Directoratul Național de Securitate Cibernetică (DNSC) a prezentat azi un raport intermediar privind incidentul de securitate de la Agenția Națională de Cadastru și Publicitate Imobiliară (ANCPI), care a blocat activitatea instituției zilele trecute în urma unui atac de tip ransomware. Concluziile raportului sunt devastatoare, iar o analiză derulată de inteligența artificială punctează că avem de a face cu unul dintre cele mai grave atacuri de acest tip din Europa. Ca să ne facem o idee, raportul DNSC spune că ANCPI nu avea nici măcat antivirus instalat pe serverele în care rulau marile aplicații, și nici suficiente soluții specializate pentru protecția acestor medii. Este ca și cum o bancă ar avea pază la intrare, camere de supraveghere, seif, dar o ușă laterală e lăsată descuiată, cifrul seifului e scris pe un bilețel la vedere, iar camerele păstrează înregistrările doar cîteva minute. Faptul că banca avea pază nu înseamnă că sistemul de securitate era suficient pentru a opri un atac bine pregătit. Pînă la această oră, trebuie spus, nu a căzut niciun cap, de nicăieri. Din nou, vină imensă, dar fără vinovați. (B.T.I.)

DNSC #T66 v2026.07.22 Anexa tehnica incident ANCPI

Care ar fi sinteza raportului și consecințele evenimentelor:

Analiză tehnică intermediară cu privire la incidentul de securitate cibernetică produs în infrastructura ANCPI
1 Context
În data de 14.07.2026, DNSC a fost sesizat, în calitate de autoritate competentă la nivel național pentru securitatea cibernetică a rețelelor și sistemelor informatice din spațiul cibernetic național civil, de către persoana juridică , prin reprezentantul Gherghe Eduard, în calitate de Director Infrastructură Informatică privind un incident cibernetic detectat la data de 13.07.2026 (luni) care a afectat infrastructura informatică prin acces neautorizat la centrul de date și ștergerea unor mașini virtuale din infrastructură.

Pe baza raportului tehnic intermediar al DNSC, concluzia este că acesta este unul dintre cele mai grave incidente cibernetice documentate vreodată într-o instituție publică din România. Nu este vorba doar despre un ransomware care a blocat niște servere, ci despre compromiterea aproape completă a infrastructurii informatice ANCPI, inclusiv a unor sisteme de administrare și dezvoltare software.

1. Atacatorul a avut control aproape total asupra infrastructurii
Raportul arată că atacatorii:
au compromis serverele de autentificare;
au pătruns în VMware vCenter, adică sistemul care administrează întreaga infrastructură virtuală;
au enumerat toate cele 1.083 de mașini virtuale;
au executat mișcare laterală în rețea;
au șters aproximativ 100 de mașini virtuale;
au criptat servere ESXi cu ransomware.
Acest lucru înseamnă că atacatorul nu a fost un simplu utilizator infiltrat, ci a ajuns practic în poziția unui administrator al infrastructurii.

2. Disponibilitatea sistemului a fost compromisă aproape integral
DNSC afirmă explicit că:
„Impactul a constat în afectarea disponibilității întregii rețele deținută de ANCPI.”
Aceasta este o formulare extrem de gravă.
Nu vorbim despre o singură aplicație indisponibilă, ci despre infrastructura informatică națională de cadastru.
”În infrastructura ANCPI a fost identificată soluția de securitate antivirus produsă de BitDefender, dar s-a stabilit că aceasta rula numai la nivelul stațiilor de lucru ale angajaților” se mai arată în raport.

3. Au fost compromise aplicațiile critice ale statului
Printre sistemele afectate se află:
eTerra;
MyEterra;
ePayment;
Registrul Proprietarilor;
Registrul Agricol Național;
Registrul Nomenclaturilor Stradale;
Geoportalul ANCPI;
aplicațiile utilizate de primării.
Practic, o parte importantă a infrastructurii digitale privind proprietatea imobiliară din România a fost afectată.

4. Atacatorii au extras codul sursă
Acesta este unul dintre cele mai îngrijorătoare aspecte.
DNSC confirmă că atacatorii au avut acces la GitLab și la repository-urile interne ale ANCPI.
Au fost accesate proiecte precum:
eTerra;
GIS;
ePayment;
module de securitate;
documentații API;
alte componente interne.
Mai mult, raportul dă chiar exemplul unui fișier Java critic folosit pentru procesarea plăților.

De ce este grav?

Codul sursă permite:
găsirea unor vulnerabilități suplimentare;
dezvoltarea unor exploituri;
atacuri viitoare asupra acelorași aplicații;
clonarea unor funcționalități.
Chiar dacă sistemele sunt restaurate, compromiterea codului rămîne o problemă de securitate pe termen lung.

5. Au fost furate date personale
Raportul arată că atacatorii au extras aproximativ două milioane de înregistrări privind utilizatori ai platformei de plăți.
Acestea conțineau:
nume;
e-mailuri;
identificatori;
hash-uri ale parolelor.
DNSC apreciază că este vorba în principal despre utilizatori externi, nu despre angajați.

6. Au fost compromise credențiale administrative
Atacatorii au obținut:
credențiale LDAP;
acces la Active Directory;
parole reutilizate între sisteme;
credențiale pentru echipamente Juniper;
parole stocate reversibil în FortiSIEM.
Acest lucru înseamnă că au putut avansa foarte rapid prin infrastructură.

7. Infrastructura avea vulnerabilități vechi și sisteme neactualizate
Raportul enumeră:
OpenAM vulnerabil;
GitLab neactualizat;
VMware vCenter 6.0 ieșit din suport;
FortiSIEM vulnerabil;
IBM WebSphere expus.
Mai multe dintre vulnerabilitățile exploatate aveau patch-uri publicate de ani de zile.

8. Monitorizarea era insuficientă
Un detaliu care surprinde este că Web Application Firewall păstra logurile doar 7 minute.
DNSC spune explicit că acest lucru a îngreunat investigația și reconstrucția atacului.

9. Există și o veste relativ bună
Raportul afirmă că:
nu există dovezi că baza Oracle Exadata a fost compromisă;
baza de date principală era funcțională cînd a fost oprită;
exista un backup la centrul de date din Brașov, replicat la fiecare 4 ore.
Acesta este probabil motivul pentru care statul român speră că poate restaura serviciile fără pierderea bazei principale de cadastru.

Evaluarea gravității

Dacă ar fi să evaluăm incidentul pe o scară de la 1 la 10:
impact operațional: 10/10
compromitere infrastructură: 10/10
compromitere cod sursă: 10/10
pierdere de date: 9/10
risc pentru viitoare atacuri: 10/10
Per ansamblu, este un incident de nivel critic, comparabil cu cele mai severe atacuri ransomware asupra infrastructurilor publice europene.

Un element important este că raportul DNSC este intermediar, dar chiar în această fază concluzionează că atacatorul a avut acces la majoritatea dispozitivelor virtuale și fizice din infrastructură și că a reușit să controleze componente esențiale ale mediului IT.
Un alt aspect care mărește gravitatea este caracterul sistemic al compromiterii: nu pare să fi fost exploatată o singură vulnerabilitate, ci o succesiune de sisteme neactualizate, reutilizarea parolelor, configurații slabe și mecanisme insuficiente de monitorizare, ceea ce a permis atacatorilor să transforme un acces inițial într-o compromitere aproape completă a infrastructurii.

Raportul spune că au fost șterse aproximativ 100 de mașini virtuale.
De ce este grav că au fost șterse?
Asta nu înseamnă că au fost șterse doar niște fișiere.
Înseamnă că au dispărut complet calculatoare întregi:
sistemul de operare;
aplicațiile;
configurațiile;
logurile;
datele locale.
Este echivalentul situației în care cineva intră într-o clădire și fură 100 de servere fizice.

De ce este și mai grav?

Atacatorii nu s-au limitat la ștergerea unor VM-uri.
Raportul arată că au obținut acces la VMware vCenter, aplicația care administrează întreaga infrastructură virtuală. De acolo au putut:
vedea toate cele 1.083 de mașini virtuale;
porni sau opri orice server;
șterge servere;
copia discurile virtuale;
executa ransomware asupra lor.

Este ca și cum cineva ar pune mîna pe panoul de comandă al unui centru de date și ar avea drepturi de administrator asupra întregii infrastructuri.
O analogie simplă
Imaginați-vă un hotel cu 1.083 de camere.
Clădirea hotelului este serverul fizic.
Fiecare cameră este o mașină virtuală.
În fiecare cameră locuiește o altă aplicație (eTerra, GitLab, Registrul Agricol etc.).
Atacatorii nu au spart doar o cameră. Ei au pus mîna pe cheia principală a hotelului, au putut intra în aproape orice cameră, au distrus unele dintre ele și au instalat ransomware în întregul imobil. Din acest motiv, DNSC consideră compromiterea infrastructurii ca fiind de o gravitate excepțională.

foto: Pixabay.com