RER Vest, operator de salubritate, a anunțat pe pagina proprie, sub titlul „Precizări incident de securitate”, că pe 7 octombrie 2026 baza de date a aplicației „Contul meu” a fost accesată neautorizat. Aplicația a fost suspendată, parolele și sesiunile au fost invalidate, iar incidentul a fost raportat ANSPDCP, DNSC și organelor de urmărire penală, potrivit companiei. Serviciul de colectare a deșeurilor nu este afectat. Presa a localizat operatorul la Oradea (Forbes România), în timp ce Alba24 menționează Alba Iulia; pagina companiei nu numește un oraș.
Ce este confirmat, ce este relatat, ce nu se știe
- Confirmat de companie: accesul neautorizat la baza de date a aplicației „Contul meu”, pe 7 octombrie; nu este vorba de un singur cont atacat; copiile cărților de identitate și datele cardurilor nu se află în baza de date afectată; relația cu clienții și serviciile nu sunt afectate. Compania spune că nu publică detalii tehnice din motive de securitate.
- Relatat de presă, pe baza comunicatului companiei: datele care ar putea fi afectate sunt numele, codul de client, adresele de facturare și de colectare, e-mailul și telefonul, istoricul facturilor și plăților și datele de autentificare și sesiune ale conturilor. Aceleași relatări menționează numărul de persoane declarate la domiciliu.
- Afirmat, necontrolat: Forbes România scrie că persoana care ar fi accesat baza de date susține că deține datele, iar compania nu poate confirma dacă au fost copiate. Afirmația nu apare pe pagina companiei, așa cum am citit-o.
- Necunoscut: câți clienți sunt afectați, cum s-a intrat, ce vulnerabilitate a fost folosită, cine este în spatele accesului și dacă datele au fost publicate. Nu am găsit o confirmare că vreun client a primit deja mesaje false; compania avertizează doar că este posibil.
Ce îi sfătuiește compania pe clienți
- Schimbă parola folosită pentru „Contul meu” și pe alte servicii unde a fost refolosită.
- Când aplicația revine, intră direct pe site-ul companiei, nu printr-un link primit, și setează o parolă nouă prin recuperare.
- Nu plăti facturi în conturi comunicate prin e-mail, SMS sau telefon. Verifică cererile de plată sunând la numărul oficial. Folosește doar metodele de plată listate pe site.
- Nu urma linkuri pentru „reactivarea” contului, nu instala aplicații de „suport”, nu da date de card sau coduri și nu face plăți „urgente”. Compania spune că nu va trimite astfel de linkuri și că adresele expeditorului pot fi falsificate.
Compania mai precizează că nu acordă despăgubiri automate sau forfetare; clienții care cred că au suferit un prejudiciu concret îl pot descrie, iar fiecare caz se analizează individual. Nu evaluăm această poziție și nu dăm sfaturi juridice.
Ce poți copia din acest model de comunicare, și ce adaugi
Părerea noastră, nu a anchetatorilor: comunicatul face lucruri utile. Spune concret ce nu va cere niciodată, oferă un mod de verificare prin telefon și spune cum arată mesajul de redeschidere. Dacă ai o aplicație pentru clienți, pregătește același text înainte de un incident, nu după.
- Suport clienți și casierie: cine sună știind suma și adresa nu este dovedit autentic. Folosiți un al doilea control, convenit dinainte, înainte de orice schimbare de cont bancar sau de e-mail.
- Contabilitate și achiziții: orice cerere de schimbare a contului de plată al unui furnizor sau al unui serviciu public se verifică prin numărul oficial din contract, nu prin cel din mesaj.
- Toți angajații: un mesaj cu detalii reale despre o factură poate fi construit din date furate. Urgența, linkul și cererea de parolă sau cod rămân semnale, indiferent cât de bine se potrivesc detaliile.
- IT și securitate: stabiliți dinainte cine suspendă o aplicație, cine invalidează parolele și sesiunile, cine notifică autoritățile și cine scrie textul către clienți.
- Juridic și responsabilul cu protecția datelor: decid ce se spune și când, fără să promită ce nu poți garanta. Obligațiile de notificare le stabilesc ei.
Exercițiul: 35 de minute, de la factura „reală” la plata greșită
Participă cineva din suport clienți, contabilitate, IT sau securitate, juridic și comunicare. Pregătiți un mesaj fictiv, cu o factură inventată, un cont bancar nou și cuvintele „plătește azi”.
- Pasul 1 (10 minute) — mesajul pare real, fiindcă are suma și adresa corecte. Ce semnale rămân? Cine îl poate verifica și cum?
- Pasul 2 (10 minute) — un client sună și spune că a plătit în noul cont. Ce îi spune suportul, ce notează și cui raportează?
- Pasul 3 (10 minute) — aplicația de clienți a fost oprită după un incident. Cine scrie mesajul de anunț, cu ce linii roșii (nu cerem linkuri, nu cerem parole, nu cerem plăți urgente), și cine îl aprobă?
- Pasul 4 (5 minute) — scrieți trei întrebări de verificare la care un impostor care are doar datele din factură nu poate răspunde.
Ce măsori
- Procentul cererilor de schimbare a contului de plată verificate printr-un canal independent.
- Timpul de la incident la mesajul către clienți, cu ce nu vom cere niciodată.
- Câți dintre cei din suport recunosc, în exercițiu, un mesaj cu detalii reale de factură.
- Dacă există un text de incident pregătit și aprobat, și când a fost revizuit.
- Timpul necesar pentru a invalida parolele și sesiunile unei aplicații de clienți.
- Numărul de apeluri sau mesaje suspecte raportate de clienți după un incident.
Cazul este la început: nu se știe câți clienți sunt afectați și nici cum s-a intrat. Concluzia nu depinde de ele: după un incident ca acesta, atacatorii au ceva ce un impostor obișnuit nu are, și anume detaliile reale. De aceea verificarea trebuie să stea pe un canal convenit, nu pe cât de convingător sună mesajul.