Blocajul de peste trei zile de la ANCPI, început pe 14 iulie, a mutat discuția de la o simplă indisponibilitate tehnică la efectele financiare produse în lanț. Incidentul a afectat o infrastructură de care depind fluxuri economice legate de e-Terra, de la tranzacții imobiliare până la credite ipotecare.
Indisponibilitatea unei instituții-cheie a produs blocaje într-o piață în care amânarea unei singure tranzacții a generat anterior costuri estimate la până la 14.000 de euro. Efectul nu se oprește la zona IT. Riscul operațional se transferă către bănci, dezvoltatori, notari și cumpărători.
Andrei Avădănei, fondator și CEO al Bit Sentinel, cu o experiență de peste 15 ani în domeniu, spune că atacul asupra ANCPI nu arată o capacitate ieșită din comun a agresorului, ci o arhitectură vulnerabilă prezentă atât la stat, cât și în privat. Rețelele slab segmentate și backup-urile expuse sunt, potrivit acestuia, punctele de plecare. În fiecare lună, zeci de companii și sute de persoane fizice din România cad victime unor atacuri similare. Același tipar a fost exploatat la Apele Române, cu aproximativ 1.000 de sisteme criptate, în atacurile Backmydata asupra spitalelor și în cazul Electrica.
Potrivit Financiarul, Avădănei a criticat diferența de tratament dintre sectorul privat și instituțiile publice în raportarea incidentelor: „Este oarecum ironic că, în timp ce mediului privat i se impun transparenţa şi notificarea autorităţilor, victimelor şi clienţilor afectaţi, în cazul incidentelor din instituţiile publice explicaţia aleasă este, aproape invariabil, «o defecţiune tehnică»”.
Lanțul tehnic prezentat de atacator indică o compromitere în profunzime, iar riscul financiar crește atunci când sunt lovite în același timp aplicațiile, stratul de virtualizare și copiile de siguranță. Costurile de revenire cresc exponențial, iar întreruperea se prelungește. Andrei Avădănei a descris traseul publicat de atacator astfel: „Nu a picat un site. Nu a fost «o defecţiune tehnică», cum s-a comunicat iniţial. Atacatorul şi-a publicat singur paşii, o serie de capturi care descriu cum a intrat şi cum s-a mişcat prin reţea. Traseul, dacă e real, spune totul: a pornit dintr-o componentă de acces/identitate expusă în internet, a pivotat prin serverele de aplicaţii, a ajuns la depozitul de cod-sursă (unde ar fi copiat codul e-Terra şi RENNS), la sistemul de monitorizare, apoi la stratul de virtualizare şi la infrastructura de backup, iar la final la controllerul de domeniu, şi a oprit tot. Asta nu e «un bug». E cineva care a ajuns să deţină toată casa, de la uşa din faţă până la seiful cu copiile de siguranţă.”
Copierea codului-sursă pentru e-Terra și RENNS, exfiltrarea de date ale cetățenilor, rularea unui ransomware și ștergerea backup-urilor sunt, în acest moment, neconfirmate. ANCPI susține că datele nu au fost compromise, iar verdictul final este așteptat după investigația criminalistică.
Timpul de reacție s-a redus puternic. Utilizarea inteligenței artificiale a coborât la câteva minute intervalul necesar pentru transformarea descrierii unei vulnerabilități într-un exploit funcțional. O companie deja penetrată poate fi compromisă complet în sub o oră, față de lunile de altădată. Scanările automate și licențele software nu mai acoperă singure expunerea, iar sub normele NIS2 responsabilitatea se mută explicit către managementul care aprobă sau amână aceste cheltuieli de risc.
Avădănei rezumă această schimbare astfel: „Atacatorul are nevoie de o singură greşeală. Apărătorul trebuie să acopere milioane de vectori. De asta securitatea reală costă, şi experţii adevăraţi costă. Un scan automat nu e un pentest. [ ] Noi facem asta de peste 15 ani, zilnic, şi lucrăm cu şi împotriva celor mai scumpe soluţii de pe piaţă, antiviruşi, EDR, XDR, WAF, scannere de vulnerabilităţi, analiză de cod. Toate promit protecţie impecabilă. Şi, de cele mai multe ori, cu puţin efort şi metode surprinzător de simple, colegii mei le ocolesc. Nu pentru că soluţiile sunt slabe, ci pentru că securitatea nu se rezumă niciodată la o singură soluţie.”
Sancționarea recentă a Orange România confirmă același tipar. Breșele de securitate au fost asociate lipsei unor protecții elementare, precum absența unei conexiuni VPN sau a autentificării în doi pași, 2FA. Pentru a opri acest lanț, Andrei Avădănei cere un program național de securitate ofensivă coordonat de DNSC, printr-o propunere avansată pe LinkedIn. Formula include un registru al sistemelor expuse, testare independentă reală și consecințe clare pentru autoritățile care nu remediază vulnerabilitățile.
