Guvernul „cosmetizează” dezastrul informatic de la Cadastru

Comunicatul emis ieri de Guvern despre atacul cibernetic care a paralizat Agenţia Naţională de Cadastru şi Publicitate Imobiliară în urmă cu două săptămâni încearcă să transforme un eşec instituţional de proporţii într-o poveste liniştitoare despre „reconstrucţie”, „coordonare atentă” şi „lecţii necesare”. Numai că raportul tehnic intermediar al Directoratului Naţional de Securitate Cibernetică arată o realitate radical diferită: atacatorii au exploatat vulnerabilităţi critice cunoscute de ani, au pătruns într-o infrastructură protejată cu echipamente şi aplicaţii ieşite din suport, au găsit o reţea aproape nesegmentată, au obţinut credenţiale administrative reutilizate pe mai multe sisteme, au ajuns la majoritatea echipamentelor fizice şi virtuale, au copiat cod-sursă, date despre utilizatori şi cel puţin o maşină virtuală critică, apoi au şters aproximativ 100 de maşini virtuale şi fişiere de backup.

Cu toate acestea, Executivul, în comunicatul de presă citat, evită sistematic tocmai informaţiile care permit stabilirea răspunderii: cum a fost posibil atacul, ce măsuri elementare lipseau, câte date au fost compromise, cine trebuia să asigure securitatea şi cine va răspunde pentru faptul că piaţa imobiliară din ţara noastră a fost blocată mai bine de zece zile.

Prima cosmetizare a situaţiei apare chiar în cronologie. Comunicatul Guvernului afirmă că „în data de 14 iulie 2026, ANCPI a constatat un acces neautorizat”, în timp ce analiza DNSC consemnează în raportul tehnic citat că ANCPI a sesizat Directoratul pe 14 iulie în legătură cu „un incident cibernetic detectat la data de 13.07.2026”. De fapt, mai exact, potrivit DNSC, atacatorul intrase în sistem încă din 10 iulie, la ora 15:23:57, iar incidentul a fost detectat efectiv de personalul ANCPI abia pe 14 iulie, la 05:45. DNSC calculează un interval de peste 86 de ore între accesul iniţial şi detectare. Timp de trei zile şi jumătate, atacatorul s-a putut deplasa prin infrastructură, scana reţeaua, colecta credenţiale, copia date şi pregăti distrugerea sistemelor fără ca vreun angajat al ANCPI să observe acest lucru. Aceasta nu este o simplă neclaritate calendaristică, ci una dintre principalele dimensiuni ale eşecului de securitate, eliminată convenabil din comunicatul Guvernului.

Nici expresia potrivit căreia atacatorii „au criptat şi şters o parte din infrastructura de virtualizare” nu redă amploarea dezastrului. DNSC a stabilit că gruparea ByteToBreach a desfăşurat un atac ransomware cu dublă extorsiune, adică nu s-a limitat la blocarea sistemelor, ci a urmărit şi copierea datelor pentru a putea şantaja victima cu publicarea sau vânzarea lor. Atacatorul a avut acces la majoritatea dispozitivelor din infrastructură, virtuale şi fizice, la echipamente de reţea, la serverele Active Directory Domain Controller şi la depozitele de cod-sursă. O comandă identificată de DNSC confirmă transferarea în exterior a maşinii virtuale „DC1”, un controler de domeniu Active Directory - una dintre componentele cele mai sensibile ale unei reţele, deoarece conţine informaţii despre identităţi, conturi şi drepturi de acces. Raportul menţionează explicit exfiltrarea unor maşini virtuale, ştergerea de backupuri, criptarea fişierelor şi publicarea unor fragmente din datele sustrase pe forumuri de pe dark web. Reducerea acestei compromiteri extinse la „o parte din infrastructura de virtualizare” este o formulare administrativă menită să ascundă gravitatea tehnică a incidentului.

Cea mai problematică parte a comunicatului de presă emis ieri de Executiv este însă cea referitoare la date. Guvernul declară că baza centrală cadastrală nu a fost afectată, că nu există dovezi privind accesarea ei şi că integritatea evidenţei de cadastru şi carte funciară este confirmată. Afirmaţia poate fi corectă strict în privinţa bazei Oracle Exadata care conţine evidenţa proprietăţilor, deoarece DNSC spune că probele disponibile nu demonstrează accesarea acesteia. Dar comunicatul foloseşte această constatare limitată pentru a produce impresia generală că datele cetăţenilor nu au fost compromise. Or, raportul tehnic intermediar al DNSC stabileşte contrariul în privinţa utilizatorilor ePay: atacatorul a obţinut acces la baza de utilizatori OpenDJ/LDAP şi a extras un volum estimat la aproximativ două milioane de înregistrări, conţinând nume, adrese de e-mail, identificatori şi hash-uri ale parolelor. DNSC arată că informaţiile par să aparţină utilizatorilor externi ai platformei, identificaţi inclusiv prin adrese personale Gmail şi Yahoo. Aşadar, nu mai discutăm doar despre o bănuială care „va fi stabilită” cândva de investigaţie, ci despre o compromitere descrisă în raportul tehnic intermediar al autorităţii naţionale competente.

Recomandarea din comunicatul citat referitoare la faptul ca utilizatorii ePay să-şi schimbe parola, „mai ales dacă o folosesc şi pe alte conturi”, devine o recunoaştere indirectă a compromiterii datelor, fără asumarea explicită a acesteia. Guvernul le cere oamenilor să se protejeze, dar evită să le spună exact de ce. Nu precizează nici dacă parolele au fost stocate prin algoritmi moderni şi cu salt individual, dacă toate sesiunile active şi tokenurile de autentificare au fost invalidate, dacă utilizatorii afectaţi vor fi informaţi individual şi dacă incidentul a fost notificat Autorităţii Naţionale de Supraveghere a Prelucrării Datelor cu Caracter Personal în termenul prevăzut de GDPR. Nu spune nici dacă toate credenţialele administrative şi certificatele posibil compromise au fost revocate şi înlocuite. Sunt informaţii esenţiale pentru securitatea cetăţenilor, nu detalii care pot fi ascunse în spatele „confidenţialităţii anchetei”.

Comunicatul Guvernului omite integral şi cauza tehnică probabilă a atacului. DNSC arată că punctul iniţial de acces a fost platforma de autentificare OpenAM/ForgeRock din traseul către ePay, expusă pe internet şi vulnerabilă la probleme de securitate cunoscute, că atacatorul a exploatat breşe publice, dintre care una era cunoscută încă din 2021. Odată intrat, a găsit o interfaţă de administrare Java JMX/RMI fără autentificare, a obţinut execuţie de cod, a decriptat credenţiale administrative şi a folosit serverul ePay ca punct de pivotare către infrastructura centrală de virtualizare.

Mai grav, raportul DNSC descrie ceea ce numeşte o combinaţie de „deficienţe structurale” ale securităţii ANCPI, deoarece firewallurile rulau versiuni învechite, unele ieşite din ciclul oficial de suport şi lipsite de actualizări de securitate, iar doluţia antivirus Bitdefender funcţiona numai pe device-urile angajaţilor, nu şi pe serverele critice analizate. Mai mult, reţeaua internă era „aproape” nesegmentată, astfel încât un server de producţie compromis putea comunica direct cu infrastructura de management vCenter. Aceleaşi credenţiale administrative erau reutilizate pe mai multe echipamente şi servicii, astfel că obţinerea unei singure parole i-a deschis atacatorului accesul către componente critice.

Acestea sunt informaţiile fundamentale pe care comunicatul Guvernului le ascunde. Nici mutarea aplicaţiilor ANCPI în cloudul guvernamental nu poate fi prezentată de Guvern drept soluţia salvatoare. Cloudul poate oferi o infrastructură mai bine administrată, dar nu repară codul vulnerabil, arhitectura defectuoasă, credenţialele compromise sau practicile administrative neglijente. Dacă „versiunea actuală” a sistemului este repornită înainte ca toate vulnerabilităţile să fie remediate, problema este doar mutată într-un centru de date nou. Chiar directorul ANCPI, Laurenţiu Blaga, afirmase că aplicaţiile, nu baza de date, vor fi mutate în cloud, iar verificarea eventualelor breşe urma să se facă ulterior. Acum, comunicatul vorbeşte despre repornirea „pe versiunea actuală”, urmată de actualizări ulterioare. Tocmai această grabă trebuie explicată: ce vulnerabilităţi rămân temporar deschise, ce controale compensatorii sunt implementate şi cine îşi asumă decizia repornirii?

Mai există şi problema contractelor plătite din bani publici. Presa a documentat două acorduri pentru servicii de protecţie cibernetică atribuite IT About IT SRL, unul de aproape 950.000 de lei în 2019 şi altul de 1,48 milioane de lei în 2023, precum şi un contract de mentenanţă pentru e-Terra de 15,77 milioane de lei acordat Wing Leading Edge SRL. Ultimul contract subsecvent pentru securitate ar fi fost semnat chiar la 30 aprilie 2026, cu mai puţin de trei luni înaintea atacului. Comunicatul Guvernului nu spune cine răspundea contractual pentru actualizarea componentelor vulnerabile, cine trebuia să verifice segmentarea reţelei, cine a acceptat echipamente ieşite din suport, cine a configurat păstrarea logurilor pentru numai şapte minute şi ce audituri de securitate au fost efectuate.