În iulie 2026, Agenția Națională de Cadastru și Publicitate Imobiliară (ANCPI) a trecut prin cea mai amplă întrerupere tehnică din istoria sa. Aplicația e-Terra, e-mailul instituției și celelalte sisteme informatice au căzut în urma unui atac ransomware. Raportul tehnic intermediar publicat de Directoratul Național de Securitate Cibernetică (DNSC) este una dintre cele mai detaliate analize publice ale unui incident într-o instituție românească și merită citit de orice responsabil IT din administrație sau din mediul privat.
Cum s-a desfășurat atacul
Potrivit DNSC, atacatorii au intrat pe 10 iulie printr-o vulnerabilitate cunoscută de mult timp într-o componentă de autentificare (OpenAM/ForgeRock), expusă public și legată de platforma de plăți online. De acolo au obținut credențiale de administrator, s-au deplasat lateral prin rețea și au ajuns la consola centrală de virtualizare. Incidentul a fost detectat abia pe 13–14 iulie, după mai bine de 86 de ore. Atacul a fost atribuit grupării ByteToBreach33 și a fost de tip „dublă extorsiune”: date copiate, apoi criptare și ștergere.
Din inventarul de 1.083 de mașini virtuale enumerate de atacatori, aproximativ 100 au fost șterse. Au fost afectate, printre altele, e-Terra, platforma de plăți, MyEterra, geoportalul, dar și aplicații folosite zilnic de primării, precum Registrul Electronic Național al Nomenclaturilor Stradale și Registrul Agricol Național. DNSC notează că, din informațiile disponibile, nu rezultă un acces al atacatorilor la baza de date centrală a cadastrului, iar ANCPI a transmis că datele administrate sunt în siguranță.
La sfârșitul lui iulie, Guvernul a anunțat mutarea e-Terra în Cloudul Guvernamental, cu teste de securitate făcute de DNSC și STS înainte de repunerea în funcțiune. În paralel, toate instituțiile publice centrale și locale au primit o informare prin care li se cere să verifice cu prioritate protecția sistemelor, existența și testarea copiilor de siguranță și planurile de continuitate și de răspuns la incidente.
Ce a făcut posibil atacul
Concluziile DNSC nu indică un singur punct slab, ci o combinație de probleme întâlnite, din păcate, în multe organizații:
- Echipamente ieșite din suport: firewall-urile, soluția WAF și platforma de virtualizare rulau versiuni care nu mai primeau actualizări de securitate;
- Jurnalizare insuficientă: WAF-ul păstra jurnalele doar 7 minute și nu exista un sistem centralizat de colectare a logurilor;
- Segmentare aproape inexistentă: din rețeaua serverelor de producție se putea ajunge direct la consola de administrare a virtualizării;
- Aceleași parole de administrator folosite pe mai multe sisteme, astfel încât o singură parolă spartă a deschis aproape toate ușile.
Lecții pentru primării, școli și firme
Nu trebuie să fii o agenție națională ca să ai aceleași probleme. Un server de fișiere vechi, un NVR expus în internet sau o parolă de administrator comună tuturor echipamentelor creează exact aceleași condiții, la scară mai mică. Recomandările DNSC din raport se pot aplica direct:
- Actualizați tot ce este expus în internet și înlocuiți echipamentele de securitate fără suport.
- Folosiți autentificare multifactor pentru VPN, conturile de administrator și serviciile accesibile de la distanță.
- Segmentați rețeaua: zonă DMZ pentru serviciile publice, rețea separată pentru administrare, VLAN-uri dedicate pentru camere și echipamente IoT.
- Nu refolosiți parolele de administrator și aplicați principiul privilegiului minim pentru conturile de serviciu.
- Centralizați jurnalele și păstrați-le suficient de mult încât un incident să poată fi reconstituit.
- Aveți trei niveluri de backup: unul operațional, pentru restaurări rapide; unul imuabil, care nu poate fi șters sau criptat înainte de expirarea retenției; și unul offsite, într-o altă locație sau în cloud. Și testați periodic restaurarea.
- Pregătiți un plan de continuitate: ce se întâmplă, concret, dacă mâine dimineață nu funcționează niciun server.
Concluzie
Raportul DNSC arată că atacurile mari pornesc, de obicei, de la greșeli mici, lăsate nerezolvate prea mult timp. Southwest Digital oferă servicii de mentenanță IT, backup și securitate pentru instituții și firme și vă poate ajuta să verificați care dintre aceste puncte slabe există și în infrastructura dumneavoastră.