Ransomware la Administrația Națională a Penitenciarelor: a treia instituție publică lovită în două săptămâni

Pe 29 iulie 2026, Administrația Națională a Penitenciarelor a fost ținta unui atac de tip ransomware care a afectat mai multe stații de lucru și servere. Echipa IT a ANP a contactat Directoratul Național de Securitate Cibernetică, iar echipamentele au fost izolate fizic pentru limitarea propagării. Efectul operațional a fost imediat și vizibil: transferurile deținuților au fost suspendate, iar mai multe sisteme au rămas indisponibile.

Este a treia instituție publică românească afectată în mai puțin de două săptămâni. Pe 14 iulie, ANCPI constatase un acces neautorizat în infrastructura proprie, iar pe 27 iulie Guvernul a confirmat public că a fost tot un ransomware, în urma căruia atacatorii au criptat și șters o parte din infrastructura de virtualizare care găzduia aplicațiile agenției. Între cele două, pe 27–28 iulie, ONRC a anunțat un posibil atac cibernetic care i-a afectat serviciile online — un incident de altă natură, de disponibilitate, detaliat separat.

Ce spune tiparul, nu incidentul izolat

Două instituții diferite, la două săptămâni distanță, cu același tip de atac și același rezultat — servicii publice întrerupte — nu mai descriu ghinionul unei organizații, ci starea de pregătire a unui sector. Directorul DNSC a avertizat că România se află sub o presiune constantă din partea atacurilor cibernetice, inclusiv a celor asociate unor actori statali. Iar ransomware-ul modern rareori începe cu o vulnerabilitate exotică: începe cu un cont, o parolă refolosită, un email deschis sau un serviciu de acces la distanță expus.

• Criptarea este ultimul pas, nu primul — între accesul inițial și criptare trec de obicei zile sau săptămâni în care atacatorul se mișcă lateral și caută backupurile.
• Ștergerea infrastructurii de virtualizare, ca la ANCPI, arată o țintire deliberată a capacității de restaurare, nu doar a datelor.
• Izolarea fizică a echipamentelor, ca la ANP, este reacția corectă — dar este o măsură de limitare, nu de prevenire.
• Impactul real se măsoară în servicii oprite: cadastru, transferuri, evidențe. Cetățeanul simte indisponibilitatea, nu incidentul tehnic.

Contextul de reglementare: instituțiile publice sunt în scopul NIS2

România a transpus NIS2 prin OUG 155/2024, consolidată prin Legea nr. 124/2025, extinzând scopul de la 7 sectoare esențiale sub NIS1 la 18 sectoare și aducând, conform DNSC, peste 5.000 de entități în sfera directă de aplicare. Administrația publică se numără printre sectoarele vizate. Practic, obligațiile de management al riscului, de raportare a incidentelor și de continuitate nu mai sunt recomandări de bună practică, ci cerințe legale cu termene.

Merită spus limpede și ce nu rezolvă reglementarea: o lege nu oprește un ransomware. Ce face NIS2 este să transforme lucrurile care chiar opresc un ransomware — inventar de active, segmentare, backup testat, control al accesului, instruirea personalului, plan de răspuns — din inițiative amânabile în obligații verificabile.

Întrebările pe care orice conducere de instituție ar trebui să și le pună acum

• Dacă mâine infrastructura de virtualizare ar fi criptată și ștearsă, în cât timp am reveni — și când am testat ultima oară acest scenariu, nu doar backupul?
• Backupurile sunt izolate de rețeaua care le-ar putea cripta (offline, imutabile sau pe alt cont/altă zonă de administrare)?
• Cine poate izola un segment de rețea la 3 dimineața, fără să aștepte o aprobare care nu vine?
• Ce servicii publice se opresc dacă IT-ul se oprește, și avem o procedură pe hârtie pentru fiecare?
• Conturile cu privilegii au autentificare în doi pași, obligatorie, inclusiv pe accesul de la distanță?
• Personalul știe să raporteze un email sau un apel suspect, și în cât timp ajunge raportarea la cineva care poate acționa?

Partea umană, care rămâne constantă

Aproape fiecare lanț de ransomware trece la un moment dat printr-un om: cineva deschide atașamentul, cineva aprobă o cerere de acces, cineva refolosește o parolă, cineva nu raportează un comportament ciudat pentru că „probabil nu e nimic". Nu pentru că oamenii sunt veriga slabă, ci pentru că sunt veriga pe care atacatorul o poate contacta direct. Un program de awareness documentat — cine a fost instruit, când, pe ce subiecte, cu ce rezultat — nu garantează că nu vei fi atacat, dar scurtează timpul dintre „ceva e ciudat" și „echipa de securitate știe".

Concluzia practică pentru iulie 2026: dacă ești o instituție publică din România, întrebarea nu mai este dacă tiparul te include, ci dacă ai testat vreodată scenariul care tocmai s-a întâmplat de două ori la vecini.