Raportul final al DNSC privind incidentul cibernetic de la ANCPI conturează o imagine incomodă pentru una dintre cele mai importante infrastructuri publice din România: atacul nu a fost posibil doar prin priceperea agresorilor, ci și prin acumularea unor vulnerabilități vechi, cunoscute și netratate la timp. Atacatorii au exploatat o versiune foarte veche a platformei OpenAM, au pătruns în rețea, au avansat lateral, au șters copiile de siguranță și au declanșat apoi criptarea prin ransomware-ul Black Basta.
Un atac care a profitat de timp, nu de sofisticare
În centrul raportului stă o concluzie simplă și severă: infrastructura de la Cadastru a fost îngenuncheată de o combinație între expunerea unor servicii publice cu vulnerabilități critice și propriile slăbiciuni operaționale ale instituției. Iar costul real nu a fost doar indisponibilitatea sistemelor, ci și întârzierea cu care atacul a fost observat.
Peste 86 de ore până la detectare
DNSC arată că ANCPI a avut nevoie de 3 zile și 14 ore pentru a înțelege că se află sub atac. Accesul inițial al atacatorilor este indicat în raport pentru vineri, 10 iulie 2026, la ora 15:23:57, iar detectarea incidentului la nivelul instituției a fost consemnată abia marți, 14 iulie 2026, la ora 05:45. Cu alte cuvinte, atacatorii au avut un interval amplu pentru a se mișca în interiorul rețelei fără să fie opriți.
Raportul notează și o limitare importantă a investigației: ANCPI nu dispunea de un server centralizat de colectare și stocare a jurnalelor, iar unele mașini virtuale vizate au fost ulterior șterse de atacatori. Într-o astfel de situație, fiecare oră pierdută înseamnă mai puține urme, mai puține confirmări tehnice și mai mult spațiu pentru distrugere.
Intrarea în sistem: o vulnerabilitate veche, un port aparent legitim
Conform DNSC, vectorul inițial de atac a fost o versiune extrem de învechită a OpenAM, platformă folosită pentru gestionarea identității și a accesului. Atacatorii au exploatat o vulnerabilitate critică și au reușit să execute comenzi pe server, deschizând o conexiune de tip reverse shell de la IP-ul public al ANCPI către infrastructura lor. Pentru a ocoli filtrarea de rețea, au folosit un port care putea părea trafic legitim, iar conexiunea a fost direcționată către un IP asociat unui furnizor din Chișinău, Republica Moldova, potrivit raportului.
De aici, atacul a intrat într-o fază clasică pentru operațiunile de tip ransomware cu componentă de extorcare: colectare de credențiale, căutare de conturi cu privilegii mai mari și identificarea unor puncte de pivotare care să permită mișcarea în rețea fără a declanșa imediat alarme. DNSC arată că atacatorii au vizat în special conturile echipei de dezvoltare și au folosit apoi serverul de monitorizare Zabbix pentru a ocoli restricțiile dintre segmentele de rețea.
De la acces la șantaj dublu
Pe măsură ce au explorat infrastructura, atacatorii au înțeles valoarea datelor la care aveau acces. Raportul arată că au copiat volume mari de informații din baza de date care gestionează conturile, parolele și drepturile de acces ale utilizatorilor. În paralel, au continuat să compromită alte servere interne și să obțină acces stabil la date.
Potrivit DNSC, până pe 13 iulie 2026 întreaga structură a rețelei ANCPI a fost exportată în fișiere JSON de mari dimensiuni, inclusiv listele de stații de lucru și servere, baza de utilizatori, grupurile de securitate, unitățile organizaționale și politicile de grup. O parte dintre aceste date a fost apoi publicată pe forumuri de criminalitate cibernetică sub pseudonimul ByteToBreach, ceea ce indică o strategie de dublă extorcare: criptarea sistemelor și amenințarea cu publicarea datelor furate.
Raportul include și capturi de ecran recuperate de DNSC, folosite de atacatori pentru a demonstra accesul și pentru a-și consolida imaginea în comunitatea de cybercrime. În materialele lor, aceștia au făcut referire la proiecte precum eTerra, GIS și ePayments, semn că au identificat rapid valoarea strategică a infrastructurii compromise.
Ștergerea backupurilor și criptarea finală
Una dintre cele mai grave componente ale atacului a fost sabotarea deliberată a copiilor de siguranță. DNSC arată că atacatorii au localizat consola de management a backupurilor și au lansat sarcini programate pentru ștergerea acestora, reducând dramatic șansele unei recuperări rapide. Abia după acest pas au trecut la serverele virtuale, pe care le-au criptat cu ransomware-ul Black Basta.
În notele recuperate de specialiști, atacatorii au recunoscut că infrastructura de virtualizare era veche, ceea ce le-a îngreunat parțial acțiunea. Chiar și așa, rezultatul a fost unul devastator: ANCPI a anunțat că toate sistemele informatice au devenit indisponibile, inclusiv aplicația e-Terra și serviciile de e-mail. Instituția a precizat însă că datele administrative nu au fost compromise.
Cine este ByteToBreach
DNSC descrie ByteToBreach drept un actor cibernetic motivat financiar, care operează atât ca broker de acces, cât și ca comerciant de date compromise. Raportul indică faptul că gruparea vizează sisteme expuse la internet, exploatează vulnerabilități sau credențiale furate și urmărește extragerea bazelor de date sensibile pentru șantaj.
Analiza tehnică sugerează fie un singur operator, fie o echipă restrânsă, având în vedere modul consecvent de gestionare a identității, comunicarea centralizată și externalizarea unor sarcini precum decriptarea hash-urilor. DNSC mai notează că activitatea grupării a debutat în iunie 2025 pe platforme precum DarkForums și că aceasta a vizat oportunist organizații din sectoare precum finanțe, telecomunicații și administrație publică.
În raport apar și elemente de comunicare publică ale atacatorilor, inclusiv canale de Telegram și Signal, conturi de social media și adrese de e-mail folosite pentru revendicarea atacului. Această expunere publică nu schimbă natura faptelor, dar arată un tipar tot mai des întâlnit în economia infracțională digitală: atacul nu se oprește la compromiterea tehnică, ci continuă în spațiul reputațional și psihologic.
Un incident previzibil, după avertismente repetate
Poate cea mai importantă concluzie din raport este aceea că atacul era, în mare măsură, previzibil. DNSC spune că, începând din octombrie 2024, a transmis către ANCPI mai multe alerte și recomandări privind vulnerabilitățile aplicabile infrastructurii instituției și a avut interacțiuni cu aceasta în legătură cu incidente cibernetice anterioare. Cu toate acestea, măsurile preventive nu au fost luate la timp.
Raportul leagă amploarea incidentului de mai multe probleme acumulate: software învechit, o rețea internă slab segmentată și folosirea acelorași parole de administrator pe mai multe sisteme. Într-un mediu public, aceste detalii nu sunt doar tehnice; ele descriu felul în care o instituție poate ajunge vulnerabilă nu printr-o singură eroare, ci printr-o cultură a amânării.
O lecție despre infrastructură, responsabilitate și ritmul real al riscului
Cazul ANCPI arată cât de repede se poate transforma o infrastructură esențială într-un punct de presiune națională atunci când actualizările sunt întârziate, monitorizarea este fragmentată, iar recuperarea este insuficient pregătită. În astfel de situații, atacatorii nu au nevoie de magie tehnologică. Le ajung răbdarea, expunerea și o instituție care nu vede la timp ce i se întâmplă.
Raportul DNSC nu descrie doar un atac reușit, ci și o vulnerabilitate sistemică: dependența de servicii digitale critice fără disciplina minimă a securității operaționale. Pentru administrația publică, mesajul este clar. În securitatea cibernetică, întârzierea nu este un detaliu administrativ. Poate fi diferența dintre un incident gestionabil și o paralizie de zile întregi.