Canalul de raportare care promitea anonimat: șase luni, o scrisoare a doi senatori și nicio notificare

În fiecare material despre securitate apare, la final, aceeași recomandare: raportează. Merită atunci să ne uităm o dată și la celălalt capăt al recomandării — la canalul prin care oamenii raportează și la ce se întâmplă dacă acela cedează.

În Statele Unite, senatorii Maggie Hassan și Jim Banks au trimis pe 24 aprilie 2026 o scrisoare către Navigate360, compania din spatele unei platforme de raportare „anonimă" folosite pentru siguranța în școli. Senatorii scriu că sunt „îngrijorați în mod deosebit de relatările potrivit cărora atacul cibernetic a exploatat vulnerabilități ale platformei pentru a fura informații de identificare personală extrem de sensibile ale elevilor”. Potrivit CyberScoop, platforma deservește peste 30.000 de școli și 5.000 de agenții de siguranță publică.

Ce se revendică și cine o susține

• Pe 18 martie 2026, hacktiviști au anunțat că dețin un set de date cu 8,3 milioane de sesizări trimise către programe de tip Crime Stoppers și către platforme școlare. Este o revendicare, nu un fapt confirmat de companie.
• Atacatorii au susținut că au obținut 93 de gigabytes de date, potrivit CyberScoop.
• Publicația de specialitate DataBreaches.net, care a analizat setul revendicat, relatează că ar conține sesizări, conversații cu cei care le-au trimis, date personale atât despre aceștia cât și despre persoanele acuzate, tichete interne de suport și pagini interne care descriu funcții de urmărire a utilizatorilor.
• Aceeași publicație relatează că, la șase luni după anunț, persoanele vizate tot nu fuseseră notificate, iar programele partenere au fost rugate să răspundă companiei până la 25 septembrie 2026.
• Nu se știe public dacă vreo persoană care a trimis o sesizare a fost identificată sau a suferit consecințe.

Elementul care transformă cazul dintr-o breșă obișnuită într-o problemă de încredere este promisiunea inițială. Oamenii au trimis sesizări pentru că li s-a spus că pot rămâne anonimi. Potrivit relatărilor, multe dintre ele nu erau, de fapt, anonime.

De ce privește asta o companie din România

Nicio sursă nu susține că vreo organizație din România ar fi fost afectată. Ce se transferă este întrebarea de control, iar ea are și o dimensiune legală. Legea 361/2022, prin care România a transpus directiva europeană privind protecția avertizorilor, se aplică inclusiv persoanelor juridice private, prevede canale interne de raportare și obligă la păstrarea confidențialității identității avertizorului.

Cu alte cuvinte, multe organizații de la noi au deja un formular pe intranet sau o adresă dedicată, pusă la punct ca să bifeze o cerință. Puțini au verificat vreodată dacă acel canal chiar face ce promite.

Cele opt întrebări pe care le pui despre propriul canal

• Ce spune exact textul afișat utilizatorului? Promite „anonimat" sau „confidențialitate"? Sunt lucruri diferite, iar dacă sistemul nu poate susține prima variantă, formularea trebuie schimbată azi.
• Ce colectează tehnic formularul fără să spună: adresa IP, user-agent, ora exactă, un cookie, un identificator de sesiune, antetele emailului?
• Dacă raportarea se face prin email, este evident pentru oricine că adresa expeditorului este vizibilă? Un formular web și o adresă de email nu oferă același nivel de protecție.
• Cine vede raportările în panoul de administrare al furnizorului — inclusiv la furnizor, nu doar la voi?
• Unde sunt stocate, cât timp și cine poate exporta întregul set?
• Există jurnale care leagă o raportare de o persoană chiar dacă interfața spune că e anonimă?
• Dacă furnizorul acestui canal ar suferi un incident, cine notifică persoanele care au raportat și în cât timp? Este scris undeva?
• Cine decide, în organizație, că a avut loc un incident la acest furnizor — și pe ce bază, dacă furnizorul însuși nu confirmă nimic?

Exercițiul: 40 de minute, trei roluri

Adună responsabilul cu protecția datelor, juridic, HR, securitate și pe cel care administrează canalul. Pentru fiecare etapă cere decizia, responsabilul, termenul și dovada.

• Injectul 1 — o publicație scrie că furnizorul canalului vostru de raportare a fost atacat. Furnizorul nu confirmă și nu neagă. Ce faceți în primele 24 de ore?
• Injectul 2 — un angajat întreabă direct dacă sesizarea pe care a trimis-o acum doi ani ar fi putut fi expusă. Cine îi răspunde, ce îi spuneți și ce nu promiteți?
• Injectul 3 — verificați și descoperiți că sistemul reține adresa IP a celor care raportau, deși pagina spunea „anonim". Cine corectează textul, cine informează persoanele și cine decide dacă se raportează la autoritate?
• Injectul 4 — conducerea vrea să suspende canalul până la clarificare. Care e costul de a-l opri și ce punem în loc între timp?

Ce măsori

• Există o descriere scrisă, tehnică, a ce colectează efectiv canalul — și corespunde ea cu ce scrie pe pagină?
• Timpul până la un răspuns coerent către un angajat care întreabă dacă a fost expus.
• Numărul de persoane, la voi și la furnizor, care pot vedea o raportare și identitatea autorului.
• Existența unei clauze contractuale de notificare a incidentelor la acest furnizor, cu termen, și dacă a fost testată vreodată.
• Termenul de păstrare configurat efectiv, comparat cu cel declarat.
• Numărul de raportări primite lunar, ca semnal de încredere. O scădere bruscă după un incident public spune mai mult decât orice sondaj.

Un canal de raportare nu se evaluează după cât de bine arată formularul, ci după ce se întâmplă în ziua în care cineva întreabă dacă a fost protejat cu adevărat. Dacă răspunsul la acea întrebare nu există încă în scris, acela este primul lucru de rezolvat — înainte de următoarea campanie internă care le cere oamenilor să raporteze.