Pe 8 octombrie 2026, FBI, CISA, NSA și agenții din Marea Britanie, Australia, Canada, Japonia, Noua Zeelandă și Spania au publicat avertismentul comun AA26-281A. Potrivit lui, compania chineză Integrity Technology Group, care are legături cu guvernul chinez, pune la dispoziție unelte și infrastructură folosite de actori cibernetici legați de China pentru a intra în rețele și a fura date. Printre victimele furtului de e-mailuri se numără organizații guvernamentale, de aplicare a legii, de sănătate și religioase din Asia de Sud-Est. Avertismentul mai descrie o aplicație web care dă unor terți acces la conținutul e-mailurilor furate.
Ce este confirmat, ce este relatat, ce nu se știe
- Confirmat în avertisment: agențiile afirmă că Integrity Technology Group a oferit unelte și infrastructură pentru intruziuni, iar tehnicile se suprapun cu cele atribuite grupurilor Flax Typhoon, Ethereal Panda și Red Juliett. Documentul se bazează, spun agențiile, pe dovezi din mai multe anchete ale FBI. Potrivit The Hacker News, numele acestor grupuri nu se potrivesc neapărat unu la unu între organizații.
- Confirmat în avertisment: sectoarele vizate în SUA includ administrația, producția critică, sănătatea și IT, precum și instituții de aplicare a legii, educație și organizații religioase. Sunt menționate și organizații din Asia de Sud-Est, Africa și America de Nord.
- Confirmat în avertisment: aplicația web care permite vizualizarea e-mailurilor furate pentru anumite conturi, prin parametri în adresă. Documentul nu spune cine sunt terții care o folosesc. În unele cazuri, accesul era restricționat la adrese IP din Xiamen, China.
- Relatat de The Hacker News: compania a respins acuzațiile SUA în ianuarie 2025, iar ministerul chinez de externe s-a opus măsurilor americane. Citez asta pentru echilibru; nu o evaluez.
- Necunoscut: câte organizații au fost compromise, când au avut loc furturile, cine sunt terții care au folosit portalul și care actor a făcut care intruziune. Nu este clar nici dacă toate vulnerabilitățile listate au fost folosite împotriva victimelor. Nicio sursă citită nu leagă cazul de organizații din România.
Am citit avertismentul oficial și un articol independent al The Hacker News, care îl verifică și semnalează neconcordanțe. Un al doilea articol independent nu era încă disponibil la data publicării. Nu reproducem indicatori tehnici, nume de unelte sau numere de vulnerabilități; ele sunt în documentul oficial.
Trei scenarii pentru oameni
1. Caseta de autentificare care nu-și are locul. Potrivit avertismentului, actorii introduc într-un site vulnerabil un cod care schimbă pagina și afișează câmpuri de utilizator și parolă. După ce cineva le completează, se descarcă o arhivă ZIP protejată cu parolă, cu un program deghizat într-un proces Windows legitim. Pentru un angajat, pagina poate arăta ca un site pe care îl cunoaște. Observația noastră: dacă ai ajuns acolo citind o pagină, nu printr-un traseu obișnuit de autentificare, o casetă de login este un semnal. La fel și o arhivă cu parolă primită imediat după.
2. Parolele încercate în serie. Avertismentul menționează ghicirea și încercarea de parole împotriva conturilor Exchange și Microsoft 365, pe mai multe interfețe. Aici contează lucruri simple, pe care agențiile le recomandă: autentificare cu mai mulți factori, mai ales pentru e-mail, VPN și sisteme critice, parole implicite înlocuite și privilegii de administrator reduse. Pentru oameni: parola folosită și în altă parte este slabă; o cerere de aprobare MFA pe care nu ai inițiat-o se raportează, nu se aprobă.
3. Căsuța poștală ca arhivă. Documentul descrie extragerea de e-mailuri și contacte și accesul automat la căsuțe Microsoft 365. Într-o căsuță obișnuită stau contracte, parole trimise „doar o dată”, facturi, rapoarte de incident și corespondență cu autorități. Observația noastră: întrebarea despre cât timp păstrezi acestea nu este doar de ordine, ci și de risc.
Comportamentul pe care îl antrenezi, pe roluri
- Toți angajații: nu introduce utilizator și parolă într-o casetă apărută într-o pagină de conținut. Intră în contul tău printr-un marcaj sau prin pagina cunoscută. Un manager de parole nu va completa de regulă credențialele Microsoft pe alt domeniu; dacă nu o face, oprește-te. Nu deschide o arhivă cu parolă primită după autentificare. Raportează o cerere MFA pe care nu ai cerut-o.
- Administratori de e-mail și identitate: confirmă că MFA este cerută pentru e-mail, VPN și conturile cu privilegii; urmărește autentificările eșuate în serie și pe mai multe interfețe; verifică rolurile cu drepturi mari.
- Dezvoltatori și cine administrează site-uri: tratează orice câmp care afișează text introdus de utilizatori ca pe o posibilă cale de injectare; documentul recomandă validarea intrărilor.
- IT și securitate: inventariază serviciile expuse și dezactivează-le pe cele nefolosite; urmărește apariția clienților VPN neașteptați; nu presupune că un program cu nume de proces Windows este legitim.
- Conducere și juridic: hotărăște cât timp se păstrează e-mailurile cu date sensibile și cine poate cere ștergerea; stabilește cine anunță autoritățile, pe ce canal și după ce criterii. Obligațiile concrete de notificare le stabilesc juridicul și responsabilul cu protecția datelor.
Exercițiul: 40 de minute, de la caseta falsă la mailbox
Participă un angajat dintr-un rol obișnuit, un administrator de e-mail, securitatea, comunicarea, juridicul și un reprezentant al conducerii. Folosiți un scenariu fictiv, fără conturi sau site-uri reale: un angajat citește o pagină cunoscută, apare o casetă de autentificare, introduce datele și i se oferă o arhivă ZIP cu parolă.
- Pasul 1 (10 minute) — angajatul povestește ce a făcut. Cui spune, în cât timp și cum se evită blamarea? Ce face imediat cu dispozitivul?
- Pasul 2 (10 minute) — administratorul urmărește conturile: ce se verifică la autentificări, ce se resetează, ce sesiuni se închid, în ce ordine. Ce se întâmplă dacă existau și încercări de parole în serie în aceeași zi?
- Pasul 3 (10 minute) — ce stă în acea căsuță poștală? Cine poate spune în câteva ore ce date sensibile conține și pentru cât timp sunt păstrate?
- Pasul 4 (10 minute) — cine decide dacă este un incident, cine anunță conducerea și ce se spune partenerilor dacă întreabă? Notați și ce NU spuneți: de exemplu, că „e-mailurile nu pot fi citite”.
Ce măsori
- Procentul conturilor de e-mail, VPN și administrator cu MFA activă.
- Timpul de la un click sau o autentificare suspectă până la raportarea internă și resetarea sesiunii.
- Procentul angajaților care știu cui raportează o casetă de login neașteptată.
- Numărul de seturi de e-mailuri sensibile pentru care există o regulă de păstrare scrisă.
- Timpul necesar pentru a spune ce date a atins o căsuță compromisă.
- Numărul de autentificări eșuate în serie observate și investigate pe săptămână.
Concluzia nu depinde de cine este în spatele campaniei, lucru pe care agențiile îl atribuie în avertisment. Un avertisment cu atâtea tehnici este util în primul rând celor din IT. Oamenii rămân însă primii care văd o casetă de login în locul nepotrivit, primii care primesc o cerere MFA pe care n-au inițiat-o și cei care știu ce se află în căsuța lor.