Raportul oficial DNSC scoate la iveală că sistemul ANCPI a picat în plasa hackerilor din cauza unei serii de neglijențe vechi de ani buni
Adaugă-ne ca sursă preferată în Google
Urmărește Libertatea in Google Discover
Raportul oficial întocmit de Directoratul Național de Securitate Cibernetică (DNSC), analizat de publicația G4Media, privind atacul ransomware care a paralizat Agenția Națională de Cadastru și Publicitate Imobiliară (ANCPI), scoate la iveală o serie de neglijențe grave în gestionarea infrastructurii IT din administrația publică.
Cuprins:
Hackerii nu au folosit tehnici și tehnologii avansate
Documentul detaliază modul în care atacatorii au exploatat softuri neactualizate de ani buni, s-au infiltrat adânc în rețelele instituției și au distrus metodic copiile de siguranță ale datelor de cadastru înainte de a cripta sistemele.
Analiza tehnică arată că atacul nu a folosit tehnici avansate, ci s-a bazat pe vulnerabilitățile majore lăsate necorectate de instituție. Specialiștii au stabilit că echipa IT a ANCPI a avut nevoie de peste 86 de ore, mai exact 3 zile și 14 ore, pentru a detecta prezența intrușilor în sistem.
Cronologia intruziunii în infrastructura ANCPI
Pătrunderea inițială în infrastructura ANCPI a avut loc vineri, 10 iulie 2026, la ora 15:23, dată confirmată prin capturile de ecran publicate ulterior de atacatori.
Echipa tehnică a instituției nu a putut confirma data din surse proprii, deoarece ANCPI nu deținea un server centralizat de colectare a fișierelor jurnal (log management), iar mașinile virtuale vizate au fost șterse de hackeri.
Detectarea incidentului s-a produs abia marți, 14 iulie 2026, la ora 05:45. La câteva ore distanță, ANCPI a anunțat public pe rețelele sociale existența unui „incident tehnic”, iar raportarea oficială către DNSC s-a efectuat marți seară, la ora 18:41.
Miercuri, 15 iulie, instituția a confirmat că este vorba despre cel mai amplu atac cibernetic din istoria sa, care a indisponibilizat aplicația e-Terra și serviciile de e-mail. În prezent, reoperaționalizarea aplicațiilor critice se realizează prin relocarea unor componente în Cloudul Privat Guvernamental, cu sprijinul Serviciului de Telecomunicații Speciale (STS) și al Centrului Național Cyberint din cadrul SRI.
Vectorul de atac, o versiune veche a platformei de management
Punctul de intrare folosit de hackeri a fost o versiune învechită a platformei de management al identității OpenAM. Prin exploatarea unei vulnerabilități critice, intrușii au deschis o conexiune de tip reverse shell direct de la IP-ul public al ANCPI către o infrastructură externă aparținând furnizorului Alexhost SRL din Chișinău, Republica Moldova.
După accesul inițial, atacatorii au extras amprentele digitale ale parolelor (hash-uri) pentru a compromite conturile echipei de dezvoltare. Ca punct de pivotare pentru a ocoli restricțiile interne de comunicare, hackerii au folosit serverul de monitorizare Zabbix.
Prin intermediul acestuia, au scanat rețeaua și au obținut acces la proiectele aplicației naționale de cadastru eTerra, precum și la modulele GIS și ePayments.
Atacatorii au extras baze de date masive în care erau gestionate conturile și drepturile de acces. Până pe 13 iulie 2026, întreaga structură a rețelei a fost descărcată în fișiere JSON de mari dimensiuni - conținând date despre computere, utilizatori, grupuri de securitate și politici de rețea - care au fost ulterior publicate pe forumurile din dark web sub pseudonimul ByteToBreach.
Ștergerea backupurilor și criptarea prin Black Basta
Pentru a bloca orice tentativă de recuperare rapidă, hackerii au accesat consola de management a fișierelor de siguranță și au lansat comenzi programate pentru ștergerea integrală a backupurilor. Ulterior, au atacat infrastructura de virtualizare, notând în propriile jurnale că utilizarea unor sisteme vSphere vechi le-a îngreunat procesul de lucru.
Toate serverele virtuale au fost criptate folosind ransomware-ul Black Basta, atacatorii lăsând note de răscumpărare și direcționând instituția către un portal din rețeaua securizată TOR. Totodată, aceștia au susținut că au copiat inclusiv codul sursă al sistemelor eTerra și RENNS de pe serverele GitLab ale agenției.
Gruparea ByteToBreach, identificată ca autor al atacului, este un actor cibernetic motivat financiar care activează pe piața de cybercrime din iunie 2025. Analiza DNSC indică faptul că gruparea operează prin echipe restrânse care vizează oportunități apărute la instituții publice sau companii cu un nivel scăzut de securitate.
Avertismentele ignorate de ANCPI și apelul la responsabilitate
Raportul DNSC subliniază că dezastrul informatic de la ANCPI putea fi evitat. Începând cu luna octombrie 2024, Directoratul a transmis către ANCPI zeci de alerte și notificări oficiale privind vulnerabilitățile critice din rețea, inclusiv privind expunerea unor credențiale și folosirea unor biblioteci JavaScript învechite, însă măsurile de remediere nu au fost puse în aplicare la timp.
În plus, DNSC a dedicat un capitol practicilor neprofesionale privind interacțiunea directă cu infractorii cibernetici, criticând apariția în spațiul public a unor interviuri realizate de jurnaliști sau specialiști IT cu reprezentanții grupării ByteToBreach.
Directoratul a reiterat că nu încurajează sub nicio formă contactarea sau negocierea cu atacatorii, deoarece aceste demersuri oferă legitimitate infractorilor și îngreunează anchetele oficiale.
