSC. Dacă au fost expuse date cu caracter personal, verifică obligația de notificare către ANSPDCP în maximum 72 de ore. Dacă era contul de email al firmei, vezi și pașii de containment din ghidul despre contul de email al firmei spart.