Cum a fost paralizat cadastrul României de un atac care nu a fost sofisticat, ci doar o înlănțuire de uși pe care nimeni nu le închisese, și factura pentru un model în care securitatea se cumpără pe hârtie, se certifică într-un raport și nu se verifică niciodată în realitate.

Ce s-a întâmplat

Pe 14 iulie 2026, toate sistemele informatice ale Agenției Naționale de Cadastru și Publicitate Imobiliară (ANCPI) au devenit brusc indisponibile: aplicația e-Terra, portalul de carte funciară și până și adresele de e-mail ale instituției. Ceea ce a fost prezentat inițial drept un „incident tehnic major” s-a dovedit, a doua zi, a fi un atac cibernetic, iar date pretins sustrase erau deja scoase la vânzare pe un forum specializat.

Atacul a fost revendicat de o entitate cunoscută sub numele ByteToBreach, descrisă de Directoratul Național de Securitate Cibernetică (DNSC) drept un atacator motivat exclusiv financiar, suspectat a fi de origine algeriană, nu un actor statal. Compania israeliană KELA îl profilează ca pe un infractor cu experiență[1], care a mai vândut date furate de la bănci, companii aeriene și instituții guvernamentale. Atacatorul susține că a copiat baze de date cu informații despre cetățeni, serverele GitLab ale instituției (inclusiv codul-sursă al e-Terra) și că a început să șteargă backupurile, semnătura clasică a unui ransomware.

Aici apare contradicția centrală, încă neverificată independent. Instituția și directorul general, Laurențiu-Alexandru Blaga, insistă că datele cetățenilor nu au fost compromise, că a fost afectat doar codul-sursă al aplicațiilor și că bazele de date se află pe servere separate, cu backupuri intacte[2]. Atacatorul revendică exact opusul: acces total. Într-un interviu televizat, directorul a repetat că este „99,9% sigur” că baza de date nu a fost spartă și că aplicațiile urmau să migreze în cloudul guvernamental pe 22 iulie.

Impactul: o economie pusă pe pauză

Efectul cel mai vizibil nu este tehnic, ci economic. Fără aplicațiile ANCPI nu se pot emite extrase de carte funciară, documentul obligatoriu la orice tranzacție imobiliară, și se blochează intabulările, ipotecile și verificările de care depind notarii, băncile și topografii. Practic, piața imobiliară națională s-a oprit.
Momentul a agravat totul. Blocajul a picat exact înaintea termenului de 1 august, de la care TVA la locuințele noi urcă de la 9% la 21%. Cumpărătorii cu antecontracte semnate, dar care nu reușesc să încheie tranzacția la timp, riscă să plătească diferența, până la aproximativ 14.000 de euro în plus la o singură achiziție[3].

Comunicarea, al doilea dezastru

Dacă atacul a fost o problemă tehnică, felul în care a fost explicat publicului a fost una la fel de gravă. Într-o intervenție la Digi24, directorul general al ANCPI a fost întrebat, în direct, cât de gravă e situația. Răspunsurile au produs exact contrariul clarității.

Directorul a repetat că datele cetățenilor sunt „în siguranță” și că „nu există niciun indiciu” de compromitere, insistând pe o distincție greu de urmărit pentru telespectatori: că nu „baza de date” a fost spartă, ci „doar aplicațiile care fac legătura cu ea”. Când moderatorul a confruntat poziția cu declarația DNSC, potrivit căreia atacatorii ajunseseră la baza de date tocmai prin aplicațiile insuficient protejate, distincția s-a prăbușit. Exact acesta este mecanismul unui atac real: compromiterea unei aplicații expuse devine punctul de pivot către datele din spatele ei.

Restul dialogului a adâncit ceața. Directorul nu a putut spune câte înregistrări are baza de date, nu a putut preciza valoarea contractului de securitate și s-a corectat de mai multe ori între „aplicații”, „bază de date” și „cod-sursă”. Într-un context în care atacatorul revendicase deja public copierea datelor și le pusese la vânzare, un „99,9% sigur” rostit ezitant nu liniștește pe nimeni, ridică miza fără s-o explice.

Două afirmații, în special, au sunat liniștitor, dar nu rezistă la o analiză tehnică atentă.

Prima: că „baza de date nu a fost spartă”. Chiar admițând că serverul de date nu ar fi fost copiat integral, lucru nedovedit independent, exfiltrarea de credențiale și de cod-sursă, confirmată parțial de DNSC, deschide ea însăși drumul către date. Cu parole valide și cu „harta” aplicației în mână, accesul ulterior devine o chestiune de timp, nu o barieră. „Nu a fost spartă acum” nu înseamnă „nu poate fi accesată”.

A doua: că „aplicațiile se mută în cloud, dar baza de date rămâne la ANCPI”. Locul fizic al unei baze de date nu determină dacă a fost sau nu accesată. Mutarea aplicațiilor pe o infrastructură mai bine protejată remediază calea de atac; a lăsa însă datele pe exact infrastructura tocmai compromisă nu e un motiv de liniște, dacă e ceva, e opusul.

Efectul asupra publicului a fost cel mai prost cu putință: fie impresia falsă că „totul e în regulă”, fie confuzie totală. Iar miza e concretă. Atacatorul susține că deține nume, coduri numerice personale (CNP), adrese de domiciliu și date de proprietate, alături de credențiale, inclusiv ale angajaților, și că le-a scos la vânzare. DNSC a confirmat accesul la mostre de credențiale și fragmente de cod, dar a precizat că, până acum, nu a detectat furtul de date personale sau de certificate de carte funciară. „Nu am detectat, deocamdată” nu înseamnă însă „nu s-a întâmplat”: într-un scenariu ransomware clasic, expunerea datelor este regula, nu excepția.

De ce contează un CNP expus public

Dintre toate datele în joc, CNP-ul este informația cea mai valoroasă, pentru că, spre deosebire de o parolă, nu poate fi schimbat. E cheia de identitate a unei persoane pe toată durata vieții, iar în combinație cu numele, adresa și datele de proprietate devine materie primă pentru fraudă.

Concret, un CNP expus poate servi la deschiderea de conturi și contractarea de credite pe numele victimei, la fraude fiscale, la preluarea unor conturi prin inginerie socială (băncile și operatorii care încă folosesc CNP-ul drept „verificare a identității” devin puncte slabe) sau la atacuri de phishing extrem de credibile, în care escrocul îți știe deja numele, email-ul, adresa și proprietatea și te contactează „în legătură cu dosarul de la cadastru”. Datele de proprietate adaugă un strat de risc în plus: arată cine deține ce și unde.
Partea cea mai gravă e ireversibilitatea. Chiar dacă sistemele ANCPI revin, și aici backupurile chiar par intacte, un set de date personale, odată copiat, nu mai poate fi „retras”. Poate fi păstrat, revândut și folosit ani mai târziu, mult după ce incidentul iese din atenția publică. De aceea „codul-sursă a fost afectat, nu datele” rămâne, dincolo de acuratețea încă nedovedită, o consolare fragilă: dacă datele au fost expuse, prejudiciul nu se închide odată cu incidentul.

Apărarea: doi angajați și un apartament

Cel mai revelator unghi al poveștii nu este atacatorul, ci apărarea. Potrivit investigației Public Record, securitatea cibernetică a ANCPI era asigurată de IT About IT SRL, o companie înființată în 2015, cu sediul într-un apartament din București. Datele financiare publice pentru 2025 arată dimensiunea reală: doi angajați, o cifră de afaceri de circa 1,84 milioane de lei (aproximativ 365.000 de euro) și un profit net de 9.028 de lei.

Contrastul cu miza e brutal. Caietul de sarcini descria soluția drept „de importanță națională” și impunea suport permanent, audit anual și timpi de intervenție de două ore la incidentele critice. Serviciile asigurate de IT About IT au valorat în total circa 8,5 milioane de lei (aproximativ 1,63 milioane de euro), pe un acord-cadru derulat pe mai mulți ani; ultimul contract subsecvent a fost semnat pe 30 aprilie 2026, cu doar câteva luni înainte de atac[4].

Analiza caietului de sarcini scoate la iveală ceva îngrijorător: produsele achiziționate erau compatibile cu Windows 7, macOS Sierra și Windows Server 2008 R2 sau superior, dar serverele exploatate de atacator rulau Linux. Din cele 3.800 de licențe achiziționate (echipamente endpoint), analiza datelor scurse arată 3.230 de computere active în Active Directory-ul ANCPI, printre care și sisteme Windows XP și Windows Server 2003, pentru care Microsoft nu mai oferă suport. Există motive să bănuim că stațiile Linux compromise inițial, folosite ca punct de pivotare, nu aveau instalată o astfel de soluție, de aceea atacul a rămas nedetectat până când atacatorul a comis o greșeală: a declanșat o alarmă pe un sistem unde antivirusul era activ sau a picat un serviciu.

Iar proporțiile spun restul. În aceeași perioadă, mentenanța software a e-Terra, atribuită firmei Wing Leading Edge, a costat 11.236.838,58 lei, peste 2 milioane de euro. ANCPI a plătit deci pentru întreținerea aplicației mai mult decât pentru apărarea ei împotriva exact tipului de atac care avea să se producă. Detaliul e revelator și altfel: în interviu, directorul a indicat „Wing” drept furnizorul de securitate, o confuzie între mentenanță software și protecție care arată cât de neclară era însăși linia dintre „a ține sistemul funcțional” și „a-l ține în siguranță”.

În caietul de sarcini încheiat cu Wing, obligațiile sunt formulate generic, în jurul „defectelor”, „incidentelor” și „problemelor”. Totuși, textul acoperă fără echivoc ce trebuia făcut: monitorizare permanentă, eliminarea defectelor și, explicit, „instalarea de noi versiuni sau fixuri ale sistemului ori ale componentelor sale”, inclusiv la nivelul software-ului standard. Aplicarea patchurilor pentru OpenAM și GeoServer intră, dincolo de orice dubiu, în această obligație, cu timpi de reacție de 240 de minute la severitate maximă și remediere în 24 de ore. Vulnerabilități publice, lăsate nerezolvate ani de zile, sunt exact tipul de defecte pe care contractul de mentenanță era chemat să îl rezolve.

Cheia întregii povești stă în declarația DNSC. Directorul Dan Cîmpean a declarat că atacul nu a fost unul complex. Atacul putea fi prevenit: atacatorii au folosit o combinație de vulnerabilități cunoscute, dar nereparate, plus date de autentificare compromise și publicate pe internet. Mai mult, aceste vulnerabilități au fost raportate către ANCPI in 2024 de un specialist in securitate cibernetică. Atacatorul susține că avea acces de mult mai mult timp; afirmație neconfirmată oficial, dar care se potrivește neplăcut de bine cu tabloul general.

Documentația oficială[5] arată și din ce era construit e-Terra: autentificarea rula pe OpenAM (familia ForgeRock), serverul GIS era ESRI ArcGIS, iar codul-sursă era gestionat în GitLab, exact depozitul pe care atacatorul pretinde că l-ar fi copiat.

Vectorul de intrare a fost un lanț de două vulnerabilități cunoscute public, ambele de execuție de cod la distanță și ambele pe lista CISA a vulnerabilităților exploatate activ. Mai întâi, atacatorul a exploatat CVE-2024-36401[6], un RCE (RCE -- remote code execution -- execuție cod atacator la nivelul sistemului de operare compromis) critic (CVSS 9,8) în GeoServer, probabil o componentă a geoportalului ANCPI. Exploatarea vulnerabilității CVE-2021-35464[7], o vulnerabilitate tot de tip RCE în ForgeRock OpenAM (componenta management autentificare/autorizare), pentru a compromite chiar stratul care controlează accesul; un modul de exploatare public circulă de ani de zile. Ambele aveau patchuri cu mult înainte de atac. De aceea a putut spune DNSC că atacul „nu a fost complex”, a fost doar o înlănțuire de uși pe care nimeni nu le închisese. Un test de penetrare le-ar fi găsit în câteva ore.

Reconstrucția lanțului de atac, pe baza componentelor confirmate în caietul de sarcini și a vulnerabilităților identificate.*

Iar atacatorul nu a amenințat abstract: a publicat dovezi, componenta de management al identității și accesului, utilizatori si parole cu drepturi administrative pentru gestiunea mașinilor virtuale (peste 1000 conform declarațiilor atacatorului), date de autentificare aparținând dezvoltatorilor și angajaților. În fața lor, distincția dintre „aplicații” și „bază de date” își pierde sensul: cine deține cheile de administrare și identitățile utilizatorilor poate ajunge, practic, oriunde.

Iar „oriunde” nu se oprește la granițele ANCPI. Potrivit documentației, e-Terra e interconectat prin servicii web cu alte sisteme centrale ale statului, între ele, baza de date a Direcției pentru Evidența Persoanelor și Administrarea Bazelor de Date (DEPABD), direcțiile de taxe și impozite locale (DTIL) și Registrul Comerțului. Aceste integrări funcționează pe încredere: conturi de serviciu, certificate și chei de acces. Dacă atacatorul a avut acces la date de autentificare cu drepturi administrative, riscul se poate propaga, teoretic, către instituțiile cu care agenția schimbă date. Rămâne să sperăm, pentru că nici asta nu s-a comunicat clar, că toate cheile, certificatele și parolele, mai ales cele interinstituționale, au fost deja revocate. Altfel, incidentul nu s-a încheiat: doar a intrat în altă etapă.

Legând toate aceste informații cap la cap, o infrastructura ce necesita audit anual si teste de penetrare periodice, vulnerabilități care au supraviețuit ani de zile, notificări ignorate și o vulnerabilități ușor de exploatat, la îndemâna oricărui atacator, care nici măcar nu e un APT (o grupare, bine finanțată, capabilă de atacuri cibernetice susținute pe parcursul mai multor luni sau ani), concluzia se scrie singură: „securitatea de importanță națională” a existat mai degrabă în documente decât în infrastructură.

Obligație legală, dar aparent fără testare suficientă

Ca agenție centrală care administrează o infrastructură critică națională, cadastrul și cartea funciară a întregii țări, ANCPI se încadrează cel mai probabil drept entitate esențială în sensul Directivei NIS2, transpusă în România prin OUG nr. 155/2024, aprobată și modificată prin Legea nr. 124/2025. Iar clasificarea drept „esențială” atrage cele mai stricte obligații.

Printre ele, NIS2 impune testarea periodică a securității și notificarea incidentelor semnificative. Paradoxul e că cerința exista și pe hârtie: caietul de sarcini includea teste de penetrare. Problema e că, cel mai probabil, ele nu au fost realizate niciodată periodic.

Cifrele confirmă intuiția, iar dimensiunea lor e halucinantă. O analiză a celor 3.921 de contracte de achiziție publică atribuite de ANCPI, însumând peste 127,4 miliarde de lei (circa 25,5 miliarde de euro), scoate la iveală doar trei achiziții de audit (cod CPV 72810000-1): una de 52.000 de lei, atribuită offline în 2014, și alte două în 2013. Atât. Nicio achiziție de teste de penetrare nu a putut fi identificată, iar cel mai recent audit informatic datează din 2014, cu doisprezece ani înainte de atac.

Raportat la anvergura instituției, verificarea independentă a securității e practic invizibilă statistic: trei audituri, cel mai nou vechi de peste un deceniu și aparent zero teste de penetrare. Iar capacitatea internă pare la fel de subțire, din fișierele scurse rezultă 46 de specialiști GIS/IT, iar pe LinkedIn apare un singur angajat cu rol declarat de specialist în securitate. O entitate esențială care gestionează datele de proprietate ale unei țări ajunge, aparent, să se sprijine pe un singur om în interior și pe o firmă cu doi angajați în exterior.

Ar fi însă naiv să credem că sistemul nu a fost testat niciodată. De aceea întrebările care rămân sunt cele mai incomode: dacă s-a testat, atunci de cine, cum și cu ce acoperire, și de ce nu au fost prinse două vulnerabilități publice, cu patch disponibil? Absența testelor de penetrare din achiziții nu dovedește că nu s-a testat nimic; poate însemna că testarea s-a făcut opac, informal sau superficial. Oricare variantă e, pentru o infrastructură critică, la fel de îngrijorătoare ca lipsa testării.

Problema reală: industria PDF-urilor de conformitate

Aici breșa ANCPI încetează să fie o poveste despre o instituție și devine un simptom. România, și nu doar România, a construit o piață în care securitatea cibernetică se livrează sub formă de documente: rapoarte de audit, teste de penetrare, certificări. Documentul bifează o cerință, se depune la dosar, se plătește factura. Rareori verifică cineva dacă în spatele lui a existat o testare reală, și, mai ales, dacă cineva a acționat vreodată pe baza concluziilor.

Livrabilul a devenit scopul, nu mijlocul. Un raport de 80 de pagini, cu grafice colorate și scoruri de risc, arată impecabil în fața unui evaluator care nu poate distinge între o testare de trei săptămâni și o scanare rulată într-o după-amiază în câteva ore. Nimeni nu retestează, nimeni nu verifică dacă recomandările de anul trecut au fost implementate. Iar mecanismul de piață împinge exact în această direcție: când criteriul dominant e prețul și cerința se satisface cu un document, câștigă cine produce documentul mai ieftin, nu cine face securitatea mai bună. Așa ajungi ca protecția unei infrastructuri strategice să fie contractată cu o firmă care raportează un profit net de sub 2.000 de euro pe an[8].

Ce ar trebui să se schimbe

Dacă breșa ANCPI are o lecție utilă, ea nu este „mai mulți bani pentru securitate”, ci „calitate verificabilă în locul conformității pe hârtie”. Câteva direcții concrete:

• Verificarea remedierii, nu doar a raportării. Un raport de audit sau de pentest ar trebui urmat obligatoriu de o retestare care confirmă că vulnerabilitățile critice au fost efectiv închise.

• Control de calitate independent asupra livrabilului. Un raport de securitate pentru infrastructură critică ar trebui să poată fi contestat și verificat de o terță parte, nu acceptat pe încredere doar pentru că are antet și semnătură.

• Criterii de capacitate reală, nu doar de preț. Numărul de specialiști, certificările verificabile ale echipei și istoricul demonstrabil ar trebui să conteze mai mult decât oferta cea mai mică.

Concluzie

Atacul de la ANCPI va fi, probabil, remediat. Aplicațiile vor migra în cloud, se va emite un raport, tranzacțiile vor reporni. Ce nu se repară de la sine este modelul care a făcut atacul posibil: unul în care securitatea e tratată ca o formalitate de achiziție, iar dovada ei e un document, nu o infrastructură rezilientă.

Atâta timp cât se vor cumpăra documente PDF ce doar bifează conformitatea în locul unor servicii de securitate reale, vom continua să descoperim, mereu prea târziu, mereu în urma unui incident, că „importanța națională” din caietul de sarcini nu a fost niciodată tradusă în realitate. Breșa ANCPI nu a fost o fatalitate tehnică. A fost factura pentru o iluzie pe care am plătit-o ani de zile și pe care o vom mai plăti mult timp de acum înainte.

*Notă: cifrele financiare și detaliile contractuale provin din investigații de presă și date publice (Termene.ro, SEAP). Afirmațiile atacatorului și unele detalii tehnice nu au fost confirmate independent la momentul redactării. Investigațiile oficiale erau în curs.*

SURSE/Referințe

[1]: KELA — profilul actorului „ByteToBreach”.

[2]: Digi24, interviul cu directorul general al ANCPI.

[3]: Ziarul Financiar, „Miza reală din spatele blocajului ANCPI”

[4]: SEAP / e-licitatie.ro, contract IT About IT SRL.

[5]: Documentația oficială a sistemului e-Terra (document public).

[6]: CVE-2024-36401 — NVD

[7]: CVE-2021-35464 — NVD

[8]: Date financiare IT About IT SRL, listafirme.ro.

Imagine: Liviu Reti