Atacul de la Cadastru: „nu a avut un grad ridicat de complexitate și putea fi evitat"

În iulie 2026, Agenția Națională de Cadastru și Publicitate Imobiliară a fost ținta unui atac cibernetic revendicat de gruparea ByteToBreach. Efectul a fost cea mai amplă indisponibilitate tehnică din istoria instituției: toate sistemele informatice, serviciile de email și aplicația e-Terra au fost oprite. Directorul Directoratului Național de Securitate Cibernetică, Dan Cîmpean, a declarat public că atacul „nu a avut un grad ridicat de complexitate și putea fi evitat", iar atacatorii au exploatat vulnerabilități tehnice despre care autoritățile fuseseră recent notificate.

Ce s-a pierdut, de fapt

Potrivit declarațiilor DNSC, nu au fost detectate date cu caracter personal sau extrase de carte funciară în ceea ce s-a scurs; au fost identificate mostre de credențiale ale utilizatorilor și fragmente de cod din aplicațiile instituției, iar o anumită cantitate de date a fost exfiltrată, dar nu foarte mare. Atacatorii au pus datele la vânzare pe forumuri de criminalitate informatică, susținând că pachetul include versiuni de ransomware și copii ale serverului GitLab cu codul sursă al sistemelor e-Terra și RENNS.

Dar impactul real nu a fost confidențialitatea, ci disponibilitatea. Indisponibilitatea a căzut chiar înainte de 1 august 2026, data la care cota de TVA pentru tranzacțiile imobiliare a crescut de la 9% la 21%. Oameni care aveau tranzacții în derulare au ratat termene din motive care nu țineau de ei — un cost financiar direct, suportat de cetățeni, dintr-un incident de securitate al unei instituții publice.

Merită subliniat, pentru că în discuțiile despre securitate confidențialitatea primește aproape toată atenția: în sectorul public, indisponibilitatea unui serviciu este adesea prejudiciul cel mai mare și cel mai imediat. Nimeni nu îți poate vinde datele înapoi, dar toată lumea simte imediat un ghișeu care nu funcționează.

Al doilea val: frauda care urmează incidentului

În aceeași perioadă, site-ul care deservește plățile către stat a fost clonat, iar cetățenii au primit mesaje prin care li se cerea să achite amenzi inexistente. Este un tipar constant după orice incident public cu vizibilitate mare: atacatorii se folosesc de confuzia și de acoperirea mediatică pentru a lansa campanii de fraudă, mizând pe faptul că oamenii se așteaptă deja la mesaje neobișnuite din partea instituțiilor.

Pentru orice organizație care trece printr-un incident public, asta înseamnă o sarcină în plus, adesea uitată: comunicarea proactivă către proprii clienți despre ce canale folosești și ce nu vei cere niciodată. Tăcerea lasă spațiul liber pentru cine vrea să se dea drept tine.

Contextul mai larg, fără dramatizare

DNSC avertizează constant că România, ca stat de pe flancul estic al NATO și al Uniunii Europene, se află sub o presiune permanentă de atacuri cibernetice, o parte asociate unor actori statali, intensificate după invazia Ucrainei. Sectoarele cele mai vizate sunt administrația publică, energia și domeniul financiar.

Este important însă să nu amestecăm cele două lucruri. Presiunea statală există și este reală, dar incidentul de la Cadastru nu a fost, potrivit descrierii oficiale, o demonstrație de forță a unui serviciu de informații. A fost o grupare care a folosit vulnerabilități publice pe sisteme nepatchuite. Confundarea celor două categorii duce la concluzia greșită că nu ai ce face — când, de fapt, exact acest tip de atac este cel care se previne cu igienă de bază.

Ce se transferă la orice organizație

• O notificare de vulnerabilitate primită și nerezolvată este, juridic și practic, mai gravă decât una necunoscută. Ține evidența notificărilor primite și a datei la care le-ai închis, nu doar a scanărilor rulate.
• Măsoară-ți timpul de la notificare la remediere. Dacă nu îl cunoști, nu ai patch management, ai actualizări ocazionale.
• Planul de continuitate contează cel puțin cât prevenția. Întreabă-te concret: dacă mâine toate sistemele sunt oprite o săptămână, ce se întâmplă cu clienții care au termene, și ce le poți oferi manual.
• Codul sursă și serverele de dezvoltare fac parte din perimetru. În acest caz, atacatorii au revendicat copii ale serverului GitLab — infrastructura de dezvoltare este o țintă, nu o zonă auxiliară.
• Pregătește comunicarea către clienți înainte de incident, inclusiv mesajul despre fraudele care vor urma. Se scrie mult mai bine când nu ești în criză.

Concluzia lui Cîmpean este, în fond, o veste bună prost ambalată: dacă un incident de asemenea amploare putea fi evitat cu măsuri cunoscute, atunci majoritatea organizațiilor din România au la îndemână, chiar acum, mijloacele de a nu ajunge în aceeași situație. Nu lipsește tehnologia. Lipsește disciplina de a închide ce ți s-a semnalat deja.