De ce prezența online a psihologului este, în egală măsură, un capital de încredere și o suprafață de atac

Gestionarea prezenței online a devenit o componentă firească a identității profesionale. Un site care respectă Codul Deontologic, conturi de social media cu limite clare între personal și profesional, un newsletter bazat pe dovezi și conținut educațional de calitate – toate acestea extind accesul publicului la informație psihologică validă și consolidează reputația practicianului. Însă fiecare punct de contact pe care îl construim ca să fim găsiți de cei care au nevoie de noi este, în același timp, vizibil și pentru cineva care nu are intenții bune.

Miza nu este una abstractă. În spațiul digital, „moneda” profesionistului din domeniile de îngrijire nu este atât informația, cât încrederea – exact resursa pe care atacatorii cibernetici o vânează. Un specialist în securitate descria, plastic, infractorii drept ”psihologi amatori” care exploatează predictibil tendințele cognitive ale victimelor: autoritatea, urgența, teama. Pentru un public format din psihologi, observația are o ironie aparte – aceleași mecanisme pe care le studiem profesional sunt cele prin care putem fi, la rândul nostru, manipulați. Iar când un atacator reușește să preia sau să imite identitatea digitală a unui profesionist de încredere, prejudiciul nu se oprește la acesta: se propagă către întreg publicul care i-a acordat credit.

Context și definiții

Înainte de a intra în analiză, merită clarificați câțiva termeni care apar des în avertismentele oficiale, traduși într-un limbaj accesibil:

• Inginerie socială (social engineering): manipularea unei persoane pentru a o determina să dezvăluie informații sau să execute o acțiune (un clic, un transfer, o parolă). Spre deosebire de atacurile pur tehnice, ținta este omul, nu sistemul.
• Phishing / spoofing / vishing / smishing: familia mesajelor-capcană care imită o sursă de încredere. Phishing-ul folosește de regulă e-mailul, smishing-ul SMS-ul, vishing-ul apelul telefonic, iar spoofing-ul desemnează falsificarea identității expeditorului (inclusiv a numărului de telefon afișat).
• Preluarea contului (Account Takeover, ATO): obținerea controlului asupra unui cont legitim – de social media, e-mail, hosting – pe care atacatorul îl folosește apoi în numele victimei.
• Credential stuffing: testarea automată, pe multe platforme, a unor combinații utilizator–parolă scurse din alte breșe. Funcționează tocmai pentru că mulți reutilizează aceeași parolă.
• Impersonare / profil clonat: crearea unei pagini sau a unui cont fals care preia numele, fotografia și descrierea unui profesionist real pentru a-i înșela publicul.
• Deepfake: conținut audio sau video generat cu inteligență artificială care reproduce convingător vocea ori chipul unei persoane reale.

Analiza detaliată: cum devine reputația o țintă

Phishing-ul rămâne poarta de intrare numărul unu

Cel mai recent raport Threat Landscape al Agenției Uniunii Europene pentru Securitate Cibernetică (ENISA), publicat în octombrie 2025 pe baza a aproape 4.900 de incidente analizate între iulie 2024 și iunie 2025, indică phishing-ul drept principalul vector de acces inițial, prezent în circa 60% dintre cazuri. În România, Directoratul Național de Securitate Cibernetică (DNSC) confirmă aceeași realitate: atacurile de tip phishing rămân, în 2025, metoda care produce cele mai multe victime.

Ce s-a schimbat este scara și calitatea. Conform aceluiași raport ENISA, până la începutul anului 2025 peste 80% din activitatea de inginerie socială observată la nivel global folosea conținut generat sau îmbunătățit cu inteligență artificială. În practică, asta înseamnă mesaje fără greșelile gramaticale „clasice”, personalizate și credibile, produse industrial prin platforme de tip phishing-as-a-service. Au apărut și tehnici noi, precum quishing-ul (coduri QR care duc spre pagini de furt de credențiale) sau înșelătoriile ClickFix, care păcălesc utilizatorul să execute singur o comandă, deghizată într-o verificare de tip CAPTCHA.

Preluarea conturilor profesionale: cazul CECCAR

Pentru un profesionist, contul de social media nu este doar un canal de comunicare, ci o extensie a reputației. Tocmai de aceea conturile cu autoritate publică sunt ținte valoroase: cine le controlează moștenește, pentru câteva ore, încrederea audienței.

Un exemplu local elocvent a fost semnalat chiar de DNSC în 2025: atacatorii au sustras și folosit ilegal un cont de LinkedIn asociat Corpului Experților Contabili și Contabililor Autorizați din România (CECCAR), prin care au transmis mesaje spam către parteneri și invitați internaționali ai unui congres al profesiei, promovând în paralel site-uri false menite să compromită imaginea organizației. DNSC a subliniat atunci că atacurile care vizează organizațiile profesionale au devenit tot mai complexe, combinând compromiterea conturilor de social media, mesajele frauduloase și site-urile care imită surse legitime.

La nivel global, raportul anual al FBI (Internet Crime Complaint Center, IC3) pe 2025 – care a consemnat pierderi de aproximativ 20,9 miliarde de dolari și peste un milion de plângeri – a tratat pentru prima dată preluarea conturilor ca pe o categorie distinctă de amenințare. Mecanismul preferat rămâne ingineria socială: într-o alertă din noiembrie 2025, FBI raporta peste 5.100 de plângeri și pierderi de peste 262 de milioane de dolari în scheme în care atacatorii se dădeau drept personal de suport al unei instituții, convingând victima să divulge inclusiv codul de autentificare în doi pași (MFA/OTP) – după care reseta parola și o bloca în afara propriului cont.

Impersonarea și ”problema doctorului deepfake”

Dacă preluarea contului fură o identitate existentă, impersonarea o fabrică. Profilurile clonate și conținutul sintetic permit unui atacator să „devină” profesionistul fără a-i sparge vreun cont – suficient e ca publicul să creadă că vorbește cu persoana reală.

Tehnologia a coborât drastic bariera: pentru a clona o voce sunt suficiente, astăzi, câteva secunde de înregistrare. Riscul nu mai este teoretic nici pentru profesiile de îngrijire. În aprilie 2026, Asociația Medicală Americană (AMA) a cerut protecții formale împotriva impersonării medicilor prin deepfake, avertizând că materialele audio-video sintetice pot induce pacienții în eroare, pot influența decizii și pot eroda încrederea în actul medical. În literatura academică recentă, fenomenul a fost numit „problema doctorului deepfake”: când aparența și performanța expertizei pot fi fabricate algoritmic, publicul reacționează nu doar la ce se spune, ci la o impresie atent construită despre cine vorbește. Pentru un psiholog cu prezență publică, scenariul este la fel de plauzibil: o „recomandare” video falsă, un mesaj vocal care îi imită tonul, o pagină care îi preia numele pentru a vinde un curs sau a colecta date.

Datele „banale” ca materie primă

Toate aceste atacuri au nevoie de combustibil – informația publică despre țintă. DNSC a atras atenția în 2025 că detalii aparent inofensive precum adresa de e-mail, numele complet, data nașterii sau localizarea pot fi combinate într-un profil complet, util în fraude, furt de identitate sau inginerie socială. Cu cât prezența profesională este mai vizibilă (și asta ne și dorim, din rațiuni de reputație și SEO), cu atât crește și volumul de „indicii” pe care un atacator le poate aduna pentru a-și face mesajul credibil.

De ce funcționează: mecanismele psihologice

Eficiența acestor atacuri nu vine din tehnologie, ci din psihologie. Două pârghii revin constant în analizele de specialitate:

• Polarizarea pe autoritate (authority bias): tendința de a ne conforma unei figuri percepute ca superioară sau oficială fără verificare independentă. Când un mesaj pare să vină de la o instituție, de la ”suport tehnic” sau chiar de la propriul superior, scepticismul ne pare nepotrivit, aproape o lipsă de respect.
• Urgența și teama: mesajele care induc panică (”contul tău va fi suspendat”, ”ai primit o amendă, ai 48 de ore”) sunt construite să scurtcircuiteze gândirea critică. DNSC a descris explicit acest tipar în campaniile care foloseau fraudulos identitatea Poliției Române sau a Directoratului: acuzații grave și un termen scurt de răspuns, tocmai pentru ca, sub presiune, capacitatea de analiză a victimei să scadă.

Pentru un public de psihologi, aici este lecția centrală: cunoașterea teoretică a acestor mecanisme nu oferă imunitate. Sub stres, oboseală sau presiune temporală, oricine poate reacționa ”pe pilot automat”. Apărarea reală nu este să fim mai deștepți decât atacatorul, ci să avem deja, înainte de incident, o procedură care ne scoate din reacția impulsivă.

Implicații practice

Pentru un practician, consecințele unui astfel de incident sunt pe trei planuri. Reputațional, un cont compromis sau un profil clonat transmite mesaje în numele profesionistului, afectând tocmai încrederea construită în ani. Financiar și juridic, dincolo de eventualele pierderi directe, intervine dimensiunea protecției datelor: psihologul prelucrează date sensibile (de sănătate), iar o breșă care le expune atrage obligații stricte sub Regulamentul General privind Protecția Datelor (GDPR), inclusiv notificarea autorității de supraveghere, de regulă în 72 de ore. Relațional, poate cel mai grav, încrederea terapeutică este ea însăși un instrument clinic; erodarea ei prin fraudă comisă „în numele” specialistului afectează deopotrivă practicianul și beneficiarii.

Merită păstrată proporția. Cifrele mari din rapoarte – de pildă, costul mediu global al unei breșe de date estimat de IBM la 4,44 milioane de dolari în 2025 – descriu organizații, nu cabinete individuale. Relevanța lor pentru un practician solo nu stă în sumă, ci în mecanism: aceleași tehnici de inginerie socială funcționează la orice scară, iar un singur cont profesional compromis poate fi suficient pentru a afecta zeci de relații de încredere.

Recomandări

Măsurile de mai jos nu necesită expertiză tehnică și acoperă majoritatea scenariilor descrise. Sunt ordonate aproximativ după raportul protecție/efort.

1. Activează autentificarea în doi pași (MFA) pe toate conturile importante – e-mail, social media profesional, platforma de hosting a site-ului. Acolo unde este posibil, preferă metode rezistente la phishing (aplicații de autentificare sau chei de securitate) în locul codurilor prin SMS.
2. Folosește parole unice și complexe, gestionate cu un manager de parole. Aceasta neutralizează direct credential stuffing-ul, care exploatează reutilizarea parolelor.
3. Adoptă regula „verifică pe al doilea canal”. Orice solicitare urgentă, financiară sau de credențiale – chiar dacă pare să vină de la o instituție sau de la o persoană cunoscută – se confirmă printr-un canal independent (un număr de telefon oficial, cunoscut dinainte), nu prin datele de contact din mesajul suspect. Este antidotul concret la autoritate + urgență.
4. Redu „amprenta banală”. Limitează datele personale expuse public, separă clar profilul personal de cel profesional și revizuiește periodic setările de confidențialitate. În linia recomandărilor EFPA (2023), stabilește și comunică din start o politică privind rețelele sociale (de exemplu, fără contact terapeutic prin mesaje private), ca limită profesională explicită.
5. Întreține igiena site-ului. Actualizează la timp platforma și componentele (mai ales pe WordPress), folosește HTTPS, parole puternice pentru administrare și backup-uri periodice stocate separat. Vulnerabilitățile publice sunt exploatate adesea în câteva zile de la divulgare.
6. Monitorizează-ți activ identitatea. Caută-ți periodic numele pe platforme și în motoarele de căutare pentru a depista profiluri clonate sau pagini false; revendică și marchează (verificat, acolo unde se poate) conturile oficiale.
7. Publică-ți canalele oficiale. Indică explicit, pe site, care sunt conturile și adresele tale autentice, astfel încât publicul să poată verifica singur orice mesaj care pretinde că vine din partea ta. Transparența este și o măsură de securitate.
8. Pregătește un plan minimal de incident. Dacă un cont e compromis: schimbă imediat parolele expuse, revocă sesiunile active, anunță platforma, informează-ți public audiența și raportează. În România, incidentele se pot raporta la DNSC (linia 1911 sau formularul de la pnrisc.dnsc.ro); o breșă de date personale se notifică suplimentar autorității de supraveghere (ANSPDCP).
9. Educă-ți publicul. Un mesaj scurt prin care explici că nu ceri niciodată date sensibile sau plăți prin mesaje private și că nu lucrezi terapeutic pe social media reduce, preventiv, succesul oricărei impersonări.

Concluzie

Prezența online profesională nu mai este un lux, ci o parte din identitatea practicianului – iar identitatea, în mediul digital, este deopotrivă un capital de încredere și o suprafață de atac. Datele oficiale ale anului 2025 conturează un peisaj în care phishing-ul rămâne poarta principală de intrare, conturile profesionale devin ținte tocmai pentru autoritatea lor publică, iar inteligența artificială face impersonarea și conținutul sintetic tot mai convingătoare.

Tendința pe care o anticipează și ENISA, și FBI este una de ”industrializare” și automatizare: vom vedea mai puțin atacuri spectaculoase și mai mult campanii continue, personalizate, care erodează încrederea prin acumulare. Răspunsul potrivit nu este suspiciunea generalizată, ci o cultură a verificării – obișnuința de a confirma, calm, înainte de a acționa. Pentru profesioniștii care lucrează cu vulnerabilitatea altora, protejarea propriei identități digitale devine astfel o extensie firească a responsabilității deontologice.

Un prim pas concret poate fi făcut astăzi: activează autentificarea în doi pași pe conturile tale profesionale, listează-ți public canalele oficiale și verifică-ți o singură dată setările de confidențialitate. Sunt câteva minute care apără ani de încredere construită.

Referințe

• FBI Internet Crime Complaint Center (IC3), 2025 Internet Crime Report.
• DNSC (Directoratul Național de Securitate Cibernetică), avertisment privind datele „banale” și atacul asupra contului de LinkedIn al CECCAR.
• American Medical Association (AMA), cadru de politici privind impersonarea medicilor prin deepfake.
• The deepfake doctor problem: why labeling synthetic experts is necessary but insufficient for protecting consumer trust, Frontiers in Communication, 2026.
• IBM, Cost of a Data Breach Report 2025.