Raportul privind atacul cibernetic de la ANCPI arată modul în care atacatorii au exploatat sisteme învechite, s-au infiltrat adânc în reţea şi au distrus metodic inclusiv copiile de siguranţă ale datelor de cadastru înainte de a lansa faza finală de criptare prin ransomware-ul Black Basta.
Atacul cibernetic de la ANCPI nu a avut la bază tehnici sofisticate moderne, ci a exploatat o neglijenţă gravă: rularea unor versiuni software extrem de vechi, neactualizate de ani de zile, scrie în raportul DNSC.
Cronologia întocmită de DNSC arată că accesul iniţial al atacatorului a avut loc vineri, 10 iulie 2026, ora 15:23:57, confirmat exclusiv pe baza capturilor de ecran publicate ulterior de acesta, datele nu au putut fi confirmate şi din surse tehnice interne ale ANCPI, din cauza lipsei unui server centralizat de colectare a fişierelor jurnal şi a faptului că maşinile virtuale vizate au fost ulterior şterse de atacator. Incidentul a fost detectat la nivel ANCPI abia marţi, 14 iulie, ora 05:45, practic, timp de trei zile şi 14 ore, specialiştii IT ai instituţiei nu au ştiut că sunt sub atac.
ANCPI a anunţat public, pe Facebook, marţi la ora 09:00, că „o parte din sistemele informatice ale agenţiei sunt temporar indisponibile ca urmare a unui incident tehnic aflat în curs de investigare”, iar incidentul a fost raportat oficial către DNSC prin platforma naţională PNRISC în aceeaşi zi, la ora 18:41. Miercuri, 15 iulie, ora 08:00, echipa DNSC s-a prezentat la sediul ANCPI pentru verificări preliminare, iar la ora 15:00 instituţia a confirmat oficial că incidentul a fost cauzat de un atac cibernetic.
Conform dovezilor tehnice din raport, vectorul de atac iniţial a fost o versiune extrem de învechită a platformei de management al identităţii OpenAM. Atacatorii au exploatat o vulnerabilitate critică, au pătruns în server şi şi-au scris propriile comenzi, deschizând „o conexiune de tip reverse shell de la IP-ul public al ANCPI (86.105.218.12) către infrastructura proprie”. Pentru a ocoli firewall-ul instituţiei, au direcţionat conexiunea către un port care lăsa impresia unui trafic de reţea legitim. Conexiunea s-a întors către un IP controlat de atacatori, aparţinând furnizorului Alexhost SRL, din Chişinău, Republica Moldova.
Odată intraţi în sistem, atacatorii au colectat rapid amprentele digitale ale parolelor stocate, concentrându-se pe conturile echipei de dezvoltare, care le puteau oferi drepturi de acces mai mari. Au găsit apoi un punct de pivotare esenţial: serverul de monitorizare a reţelei Zabbix, prin care au reuşit să ocolească restricţiile interne de comunicare între segmentele de reţea, permiţându-le să scaneze şi să compromită şi alte servere interne.
Pe o captură de ecran, atacatorii au notat: „There is many projects, with the main ones centered around IT system of Romanian cadastre ‘eTerra’. There is GIS, ePayments, and other projects.” Înainte de a distruge sistemele infiltrate, atacatorii au copiat cantităţi mari de informaţii din baza de date în care sunt gestionate conturile, parolele şi drepturile de acces ale utilizatorilor, într-o strategie de şantaj dublu: criptarea sistemelor, cu cerere de răscumpărare pentru decriptare, şi ameninţarea cu publicarea datelor furate.
Până pe 13 iulie 2026, întreaga structură a reţelei ANCPI fusese copiată în fişiere JSON de mari dimensiuni, printre care computers.json (16,4 MB), users.json (9,2 MB), groups.json (3,9 MB) şi ous.json (1,5 MB), postate ulterior pe forumuri de criminalitate cibernetică, sub pseudonimul ByteToBreach.
Faza cea mai distructivă a atacului a fost eliminarea sistematică a oricărei posibilităţi de recuperare rapidă a datelor: atacatorii au localizat consola de management a backup-urilor şi au lansat sarcini programate de ştergere a acestora, trecând apoi la serverele virtuale. Într-o notă recuperată de DNSC, aceştia au scris: „There is no modern vSphere infra, so i will run a mix of gpac, /sbin/backup tampering and maybe some APIs… This will be so painful…” După preluarea controlului serverelor virtuale, fişierele au fost criptate cu ransomware-ul Black Basta.
Nota de răscumpărare tradusă de DNSC spune: „Pe lângă datele cetăţenilor României, din diversele baze de date colectate de-a lungul reţelelor ANCPI, există şi o copie a serverelor GitLab care conţin codul sursă pentru toate sistemele lor, precum eTerra şi RENNS, precum şi o implementare a micuţului meu ransomware. Site-ul oficial al guvernului a anunţat oprirea sistemelor IT din cauza unor «chestiuni tehnice», dar aceasta este o formulare mult prea blândă.”
ByteToBreach este un actor cibernetic motivat financiar, care operează simultan ca broker de acces şi comerciant de date compromise, potrivit raportului DNSC. Atacatorii vizează sisteme expuse la internet, obţinând acces prin exploatarea vulnerabilităţilor sau prin credenţiale furate, cu scopul extragerii bazelor de date sensibile pentru şantaj. Analiza indică un singur operator tehnic sau o echipă restrânsă, susţinută de gestionarea consecventă a identităţii şi comunicarea centralizată.
„Activitatea grupării a debutat în iunie 2025 pe platforme precum DarkForums, axându-se pe compromiterea oportunistă a unor organizaţii cu expunere tehnică ridicată din sectoarele financiar, telecomunicaţii şi administraţie publică, un reper incipient fiind accesarea infrastructurii Eurofiber prin exploatarea platformei GLPI”, se mai precizează în raport.
Specialiştii DNSC concluzionează că atacul era complet previzibil. „Începând cu luna octombrie 2024, DNSC a transmis către ANCPI mai multe alerte şi recomandări referitoare la vulnerabilităţi aplicabile infrastructurilor acestei instituţii şi a avut interacţiuni cu instituţia privind o serie de incidente cibernetice la nivelul ANCPI”, scrie în raport. Amploarea atacului a fost favorizată, potrivit DNSC, de software învechit, o reţea internă foarte puţin segmentată şi folosirea aceloraşi parole de administrator pe mai multe sisteme.
ANCPI a transmis, referitor la materialul publicat de G4Media: „Precizăm că informaţiile recente (…) nu sunt unele noi şi nu aduc elemente suplimentare faţă de cele deja circulate în mediul online, ori comunicate şi documentate anterior de către Directoratul Naţional de Securitate Cibernetică (DNSC) sau de alte autorităţi competente. (…) Acest document datat 22 iulie 2026 (…) este o anexă tehnică aferentă unei informări preliminare din partea DNSC destinată unui număr de autorităţi competente ale statului român. Anexa nu este clasificată, dar nu a fost destinată publicării. Publicarea sa în mediul online nu a fost efectuată cu acordul sau cu sprijinul DNSC. Documentul invocat în acest material nu reprezintă raportul final al DNSC privind incidentul cibernetic (…). La data de 2 septembrie 2026, DNSC nu a emis încă raportul tehnic final privind incidentul ANCPI.”
Fii la curent cu tot ce contează în business-ul din România și abonează-te la canalul nostru de Whatsapp Forbes Romania.
De asemenea, intră în comunitatea Forbes România de pe Facebook și urmărește cele mai importante știri, analize și noutăți din business-ul local și nu numai.
