Atacul cu troian asupra Direcției Fiscale Brașov: încă o instituție publică pusă la pământ de un malware

Site-ul Direcției Fiscale din Brașov a fost scos din funcțiune după ce serverul care găzduiește platforma a fost compromis printr-un atac cu malware de tip troian. Reacția administrației locale a fost cea corectă din punct de vedere tehnic: izolarea imediată a serverului, chiar cu prețul indisponibilității serviciilor online pentru contribuabili. E o decizie care limitează pagubele pe termen scurt, dar care arată totodată cât de fragilă rămâne infrastructura digitală a instituțiilor publice românești în fața unor atacuri relativ banale ca tip.

Detaliul important, și în același timp îngrijorător, este că autoritățile nu au putut încă stabili modul în care s-a produs compromiterea. Un troian ajunge rareori singur pe un server public. De cele mai multe ori exploatează o vulnerabilitate nepatchată, o configurare greșită, un email de phishing deschis de cineva din interior sau credențiale slabe expuse undeva. Fără o anchetă tehnică riguroasă, care să identifice vectorul de intrare, riscul ca același tip de atac să se repeată peste câteva luni, la aceeași instituție sau la alta similară, rămâne foarte real.

Cazul Brașov nu este izolat. Instituțiile publice din România, de la primării la direcții fiscale și spitale, au devenit ținte frecvente pentru grupări care exploatează faptul că bugetele pentru securitate cibernetică sunt adesea insuficiente, iar personalul specializat lipsește. Nu este vorba neapărat de atacuri sofisticate de tip stat-națiune, ci de campanii oportuniste care găsesc uși deschise. Asta face problema și mai gravă: multe dintre aceste incidente ar putea fi prevenite prin măsuri de bază, actualizări la timp, segmentarea rețelei, autentificare multifactor și monitorizare continuă a traficului.

Un aspect care merită urmărit este dacă atacul a afectat doar disponibilitatea site-ului sau a existat și acces neautorizat la date. Deocamdată nu există indicii publice de compromitere a bazelor de date, dar o direcție fiscală gestionează informații fiscale și personale ale contribuabililor, exact genul de date a căror expunere ar transforma un incident de disponibilitate într-o breșă de confidențialitate cu consecințe mult mai serioase. Verificările tehnice ulterioare ar trebui să lămurească acest aspect, iar comunicarea publică despre rezultate contează la fel de mult ca reacția inițială.

Modul în care Primăria Brașov a gestionat comunicarea, anunțând incidentul și promițând actualizări, este un exemplu de transparență minimă, dar necesară. Multe instituții aleg tăcerea sau minimizarea, ceea ce erodează încrederea cetățenilor și întârzie reacția altor entități care ar putea fi vizate de același atacator.

Ce înseamnă pentru conformitate

Sub NIS2, o direcție fiscală sau o primărie care operează servicii publice esențiale intră frecvent în categoria entităților care trebuie să raporteze incidente semnificative către autoritatea competentă, în termene stricte, de regulă 24 de ore pentru notificarea inițială. Un atac cu malware care duce la indisponibilitatea unui serviciu public este exact tipul de eveniment care declanșează această obligație. Dacă se confirmă ulterior că au fost expuse date cu caracter personal, intervine și obligația de notificare către ANSPDCP conform GDPR, în termen de 72 de ore de la constatare. Instituțiile publice ar trebui să aibă deja planuri de răspuns la incidente testate, nu improvizate în ziua atacului, pentru că exact viteza și claritatea reacției fac diferența între un incident controlat și o criză de încredere publică.