„Atacul cibernetic asupra infrastructurii IT a Agenției Naționale de Cadastru (ANCPI) a debutat vineri, 10 iulie, la 15:23, când atacatorul a exploatat o vulnerabilitate cunoscută din 2021, a unei mașini expuse public, care avea rolul de a gestiona autentificarea utilizatorilor la serverul aplicației ePay al ANCPI”, a detaliat, în Parlament, Andrei Iacoboaiei, adjunct al directorului DNSC.
Generalul Anton Rog, șeful centrului CyberInt din SRI, a spus că investigațiile au identificat „compromiteri și vulnerabilități critice la nivelul anului 2021, aspecte care au fost comunicate primului ministru la momentul respectiv, conducerii MDLPA și ANCPI”. Comisiile de IT reunite ale Parlamentului au audiat oficialii ANCPI, DNSC, SRI și STS, cu privire la gestionarea atacului cibernetic asupra ANCPI, anunțat pe 14 iulie și care a blocat toată piața imobiliară. Activitatea ANCPI ar putea fi repornită integral săptămâna viitoare, estimează conducerea Agenției de Cadastru.
Eduard Gheorghe, directorul direcției IT al ANCPI, a povestit descoperirea atacului astfel: „Pe 14 iulie dimineața, la 6 fără un sfert, în cadrul unor activități de mentenanță obișnuite, am descoperit atacul cibernetic. Am anunțat conducerea, instituții ale statului etc. Primul lucru a fost să izolăm componentele sistemului — bazele de date, replicările, copiile de siguranță să fie deconectate de la cea principală etc., adică am luat măsuri de izolare a incidentului. În interval de 2-3 zile am constatat și alte mișcări laterale ale atacatorului, moment în care am decis că infrastructura din centrul nostru de date trebuie să o considerăm compromisă. Am apelat la sprijinul instituțiilor, în primul rând STS ca administrator al cloudului privat guvernamental să ne găzduiască. Din acel moment am pornit procesul de migrare a aplicațiilor din infrastructura noastră în cloud.”
Mircea Popa, directorul general adjunct al ANCPI, a adăugat: „Încercăm alături de colegii de la alte instituții să luăm cele mai bune măsuri. O parte din aplicații au fost pornite și cred că cel târziu săptămâna viitoare vom reporni integral activitatea.” Directorul IT a fost însă mai rezervat: „Săptămâna viitoare este ținta noastră, sub rezerva a ce descoperim din punctul de vedere al siguranței și al securității datelor.”
Andrei Iacoboaiei a explicat mecanismul atacului: „Vorbim de un atac de tip ransomware, cu dublă extorsiune, produs în perioada 10-14 iulie 2026. (…) A fost destul de elementar pentru a ajunge pe acest server.” Ulterior, atacatorul a instalat un script malițios pentru comenzi de la distanță, a decriptat credențiale de administrare și s-a autentificat spre un al doilea server responsabil de gestionarea identității utilizatorilor serverului de plăți, obținând acces, încă din prima zi, la două servere importante ale sistemului de plăți.
Atacatorul a afirmat ulterior că a accesat o bază de circa 2 milioane de înregistrări, informație pe care DNSC nu a putut-o confirma: „Până la acest moment nu putem confirma și DNSC nu a identificat în spațiul public această bază de date. Monitorizarea este activă.”
Sâmbătă și duminică, 11-12 iulie, atacul s-a extins: pe 11 iulie, atacatorul a stabilit conexiuni către un server de comandă și control din Spania, iar duminică a ajuns, tot prin vulnerabilități din 2021, pe serverul responsabil de managementul ciclului de viață al produselor software, expunând codul sursă al aplicațiilor e-Terra, RENNS și al unor module de plăți electronice. “Duminică o mare parte din infrastructură era compromisă”, a precizat expertul DNSC.
Luni, 13 iulie, atacatorul a încercat, între orele 15:51 și 21:09, să acceseze consola centrală de administrare a infrastructurii virtualizate, reușind la ora 21:09, cu contul administrator@ancpi.ro. „De ce spun administrator? Pentru că nu am identificat tentative de spargere a acestui cont, dar cu o zi înainte atacatorul decriptase o parolă cu drepturi de administrare de pe acel server unde se jurnalizau codurile sursă. Și acea parolă a funcționat și pentru administrator. Deci ANCPI a folosit pe conturi diferite aceeași parolă de administrare”, a atenționat Andrei Iacoboaiei.
Odată ajuns pe consola centrală, atacatorul a avut acces la întreaga infrastructură: „A putut să vadă toate cele 1.083 de mașini virtuale și servere, a identificat acele servere care aveau rolul de a gestiona utilizatorii interni ai ANCPI și (…) a reușit să exfiltreze sau să copieze un disc al unei mașini virtuale (…) către un server de comandă și control din Spania. (…) Ulterior, atacatorul din postura de «administrator» al acestei infrastructuri virtuale, a șters 100 de mașini virtuale pe care le-a identificat și a început să cripteze sistemul.” Concluzia expertului DNSC: “Nu a fost atacat foarte sofisticat din perspectiva DNSC, ci un atac derulat prin exploatarea unor vulnerabilități cunoscute.”
Generalul Anton Rog l-a criticat pe expertul DNSC pentru informațiile prezentate: “Dați foarte multe detalii tehnice care ajută atacatorul.” Andrei Iacoboaiei s-a apărat, spunând că datele sunt deja publice, dintr-un raport preliminar. Rog a insistat: „E greșit că ați făcut și raportul. Nu trebuia să-l dați nicăieri. I-ați creat un avantaj major atacatorului.” Expertul DNSC a replicat: “Atacatorul și-a expus deja tot atacul pe internet. Toate datele colectate și analizate de DNSC au fost transmise DIICOT în cadrul dosarului penal pe care-l instrumentează. Ce expun acum sunt date care nu vulnerabilizează.”
Generalul Rog a confirmat că atacul de tip ransomware, derulat de actorul cybercrime ByteToBreach, a avut loc în perioada 10-14 iulie 2026: „Atacul a condus la indisponibilizarea mai multor sisteme publice pentru o perioadă semnificativă de timp și anume: e-Terra, ePay, MyeTerra, Registrul proprietarilor, geoportalul ANCPI, registrul electronic național al nomenclaturilor stradale etc. Atacatorul a șters aproape 1.000 de servere virtuale din rețeaua ANCPI printre care serverele de domeniu, platforma de securitate, sistemul ePay, unele medii de producție, și registrul de nomenclaturi stradale.”
Investigația a fost îngreunată de ștergerea serverului considerat punct inițial de compromitere, împreună cu log-urile necesare reconstituirii complete a atacului. „Punctul inițial de compromitere a fost componenta de autentificare OpenAM, o soluție open-source de tip identity access management din cadrul platformei de plată online ePay.ANCPI.ro, prin exploatarea căreia atacatorul a obținut acces în rețeaua internă”, a explicat Rog. El a mai precizat că printre victimele publicate de atacator se numără și entități din Federația Rusă, Uzbekistan și Ucraina — o particularitate care îl diferențiază de alți atacatori ce evită deliberat spațiul fostei Uniuni Sovietice.
Șeful CyberInt a subliniat trei vulnerabilități principale: folosirea unor parole cu nivel redus de complexitate, sisteme vechi neactualizate de mai mulți ani și reguli permisive de acces în rețeaua internă. “De exemplu: p@ssw0rd (password), care în orice dicționar de spart parole e în primele 10, adică durează 100 de milisecunde ca să o ghicească și să intre în sistem, reutilizate pe perioade îndelungate inclusiv pe conturile de administrator”, a explicat Rog. “Utilizarea unor parole fără grad ridicat de complexitate și conturi cu acces extins au permis atacatorului să deruleze în mod facil activități de escaladare a privilegiilor și mișcare laterală în cadrul rețelei interne care au condus la compromiterea întregii infrastructuri.”
Deși ANCPI se numără printre cei 122 de beneficiari ai proiectului “Țițeica” — un Security Operating Center operat de CyberInt —, platforma e-Terra nu fusese inclusă în lista resurselor protejate. “Deși ANCPI este beneficiar în cadrul proiectului Țițeica, instituția nu a inclus platforma e-Terra la niciun moment în lista resurselor necesare a fi protejate prin Țițeica astfel că aceasta s-a aflat în afara ariei de protecție a sistemului. (…) Există un acord cu fiecare dintre ele în care, la buna înțelegere, instituția decide ceea ce dorește să protejeze prin acest sistem”, a precizat Rog.
Generalul a mai subliniat că SRI a avertizat instituțiile despre vulnerabilități în mod repetat: “Numai în anul 2025 am trimis 233 de informări legate de vulnerabilități, nu numai la ANCPI, ci în general în arcul guvernamental, iar în perioada 2021-2026 am trimis 1.304 informări către diverse instituții din arcul guvernamental cu vulnerabilitățile de ordin tehnic, procedural sau uman pe care le au în interior.”
Rog a confirmat parteneriatul public-privat din investigație: „În cadrul investigației tehnice, informațiile obținute au fost analizate și validate în colaborare cu specialiștii Bitdefender, deci a fost un parteneriat public privat cel puțin din partea CyberInt cu compania românească renumită Bitdefender. Mai mult, ca urmare a identificării unor deficiențe de implementare ale programului ransomware, echipele tehnice ale CNC și Bitdefender au reușit să dezvolte un instrument de decriptare care să sprijine recuperarea sistemelor afectate.” Platforma e-Terra a fost repusă în funcțiune începând cu 11 august 2026.
Șeful CyberInt a mai precizat că investigațiile au permis identificarea altor infrastructuri IT publice compromise de atacator pe teritoriul UE, instituțiile partenere fiind avertizate: “Am avertizat un număr semnificativ de țări europene (…) care au evitat astfel consecințele grave ale unui atac (…). De asemenea, am avertizat un număr mai mic de țări ale căror infrastructuri erau scanate în vederea atacului și ele au luat măsuri.”
Adrian Balog, coordonatorul direcției de securitate cibernetică din STS, a precizat: „Rolul STS a fost strict unul de suport tehnic, de specialitate, la solicitarea instituției afectate, care practic a solicitat migrarea serviciilor critice în zona de cloud guvernamental, respectiv sprijin în procesul de restaurare a serviciilor expuse. La momentul incidentului, ANCPI administra și gestiona direct serviciile IT&C și mecanismele de securitate în infrastructura proprie.” El a adăugat: “Am provizionat resursele de cloud necesare conform cerințelor ANCPI, am restabilit fluxurile de comunicații între bazele de date existente la nivelul ANCPI și infrastructura mutată în cloud (…). Pe toată durata de restaurare nu s-au înregistrat incidente sau alte tentative noi de compromitere.”
Alina Săvoiu, directoarea juridică a Autorității pentru Protecția Datelor cu Caracter Personal (ANSPDCP), a declarat: „Noi am aflat de incident din presă, ne-am autosesizat, am început o investigație din oficiu. În mod normal operatorii de date ar trebui să ne anunțe atunci când au incidente de securitate care implică date personale în 72 de ore. Nu am fost anunțați, am început investigația din oficiu. Am cerut informațiile necesare, am primit o parte din ele, din evaluarea echipei de control au fost insuficiente la acel moment, am cerut noi informații și încă suntem în așteptarea lor.” Autorității i s-a promis un raport final acum o lună de zile: “În lipsa acestor informații nu putem finaliza deocamdată investigația.”
Fii la curent cu tot ce contează în business-ul din România și abonează-te la canalul nostru de Whatsapp Forbes Romania.
De asemenea, intră în comunitatea Forbes România de pe Facebook și urmărește cele mai importante știri, analize și noutăți din business-ul local și nu numai.
