Un incident de securitate cibernetică fără precedent în România a paralizat recent infrastructura Agenției Naționale de Cadastru și Publicitate Imobiliară (ANCPI), scoțând la iveală disfuncții majore în modul în care instituțiile publice din România gestionează securitatea datelor. Atacul, revendicat de gruparea de criminalitate cibernetică „Bite to Bridge”, a vizat aplicația Etera, platforma prin care notarii, băncile și oficiile cadastrale realizează zilnic interogări și înregistrări de proprietate.

Invitat cu ocazia unei ediții speciale a podcastului Zona, expertul în securitate cibernetică Mădălin Dumitru a oferit o radiografie tehnică detaliată a modului în care s-a desfășurat atacul, demontând mituri și arătând cum principala problemă a instituției nu a fost breșa în sine, ci absența totală a unei strategii de „reziliență operațională”.

Ce și cum s-a întâmplat (Mecanismul atacului)

Conform datelor analizate de experți, incidentul este opera unui atacator/grupare cunoscută sub numele de „Bite to Bridge”, recunoscut pentru spargerea infrastructurilor cu scopul de a exfiltra date și a le monetiza pe Dark Weba.

Atacatorii au utilizat o strategie bine planificată, scanând serverele ANCPI în căutarea de porturi deschise, subdomenii și aplicații expuse, după care și-au ales ținta: o aplicație open-source de gestionare a identității și accesului numită Open AM (Open Access Management). Aplicația prezenta vulnerabilități de tip CVE cunoscute încă din 2021, care permiteau rularea de cod de la distanță și ocolirea autentificării. Iar de aici întră în discuție și factorul uman. Vulnerabilitatea software a fost combinată cu utilizarea unor credențiale (useri și parole) slabe sau refolosite de angajați, detalii ce fuseseră deja compromise în trecut și erau disponibile în bazele de date de pe Dark Web.

Odată realizată infiltrarea inițială, atacatorul s-a mișcat prin rețea fără să fie detectat. Mădălin Dumitru a comparat această tehnică cu o spargere din viața reală: „Este ca și cum intră cineva printr-un gemuleț puțin crăpat de la baie, reușește să intre în casă și de acolo se mișcă prin toată clădirea, ajunge la subsol, deschide seiful și dă și foc în urmă.”. În cazul de față, scopul urmărit de atacator a fost accesul Active Directory, la codul sursă al aplicației Etera și la zona de backup.

Obiectivul urmărit: extragerea datelor ANCPI și ștergerea backup-urilor

Odată ce datele valoroase au fost obținute, atacatorul a publicat screenshot-uri pe forumuri prin care demonstrează că a avut acces la copiile de siguranță (backup-uri) și a amenințat că le șterge pentru a forța plata unei răscumpărări.

Deși conform primelor indicii, datele concrete cu caracter personal ale cetățenilor (cum ar fi CNP-urile sau titlurile de proprietate) nu par să fi fost exfiltrate masiv, Mădălin Dumitru evidențiază un pericol mult mai subtil, potențat de tehnologia modernă: compromiterea codului sursă:

„Odată ce atacatorul are acces la codul sursă al aplicației Etera, el îl poate uploada în modele de Inteligență Artificială din Dark Web (LLM-uri modificate, fără bariere de siguranță). Aceste motoare de AI pot descoperi instant zeci de noi vulnerabilități în cod. Chiar dacă patch-uiești breșa actuală, AI-ul le va indica atacatorilor noi modalități de penetrare. În acest punct, singura soluție sigură ar fi rescrierea completă a aplicației de la zero”, a explicat Dumitru.

Conceptul esențial, dar ignorat de autoritățile române: Reziliența Operațională

Mădălin Dumitru subliniază că atacurile cibernetice nu mai reprezintă o noutate absolută (incidente similare de cadastru au avut loc în Grecia și Slovacia). Adevărata problemă este cum sunt gestionate astfel de atacuri. Ce înseamnă reziliența operațională: capacitatea unei instituții sau companii de a izola rapid atacul și de a-și relua activitatea normală (back in business) în mai puțin de 48-72 de ore. Iar la acest capitol s-a greșit foarte mult. În România, securitatea cibernetică este subordonată greșit departamentului de IT. Într-o strategie bine gândită, cel care creează infrastructura (IT-ul) nu trebuie să fie același care o testează sau o supraveghează (Securitatea).

O altă greșeală majoră a fost lipsa unei strategii multistrat: Impactul masiv al atacului informatic demonstrează lipsa unor măsuri de securitate pe mai multe niveluri și a unei monitorizări continue. Degeaba ai un antivirus care dă o alertă vineri noaptea dacă nu ai o echipă activă (SOC – Security Operations Center) care să intervină imediat pentru a stinge „incendiul” până luni dimineața.

În cazul nostru, atacul de la Cadastru a scos la iveală un șir lung de eșecuri administrative și nerespectări ale ghidurilor de bune practici (good practices), în ciuda faptului că directivele europene (precum NIS 2) obligă instituțiile publice să aplice standarde stricte. La noi, multe instituții doar încearcă să bifeze reglementările legale la nivel de hârtii, uitând că „a fi conform nu înseamnă automat a fi sigur”

Printre principalele probleme sistemice identificate de Mădălin Dumitru:

• Lipsa securității multistrat: Nu au existat sisteme capabile să detecteze și să izoleze anomaliile de trafic în timpul mișcării atacatorilor în rețea.
• Eșecul alarmării: Un antivirus simplu este inutil dacă trimite o alertă iar instituția nu dispune de o echipă de intervenție capabilă să blocheze atacul în câteva minute.
• Lipsa testării backup-urilor: Multe entități fac backup doar pe hârtie, fără a simula periodic proceduri de restaurare rapidă a datelor și fără a menține copii de siguranță complet deconectate de la rețea (offline).

Ce e de făcut mai departe

Potrivit expertului Mădălin Dumitru, trecerea la o abordare proactivă este o strategie esențială. Este nevoie de politici stricte privind utilizarea dispozitivelor de serviciu (interzicerea folosirii lor în scop personal acasă în rețele nesecurizate), iar la toate nivelurile trebuie să fie instruiți constant prin simulări împotriva atacurilor de tip phishing. În plus echipamentele hardware și software nu trebuie să fie disparate, ci integrate într-o strategie unitară.

Un alt element foarte important este auditul extern. Testele de penetrare (pentesting) trebuie realizate de firme terțe, nu de cei care au implementat sistemul.

Este statul român „varză” din punct de vedere cibernetic?

Întrebat în limbajul caracteristic de gazda podcast-ului, Mădălin Dumitru infirmă ideea că statul român este complet vulnerabil, amintind că publicul vede doar atacurile care reușesc, nu și milioanele de atacuri respinse zilnic.

Problema reală rezidă în autonomia defectuoasă a unor departamente IT din cadrul instituțiilor, care folosesc firme terțe de IT (nu de securitate) și aleg frecvent să ignore alertele timpurii și notele de subsol trimise de Directoratul Național de Securitate Cibernetică (DNSC).

În opinia sa, România are specialiști recunoscuți global și instituții capabile (DNSC, Cyberint) Problema majoră în cazul de față ține de autonomia departamentelor IT din anumite instituții, care uneori aleg să ignore sau să nu pună în practică alertele timpurii primite de la organele de specialitate ale statului.

Cât va dura restabilirea serviciilor ANCPI

În prezent, serviciile ANCPI sunt în proces de migrare în cloudul guvernamental, sub supravegherea strictă a autorităților statului. Experții recomandă ferm ca aplicația să nu fie repusă în funcțiune în grabă, până când investigația detaliată nu va garanta că atacatorii nu au lăsat în urmă backdoor-uri pentru atacuri viitoare. Iar un astfel de proces poate dura și câteva săptămâni.

„Pagubele unui singur atac cibernetic major pot acoperi bugetul de securitate al unei instituții pentru următorii 15 ani. Să previi este întotdeauna mult mai ieftin decât să repari”, a conchis Mădălin Dumitru.

Puteți urmări integral ediția specială a podcastului ZONA cu Mădălin Dumitru, CEO SCUT, despre atacul cibernetic devastator de la ANCPI, în clipul de mai jos: