Atacul asupra ANCPI a început printr-o breșă cunoscută din 2021. Platformele pot fi repornite săptămâna viitoare

Atacatorul a compromis infrastructura ANCPI după ce a preluat controlul contului central de administrare, iar oficialii DNSC au descris intruziunea drept una bazată pe vulnerabilități cunoscute, nu pe o metodă sofisticată, potrivit Forbes.ro. Blocajul a scos din funcțiune sistemele care susțin operațiunile cadastrale, plățile și tranzacțiile imobiliare.

O sută de mașini virtuale ar fi fost șterse după accesarea consolei centrale, potrivit descrierii tehnice prezentate de Andrei Iacoboaiei, adjunct al directorului DNSC, în Parlament. Ulterior, generalul Anton Rog, șeful centrului CyberInt din SRI, a afirmat că atacatorul a șters aproape 1.000 de servere virtuale. Cele două cifre diferă.

Impactul operațional se resimte pe piața imobiliară, care depinde de e-Terra, ePay, MyeTerra, Registrul proprietarilor, geoportalul ANCPI și registrul electronic național al nomenclaturilor stradale. ANCPI administrează aceste sisteme, iar oprirea lor a blocat activitatea legată de cadastru, plăți și tranzacții.

Breșa inițială a pornit dintr-o componentă expusă public

Atacul a început vineri, 10 iulie 2026, la 15:23, prin exploatarea unei vulnerabilități cunoscute din 2021, aflată pe o mașină expusă public care gestiona autentificarea utilizatorilor la serverul aplicației ePay, a declarat Andrei Iacoboaiei în Parlament. SRI a identificat drept punct inițial componenta OpenAM, o soluție open-source de administrare a identității și accesului din platforma ePay.ANCPI.ro.

„Atacul cibernetic asupra infrastructurii IT a Agenției Naționale de Cadastru (ANCPI) a debutat vineri, 10 iulie, la 15:23, când atacatorul a exploatat o vulnerabilitate cunoscută din 2021, a unei mașini expuse public, care avea rolul de a gestiona autentificarea utilizatorilor la serverul aplicației ePay al ANCPI”, a spus Andrei Iacoboaiei, adjunct al directorului DNSC, în Parlament.

Conform DNSC și SRI, atacul ransomware cu dublă extorsiune s-a derulat între 10 și 14 iulie 2026. Pe 11 iulie, atacatorul a stabilit conexiuni către un server de comandă și control din Spania. Pe 12 iulie a ajuns, tot prin vulnerabilități din 2021, la serverul care gestiona ciclul de viață al produselor software, expunând codul-sursă pentru e-Terra, RENNS și unele module de plăți electronice.

Până duminică, 12 iulie, o mare parte din infrastructura ANCPI era compromisă, potrivit DNSC. Pe 13 iulie, între 15:51 și 21:09, atacatorul a încercat să acceseze consola centrală a infrastructurii virtualizate și a reușit la 21:09, folosind contul [email protected].

Andrei Iacoboaie a spus că nu au fost identificate tentative de spargere a acelui cont, dar că o parolă cu drepturi de administrare, decriptată cu o zi înainte de pe serverul unde se jurnalizau codurile-sursă, a funcționat și pentru contul administrator. DNSC a arătat astfel că ANCPI reutilizase aceeași parolă de administrare pe conturi diferite.

„A putut să vadă toate cele 1.083 de mașini virtuale și servere, a identificat acele servere care aveau rolul de a gestiona utilizatorii interni ai ANCPI și (…) a reușit să exfiltreze sau să copieze un disc al unei mașini virtuale (…) către un server de comandă și control din Spania. (…) Ulterior, atacatorul din postura de «administrator» al acestei infrastructuri virtuale, a șters 100 de mașini virtuale pe care le-a identificat și a început să cripteze sistemul”, a declarat Andrei Iacoboaie, adjunct al directorului DNSC, în Parlament.

Generalul Anton Rog a atribuit atacul actorului de criminalitate cibernetică ByteToBreach și a spus că au fost indisponibilizate e-Terra, ePay, MyeTerra, Registrul proprietarilor, geoportalul ANCPI și registrul electronic național al nomenclaturilor stradale. Același oficial a spus că gruparea a publicat printre victime și entități din Federația Rusă, Uzbekistan și Ucraina.

Parolele slabe și sistemele vechi au amplificat compromiterea

SRI a identificat trei vulnerabilități principale în infrastructura afectată: parole cu nivel redus de complexitate, sisteme vechi neactualizate de mai mulți ani și reguli permisive de acces în rețeaua internă. În această combinație, o breșă veche dintr-un punct expus public a fost suficientă pentru escaladarea privilegiilor și mișcarea laterală în rețea.

Anton Rog a dat ca exemplu parola „p@ssw0rd (password)”, despre care a spus că se află în primele 10 parole din orice dicționar folosit pentru spargerea credențialelor și poate fi ghicită în 100 de milisecunde. Potrivit șefului CyberInt, astfel de parole au fost reutilizate perioade îndelungate, inclusiv pe conturi de administrator.

ANCPI se află printre cei 122 de beneficiari ai proiectului „Țițeica”, un centru operațional de securitate administrat de CyberInt. Totuși, platforma e-Terra nu a fost inclusă de instituție în lista resurselor protejate prin acest sistem, astfel că a rămas în afara ariei de protecție, potrivit lui Anton Rog.

În aceeași audiere, Anton Rog a spus că SRI a transmis 233 de informări privind vulnerabilități numai în anul 2025 și 1.304 informări în perioada 2021-2026 către instituții din arcul guvernamental. Investigația tehnică a fost analizată și validată împreună cu specialiștii Bitdefender, în cadrul unui parteneriat public-privat cu CyberInt.

ANCPI a descoperit atacul marți, 14 iulie 2026, la ora 5:45, în timpul unor activități obișnuite de mentenanță. Instituția a izolat imediat bazele de date, replicările și copiile de siguranță de infrastructura principală, iar în interval de 2-3 zile a decis că întregul centru propriu de date trebuie tratat ca fiind compromis și a început migrarea aplicațiilor în cloudul privat guvernamental administrat de STS.

„Pe 14 iulie dimineața, la 6 fără un sfert, în cadrul unor activități de mentenanță obișnuite, am descoperit atacul cibernetic. Am anunțat conducerea, instituții ale statului etc. Primul lucru a fost să izolăm componentele sistemului, bazele de date, replicările, copiile de siguranță să fie deconectate de la cea principală etc., adică am luat măsuri de izolare a incidentului. În interval de 2-3 zile am constatat și alte mișcări laterale ale atacatorului, moment în care am decis că infrastructura din centrul nostru de date trebuie să o considerăm compromisă. Am apelat la sprijinul instituțiilor, în primul rând STS ca administrator al cloudului privat guvernamental să ne găzduiască. Din acel moment am pornit procesul de migrare a aplicațiilor din infrastructura noastră în cloud.”, a declarat Eduard Gheorghe, directorul direcției IT al ANCPI, în Parlament.

O parte dintre aplicații au fost deja pornite, iar Mircea Popa, directorul general adjunct al ANCPI, a spus că ținta pentru reluarea integrală a activității este săptămâna viitoare. Eduard Gheorghe a precizat că repornirea depinde de verificările privind siguranța și securitatea datelor.

Parteneri

Articole recomandate din rețeaua noastră

LylaCum îți păstrezi musculatura după 30 de ani. Exercițiile de forță pot încetini pierderea masei musculareRevista IoanaDin 23 octombrie 2027, varianta de tarif cu bagaj de mână va fi afișată implicitNews24Spitalul din Constanța a primit 11 marinari după ce o navă ar fi fost lovită de droneDolce SportGică Hagi cere două zile pentru clarificarea viitorului său ca selecționer după eșecul cu SuediaGetPonyDacia oferă prime între 45.000 și 210.000 de lei, după vechime, angajaților care aleg să pleceBravonetPaula Cojocari explică de ce divorțează de Stelian Ogică după doar patru luni de căsnicie