ANCPI a fost lovită de ransomware pentru că nimeni nu a pus antivirus pe servere
Serverele care rulau aplicațiile esențiale ale Cadastrului nu aveau niciun antivirus instalat. Nu e o presupunere, ci concluzia raportului tehnic intermediar publicat de Directoratul Național de Securitate Cibernetică (DNSC) după atacul ransomware asupra ANCPI. Soluția Bitdefender exista în infrastructură, dar acoperea doar stațiile de lucru ale angajaților. Serverele, adică exact componenta cea mai expusă și cea mai valoroasă pentru un atacator, au rămas neprotejate.
Rezultatul: atacatorii au preluat controlul platformei de administrare virtuală, au scanat toate cele 1.083 de mașini virtuale din infrastructură, au șters aproximativ 100 dintre ele și au criptat serverele critice. Printre aplicațiile scoase din funcțiune se numără eTerra, MyEterra, ePayment, Registrul Agricol Național și geoportalele folosite de primării, adică exact sistemele prin care notari, cetățeni și instituții locale interacționează zilnic cu Cadastrul.
Ce a mers prost, punct cu punct
Raportul DNSC nu descrie un atac sofisticat imposibil de prevenit, ci o serie de eșecuri elementare de igienă cibernetică, acumulate probabil de ani de zile:
- lipsa antivirusului la nivel de server, deși soluția era licențiată și funcțională pe stații de lucru
- parole reutilizate, ceea ce a permis probabil mișcarea laterală a atacatorilor prin rețea odată ce au obținut un prim set de credențiale
- monitorizare deficitară: firewall-ul pentru aplicații web păstra jurnalele de conexiune doar șapte minute, un interval absurd de scurt pentru orice investigație ulterioară sau detectare timpurie a unui atac în desfășurare
Această combinație explică de ce incidentul a putut escalada de la o breșă inițială la compromiterea aproape completă a infrastructurii. Fără loguri persistente, echipele tehnice nu au avut de unde să reconstituie rapid traseul atacatorilor prin sistem, ceea ce a dat timp suplimentar pentru scanare, ștergere și criptare.
Ce au luat atacatorii
Dincolo de blocarea operațională, raportul confirmă exfiltrarea de date și cod sursă. Pirații cibernetici au extras din platforma internă GitLab codul sursă al unor proiecte esențiale, inclusiv module de securitate și fișiere folosite la procesarea plăților. Practic, atacatorii dețin acum radiografia internă a unor mecanisme de securitate ale ANCPI, ceea ce facilitează planificarea unor atacuri viitoare, fie asupra aceleiași instituții, fie asupra unor sisteme similare.
Au fost furate și două milioane de înregistrări cu date personale: e-mailuri și parole criptate ale utilizatorilor externi ai platformei de plăți, plus credențiale administrative ale rețelei interne. Pentru cei doi milioane de utilizatori afectați, riscul concret e reutilizarea acelorași parole pe alte servicii, ceea ce transformă o breșă la o instituție publică într-un vector de fraudă pe conturi bancare sau alte platforme private.
Există și o veste relativ bună în raport: baza de date principală Oracle Exadata nu pare compromisă, datele fiind salvate prin replicare periodică la un centru din Brașov. Este exact tipul de măsură de continuitate care a limitat o catastrofă completă, chiar dacă restul infrastructurii a suferit distrugeri masive.
De ce contează acest raport dincolo de ANCPI
Cazul ANCPI e relevant nu doar ca incident izolat, ci ca ilustrare a unui tipar pe care legislația NIS2, transpusă în România prin Legea 124/2025 și detaliată prin OUG 155/2024, încearcă explicit să îl elimine la entitățile esențiale și importante. Administrația publică centrală, categoria din care face parte ANCPI, intră sub incidența acestui cadru, iar raportul DNSC descrie aproape manualul de ce nu trebuie făcut: lipsa unor măsuri tehnice minime de protecție a rețelelor și sistemelor informatice, absența unei politici de gestionare a parolelor și insuficiența capacităților de monitorizare și logare a evenimentelor de securitate.
Obligațiile de bază pentru entitățile aflate sub NIS2 nu sunt teoretice: politici de analiză de risc, măsuri de securitate pentru lanțul de aprovizionare, gestionarea vulnerabilităților, criptarea datelor și, esențial pentru acest caz, capacitatea de a detecta și raporta incidente în timp util. Un firewall care păstrează jurnale doar șapte minute nu poate susține niciun proces credibil de detectare timpurie, indiferent cât de bine sunt scrise procedurile pe hârtie.
Pentru orice organizație, publică sau privată, care se regăsește sub incidența noii legi, cazul ANCPI oferă un test practic util: soluțiile de securitate declarate în inventar acoperă efectiv toate componentele critice, inclusiv serverele, sau doar echipamentele vizibile, precum stațiile de lucru? Diferența, așa cum arată acest incident, poate fi între un atac contenit rapid și paralizarea completă a unor servicii publice folosite de milioane de oameni.