Digitalizarea fără securitate poate deveni o vulnerabilitate națională
În ultimii ani, România a făcut pași importanți în direcția digitalizării administrației publice. Tot mai multe servicii care în trecut necesitau dosare cu șină, drumuri între instituții și zile întregi de așteptare au fost mutate în sisteme informatice complexe, accesibile atât funcționarilor, cât și cetățenilor. Digitalizarea a adus rapiditate, eficiență și costuri mai mici, însă a creat și o dependență tot mai mare de infrastructura IT. În momentul în care aceasta încetează să funcționeze, efectele se propagă aproape instantaneu în întreaga economie.
Atacul cibernetic asupra Agenției Naționale de Cadastru și Publicitate Imobiliară (ANCPI), produs în luna iulie 2026, reprezintă unul dintre cele mai importante incidente informatice din istoria recentă a României. Dincolo de întreruperea temporară a unor servicii digitale, evenimentul a demonstrat cât de vulnerabile pot deveni instituțiile statului atunci când infrastructura critică este afectată de un atac informatic bine coordonat. Pentru câteva zile, piața imobiliară aproape că s-a oprit, notarii nu au mai putut finaliza tranzacții, iar cetățenii au descoperit cât de dependentă este societatea modernă de funcționarea unor servere aflate, aparent, departe de viața de zi cu zi.
Acest incident trebuie privit dincolo de dimensiunea sa tehnică. El reprezintă un studiu de caz despre modul în care atacurile ransomware au evoluat în ultimii ani și despre felul în care criminalitatea informatică urmărește astăzi infrastructurile esențiale ale statelor. Dacă în urmă cu un deceniu cele mai multe atacuri vizau calculatoare individuale sau companii private, în prezent țintele sunt instituțiile publice, operatorii de infrastructuri critice și organizațiile a căror indisponibilitate produce efecte economice majore.
În același timp, incidentul readuce în atenție un adevăr pe care specialiștii în securitate cibernetică îl repetă de ani întregi: nu există sisteme imposibil de compromis. Diferența dintre o organizație rezilientă și una vulnerabilă nu este dată de posibilitatea de a evita complet un atac, ci de capacitatea de a detecta rapid compromiterea, de a limita propagarea acesteia și de a reveni la funcționarea normală într-un timp cât mai scurt.
Mai există o lecție importantă. În ultimii ani, numeroase instituții au investit considerabil în digitalizare, însă mult mai puțin în reziliența infrastructurii informatice. Servere noi, aplicații moderne și servicii online nu garantează automat și un nivel ridicat de securitate. Fără monitorizare continuă, copii de siguranță testate periodic, segmentare de rețea și proceduri clare de răspuns la incidente, orice proiect de digitalizare poate deveni o vulnerabilitate sistemică.
Acest articol își propune să analizeze în profunzime atacul asupra ANCPI, fără senzaționalism și fără speculații. Vom explica ce s-a întâmplat, ce știm în mod cert, ce informații rămân neconfirmate, cum funcționează în practică un atac ransomware modern și, mai ales, ce lecții pot învăța instituțiile publice, companiile și cetățenii din acest eveniment.
Ce s-a întâmplat la ANCPI și de ce incidentul este fără precedent
În dimineața zilei de 14 iulie 2026, utilizatorii sistemelor informatice operate de ANCPI au început să observe că aplicațiile utilizate zilnic deveniseră indisponibile. Inițial, situația a fost prezentată drept un incident tehnic major, însă pe măsură ce investigațiile au avansat, autoritățile au confirmat că infrastructura fusese victima unui atac cibernetic. Ulterior, instituția avea să descrie evenimentul drept „cel mai grav incident tehnic din istoria sa”, o formulare care reflectă amploarea problemelor întâmpinate.
În centrul incidentului s-a aflat platforma eTerra, sistemul informatic utilizat pentru administrarea evidențelor cadastrale și a cărților funciare din România. Această platformă reprezintă coloana vertebrală a întregului proces de înregistrare și verificare a drepturilor de proprietate. Practic, fără funcționarea eTerra, numeroase operațiuni juridice și administrative nu mai pot fi realizate în condiții normale.
Blocarea platformei a produs efecte aproape imediate în întreaga țară. Birourile notariale nu au mai putut obține extrasele necesare autentificării contractelor, băncile au întâmpinat dificultăți în procesarea creditelor ipotecare, dezvoltatorii imobiliari au fost obligați să amâne tranzacții importante, iar numeroși cumpărători s-au confruntat cu incertitudini privind termenele-limită pentru finalizarea achizițiilor. În contextul modificării cotei de TVA pentru locuințele noi, impactul economic al indisponibilității sistemului a devenit și mai pronunțat.
În paralel, pe mai multe forumuri clandestine dedicate criminalității informatice au apărut mesaje publicate de un actor care utilizează pseudonimul ByteToBreach. Acesta a susținut că a compromis infrastructura ANCPI, că ar fi extras baze de date, copii ale serverelor GitLab și codul sursă al unor aplicații interne și că ar fi implementat ransomware în rețeaua instituției. Pentru a-și susține afirmațiile, atacatorul a publicat capturi de ecran și mostre de date. Cu toate acestea, autoritățile române nu au confirmat autenticitatea tuturor acestor afirmații, iar investigațiile erau încă în desfășurare la momentul redactării acestui articol.
Un aspect interesant este că specialiștii DNSC au declarat public că, din informațiile disponibile, atacul pare să fi fost motivat financiar și să fi exploatat vulnerabilități cunoscute împreună cu credențiale compromise anterior. Dacă această ipoteză se confirmă, cazul ANCPI ilustrează încă o dată faptul că multe dintre cele mai costisitoare incidente informatice nu folosesc vulnerabilități sofisticate, necunoscute, ci exploatează sisteme neactualizate, parole compromise sau practici insuficiente de administrare a infrastructurii IT.
În mod firesc, investigația tehnică este încă în desfășurare și numeroase detalii rămân nepublice. Autoritățile nu au confirmat vectorul exact de compromitere, nu au identificat public vulnerabilitatea exploatată și nici nu au validat în totalitate afirmațiile atacatorului privind exfiltrarea datelor. Această prudență este normală într-o investigație de asemenea amploare și subliniază importanța diferențierii între informațiile confirmate oficial și declarațiile făcute de atacatori pe forumurile clandestine.
Cum funcționează un atac ransomware modern – și de ce nu mai este doar despre criptarea fișierelor
În imaginarul colectiv, un atac ransomware înseamnă, de cele mai multe ori, un calculator pe al cărui ecran apare un mesaj prin care utilizatorului i se cere o sumă de bani pentru a-și recupera fișierele. Această imagine era relativ apropiată de realitate în urmă cu zece sau cincisprezece ani, când majoritatea atacurilor vizau calculatoare individuale și se bazau pe distribuirea în masă a unor programe malițioase prin e-mail. Între timp, însă, ecosistemul criminalității informatice s-a profesionalizat. Atacurile moderne sunt operațiuni complexe, desfășurate pe parcursul mai multor zile sau chiar săptămâni, în care obiectivul nu este doar criptarea datelor, ci compromiterea completă a infrastructurii unei organizații.
În cazul unei instituții precum ANCPI, este puțin probabil ca atacatorii să fi lansat ransomware imediat după primul acces în rețea. Dimpotrivă, experiența ultimilor ani arată că grupările specializate preferă să rămână invizibile cât mai mult timp, colectând informații despre infrastructură, despre conturile privilegiate și despre mecanismele de backup. În multe dintre incidentele documentate la nivel internațional, perioada dintre compromiterea inițială și declanșarea efectivă a criptării a fost de câteva săptămâni sau chiar luni.
Această schimbare de paradigmă este esențială pentru înțelegerea amenințărilor actuale. Ransomware-ul nu mai este un simplu program malițios, ci ultima etapă a unei operațiuni bine planificate. Înainte ca primul fișier să fie criptat, atacatorii încearcă să obțină controlul asupra infrastructurii, să elimine mecanismele de apărare și să maximizeze impactul asupra organizației.
În literatura de specialitate, acest tip de operațiune este descris prin cadrul MITRE ATT&CK, un model utilizat de echipele de securitate pentru clasificarea tacticilor și tehnicilor folosite de atacatori. Deși autoritățile române nu au publicat încă detalii complete despre vectorul de compromitere utilizat în cazul ANCPI, analiza incidentelor similare permite reconstruirea unui scenariu tehnic plauzibil, fără a afirma că acesta reprezintă desfășurarea exactă a evenimentelor.
1. Accesul inițial – punctul în care începe compromiterea
Primul pas într-un atac complex este obținerea unui punct de intrare în infrastructura organizației. Acesta poate apărea prin exploatarea unei vulnerabilități software, prin folosirea unor credențiale compromise sau prin intermediul unei campanii de phishing bine construite. În numeroase cazuri recente, atacatorii au profitat de servere VPN neactualizate, portaluri de acces la distanță sau aplicații web expuse direct în Internet.
În cazul ANCPI, reprezentanții DNSC au declarat că sunt analizate vulnerabilități cunoscute și credențiale compromise ca posibili factori care au facilitat atacul. Această informație este importantă deoarece arată că succesul unui atac nu depinde întotdeauna de existența unor vulnerabilități „zero-day”, necunoscute producătorilor de software. De multe ori, exploatarea unor sisteme care nu au fost actualizate la timp este suficientă pentru compromiterea unei întregi infrastructuri.
Odată obținut accesul inițial, atacatorii încearcă să instaleze instrumente care le permit să revină în rețea chiar dacă vulnerabilitatea inițială este remediată. Acest mecanism poartă denumirea de persistență și reprezintă unul dintre elementele-cheie ale operațiunilor moderne de tip Advanced Persistent Threat (APT), chiar și atunci când motivația este exclusiv financiară.
2. Escaladarea privilegiilor și compromiterea Active Directory
Accesul inițial oferă rareori drepturi administrative asupra întregii infrastructuri. De aceea, următorul obiectiv este obținerea unor privilegii superioare. Atacatorii caută parole salvate în memorie, conturi de administrare reutilizate sau vulnerabilități locale care permit executarea de cod cu drepturi ridicate.
În mediile enterprise bazate pe Windows, ținta principală devine aproape întotdeauna Active Directory. Acesta funcționează ca un „creier” al infrastructurii informatice, administrând utilizatorii, parolele, serverele și drepturile de acces. Cine controlează Active Directory controlează, practic, întreaga rețea.
Atacatorii folosesc frecvent instrumente precum Mimikatz sau tehnici de tip Pass-the-Hash și Pass-the-Ticket pentru a extrage informații de autentificare și a se deplasa către conturi cu privilegii din ce în ce mai ridicate. Odată compromis controllerul de domeniu, organizația pierde unul dintre cele mai importante mecanisme de control asupra propriei infrastructuri.
Acesta este motivul pentru care specialiștii în securitate recomandă autentificarea multifactor pentru conturile privilegiate, administrarea separată a serverelor critice și utilizarea soluțiilor Privileged Access Management (PAM). Fără astfel de măsuri, compromiterea unui singur cont poate conduce rapid la compromiterea întregului domeniu.
3. Mișcarea laterală – atacatorul nu rămâne pe un singur calculator
După obținerea privilegiilor necesare, începe ceea ce specialiștii numesc „lateral movement”. În această etapă, atacatorii nu mai sunt interesați de calculatorul prin care au intrat în rețea, ci de extinderea controlului asupra cât mai multor sisteme.
Acest proces se desfășoară, de regulă, prin utilizarea unor instrumente administrative legitime. PsExec, Windows Management Instrumentation (WMI), Remote Desktop Protocol (RDP) sau PowerShell sunt folosite zilnic de administratorii IT și, tocmai de aceea, generează mai puține suspiciuni. Atacatorii preferă să folosească aceste instrumente în locul unor programe malițioase evidente, deoarece activitatea lor se confundă mai ușor cu administrarea normală a infrastructurii.
În această fază sunt identificate serverele de baze de date, platformele GitLab sau GitHub Enterprise, serverele de fișiere, sistemele de virtualizare și infrastructura de backup. Dacă informațiile publicate de ByteToBreach privind compromiterea serverelor GitLab sunt autentice, interesul pentru codul sursă al aplicațiilor interne ar fi perfect explicabil. Accesul la cod poate oferi atacatorilor informații despre arhitectura sistemelor, credențiale stocate accidental, chei API sau alte elemente sensibile.
Tot în această etapă sunt cartografiate relațiile dintre servere și sunt identificate sistemele a căror indisponibilitate ar produce cele mai mari efecte asupra activității instituției.
4. Exfiltrarea datelor – noua armă de șantaj
În trecut, ransomware-ul se baza aproape exclusiv pe criptarea fișierelor. Astăzi, majoritatea grupărilor folosesc tactica „double extortion”. Înainte de criptare, datele sunt copiate și transferate către infrastructura controlată de atacatori.
Acest pas schimbă radical dinamica negocierii. Chiar dacă organizația dispune de copii de siguranță și reușește să își restaureze sistemele fără a plăti răscumpărarea, amenințarea publicării informațiilor confidențiale rămâne valabilă. În multe cazuri, presiunea reputațională devine mai mare decât pierderea operațională provocată de criptarea datelor.
În cazul ANCPI, atacatorii au afirmat că ar fi extras baze de date și cod sursă. Aceste afirmații nu au fost confirmate integral de autorități și trebuie tratate cu prudență. Totuși, simplul fapt că un actor malițios pretinde că deține astfel de informații este suficient pentru a genera îngrijorare și pentru a necesita investigații digitale complexe.
Exfiltrarea datelor este dificil de detectat în rețelele mari dacă nu există monitorizare avansată a traficului și sisteme dedicate de prevenire a pierderii datelor (Data Loss Prevention – DLP). De aceea, numeroase organizații descoperă că au fost compromise abia în momentul în care atacatorii își revendică public operațiunea.
5. Criptarea și neutralizarea mecanismelor de recuperare
Abia după ce toate etapele anterioare au fost finalizate începe criptarea propriu-zisă. Înainte de lansarea ransomware-ului, atacatorii încearcă aproape întotdeauna să elimine mecanismele care ar permite recuperarea rapidă a infrastructurii.
Sunt șterse copiile Shadow Volume din Windows, sunt dezactivate serviciile de backup, sunt oprite aplicațiile antivirus și sunt compromise serverele care gestionează copiile de siguranță. Dacă backup-urile sunt conectate permanent la aceeași rețea și nu sunt protejate prin mecanisme de tip immutable storage sau air-gap, există riscul ca și acestea să fie criptate.
Acesta este unul dintre motivele pentru care recuperarea după un incident major poate dura mult mai mult decât pare la prima vedere. Nu este suficient să existe copii de siguranță; ele trebuie să fie intacte, izolate și testate periodic. Numeroase organizații descoperă, în timpul unui incident real, că backup-urile nu pot fi restaurate sau că sunt incomplete.
În cazul infrastructurilor critice, fiecare zi de indisponibilitate poate genera pierderi economice importante și poate afecta încrederea publicului în serviciile digitale oferite de stat.
Cine este ByteToBreach și ce știm până acum
După apariția informațiilor despre incident, atenția comunității de securitate cibernetică s-a îndreptat către un nume relativ puțin cunoscut până acum: ByteToBreach. Acesta este pseudonimul sub care atacatorul sau gruparea responsabilă și-a revendicat public operațiunea, publicând capturi de ecran și afirmații privind accesul obținut în infrastructura ANCPI.
Spre deosebire de grupări consacrate precum LockBit, Black Basta, Cl0p sau Akira, ByteToBreach nu are încă un istoric public foarte bogat. Tocmai acest lucru face dificilă atribuirea precisă a incidentului. În securitatea cibernetică, numele folosit pe forumurile clandestine nu reprezintă întotdeauna o organizație stabilă. Uneori este vorba despre un singur operator, alteori despre mai mulți afiliați care folosesc aceeași infrastructură, iar în anumite situații chiar despre un brand creat special pentru o anumită campanie.
Informațiile publice arată că același actor a revendicat anterior un atac asupra companiei forestiere de stat din Letonia. Acest detaliu a atras atenția analiștilor deoarece sugerează o posibilă orientare către instituții publice și organizații cu rol strategic. Totuși, este important de subliniat că simpla revendicare a unui atac nu reprezintă, în sine, o dovadă tehnică definitivă. Atribuirea responsabilității într-un incident cibernetic presupune corelarea unor indicatori multipli, de la infrastructura utilizată și mostrele de malware până la tacticile și procedurile observate.
Din perspectiva apărării cibernetice, poate chiar mai important decât identitatea exactă a atacatorului este modul în care acesta a reușit să opereze. Indiferent dacă vorbim despre ByteToBreach sau despre orice altă grupare, tehnicile folosite sunt similare și pot fi contracarate printr-o combinație de măsuri tehnice, procedurale și organizaționale. Lecția esențială este că securitatea unei infrastructuri critice nu trebuie construită în funcție de un adversar anume, ci pornind de la presupunerea realistă că, mai devreme sau mai târziu, cineva va încerca să o compromită.
De ce cadastrul digital este o infrastructură critică și de ce indisponibilitatea sa afectează întreaga economie
Pentru mulți cetățeni, Agenția Națională de Cadastru și Publicitate Imobiliară este asociată aproape exclusiv cu tranzacțiile imobiliare sau cu înscrierea unei proprietăți în cartea funciară. În realitate, rolul acestei instituții este mult mai amplu. Sistemele informatice administrate de ANCPI reprezintă fundamentul juridic și administrativ al dreptului de proprietate în România, iar funcționarea lor influențează direct activitatea notarilor, a instanțelor, a băncilor, a dezvoltatorilor imobiliari, a executorilor judecătorești și a numeroase alte instituții publice și private. Din acest motiv, infrastructura digitală a cadastrului poate fi considerată o componentă a infrastructurii critice naționale, chiar dacă nu produce energie electrică și nu furnizează servicii de telecomunicații.
Atunci când discutăm despre infrastructuri critice, majoritatea oamenilor se gândesc la centrale electrice, rețele de apă, aeroporturi sau spitale. Totuși, într-o economie digitalizată, și bazele de date care garantează dreptul de proprietate sunt la fel de importante. O economie funcțională presupune existența unui registru de încredere care să stabilească fără echivoc cine deține un anumit teren sau un anumit imobil. Dacă acest registru devine indisponibil, întregul mecanism al tranzacțiilor începe să încetinească sau chiar să se blocheze.
Acesta este motivul pentru care impactul atacului asupra ANCPI a depășit cu mult granițele unei simple probleme informatice. În doar câteva ore, efectele s-au propagat către zeci de mii de persoane care nu aveau nicio legătură cu securitatea cibernetică. Cetățeni care urmau să cumpere o locuință, familii care așteptau aprobarea unui credit ipotecar, dezvoltatori imobiliari care aveau programate zeci de contracte într-o singură zi și notari care depindeau de extrasele de carte funciară au descoperit că activitatea lor depinde de funcționarea unui sistem informatic centralizat.
Un efect de domino asupra pieței imobiliare
În economia modernă, aproape orice tranzacție imobiliară începe și se încheie cu verificarea informațiilor din sistemul de cadastru și publicitate imobiliară. Extrasul de carte funciară confirmă dreptul de proprietate, existența unor ipoteci, a unor litigii sau a altor sarcini care pot afecta tranzacția. În lipsa acestor informații, notarul nu poate autentifica în condiții normale contractul de vânzare-cumpărare.
Atacul asupra ANCPI a demonstrat cât de strâns sunt interconectate instituțiile statului și mediul privat. O întrerupere a platformei eTerra nu afectează doar funcționarii cadastrului, ci produce un efect de domino care ajunge rapid la bănci, dezvoltatori, agenții imobiliare, evaluatori și, în cele din urmă, la cetățeanul care dorește să își cumpere sau să își vândă locuința.
În contextul modificării regimului de TVA pentru anumite categorii de locuințe, blocarea temporară a tranzacțiilor a generat inclusiv incertitudini financiare pentru persoane care riscau să nu mai finalizeze contractele în termenul planificat. Chiar dacă autoritățile au identificat ulterior soluții administrative pentru limitarea impactului, incidentul a demonstrat cât de rapid poate deveni o problemă informatică o problemă economică.
Această situație ilustrează un principiu esențial al rezilienței digitale: într-o infrastructură critică, disponibilitatea serviciilor este la fel de importantă ca integritatea și confidențialitatea datelor. Un sistem perfect securizat, dar indisponibil, produce aproape aceleași efecte economice ca unul compromis.
Încrederea – cea mai importantă resursă a unui registru național
Dincolo de indisponibilitatea temporară a serviciilor, există o dimensiune mai puțin vizibilă, dar mult mai importantă: încrederea. Un registru național de proprietăți funcționează deoarece cetățenii, instituțiile și instanțele au încredere că informațiile pe care le conține sunt corecte, complete și protejate împotriva modificărilor neautorizate.
În momentul în care o astfel de instituție este victima unui atac cibernetic, apare inevitabil întrebarea dacă datele au fost doar indisponibile sau dacă au fost și alterate. Până în prezent, autoritățile nu au indicat existența unor modificări neautorizate ale evidențelor cadastrale, ceea ce este un aspect esențial. Totuși, simpla existență a unei astfel de întrebări arată cât de importantă este încrederea în integritatea bazelor de date naționale.
Acesta este unul dintre motivele pentru care organizațiile care administrează registre fundamentale investesc în mecanisme complexe de audit, jurnalizare și verificare a integrității datelor. În cazul unui incident major, trebuie să existe posibilitatea demonstrării faptului că informațiile nu au fost alterate, chiar dacă sistemele au fost compromise temporar.
Pentru cetățean, diferența poate părea subtilă. În practică însă, este enormă. Recuperarea unui sistem indisponibil este dificilă, dar posibilă. Recuperarea încrederii într-un registru despre care există suspiciunea că a fost modificat este incomparabil mai complicată.
Ce ne arată acest incident despre nivelul de securitate cibernetică al instituțiilor publice
Orice incident major oferă o oportunitate de învățare. În securitatea cibernetică există chiar expresia „never waste a good incident”, deoarece investigațiile ulterioare permit identificarea vulnerabilităților și îmbunătățirea mecanismelor de apărare. Cazul ANCPI nu trebuie privit doar prin prisma atacului în sine, ci și ca un semnal privind necesitatea accelerării maturizării securității cibernetice în administrația publică.
Prima lecție este că investițiile în digitalizare trebuie însoțite de investiții similare în securitate. Construirea unei aplicații moderne, migrarea către infrastructuri virtualizate sau dezvoltarea unor servicii online pentru cetățeni reprezintă doar jumătate din proces. Cealaltă jumătate este reprezentată de protecția acestor servicii împotriva amenințărilor cibernetice.
În multe organizații există încă percepția că securitatea este un proiect care poate fi finalizat. În realitate, securitatea este un proces continuu. Apar permanent vulnerabilități noi, tehnicile atacatorilor evoluează, iar infrastructura organizației se modifică odată cu introducerea unor aplicații și servicii suplimentare. Din acest motiv, protecția unei instituții nu poate fi realizată printr-o singură investiție, ci necesită monitorizare și adaptare permanentă.
De la modelul „castelului” la arhitectura Zero Trust
Timp de mulți ani, securitatea rețelelor s-a bazat pe ideea unui perimetru bine definit. Organizația era privită ca un castel înconjurat de ziduri puternice. Dacă atacatorul nu putea trece de firewall și de sistemele de filtrare, interiorul rețelei era considerat implicit sigur.
Experiența ultimului deceniu a demonstrat că această abordare nu mai este suficientă. În momentul în care un atacator reușește să pătrundă în rețea, el beneficiază adesea de prea multă libertate de mișcare. Tocmai de aceea, conceptul Zero Trust a devenit noul standard recomandat de agențiile de securitate cibernetică din întreaga lume.
Principiul este simplu: nu se acordă încredere implicită niciunui utilizator, niciunui dispozitiv și niciunei aplicații, indiferent dacă acestea se află în interiorul sau în exteriorul rețelei organizației. Fiecare acces trebuie verificat, autentificat și autorizat în funcție de context și de nivelul de risc.
Implementarea unui model Zero Trust nu elimină posibilitatea unui atac, însă reduce semnificativ șansele ca acesta să se extindă la nivelul întregii infrastructuri. Chiar dacă un cont este compromis, accesul atacatorului rămâne limitat la resursele strict necesare acelui utilizator.
Segmentarea rețelei – o măsură simplă cu efecte majore
Una dintre cele mai eficiente măsuri împotriva mișcării laterale este segmentarea rețelei. În loc ca toate serverele să comunice liber între ele, infrastructura este împărțită în zone separate, între care traficul este controlat prin reguli stricte.
Într-o arhitectură bine segmentată, compromiterea unui server web nu ar trebui să permită accesul direct la bazele de date sau la controllerul de domeniu. În mod similar, compromiterea unei stații de lucru nu ar trebui să ofere acces automat la serverele care găzduiesc aplicațiile critice.
Această abordare nu împiedică atacul inițial, însă îi limitează drastic amploarea. În multe dintre incidentele analizate la nivel internațional, lipsa segmentării a permis atacatorilor să controleze sute sau chiar mii de sisteme pornind de la compromiterea unui singur echipament.
Pentru instituțiile care administrează infrastructuri critice, segmentarea rețelei ar trebui să reprezinte o cerință fundamentală, nu o opțiune. Ea trebuie completată de monitorizare continuă, soluții EDR/XDR, colectarea și corelarea jurnalelor într-un sistem SIEM și existența unui Security Operations Center (SOC) capabil să detecteze comportamente anormale înainte ca acestea să se transforme într-un incident de amploare.
Ce ar fi trebuit să existe înainte de atac: reziliența nu începe în ziua incidentului
După fiecare atac cibernetic major apare aceeași întrebare: „Cum ar fi putut fi prevenit?”. În realitate, întrebarea corectă este alta. În domeniul securității cibernetice, organizațiile mature pornesc de la premisa că un atac va avea loc, mai devreme sau mai târziu. Nu există infrastructuri complet impenetrabile și nu există tehnologii capabile să elimine în totalitate riscul. Diferența dintre un incident care paralizează o instituție și unul care este gestionat eficient constă în gradul de pregătire existent înainte de compromitere.
Acest mod de gândire poartă numele de cyber resilience – reziliență cibernetică. Nu este suficient să încerci să oprești atacurile; trebuie să fii pregătit să continui activitatea chiar și atunci când unul dintre mecanismele de apărare eșuează. Organizațiile moderne nu își mai construiesc strategiile pornind de la întrebarea „Cum împiedicăm orice atac?”, ci de la întrebarea „Cum limităm impactul și cât de repede putem reveni la normal?”.
Incidentul ANCPI readuce în prim-plan exact această diferență. Chiar dacă investigația oficială nu este finalizată și multe detalii tehnice nu au fost făcute publice, există o serie de bune practici unanim acceptate în industrie care reduc semnificativ impactul unui atac ransomware și accelerează procesul de recuperare. Aceste măsuri nu garantează că organizația nu va fi compromisă, însă pot transforma un incident de câteva săptămâni într-o întrerupere de câteva ore.
Backup-ul nu înseamnă reziliență
Una dintre cele mai răspândite concepții greșite este că existența unui sistem de backup rezolvă problema ransomware-ului. În practică, lucrurile sunt mult mai complicate. În ultimii ani, grupările specializate au început să atace în mod deliberat infrastructura de backup înainte de lansarea criptării, tocmai pentru a elimina posibilitatea unei recuperări rapide.
Din acest motiv, specialiștii recomandă aplicarea regulii 3-2-1-1-0, considerată astăzi unul dintre standardele de facto în domeniul protecției datelor. Organizația trebuie să păstreze cel puțin trei copii ale datelor, pe două tipuri diferite de medii de stocare, dintre care una într-o locație separată. La acestea se adaugă încă o copie care nu poate fi modificată sau ștearsă („immutable”) și verificarea periodică a faptului că restaurarea poate fi realizată fără erori.
Această ultimă componentă este adesea ignorată. Numeroase organizații descoperă în timpul unui incident real că backup-urile există, dar sunt incomplete, corupte sau imposibil de restaurat într-un timp util. Un backup netestat oferă adesea doar o falsă senzație de siguranță.
La fel de importantă este izolarea copiilor de siguranță față de infrastructura principală. Dacă serverele de backup sunt conectate permanent la aceeași rețea și utilizează aceleași conturi administrative, există riscul ca atacatorii să le compromită înainte de declanșarea ransomware-ului. Din acest motiv, tot mai multe organizații utilizează soluții de stocare immutable, copii offline („air-gapped”) sau medii de stocare care nu permit modificarea datelor pentru o perioadă prestabilită.
Disaster Recovery și Business Continuity – două concepte diferite
În multe organizații, termenii Disaster Recovery și Business Continuity sunt folosiți ca sinonime. În realitate, ei descriu două componente diferite ale rezilienței operaționale.
Disaster Recovery (DR) se referă la capacitatea tehnică de restaurare a sistemelor informatice. Include recuperarea serverelor, bazelor de date, aplicațiilor și infrastructurii de comunicații. Scopul este revenirea la o stare funcțională într-un interval de timp definit prin obiective precum RTO (Recovery Time Objective) și RPO (Recovery Point Objective).
Business Continuity (BC) privește problema din perspectiva organizației. Chiar dacă sistemele informatice sunt indisponibile, instituția trebuie să poată continua activitățile esențiale prin proceduri alternative. În cazul ANCPI, aceasta ar putea însemna existența unor fluxuri temporare pentru anumite operațiuni critice, mecanisme de prioritate pentru situațiile urgente sau proceduri clare de comunicare cu instituțiile partenere.
Lecția este simplă: un plan de Disaster Recovery fără un plan de Business Continuity poate readuce serverele online, dar nu garantează reluarea rapidă a activității.
Autentificarea multifactor și administrarea privilegiilor
În numeroase investigații privind atacuri ransomware, compromiterea unor conturi privilegiate a reprezentat momentul decisiv care a permis extinderea atacului. De aceea, autentificarea multifactor (MFA) nu mai este considerată un element opțional, ci o măsură minimă de securitate pentru toate conturile administrative și pentru accesul la distanță.
La fel de important este conceptul de Privileged Access Management (PAM). Administratorii nu ar trebui să utilizeze aceleași conturi pentru activități obișnuite și pentru administrarea infrastructurii. Conturile privilegiate trebuie izolate, monitorizate și utilizate doar atunci când este strict necesar, iar toate acțiunile efectuate cu acestea trebuie înregistrate și auditate.
În multe organizații, simpla separare a conturilor administrative și aplicarea principiului „least privilege” reduc semnificativ suprafața de atac și limitează posibilitatea ca un atacator să obțină controlul asupra întregii infrastructuri.
Exercițiile de simulare sunt la fel de importante ca tehnologia
Tehnologia reprezintă doar o parte a ecuației. O organizație poate avea cele mai moderne soluții de securitate și totuși să gestioneze defectuos un incident dacă echipele nu sunt pregătite.
Din acest motiv, instituțiile mature organizează periodic exerciții de tip tabletop, în care conducerea, echipele IT, departamentele juridice și responsabilii cu comunicarea simulează desfășurarea unui atac ransomware. Scopul nu este testarea tehnologiei, ci verificarea procesului decizional: cine ia deciziile, cine comunică public, cine contactează autoritățile competente și cum sunt prioritizate acțiunile de recuperare.
Aceste exerciții evidențiază adesea probleme care nu pot fi identificate prin audituri tehnice. Lipsa unor proceduri clare, responsabilități neclare sau dificultăți de comunicare între echipe pot întârzia semnificativ răspunsul la incident, chiar dacă infrastructura tehnică este bine protejată.
Lecțiile pentru companii, instituții și fiecare dintre noi
Deși incidentul ANCPI a afectat o instituție publică, lecțiile sale sunt valabile pentru aproape orice organizație. În prezent, criminalitatea informatică funcționează ca o industrie globală, iar dimensiunea unei companii nu mai reprezintă un criteriu de selecție. Atacatorii caută oportunități, nu neapărat notorietate.
Una dintre cele mai periculoase idei este convingerea că „noi suntem prea mici pentru a interesa hackerii”. În realitate, multe atacuri sunt complet automatizate. Roboți software scanează permanent internetul în căutarea unor servere vulnerabile, a unor servicii expuse sau a unor aplicații neactualizate. În momentul în care identifică o vulnerabilitate exploatabilă, dimensiunea organizației devine secundară.
Pentru companii, investiția în securitate nu mai trebuie privită exclusiv ca un cost, ci ca o componentă a continuității afacerii. Un incident major poate produce pierderi financiare, întreruperea activității, sancțiuni legate de protecția datelor și afectarea reputației construite în ani de zile. Costul prevenirii este, în majoritatea cazurilor, considerabil mai mic decât costul recuperării.
La nivel instituțional, atacul asupra ANCPI ar trebui să accelereze dezvoltarea unei culturi a rezilienței. Nu este suficientă achiziția unor echipamente noi sau implementarea unor aplicații moderne. Este nevoie de investiții constante în oameni, în procese și în capacitatea de răspuns la incidente. Securitatea cibernetică nu aparține exclusiv departamentului IT; ea trebuie să devină o responsabilitate comună a conducerii, a angajaților și a tuturor partenerilor implicați în funcționarea unei organizații.
Pentru cetățeni, poate cea mai importantă concluzie este că infrastructura digitală a statului influențează direct viața de zi cu zi. Plata taxelor, accesul la servicii medicale, obținerea documentelor de identitate, tranzacțiile imobiliare sau relația cu autoritățile depind din ce în ce mai mult de funcționarea unor sisteme informatice complexe. Protejarea acestora nu este doar o problemă tehnică, ci o condiție esențială pentru funcționarea unei societăți moderne.
Un semnal de alarmă pe care România nu ar trebui să îl ignore
Atacul asupra ANCPI nu trebuie privit doar ca o știre despre un sistem informatic indisponibil sau despre întârzieri în tranzacțiile imobiliare. El reprezintă o demonstrație concretă a faptului că securitatea cibernetică a devenit un element esențial al securității economice și instituționale. Într-o societate în care aproape toate serviciile publice sunt digitalizate, un atac asupra infrastructurii informatice poate produce efecte comparabile cu întreruperea alimentării cu energie electrică sau cu blocarea unei rețele de transport.
Există însă și o perspectivă optimistă. Fiecare incident major oferă oportunitatea de a învăța și de a construi sisteme mai reziliente. Experiența altor state arată că cele mai importante progrese în domeniul securității cibernetice au apărut adesea după atacuri care au evidențiat vulnerabilități semnificative. Diferența este făcută de modul în care organizațiile și autoritățile aleg să răspundă acestor lecții.
Pentru România, cazul ANCPI poate reprezenta un moment de cotitură. El ar trebui să conducă la investiții mai consistente în protecția infrastructurilor critice, la consolidarea cooperării dintre instituțiile publice și mediul privat, la dezvoltarea unor centre moderne de monitorizare și răspuns la incidente și la pregătirea continuă a specialiștilor care administrează aceste sisteme.
În același timp, incidentul transmite un mesaj clar și pentru mediul privat: securitatea cibernetică nu mai este un avantaj competitiv, ci o condiție de bază pentru desfășurarea activității. Fie că vorbim despre o instituție publică, o bancă, o companie de logistică sau o firmă cu câțiva angajați, întrebarea nu mai este dacă un atac este posibil, ci cât de pregătiți suntem atunci când el se va produce.
Digitalizarea rămâne una dintre cele mai importante oportunități de dezvoltare ale României. Însă digitalizarea fără securitate și fără reziliență poate transforma progresul tehnologic într-o vulnerabilitate. Atacul asupra ANCPI ne reamintește că încrederea într-un stat digital nu se construiește doar prin aplicații moderne și servicii online, ci prin capacitatea de a le proteja, de a le menține funcționale și de a răspunde eficient atunci când sunt puse la încercare. Acesta este, poate, cel mai valoros câștig pe care îl putem obține dintr-un incident pe care nimeni nu și l-ar fi dorit.
Surse:
Când va fi funcțională aplicația ANCPI, afectată de atacul cibernetic