O legătură deschisă de un angajat, 1,3 milioane de persoane potențial afectate: ce arată incidentul din instanțele din Arizona

Sistemul de instanțe din Arizona a anunțat, în seara de vineri, 25 septembrie 2026, un atac cibernetic. Un purtător de cuvânt al instanței a spus, potrivit postului public KJZZ, că atacatorii au intrat printr-un e-mail de phishing și au copiat informații de pe servere de backup. Datele sunt din trei zone: un program de recuperare a datoriilor către instanță, rapoarte despre copii aflați în grija statului și înregistrări legate de ordine de protecție. Instanța vorbește de aproximativ 1,3 milioane de persoane potențial afectate, în programul de datorii. FBI investighează.

Ce este confirmat, ce este relatat, ce nu se știe

• Declarat de instanță, relatat de presa locală: atacul a început cu un e-mail de phishing; informațiile au fost copiate de pe un server de backup. Pagina oficială a instanței nu s-a putut deschide de la noi (eroare 403), deci citez declarațiile așa cum le redau KJZZ, AZ Family, Fox 10 Phoenix și Malwarebytes.
• Relatat de Fox 10, care citează relatarea președintei Curții Supreme: un angajat a deschis o legătură rău intenționată, iar echipa IT a izolat incidentul în două ore. Cifra apare într-o singură relatare principală, deci o tratăm ca relatare, nu ca fapt stabilit.
• Relatat: peste 150.000 de rapoarte ale Consiliului de Revizuire a Plasamentelor (Foster Care Review Board) din 2010 până azi, cu numele copiilor, ale părților implicate, materiale de caz, constatări și recomandări, dar, potrivit KJZZ, fără adrese și numere de telefon.
• Relatat, cu mențiunea că sursele diferă: înregistrări legate de ordine de protecție. Volumul nu este precizat, iar relatările nu coincid asupra câmpurilor atinse: AZ Family scrie despre adrese confidențiale ale titularilor, iar KJZZ notează că site-ul AZPoint al ordinelor de protecție nu a fost compromis.
• Relatat: programul de recuperare a datoriilor (FARE). Datele pot include nume, numere de dosar și numere de securitate socială pentru circa 1,3 milioane de persoane cu datorii acumulate în ultimii 30 de ani. Cifra desemnează persoanele din program, nu un total al victimelor confirmate și nici o sumă pe cele trei seturi de date.
• Din declarația instanței din 30 septembrie, citată de KJZZ: datele au fost copiate de pe un server de backup în care informația este foarte comprimată; instanța nu are dovezi că datele au fost accesate, sunt lizibile sau au fost partajate; nicio înregistrare a instanței nu a fost ștearsă sau modificată.
• Necunoscut: cine a atacat și de ce (nicio grupare nu a revendicat), dacă datele copiate pot fi citite, câte persoane distincte sunt afectate în total și dacă ceva a fost făcut public. Nicio sursă citită nu leagă cazul de organizații din România.

Ce schimbă faptul că datele erau în backup

Majoritatea articolelor despre phishing se opresc la click. Aici contează ce urmează. Potrivit instanței, datele au fost copiate de pe un server de backup, unde se păstrează informații vechi: programul de datorii, de pildă, acoperă ultimii 30 de ani. Observația noastră, nu o concluzie a investigației: un backup rămâne adesea în afara regulilor de acces și de ștergere aplicate sistemului principal. Întrebarea pentru o organizație nu este doar „cine poate fi păcălit”, ci și „ce ar vedea cineva care ajunge la contul unui coleg și ce ar putea copia dintr-o arhivă”.

Primul click nu se previne complet. Ce urmează se poate antrena

• Raportarea, fără vină. Relatările nu spun dacă angajatul a raportat singur sau dacă incidentul a fost depistat de echipa IT, iar noi nu speculăm. Rămâne lecția generală: o organizație în care cel care a dat click spune imediat ce a făcut izolează mai repede decât una în care persoana se teme. Instruiește explicit: „ai dat click, spune în câteva minute, nu vei fi blamat”.
• Cine poate izola. Notează cine are autoritatea să scoată un cont sau un calculator din rețea fără să ceară aprobări în lanț, inclusiv în afara programului.
• Ce vede un cont. Știe fiecare rol ce date ating conturile lui și care dintre ele sunt cele mai sensibile (copii, victime ale violenței, date financiare, numere de identificare)?
• Arhive și backup-uri. Cine hotărăște cât timp păstrezi datele vechi, cine are acces la backup-uri și ce se întâmplă dacă un cont obișnuit ajunge acolo?
• Ordine de protecție și dosare cu copii. Pentru astfel de date, un incident poate avea și o dimensiune de siguranță pentru oameni, nu doar de identitate (observație proprie). Echipa care comunică trebuie să știe asta înainte de incident.

După incident: oamenii afectați vor primi mesaje false

Instanța a spus că anunță persoanele din program prin mesaje text și prin avizele de recuperare trimise prin poștă și recomandă înghețarea creditului. Potrivit Malwarebytes, care rezumă recomandările instanței, aceasta îi sfătuiește pe oameni să verifice apelanții printr-un canal independent și să reziste presiunii de a acționa urgent. Din perspectiva noastră: un mesaj text care anunță o breșă este exact modelul pe care îl copiază escrocii. Cine trimite astfel de mesaje trebuie să stabilească dinainte cum le recunoaște destinatarul ca fiind reale și ce nu vor cere niciodată.

• Personalul de la ghișeu și de la linia de telefon: știe ce poate și ce nu poate spune despre incident și nu cere date personale prin telefon sau mesaj.
• Comunicare: mesajele conțin un singur canal oficial pentru informații, aceeași formulare în toate mediile și o frază care spune ce nu se va cere niciodată.
• Securitate: monitorizează domeniile și numerele care imită organizația, în zilele de după anunț.
• Juridic: decide ce se spune, când și cui, fără să promită ce nu poate garanta, de exemplu că „datele nu pot fi citite”.

Exercițiul: 40 de minute, de la click la mesajul către public

Participă un angajat dintr-un rol obișnuit, IT sau securitate, cine administrează backup-urile, comunicarea, juridicul și un reprezentant al conducerii. Folosiți un incident fictiv: un angajat dă click pe o legătură dintr-un e-mail, iar o zi mai târziu se descoperă că dintr-o arhivă au fost copiate date despre persoane.

• Pasul 1 (10 minute) — angajatul spune ce a făcut. Cine primește informația, în cât timp și cum se asigură că persoana nu este pedepsită pentru raportare?
• Pasul 2 (10 minute) — cine decide să izoleze contul și dispozitivul, în ce ordine și cu ce dovezi păstrate? Ce se întâmplă în afara programului?
• Pasul 3 (10 minute) — ce date se află în arhive și backup-uri la care a avut acces contul respectiv? Cine poate spune în câteva ore ce a fost copiat și dacă datele sunt lizibile?
• Pasul 4 (10 minute) — scrieți textul către persoanele afectate și lista a ce nu veți cere niciodată. Cine se ocupă de apelurile și mesajele care urmează și cum recunoaște un impostor?

Ce măsori

• Timpul de la un click suspect la raportarea lui internă și apoi la izolarea contului.
• Procentul angajaților care știu cui raportează și că nu vor fi blamați.
• Numărul de persoane cu autoritate de izolare disponibile în afara programului.
• Procentul seturilor de date sensibile pentru care știi ce backup există, cine are acces și cât timp se păstrează.
• Timpul necesar pentru a spune ce date a atins un cont compromis.
• Câți dintre cei care răspund la linia publică recunosc o încercare de impersonare în exercițiu.

Povestea nu este încheiată: investigația FBI continuă, iar instanța nu știe încă dacă datele pot fi citite. Concluzia noastră, care nu depinde de rezultat: un click nu se poate elimina complet, dar ce urmează după el, adică raportarea, izolarea și grija pentru ce stă în arhive, se poate antrena și măsura.